Website-Check mit Note

Was wir prüfen. Wir lesen den Quelltext der Startseite und die verlinkten Stylesheets und suchen nach Aufrufen von fonts.googleapis.com und fonts.gstatic.com.

Was ein Befund bedeutet. Lädt die Seite Schriften direkt von Google, geht die IP-Adresse jedes Besuchers ohne Einwilligung an Google. Das Landgericht München I hat dafür am 20. Januar 2022 Schadensersatz zugesprochen (Az. 3 O 17493/20). Seitdem ist das der häufigste Anlass für Abmahnschreiben an kleine Websites.

Was Sie selbst tun können. In vielen Themes gibt es einen Schalter „Google Fonts lokal laden“. Reicht das nicht, weil ein Plugin oder ein Page-Builder die Schriften nachlädt, müssen sie von Hand lokal eingebunden werden.

Einzeltest mit Erklärung → Ratgeber: Google-Fonts-Abmahnung → Beheben lassen: Google-Fonts-Soforthilfe · 99 € →

Was wir prüfen. Wir suchen im Quelltext nach eingebetteten Diensten, die schon beim Seitenaufruf laden: YouTube, Vimeo, Google Maps, reCAPTCHA, Social-Media-Einbettungen und ähnliche.

Was ein Befund bedeutet. Jede dieser Einbettungen baut eine Verbindung zu einem fremden Server auf, bevor der Besucher zugestimmt hat. Rechtlich ist das dieselbe Lage wie bei Google Fonts, nur mit mehr Daten.

Was Sie selbst tun können. Videos und Karten lassen sich hinter einen Klick legen („Zwei-Klick-Lösung“), viele Cookie-Banner können das. reCAPTCHA lässt sich oft durch eine Lösung ohne Drittanbieter ersetzen.

Einzeltest mit Erklärung → Ratgeber: Google Maps, YouTube und reCAPTCHA → Beheben lassen: Embed-Sanierung · 199 € →

Was wir prüfen. Wir suchen nach bekannten Mess- und Werbeskripten im Quelltext: Google Analytics, Tag Manager, Meta-Pixel, Hotjar, LinkedIn Insight und weitere.

Was ein Befund bedeutet. Ein Fund heißt zunächst nur: Das Skript steht im Quelltext. Ob es vor der Einwilligung feuert, zeigt erst der Netzwerk-Tab im Browser. Steht es dort vor dem Klick auf „Akzeptieren“, fehlt die Rechtsgrundlage.

Was Sie selbst tun können. Öffnen Sie die Seite in einem privaten Fenster, drücken Sie F12, wählen Sie „Netzwerk“ und laden Sie neu, ohne den Banner anzuklicken. Tauchen dort Aufrufe an Google oder Meta auf, ist der Banner falsch eingerichtet.

Einzeltest mit Erklärung → Ratgeber: Analytics und Meta-Pixel → Beheben lassen: Abmahnsicher-Komplettpaket · 349 € →

Was wir prüfen. Wir suchen das Impressum über den Link auf der Startseite und über die üblichen Adressen und gleichen den Text mit den Pflichtangaben nach § 5 DDG ab: Anschrift, Vertretung, Rechtsform, Register, Umsatzsteuer-ID, zwei Kontaktwege.

Was ein Befund bedeutet. Ein fehlendes oder lückenhaftes Impressum ist der klassische Wettbewerbsverstoß. Abmahnen können Mitbewerber und Verbände. Häufig sind es Kleinigkeiten: die alte Rechtsgrundlage TMG statt DDG, der Hinweis auf die abgeschaltete EU-Streitschlichtungsplattform.

Was Sie selbst tun können. Das Impressum können Sie selbst korrigieren. Vergleichen Sie es Punkt für Punkt mit der Liste im Ergebnis. Bei Kapitalgesellschaften, Kammerberufen und Versicherungsvermittlern kommen Angaben dazu, die der Check nicht alle kennt.

Einzeltest mit Erklärung → Ratgeber: Impressum-Abmahnung → Beheben lassen: Abmahnsicher-Komplettpaket · 349 € →

Was wir prüfen. Wir suchen die Datenschutzerklärung, prüfen die Pflichtangaben (Verantwortlicher, Rechtsgrundlagen, Betroffenenrechte, Beschwerderecht, Speicherdauer) und gleichen ab, ob jeder Dienst, den die Seite lädt, dort auch genannt ist.

