Projekt anfragen

Beispielbericht

Ein echter Vollbericht, zum Ansehen vor dem Kauf

Unten steht der vollständige Bericht eines echten Prüflaufs. Geprüft wurde eine Demo-Website, die wir selbst gebaut und absichtlich mit typischen Mängeln versehen haben.

Warum eine Demo-Website

Wir zeigen keine fremde Firma. Die Mängel der Demo-Website sind gewollt, damit Sie sehen, wie Befunde, Belege und Reparaturschritte aussehen, ohne dass jemand vorgeführt wird.

So lesen Sie den Bericht

Oben stehen die Wertung und die Befunde je Bereich, darunter der Arbeitsauftrag: alle Befunde nach Dringlichkeit, zum Abhaken. Danach folgt jeder Bereich mit seinen Befunden.

Jeder Befund nennt den Beleg, warum es zählt und so beheben. Über „Reparaturschritte anzeigen für“ wählen Sie WordPress, Shopify, Wix oder eigenen Code.

Was Ihr eigener Bericht zusätzlich kann

Ihr Vollbericht bezieht sich auf Ihre Website. Sie leiten ihn per „Bericht weiterleiten“ an Ihren Webdienstleister weiter oder speichern ihn als PDF. Nach der Reparatur starten Sie den Nachcheck, inklusive einmal innerhalb von 30 Tagen; er vergleicht das neue Ergebnis mit dem ersten.

Echter Prüflauf vom 12.10.2026. Gemessen an unserer Demo-Website „Musterwerft Hamburg“ (erfundene Firma, absichtlich mit typischen Mängeln gebaut), lokal ausgeliefert und mit demselben Prüf-Browser geprüft wie jede Kunden-Website. Die Adresse zeigen wir als musterwerft.example; alle Messwerte stammen unverändert aus diesem Lauf.

Eigene Website prüfen

Vollbericht

Lotsenbrief für musterwerft.example

Geprüft am 12.10.2026 um 06:43 Uhr · https://musterwerft.example/

Alle Befunde der automatisierten Prüfung, sortiert nach Dringlichkeit. Jeder Befund nennt den Beleg, warum er zählt und wie er sich beheben lässt. Leiten Sie den Bericht an Ihren Webdienstleister weiter; nach der Reparatur zeigt der Nachcheck, was behoben ist.

Bericht weiterleiten

Öffnet die Druckfunktion Ihres Browsers. Wählen Sie dort als Ziel „Als PDF speichern“.

49 von 100
BereichWertKritischHochMittelNiedrig
Datenschutz-Technik 0 241·
Barrierefreiheit 76 ·2··
Pflichtangaben 81 ··31
Sicherheit 92 ··1·
Auffindbarkeit (SEO) 91 ···4
Ladezeit 98 ···3

Dieser Bericht ist das Ergebnis eines automatisierten technischen Checks der Website vom 12.10.2026, 06:43 Uhr. Er beschreibt technische Auffälligkeiten und allgemeine rechtliche Hintergründe mit Quellenangabe. Er ist keine Rechtsberatung und keine Prüfung, ob die Website rechtmäßig ist. Ob und welche Pflichten für Sie gelten, hängt von Umständen ab, die wir nicht prüfen. Automatische Tests erfassen nicht alle Anforderungen, insbesondere bei der Barrierefreiheit. Für eine verbindliche rechtliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Arbeitsauftrag

Alle Befunde nach Dringlichkeit, zum Abhaken. Die Einzelheiten stehen weiter unten im jeweiligen Bereich.

  1. Kritisch Google Ads / DoubleClick auf 1 von 11 geprüften Seiten vor jeder Einwilligung geladen Datenschutz-Technik
  2. Kritisch 4 Tracking-Cookies vor der Einwilligung gesetzt Datenschutz-Technik
  3. Hoch Google Fonts auf 8 von 11 geprüften Seiten vor jeder Einwilligung geladen Datenschutz-Technik
  4. Hoch YouTube auf 1 von 11 geprüften Seiten vor jeder Einwilligung geladen Datenschutz-Technik
  5. Hoch Google-Dienste (www.google.com, gstatic.com) auf 1 von 11 geprüften Seiten vor jeder Einwilligung geladen Datenschutz-Technik
  6. Hoch Kein Cookie-Banner erkannt, Drittdienste laden beim Erstbesuch Datenschutz-Technik
  7. Hoch Text mit zu geringem Kontrast Barrierefreiheit
  8. Hoch Bilder ohne Alternativtext Barrierefreiheit
  9. Mittel 1 Drittanbieter-Cookie vor der Einwilligung gesetzt Datenschutz-Technik
  10. Mittel HSTS-Header fehlt Sicherheit
  11. Mittel Hinweis auf das Beschwerderecht nicht gefunden Pflichtangaben
  12. Mittel 4 erkannte Dienste in der Datenschutzerklärung nicht erwähnt Pflichtangaben
  13. Mittel Impressum nicht von jeder Seite aus verlinkt Pflichtangaben
  14. Niedrig Impressum verweist auf das Telemediengesetz (TMG) Pflichtangaben
  15. Niedrig Schriftart-Anzeige Ladezeit
  16. Niedrig Effiziente Verweildauer im Cache verwenden Ladezeit
  17. Niedrig Latenz der Dokumentanfrage Ladezeit
  18. Niedrig Keine kanonische URL angegeben Auffindbarkeit (SEO)
  19. Niedrig Keine Vorschau beim Teilen in Messengern und Netzwerken Auffindbarkeit (SEO)
  20. Niedrig Keine strukturierten Daten Auffindbarkeit (SEO)
  21. Niedrig 1 interner Link führt zu einer Fehlerseite Auffindbarkeit (SEO)
Reparaturschritte anzeigen für

