So prüft der Website-Check

Was beim Prüfen passiert

1. Bis zu 20 Seiten. Zuerst die Startseite, dann Impressum, Datenschutz und Kontakt, dann die Seiten aus deiner Sitemap und die Links der Startseite. Hat deine Seite mehr, steht das im Ergebnis.
2. Vor jeder Zustimmung. Die Seiten werden in einem echten Browser geöffnet, ohne im Cookie-Banner etwas anzuklicken. So zeigt sich, was passiert, bevor ein Besucher zustimmt.
3. Nach „Akzeptieren“. Ein zweiter Aufruf der Startseite klickt im Banner auf „Zustimmen“. Nur so lässt sich erkennen, ob ein Analyse-Tool läuft, das korrekt erst nach der Zustimmung startet.
4. Computer und Handy. Der erste sichtbare Bereich der Startseite wird in beiden Größen geprüft.
5. Ladezeit. Die misst Google PageSpeed Insights für die Startseite auf dem Handy.

Was geprüft wird

Melden sich Besucher bei dir?

Welche Kontaktwege sind ohne Scrollen sichtbar, am Computer und am Handy: Telefon, E-Mail, WhatsApp und ein Link zur Kontaktseite oder ein Knopf wie „Termin buchen“ oder „Angebot einholen“? Jeder Weg zählt ein Viertel; eine Nummer, die nur als Bild dasteht, zählt nicht. Lassen sich die Kontaktdaten antippen? Gibt es ein Formular? Stimmt die Telefonnummer für Google mit der auf der Seite überein? Sind Unternehmensdaten für Google hinterlegt? Werden Besuche gemessen? Ist die Seite fürs Handy eingerichtet, also auf Responsive Design eingestellt?

Wirst du gefunden?

Ist die Startseite für die Indexierung freigegeben? Haben die Seiten Titel, Beschreibung und eine Hauptüberschrift? Überspringen die Überschriften Ebenen (nur Hinweis)? Gibt es eine Sitemap mit Inhalt? Führen interne Links ins Leere?

Wie schnell lädt deine Seite?

Google PageSpeed misst die Ladezeit der Startseite auf dem Handy, drei Messungen, der mittlere Wert zählt – die Werte schwanken von Messung zu Messung. In drei Stufen.

Ist deine Seite sicher?

Verschlüsselung per SSL, Redirect auf https, Zertifikat, Schutz-Einstellungen des Servers, Schutz der Mail-Domain (SPF, DMARC).

Datenschutz

Impressum erreichbar und mit Mindestangaben? Datenschutzerklärung verlinkt? Werden vor der Zustimmung Cookies für Analyse oder Werbung gespeichert oder Tracking-Dienste geladen? Laden Videos oder Karten vor der Zustimmung und setzen Cookies? Schriften von Google-Servern? Versperrt das Cookie-Banner die Seite – und gibt es dann ein „Ablehnen“ auf der ersten Ebene? Bleiben Impressum und Datenschutz bei offenem Banner erreichbar? Formulare verschlüsselt? Vorangekreuzte Einwilligungen? Schließen-Schaltfläche, die gleichzeitig zustimmt? Veralteter Verweis auf die eingestellte EU-Streitschlichtung?

Technik und Aktualität

Lässt sich von außen erkennen, welches System die Seite nutzt, etwa welches CMS, und in welcher Version? Meist bleibt das verborgen – dann gibt es keinen Abzug. Ist die Version erkennbar: Stuft der Hersteller sie als sicher ein (bei WordPress über WordPress.org)? Bekommt sie noch Sicherheitsupdates (Drupal, Joomla, Shopware, PHP), mit Datum, wenn das Ende in den nächsten sechs Monaten kommt? Gibt es aktiv ausgenutzte Lücken (derzeit für WordPress)? Bei Contao bestimmt der Check die genaue Version aus der Bauweise der Seite, der öffentlichen Anmeldeseite und den Prüfsummen der mitgelieferten Programmdateien.