Was ein Befund bedeutet. Der häufigste Fehler ist nicht die fehlende Erklärung, sondern die veraltete: Die Seite lädt inzwischen einen Dienst, der im Text nicht vorkommt, oder der Text nennt Dienste, die längst entfernt sind.

Was Sie selbst tun können. Gehen Sie die Liste der gefundenen Dienste durch und suchen Sie jeden im Text Ihrer Erklärung. Was fehlt, ergänzen Sie mit einem Generator oder Ihrem Anwalt. Was nicht mehr genutzt wird, streichen Sie.

Einzeltest mit Erklärung → Ratgeber: Datenschutzerklärung → Beheben lassen: Abmahnsicher-Komplettpaket · 349 € →

Was wir prüfen. Wir lesen die WordPress-Version aus dem, was die Seite selbst verrät, und vergleichen sie mit der aktuellen Version von wordpress.org.

Was ein Befund bedeutet. Eine veraltete Version ist kein Schönheitsfehler. Sicherheitslücken in alten Versionen sind öffentlich dokumentiert, und automatisierte Angriffe suchen gezielt nach ihnen.

Was Sie selbst tun können. Updates spielen Sie im WordPress-Dashboard unter „Aktualisierungen“ ein. Machen Sie vorher eine Sicherung. Bei großen Versionssprüngen und alten Themes lohnt ein Test auf einer Kopie der Seite.

Einzeltest mit Erklärung → Beheben lassen: Care-Plan Werkstatt · 79 €/Monat →

Was wir prüfen. Wir suchen nach Mustern, die von außen sichtbar sind: verschleierte Skripte, versteckte iframes, Spam-Begriffe im Text und fremde Weiterleitungen.

Was ein Befund bedeutet. Ein Fund ist ein starkes Warnzeichen. Kein Fund ist keine Entwarnung: Hintertüren in Dateien, fremde Administratoren und Schadcode in der Datenbank sieht nur eine Prüfung auf dem Server.

Was Sie selbst tun können. Bei einem Fund: nichts löschen, keine Sicherung zurückspielen, Passwörter erst nach der Bereinigung ändern. Sonst gehen die Spuren verloren, an denen man das Einfallstor erkennt.

Einzeltest mit Erklärung → Beheben lassen: Malware-Notfall · 349 € →

Was wir prüfen. Wir rufen die Startseite viermal ab: als Desktop-Browser, als Smartphone, als Googlebot und als Besucher, der von Google kommt. Dann vergleichen wir, wo jeder landet.

Was ein Befund bedeutet. Gehackte Seiten zeigen dem Betreiber oft die normale Seite und leiten nur Handy-Nutzer oder Besucher aus der Suche auf fremde Seiten um. Deshalb bemerkt der Betreiber es als Letzter.

Was Sie selbst tun können. Sie können das nachstellen: Suchen Sie Ihre Seite bei Google am Handy und tippen Sie auf das Ergebnis. Landen Sie woanders, ist die Seite kompromittiert.

Einzeltest mit Erklärung → Beheben lassen: Malware-Notfall · 349 € →

Was wir prüfen. Wir lesen die Antwort-Kopfzeilen des Servers und prüfen sechs Schutzmechanismen: HSTS, X-Content-Type-Options, Schutz vor Einbettung in fremde Seiten, Content-Security-Policy, Referrer-Policy und Permissions-Policy.

Was ein Befund bedeutet. Diese Kopfzeilen kosten nichts und schließen ganze Klassen von Angriffen aus, etwa das Einbetten Ihrer Seite in eine fremde. Fehlen sie, ist die Seite nicht unsicher, aber sie verschenkt einfachen Schutz.

Was Sie selbst tun können. Bei den meisten Hostern lassen sich die Kopfzeilen über die Datei .htaccess oder ein Sicherheits-Plugin setzen. Die Content-Security-Policy ist die Ausnahme: Falsch gesetzt, legt sie die Seite lahm.

Einzeltest mit Erklärung → Beheben lassen: Abmahnsicher-Komplettpaket · 349 € →

Was wir prüfen. Wir prüfen, ob das Zertifikat gültig ist, wer es ausgestellt hat und wie viele Tage es noch läuft.