Datenschutz-Technik

0 / 100

7 Befunde, 7 Prüfpunkte.

Kritisch 3× Google Ads / DoubleClick auf 1 von 11 geprüften Seiten vor jeder Einwilligung geladen

Beim ersten Aufruf von https://musterwerft.example/ wurden vor jeder Interaktion mit einem Cookie-Banner 3 Anfragen an googleads.g.doubleclick.net und static.doubleclick.net gesendet (erste nach 2,3 s). Dabei erhält Google Ads / DoubleClick technisch bedingt die IP-Adresse der Besucher. Werbe- und Conversion-Skripte von Google laden Inhalte und setzen Kennungen zur Wiedererkennung. Dabei werden technisch bedingt mindestens die IP-Adresse und Browserdaten der Besucher übermittelt an Google. Die Tiefenprüfung hat 11 Seiten Ihrer Website wie ein Erstbesucher ohne Einwilligung aufgerufen. Auf 1 davon gingen Anfragen an googleads.g.doubleclick.net und static.doubleclick.net, z. B. /.

Beleg

  • Anfrage vor Einwilligunghttps://googleads.g.doubleclick.net/pagead/id
  • Anfrage vor Einwilligunghttps://static.doubleclick.net/instream/ad_status.js
  • Anfrage vor Einwilligunghttps://googleads.g.doubleclick.net/pagead/id?slf_rd=1
  • Seite mit Anfrage an Google Ads / DoubleClickhttps://musterwerft.example/

Warum es zählt

Bei jeder Anfrage an einen fremden Server erhält dessen Betreiber technisch bedingt die IP-Adresse der Besucher. Art. 6 Abs. 1 DSGVO nennt die Rechtsgrundlagen, auf die sich eine Verarbeitung personenbezogener Daten stützen kann, darunter die Einwilligung und das berechtigte Interesse. Speichert oder liest der Dienst zusätzlich Informationen auf dem Gerät (z. B. Cookies), verlangt § 25 TDDDG dafür grundsätzlich eine Einwilligung, mit zwei Ausnahmen (§ 25 Abs. 2 TDDDG).

So beheben

  1. Das Skript erst nach aktiver Zustimmung laden (über das Einwilligungs-Tool blockieren) oder auf den Dienst verzichten.
  2. Soll Google Ads / DoubleClick erst nach Zustimmung laden: über ein Einwilligungs-Tool einbinden, das den Dienst bis zum Klick auf „Zustimmen“ blockiert.
  3. Test: Seite im privaten Browserfenster öffnen, nichts anklicken und in den Entwicklerwerkzeugen (Reiter „Netzwerk“) nach googleads.g.doubleclick.net filtern. Bei korrekter Umsetzung erscheint dort keine Anfrage.

Quellen

Grenze der Prüfung: Ob für Ihre Website eine Rechtsgrundlage besteht, prüfen wir nicht. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen (z. B. Ihr Geschäftsmodell, Einwilligungstexte, Verträge). Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Kritisch 4× 4 Tracking-Cookies vor der Einwilligung gesetzt

Vor jeder Einwilligung wurden 4 Cookies gesetzt, die bekannten Analyse- oder Werbediensten zugeordnet sind: YSC, VISITOR_INFO1_LIVE, VISITOR_PRIVACY_METADATA und __Secure-ROLLOUT_TOKEN.

Beleg

  • YSC.youtube.com · Laufzeit: Sitzung · Drittanbieter
  • VISITOR_INFO1_LIVE.youtube.com · Laufzeit: 180 Tage · Drittanbieter
  • VISITOR_PRIVACY_METADATA.youtube.com · Laufzeit: 180 Tage · Drittanbieter
  • __Secure-ROLLOUT_TOKEN.youtube.com · Laufzeit: 180 Tage · Drittanbieter

Warum es zählt

§ 25 TDDDG verlangt für das Speichern von Informationen auf dem Gerät der Besucher und für das Auslesen solcher Informationen (z. B. Cookies, Local Storage) grundsätzlich eine Einwilligung. Ausgenommen sind die reine Übertragung einer Nachricht und Fälle, in denen der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert (§ 25 Abs. 2 TDDDG).