Systeme und Versionen

Welches System eine Seite nutzt und in welcher Version, verrät sie nicht immer. Der Check liest nur, was öffentlich ausgeliefert wird; Login-Seiten ruft er nicht auf. Was sich nicht erkennen lässt, zählt nicht gegen dich.

Wie die Note entsteht

• 0 bis 100 Punkte. 85–100 grün („Gut aufgestellt“), 60–84 gelb („Handlungsbedarf“), 0–59 rot („Dringend ansehen“).
• Gewichte der Bereiche: Kontakt 25, gefunden werden 20, Geschwindigkeit 15, Sicherheit 15, Datenschutz 15, Technik 10. Eine Website verkauft nur, wenn Interessenten sich melden – deshalb zählt Kontakt am meisten.
• Innerhalb eines Bereichs zählen kritische Punkte dreifach, wichtige doppelt, Hinweise gar nicht. Wie viele Punkte ein Prüfpunkt ungefähr wert ist, steht beim Website-Check an jedem Punkt. Bestanden gibt volle Punkte, eine Warnung halbe, ein Fehler keine. Betrifft ein Punkt nur einen Teil der Seiten, zählt der Anteil.
• Was sich nicht ermitteln lässt, zählt nicht – weder für noch gegen dich.

Deckel: Manche Mängel sind so gravierend, dass gute Werte anderswo sie nicht ausgleichen. Dann ist die Note nach oben begrenzt. Es gilt der niedrigste Deckel. Im Ergebnis steht, welcher greift und welche Note du erreichst, wenn du ihn behebst.

Wie sicher ist ein Befund?

• sicher – direkt beobachtet, etwa eine Anfrage an einen Google-Server oder ein gesetztes Cookie.
• geschätzt – abgeleitet, etwa ob eine Schaltfläche eine Kontaktaufforderung ist. Geschätzte Befunde begrenzen die Note nie.
• nicht ermittelbar – das ließ sich von außen nicht feststellen. Es zählt nicht.

Zu jedem Befund gibt es die Belege: welche Seite, welche Anfrage, welches Cookie. So lässt sich jeder Punkt nachprüfen.

Was der Check nicht prüft

Verträge zur Auftragsverarbeitung, das Verarbeitungsverzeichnis, ob du einen Datenschutzbeauftragten brauchst, die Vollständigkeit des Impressums über die Mindestangaben hinaus, Rechtsgrundlagen für Datenübermittlungen in Drittländer, Barrierefreiheit und alles, was nur mit Zugang zu deiner Seite sichtbar wäre. Ist deine Seite größer als 20 Unterseiten, wird nur ein Ausschnitt geprüft.

Quellen

Rechtsgrundlagen der Datenschutz-Prüfungen – jede Regel nennt im Ergebnis ihre Quelle. Die wichtigsten: § 5 DDG, § 25 TDDDG, DSGVO (Art. 4, 5, 12, 13, 32, Erwägungsgrund 32), EuGH C-673/17 (Planet49), BGH I ZR 7/16, BGH I ZR 228/03, OLG Köln 6 U 80/23, VG Hannover 10 A 5385/22, LG München I 3 O 17493/20, Orientierungshilfe der Datenschutzkonferenz für digitale Dienste. Zu Google Fonts liegt die Grundsatzfrage beim Europäischen Gerichtshof (C-654/25); der Befund ist deshalb als Risiko formuliert und begrenzt die Note nicht.

Daten: Einstufung von Cookies über die Open Cookie Database (Apache-2.0) · WordPress-Versionen über WordPress.org · Lücken im WordPress-Kern über WPVulnerability (CC0) und die Liste aktiv ausgenutzter Lücken der CISA (CC0) · PHP-Versionen über php.net · Support-Enden laut Herstellern, monatlich geprüft · Ladezeit über Google PageSpeed Insights.

Deine Daten bei der Prüfung: siehe Datenschutzhinweise.

Bewertungsschema 3 · Stand: 24. Oktober 2026