Was ein Befund bedeutet. Läuft das Zertifikat ab, zeigt jeder Browser eine ganzseitige Warnung, und kaum ein Besucher klickt weiter. Das passiert meist, wenn die automatische Verlängerung beim Hoster still ausgefallen ist.

Was Sie selbst tun können. Prüfen Sie im Kundenbereich Ihres Hosters, ob die automatische Verlängerung aktiv ist. Bei weniger als 14 Tagen Restlaufzeit sollten Sie nachfragen.

Einzeltest mit Erklärung → Beheben lassen: Care-Plan Grundschutz · 39 €/Monat →

Was wir prüfen. Google misst die Seite mit Lighthouse so, wie ein Mittelklasse-Handy sie lädt: größter Inhalt sichtbar (LCP), Layout-Sprünge (CLS), Blockierzeit. Liegen echte Nutzerdaten vor, zeigen wir sie mit.

Was ein Befund bedeutet. Google nennt als Ziel einen LCP unter 2,5 Sekunden und einen CLS unter 0,1. Die Werte fließen in die Bewertung der Seite ein, und langsame Seiten verlieren Besucher, bevor sie etwas gelesen haben.

Was Sie selbst tun können. Die größten Hebel sind fast immer dieselben: Bilder in passender Größe und modernem Format, ein Caching-Plugin, weniger Plugins, die auf jeder Seite Skripte laden.

Einzeltest mit Erklärung → Beheben lassen: PageSpeed-Paket · 399 € →

Was wir prüfen. Wir zählen, was die Startseite mitbringt: Größe des HTML, Zahl der Skripte und Stylesheets, Bilder ohne Lazy Loading, Bilder in alten Formaten.

Was ein Befund bedeutet. Das ist die Erklärung zur PageSpeed-Zahl. Eine Seite mit vierzig Skripten kann nicht schnell sein, egal wie gut der Server ist.

Was Sie selbst tun können. Deaktivieren Sie Plugins, die Sie nicht nutzen, und prüfen Sie nach jedem, ob die Seite noch funktioniert. Große Bilder verkleinern Sie vor dem Hochladen.

Einzeltest mit Erklärung → Beheben lassen: PageSpeed-Paket · 399 € →

Was wir prüfen. Wir lesen aus dem Quelltext, welches Theme aktiv ist, ob ein Child-Theme genutzt wird, welcher Page-Builder im Einsatz ist und welche Plugins sich zu erkennen geben.

Was ein Befund bedeutet. Das ist kein Mangel, sondern eine Bestandsaufnahme. Sie zeigt, wie pflegbar die Seite ist: Ein Theme ohne Child-Theme verliert Anpassungen beim nächsten Update, ein seit Jahren nicht gepflegtes Theme wird zum Risiko.

Was Sie selbst tun können. Prüfen Sie im Dashboard unter „Design“, wann Ihr Theme zuletzt aktualisiert wurde. Liegt das mehr als ein Jahr zurück, ist ein Wechsel absehbar.

Einzeltest mit Erklärung → Beheben lassen: Theme-Wechsel · 449 € →

Was wir prüfen. Wir prüfen die Grundlagen im Quelltext: Sprachangabe, Alternativtexte, Überschriftenstruktur, beschriftete Formularfelder. Im Einzeltest kommt die automatische Prüfung von Google Lighthouse dazu.

Was ein Befund bedeutet. Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28. Juni 2025 für viele Online-Shops und Dienstleistungen im Verbrauchergeschäft. Eine automatische Prüfung findet nur einen Teil der Hürden: Tastaturbedienung und Verständlichkeit prüft kein Werkzeug.

Was Sie selbst tun können. Alternativtexte und Überschriften können Sie selbst pflegen. Bedienen Sie Ihre Seite einmal nur mit der Tabulatortaste: Kommen Sie überall hin und sehen Sie, wo Sie sind?

Einzeltest mit Erklärung → Beheben lassen: Barrierefreiheits-Umbau (BFSG) · 449 € →

Was wir prüfen. Wir suchen nach bekannten Chat-Widgets und KI-Assistenten im Quelltext.