So beheben

  1. Anhand der Belege (Name und Domain) das Skript ermitteln, das die Cookies setzt.
  2. Dieses Skript erst nach Zustimmung laden: über das Einwilligungs-Tool oder indem es aus dem festen Seitenquelltext entfernt und erst nach dem Klick nachgeladen wird.
  3. Test im privaten Browserfenster: Vor dem Klick im Cookie-Banner erscheinen diese Cookies bei korrekter Umsetzung nicht (Entwicklerwerkzeuge, Reiter „Anwendung“ bzw. „Speicher“).

Quellen

Grenze der Prüfung: Ob einer Ihrer Einträge unter diese Ausnahme fällt, beurteilen wir nicht. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen (z. B. Ihr Geschäftsmodell, Einwilligungstexte, Verträge). Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Hoch 3× Google Fonts auf 8 von 11 geprüften Seiten vor jeder Einwilligung geladen

Beim ersten Aufruf von https://musterwerft.example/ wurden vor jeder Interaktion mit einem Cookie-Banner 3 Anfragen an fonts.googleapis.com und fonts.gstatic.com gesendet (erste nach 2 s). Dabei erhält Google Fonts technisch bedingt die IP-Adresse der Besucher. Beim Laden der Schriften baut der Browser eine Verbindung zu Servern von Google auf. Dabei werden technisch bedingt mindestens die IP-Adresse und Browserdaten der Besucher übermittelt an Google. Die Tiefenprüfung hat 11 Seiten Ihrer Website wie ein Erstbesucher ohne Einwilligung aufgerufen. Auf 8 davon gingen Anfragen an fonts.googleapis.com und fonts.gstatic.com, z. B. /, /leistungen.html und /referenzen.html.

Beleg

  • Anfrage vor Einwilligunghttps://fonts.googleapis.com/css2?family=Lora:wght@400;600&display=swap
  • Anfrage vor Einwilligunghttps://fonts.gstatic.com/s/lora/v37/0QIvMX1D_JOuMwr7Iw.woff2
  • Anfrage vor Einwilligunghttps://fonts.gstatic.com/s/roboto/v48/KFO7CnqEu92Fr1ME7kSn66aGLdTylUAMa3yUBA.woff2
  • Seite mit Anfrage an Google Fontshttps://musterwerft.example/
  • Seite mit Anfrage an Google Fontshttps://musterwerft.example/leistungen.html
  • Seite mit Anfrage an Google Fontshttps://musterwerft.example/referenzen.html
  • Seite mit Anfrage an Google Fontshttps://musterwerft.example/blog.html
  • Seite mit Anfrage an Google Fontshttps://musterwerft.example/kontakt.html
  • Seite mit Anfrage an Google Fontshttps://musterwerft.example/blog/winterlager.html
  • Seite mit Anfrage an Google Fontshttps://musterwerft.example/impressum.html
  • Seite mit Anfrage an Google Fontshttps://musterwerft.example/datenschutz.html

Warum es zählt

Bei jeder Anfrage an einen fremden Server erhält dessen Betreiber technisch bedingt die IP-Adresse der Besucher. Art. 6 Abs. 1 DSGVO nennt die Rechtsgrundlagen, auf die sich eine Verarbeitung personenbezogener Daten stützen kann, darunter die Einwilligung und das berechtigte Interesse. Das LG München I hat 2022 einem Besucher 100 € Schadensersatz zugesprochen, weil eine Website beim Aufruf über eingebundene Google Fonts seine IP-Adresse ohne Einwilligung an Google übertrug; ein berechtigtes Interesse verneinte das Gericht, weil sich die Schriften auch ohne Verbindung zu Google-Servern nutzen lassen (Urt. v. 20.01.2022, 3 O 17493/20). Automatisiert provozierte Forderungen hat dasselbe Gericht 2023 als rechtsmissbräuchlich bewertet (Urt. v. 30.03.2023, 4 O 13063/22).

So beheben

  1. Schriftdateien herunterladen (z. B. als WOFF2), vom eigenen Server ausliefern und alle Verweise auf fonts.googleapis.com und fonts.gstatic.com entfernen – auch in Theme, Plugins und eingebundenen CSS-Dateien (@import).
  2. Soll Google Fonts erst nach Zustimmung laden: über ein Einwilligungs-Tool einbinden, das den Dienst bis zum Klick auf „Zustimmen“ blockiert.
  3. Test: Seite im privaten Browserfenster öffnen, nichts anklicken und in den Entwicklerwerkzeugen (Reiter „Netzwerk“) nach fonts.googleapis.com filtern. Bei korrekter Umsetzung erscheint dort keine Anfrage.

Quellen

Grenze der Prüfung: Ob für Ihre Website eine Rechtsgrundlage besteht, prüfen wir nicht. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen (z. B. Ihr Geschäftsmodell, Einwilligungstexte, Verträge). Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Hoch 12× YouTube auf 1 von 11 geprüften Seiten vor jeder Einwilligung geladen

Beim ersten Aufruf von https://musterwerft.example/ wurden vor jeder Interaktion mit einem Cookie-Banner 12 Anfragen an www.youtube.com, i.ytimg.com, jnn-pa.googleapis.com und yt3.ggpht.com gesendet (erste nach 2 s). Dabei erhält YouTube technisch bedingt die IP-Adresse der Besucher. Eingebettete Videos laden Player und Inhalte von Servern von Google/YouTube – auch im „erweiterten Datenschutzmodus“ (youtube-nocookie.com) wird eine Verbindung aufgebaut. Dabei werden technisch bedingt mindestens die IP-Adresse und Browserdaten der Besucher übermittelt an Google. Die Tiefenprüfung hat 11 Seiten Ihrer Website wie ein Erstbesucher ohne Einwilligung aufgerufen. Auf 1 davon gingen Anfragen an i.ytimg.com, jnn-pa.googleapis.com, www.youtube.com und yt3.ggpht.com, z. B. /.

Beleg

  • Anfrage vor Einwilligunghttps://www.youtube.com/embed/aqz-KE-bpKQ
  • Anfrage vor Einwilligunghttps://www.youtube.com/s/player/5203c085/www-player.css
  • Anfrage vor Einwilligunghttps://www.youtube.com/s/_/ytembeds/_/ss/k=ytembeds.base.WihmKuG5Kvc.L.W.O/am=AAAAQA/d=1/br=1/rs=AGKMywGpEiOQnjDbcYNEpHZOvAB5ZjJcVQ/m=root,base
  • Anfrage vor Einwilligunghttps://www.youtube.com/s/_/ytembeds/_/js/k=ytembeds.base.en_US.KnLLmnw14PA.2021.O/am=AAAAQA/d=1/excm=base,root/br=1/rs=AGKMywHRpKjksuncRVZ4zrb2nDi9eSmbeQ/m=ro…
  • Anfrage vor Einwilligunghttps://www.youtube.com/s/player/5203c085/player_embed_es6.vflset/de_DE/base.js
  • Anfrage vor Einwilligunghttps://www.youtube.com/s/_/ytembeds/_/js/k=ytembeds.base.en_US.KnLLmnw14PA.2021.O/ck=ytembeds.base.WihmKuG5Kvc.L.W.O/am=AAAAQA/d=1/exm=base,root/excm=base,roo…
  • Seite mit Anfrage an YouTubehttps://musterwerft.example/

Warum es zählt

Bei jeder Anfrage an einen fremden Server erhält dessen Betreiber technisch bedingt die IP-Adresse der Besucher. Art. 6 Abs. 1 DSGVO nennt die Rechtsgrundlagen, auf die sich eine Verarbeitung personenbezogener Daten stützen kann, darunter die Einwilligung und das berechtigte Interesse. Speichert oder liest der Dienst zusätzlich Informationen auf dem Gerät (z. B. Cookies), verlangt § 25 TDDDG dafür grundsätzlich eine Einwilligung, mit zwei Ausnahmen (§ 25 Abs. 2 TDDDG).

So beheben

  1. Erst nach Zustimmung laden (Zwei-Klick-Lösung: Vorschaubild mit Hinweis, Laden erst nach Klick) oder über das Einwilligungs-Tool blockieren, bis zugestimmt wurde.
  2. Soll YouTube erst nach Zustimmung laden: über ein Einwilligungs-Tool einbinden, das den Dienst bis zum Klick auf „Zustimmen“ blockiert.
  3. Test: Seite im privaten Browserfenster öffnen, nichts anklicken und in den Entwicklerwerkzeugen (Reiter „Netzwerk“) nach www.youtube.com filtern. Bei korrekter Umsetzung erscheint dort keine Anfrage.

Quellen

Grenze der Prüfung: Ob für Ihre Website eine Rechtsgrundlage besteht, prüfen wir nicht. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen (z. B. Ihr Geschäftsmodell, Einwilligungstexte, Verträge). Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Hoch 2× Google-Dienste (www.google.com, gstatic.com) auf 1 von 11 geprüften Seiten vor jeder Einwilligung geladen

Beim ersten Aufruf von https://musterwerft.example/ wurden vor jeder Interaktion mit einem Cookie-Banner 2 Anfragen an www.google.com und www.gstatic.com gesendet (erste nach 2,3 s). Dabei erhält Google-Dienste (www.google.com, gstatic.com) technisch bedingt die IP-Adresse der Besucher. Die Seite stellt Anfragen an allgemeine Google-Server (häufig reCAPTCHA, Karten-Einbettung, Conversion-Messung oder Anmelde-Knöpfe). Dabei werden technisch bedingt mindestens die IP-Adresse und Browserdaten der Besucher übermittelt an Google. Die Tiefenprüfung hat 11 Seiten Ihrer Website wie ein Erstbesucher ohne Einwilligung aufgerufen. Auf 1 davon gingen Anfragen an www.google.com und www.gstatic.com, z. B. /.