Was ein Befund bedeutet. Ein Chatbot ist kein Mangel. Seit dem 2. August 2026 muss aber erkennbar sein, dass Besucher mit einer KI sprechen. Ob Ihr Widget das sagt, sieht der Check nicht sicher. Er zeigt nur, dass es eines gibt.

Was Sie selbst tun können. Öffnen Sie das Chatfenster auf Ihrer Seite. Steht dort klar, dass eine KI antwortet, bevor jemand schreibt? Wenn nicht, lässt sich der Begrüßungstext meist im Widget selbst ändern.

Einzeltest mit Erklärung → Ratgeber: KI-Kennzeichnungspflicht → Beheben lassen: KI-Kennzeichnung für WordPress · 299 € →

Was wir prüfen. Erkennen wir ein Shopsystem, suchen wir eine Produktseite und prüfen dort Grundpreis, Hinweis auf Versandkosten und die Herstellerangaben nach der Produktsicherheitsverordnung.

Was ein Befund bedeutet. Die Produktsicherheitsverordnung (GPSR) gilt seit dem 13. Dezember 2024 und verlangt Herstellerangaben direkt am Produkt. Fehlende Pflichtangaben im Shop gehören zu den Verstößen, die Mitbewerber am leichtesten finden.

Was Sie selbst tun können. Die Angaben pflegen Sie im Shop je Produkt. Bei vielen Artikeln lohnt ein eigenes Feld, das einmal je Hersteller gefüllt wird.

Einzeltest mit Erklärung → Ratgeber: GPSR-Informationspflicht → Beheben lassen: GPSR-Nachrüstung für WooCommerce · 349 € →

Was wir prüfen. Wir prüfen die Grundlagen: Seitentitel und Beschreibung mit Länge, genau eine Hauptüberschrift, Canonical, robots.txt, Sitemap, strukturierte Daten, Angaben für das Teilen in sozialen Netzwerken.

Was ein Befund bedeutet. Das sind die Voraussetzungen, damit Google die Seite richtig versteht. Sie entscheiden nicht über Platz eins, aber ihr Fehlen kostet Sichtbarkeit: Eine Seite auf „noindex“ erscheint gar nicht.

Was Sie selbst tun können. Titel und Beschreibung pflegen Sie mit einem SEO-Plugin je Seite. Die Sitemap erzeugt WordPress seit Version 5.5 selbst unter /wp-sitemap.xml.

Einzeltest mit Erklärung → Beheben lassen: SEO-Grundeinrichtung · 249 € →

Was wir prüfen. Wir lesen die robots.txt und sehen nach, ob KI-Crawler ausgesperrt sind, ob es eine llms.txt gibt und ob strukturierte Daten vorhanden sind.

Was ein Befund bedeutet. Immer mehr Menschen fragen ChatGPT oder Perplexity statt Google. Wer deren Crawler aussperrt, kommt in den Antworten nicht vor. Manche Sicherheits-Plugins tun das, ohne dass der Betreiber es weiß.

Was Sie selbst tun können. Öffnen Sie ihre-website.de/robots.txt im Browser. Steht dort „Disallow: /“ unter GPTBot oder ClaudeBot, ist die Sperre aktiv.

Einzeltest mit Erklärung → Ratgeber: Generative Engine Optimization → Beheben lassen: KI-Sichtbarkeits-Grundeinrichtung · 199 € →

Was wir prüfen. Wir fragen die DNS-Einträge der Domain ab: Mail-Server, SPF, DKIM mit den gängigen Selektoren und DMARC.

Was ein Befund bedeutet. Ohne diese Einträge können Empfänger nicht prüfen, ob eine Mail wirklich von Ihnen kommt. Bestellbestätigungen und Formular-Mails landen dann im Spam oder kommen gar nicht an. Die großen Postfach-Anbieter haben ihre Regeln dafür seit 2024 verschärft.

Was Sie selbst tun können. Die Einträge setzen Sie in der DNS-Verwaltung Ihrer Domain. Die Werte nennt Ihnen Ihr Mail-Anbieter. Vorsicht bei SPF: Es darf nur einen Eintrag geben, ein zweiter macht beide ungültig.

Einzeltest mit Erklärung → Beheben lassen: Mail-Zustellbarkeit für WordPress · 199 € →