Beleg

  • Anfrage vor Einwilligunghttps://www.google.com/js/th/YFvwi5sh66-0LD_HtnYTexlD_10VXfWvlE_sha1ie8A.js
  • Anfrage vor Einwilligunghttps://www.gstatic.com/youtube/img/icons/mweb/youtube_fill/logo/v2/67px.svg
  • Seite mit Anfrage an Google-Dienste (www.google.com, gstatic.com)https://musterwerft.example/

Warum es zählt

Bei jeder Anfrage an einen fremden Server erhält dessen Betreiber technisch bedingt die IP-Adresse der Besucher. Art. 6 Abs. 1 DSGVO nennt die Rechtsgrundlagen, auf die sich eine Verarbeitung personenbezogener Daten stützen kann, darunter die Einwilligung und das berechtigte Interesse. Speichert oder liest der Dienst zusätzlich Informationen auf dem Gerät (z. B. Cookies), verlangt § 25 TDDDG dafür grundsätzlich eine Einwilligung, mit zwei Ausnahmen (§ 25 Abs. 2 TDDDG).

So beheben

  1. Ermitteln, welcher Dienst die Anfrage auslöst (siehe Beleg), und ihn erst nach Zustimmung laden.
  2. Soll Google-Dienste (www.google.com, gstatic.com) erst nach Zustimmung laden: über ein Einwilligungs-Tool einbinden, das den Dienst bis zum Klick auf „Zustimmen“ blockiert.
  3. Test: Seite im privaten Browserfenster öffnen, nichts anklicken und in den Entwicklerwerkzeugen (Reiter „Netzwerk“) nach www.google.com filtern. Bei korrekter Umsetzung erscheint dort keine Anfrage.

Quellen

Grenze der Prüfung: Ob für Ihre Website eine Rechtsgrundlage besteht, prüfen wir nicht. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen (z. B. Ihr Geschäftsmodell, Einwilligungstexte, Verträge). Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Hoch Kein Cookie-Banner erkannt, Drittdienste laden beim Erstbesuch

Auf https://musterwerft.example/ haben wir kein Einwilligungs-Tool (Cookie-Banner) erkannt. Beim Erstbesuch laden trotzdem YouTube und Google Ads / DoubleClick.

Beleg

  • Dienst beim ErstbesuchYouTube
  • Dienst beim ErstbesuchGoogle Ads / DoubleClick

Warum es zählt

§ 25 TDDDG verlangt für das Speichern von Informationen auf dem Gerät der Besucher und für das Auslesen solcher Informationen (z. B. Cookies, Local Storage) grundsätzlich eine Einwilligung. Ausgenommen sind die reine Übertragung einer Nachricht und Fälle, in denen der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert (§ 25 Abs. 2 TDDDG). Für die Verarbeitung personenbezogener Daten nennt Art. 6 Abs. 1 DSGVO die Einwilligung als eine der möglichen Rechtsgrundlagen.

So beheben

  1. Dienste nach Möglichkeit durch Varianten ersetzen, die ohne Fremdserver auskommen (z. B. Schriften lokal, Videos als Vorschaubild mit „Klick zum Laden“, Karte als Bild mit Link).
  2. Für die übrigen Dienste ein Einwilligungs-Tool einbinden, das sie bis zur Zustimmung blockiert, mit gleich gut erreichbaren Schaltflächen für „Zustimmen“ und „Ablehnen“.

Quellen

Grenze der Prüfung: Ob für Ihre Website eine Rechtsgrundlage besteht, prüfen wir nicht. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen (z. B. Ihr Geschäftsmodell, Einwilligungstexte, Verträge). Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Mittel 1 Drittanbieter-Cookie vor der Einwilligung gesetzt

Fremde Domains legten beim Erstbesuch 1 Cookie ab, die wir keinem bekannten Zweck zuordnen konnten: __Secure-YNID.

Beleg

  • __Secure-YNID.youtube.com · Laufzeit: 180 Tage · Drittanbieter

Warum es zählt

§ 25 TDDDG verlangt für das Speichern von Informationen auf dem Gerät der Besucher und für das Auslesen solcher Informationen (z. B. Cookies, Local Storage) grundsätzlich eine Einwilligung. Ausgenommen sind die reine Übertragung einer Nachricht und Fälle, in denen der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert (§ 25 Abs. 2 TDDDG). Cookies fremder Domains dienen häufig der Wiedererkennung über mehrere Websites hinweg.

So beheben

  1. Für jedes Cookie den Zweck in der Dokumentation des jeweiligen Anbieters nachschlagen.
  2. Cookies, die nicht für den vom Besucher gewünschten Dienst nötig sind, erst nach Zustimmung setzen lassen.

Quellen

Grenze der Prüfung: Ob einer Ihrer Einträge unter diese Ausnahme fällt, beurteilen wir nicht. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen (z. B. Ihr Geschäftsmodell, Einwilligungstexte, Verträge). Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

2 Prüfpunkte ohne Auffälligkeit
  • Keine weiteren, unbekannten Fremdserver beim Erstbesuch
  • Keine Tracking-Kennungen im lokalen Speicher vor der Einwilligung

Barrierefreiheit

76 / 100

2 Befunde, 20 Prüfpunkte.

Hoch Text mit zu geringem Kontrast

Regel „color-contrast“ (WCAG 1.4.3, Stufe AA) auf 1 Element der geprüften Seite nicht erfüllt, z. B. .hinweis.

Beleg

  • .hinweis<p class="hinweis">Hinweis: Hallenplätze für den Winter 2026/27 sind begrenzt. Reservieren Sie frühzeitig.</p>

Warum es zählt

Bei schwachem Kontrast können Menschen mit Sehschwäche den Text kaum lesen, ebenso alle anderen bei Sonnenlicht auf dem Smartphone. Gefordert sind mindestens 4,5:1, bei großer Schrift 3:1.

So beheben

  1. Textfarbe dunkler bzw. Hintergrund heller wählen, bis das Verhältnis mindestens 4,5:1 erreicht.
  2. Die betroffenen Stellen stehen in den Belegen; oft reicht es, eine oder zwei Farben im Design anzupassen.

Quellen

Grenze der Prüfung: Automatische Tests erfassen nur einen Teil der WCAG-Kriterien und ersetzen keine manuelle Prüfung.

Hoch Bilder ohne Alternativtext

Regel „image-alt“ (WCAG 1.1.1, Stufe A) auf 1 Element der geprüften Seite nicht erfüllt, z. B. img.

Beleg

  • img<img src="/bilder/werfthalle.svg" width="640" height="320">

Warum es zählt

Blinde Menschen nutzen Screenreader, die den Alternativtext vorlesen. Fehlt er, bleibt das Bild und oft ein Teil der Aussage unzugänglich.

So beheben

  1. Jedem informativen Bild einen kurzen, beschreibenden alt-Text geben („Werkstatt mit drei Mitarbeitern“, nicht „Bild1.jpg“).
  2. Rein dekorative Bilder mit leerem alt="" kennzeichnen, damit Screenreader sie überspringen.

Quellen

Grenze der Prüfung: Automatische Tests erfassen nur einen Teil der WCAG-Kriterien und ersetzen keine manuelle Prüfung.

Pflichtangaben

81 / 100

4 Befunde, 15 Prüfpunkte.

Mittel Hinweis auf das Beschwerderecht nicht gefunden

Im Text von https://musterwerft.example/datenschutz.html haben wir die Begriffe „Beschwerde“ oder „Aufsichtsbehörde“ nicht gefunden.

Beleg

  • Geprüfte Seitehttps://musterwerft.example/datenschutz.html

Warum es zählt

Art. 13 DSGVO legt fest, welche Informationen Verantwortliche den betroffenen Personen bei der Erhebung personenbezogener Daten mitteilen, darunter Name und Kontaktdaten des Verantwortlichen (Abs. 1 lit. a), die Empfänger (Abs. 1 lit. e) und das Beschwerderecht bei einer Aufsichtsbehörde (Abs. 2 lit. d).

So beheben

  1. Die Datenschutzerklärung von der dafür zuständigen Person um den Abschnitt zum Beschwerderecht ergänzen lassen.

Quellen

Grenze der Prüfung: Ob Ihre Angaben vollständig und richtig sind, prüfen wir nicht. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen (z. B. Ihr Geschäftsmodell, Einwilligungstexte, Verträge). Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Mittel 4× 4 erkannte Dienste in der Datenschutzerklärung nicht erwähnt

Ihre Seite lädt Google Fonts, YouTube, Google Ads / DoubleClick und Google-Dienste (www.google.com, gstatic.com). Im Text der Datenschutzerklärung (https://musterwerft.example/datenschutz.html) haben wir diese Namen nicht gefunden (automatischer Textabgleich; abweichende Schreibweisen sind möglich).

Beleg

  • Google Fontsnicht gefunden in https://musterwerft.example/datenschutz.html
  • YouTubenicht gefunden in https://musterwerft.example/datenschutz.html
  • Google Ads / DoubleClicknicht gefunden in https://musterwerft.example/datenschutz.html
  • Google-Dienste (www.google.com, gstatic.com)nicht gefunden in https://musterwerft.example/datenschutz.html

Warum es zählt

Art. 13 DSGVO legt fest, welche Informationen Verantwortliche den betroffenen Personen bei der Erhebung personenbezogener Daten mitteilen, darunter Name und Kontaktdaten des Verantwortlichen (Abs. 1 lit. a), die Empfänger (Abs. 1 lit. e) und das Beschwerderecht bei einer Aufsichtsbehörde (Abs. 2 lit. d).

So beheben

  1. Die Liste der erkannten Dienste (siehe Belege) an die Person weitergeben, die Ihre Datenschutzerklärung pflegt.
  2. Dienste, die Sie nicht mehr brauchen, von der Website entfernen.

Quellen

Grenze der Prüfung: Ob Ihre Angaben vollständig und richtig sind, prüfen wir nicht. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen (z. B. Ihr Geschäftsmodell, Einwilligungstexte, Verträge). Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Mittel Impressum nicht von jeder Seite aus verlinkt

Auf 1 von 10 geprüften Seiten fehlt ein Link zu: Impressum, z. B. auf /referenzen.html.

Beleg

  • Seite ohne Linkhttps://musterwerft.example/referenzen.html

Warum es zählt

§ 5 Abs. 1 DDG verlangt von Anbietern geschäftsmäßiger, in der Regel gegen Entgelt angebotener digitaler Dienste, bestimmte Angaben leicht erkennbar, unmittelbar erreichbar und ständig verfügbar zu halten. Ein Link im Fußbereich jeder Seite ist dafür der übliche Weg.

So beheben

  1. Den Link „Impressum“ in die gemeinsame Fußzeile aller Seitenvorlagen aufnehmen.
  2. Sonderseiten prüfen, die eine eigene Vorlage nutzen (z. B. Landingpages, Blog, Shop-Bereiche).

Quellen

Grenze der Prüfung: Ob für Ihre Website eine Impressumspflicht besteht, prüfen wir nicht. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen (z. B. Ihr Geschäftsmodell, Einwilligungstexte, Verträge). Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Niedrig Impressum verweist auf das Telemediengesetz (TMG)

Das Impressum (https://musterwerft.example/impressum.html) nennt „§ 5 TMG“ bzw. das Telemediengesetz.

Beleg

  • Geprüfte Seitehttps://musterwerft.example/impressum.html

Warum es zählt

Das TMG ist am 14.05.2024 außer Kraft getreten; die Angaben stehen seither in § 5 DDG (BGBl. 2024 I Nr. 149). Ein veralteter Verweis ist oft ein Zeichen, dass die Rechtstexte länger nicht überarbeitet wurden.

So beheben

  1. Den Verweis auf „§ 5 DDG“ ändern und bei der Gelegenheit die übrigen Rechtstexte von der dafür zuständigen Person durchsehen lassen.

Quellen

Grenze der Prüfung: Ob Ihre Angaben vollständig und richtig sind, prüfen wir nicht. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen (z. B. Ihr Geschäftsmodell, Einwilligungstexte, Verträge). Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

13 Prüfpunkte ohne Auffälligkeit
  • Impressum ist von der Startseite aus verlinkt
  • Impressum ist erreichbar
  • Impressum enthält eine E-Mail-Adresse
  • Impressum enthält eine Anschrift
  • Impressum nennt eine Telefonnummer
  • Impressum nennt Register und Registernummer
  • Impressum nennt eine vertretungsberechtigte Person
  • Kein Hinweis auf die aufgehobene EU-Streitschlichtungsplattform
  • Datenschutzerklärung ist von der Startseite aus verlinkt
  • Datenschutzerklärung ist erreichbar
  • Datenschutzerklärung nennt einen Verantwortlichen
  • Datenschutzerklärung ohne veraltete Bezeichnungen
  • Datenschutzerklärung auf allen 10 geprüften Seiten verlinkt

Sicherheit

92 / 100

1 Befunde, 13 Prüfpunkte.

Mittel HSTS-Header fehlt

Ihr Server sendet keinen „Strict-Transport-Security“-Header.

Warum es zählt

Ohne HSTS kann ein Angreifer im selben WLAN den ersten Aufruf auf unverschlüsseltes HTTP herabstufen. Mit HSTS merkt sich der Browser, Ihre Seite nur verschlüsselt aufzurufen.

So beheben

  1. Header setzen: Strict-Transport-Security: max-age=31536000; includeSubDomains (vorher sicherstellen, dass alle Subdomains HTTPS können).

Quellen

12 Prüfpunkte ohne Auffälligkeit
  • Verschlüsselte Verbindung (HTTPS) mit gültigem Zertifikat
  • HTTP wird automatisch auf HTTPS umgeleitet
  • Zertifikat ist noch mindestens 30 Tage gültig
  • Content-Security-Policy gesetzt
  • Schutz gegen Einbetten in fremde Seiten (Clickjacking)
  • X-Content-Type-Options gesetzt
  • Referrer-Policy gesetzt
  • Keine Software-Versionen in den Server-Antworten
  • Keine bekannt verwundbare jQuery-Version
  • Keine CMS-Version im Quelltext
  • Keine unverschlüsselten Inhalte auf der HTTPS-Seite (Mixed Content)
  • Formulare senden verschlüsselt

Auffindbarkeit (SEO)

91 / 100

4 Befunde, 12 Prüfpunkte.

Niedrig Keine kanonische URL angegeben

Die Seite nennt keine bevorzugte Adresse (rel="canonical").

Warum es zählt

Ist dieselbe Seite unter mehreren Adressen erreichbar (mit/ohne www, mit Parametern), teilt sich ihre Relevanz auf.

So beheben

  1. <link rel="canonical" href="https://ihre-domain.de/"> im <head> setzen.

Quellen

Niedrig Keine Vorschau beim Teilen in Messengern und Netzwerken

Es fehlen Open-Graph-Angaben (og:title, og:image).

Warum es zählt

Wird Ihre Seite per WhatsApp, LinkedIn & Co. geteilt, erscheint ohne diese Angaben kein oder ein zufälliges Vorschaubild.

So beheben

  1. og:title, og:description und og:image (1200 × 630 px) im <head> ergänzen.

Quellen

Niedrig Keine strukturierten Daten

Die Seite enthält keine schema.org-Auszeichnung (JSON-LD).

Warum es zählt

Strukturierte Daten (z. B. Unternehmen, Adresse, Öffnungszeiten) helfen Suchmaschinen und KI-Assistenten, Ihr Unternehmen korrekt einzuordnen.

So beheben

  1. Mindestens „Organization“ bzw. „LocalBusiness“ mit Name, Adresse, Telefon und Logo als JSON-LD einbinden.

Quellen

Niedrig 1 interner Link führt zu einer Fehlerseite

Von der Startseite bzw. der zweiten Ebene verlinkte Seiten lieferten einen Fehlerstatus: /aktuelles.html (404).

Beleg

  • Status 404https://musterwerft.example/aktuelles.html

Warum es zählt

Besucher landen auf einer Fehlerseite statt auf dem erwarteten Inhalt. Suchmaschinen werten Seiten mit Fehlerstatus nicht als Inhalt und entfernen sie mit der Zeit aus dem Index.

So beheben

  1. Die Links auf die richtige Adresse ändern oder entfernen.
  2. Für umgezogene Inhalte eine dauerhafte Weiterleitung (Status 301) von der alten auf die neue Adresse einrichten.

Quellen

9 Prüfpunkte ohne Auffälligkeit
  • Seite ist für Suchmaschinen freigegeben (kein noindex)
  • robots.txt sperrt die Seite nicht komplett
  • Seitentitel vorhanden und sinnvoll lang
  • Meta-Beschreibung vorhanden
  • Genau eine Hauptüberschrift (H1)
  • Für Mobilgeräte optimiert (viewport)
  • XML-Sitemap vorhanden
  • Favicon vorhanden
  • Startseite antwortet mit Status 200

Ladezeit

98 / 100

3 Befunde, 8 Prüfpunkte.

Niedrig Schriftart-Anzeige

Lighthouse beziffert das Potenzial mit: Geschätzte Einsparung von 40 ms.

Warum es zählt

Du kannst font-display auf „swap“ oder „optional“ setzen, damit der Text immer sichtbar ist. „swap“ kann weiter optimiert werden, um Layout Shifts durch Überschreibungen von Messwerten zur Schriftart zu reduzieren.

So beheben

  1. Du kannst font-display auf „swap“ oder „optional“ setzen, damit der Text immer sichtbar ist. „swap“ kann weiter optimiert werden, um Layout Shifts durch Überschreibungen von Messwerten zur Schriftart zu reduzieren.

Quellen

Niedrig Effiziente Verweildauer im Cache verwenden

Lighthouse beziffert das Potenzial mit: Geschätzte Einsparung von 103 KiB.

Warum es zählt

Eine lange Verweildauer im Cache kann wiederholte Besuche deiner Seite beschleunigen. Weitere Informationen zum Caching

So beheben

  1. Eine lange Verweildauer im Cache kann wiederholte Besuche deiner Seite beschleunigen. Weitere Informationen zum Caching

Quellen

Niedrig Latenz der Dokumentanfrage

Lighthouse beziffert das Potenzial mit: Geschätzte Einsparung von 2 KiB.

Warum es zählt

Deine erste Netzwerkanfrage ist die wichtigste. Verringere ihre Latenz, indem du Weiterleitungen vermeidest, eine schnelle Serverantwort sicherstellst und die Textkomprimierung aktivierst.

So beheben

  1. Deine erste Netzwerkanfrage ist die wichtigste. Verringere ihre Latenz, indem du Weiterleitungen vermeidest, eine schnelle Serverantwort sicherstellst und die Textkomprimierung aktivierst.

Quellen

5 Prüfpunkte ohne Auffälligkeit
  • Ladezeit-Wertung mobil: 98 von 100
  • Hauptinhalt erscheint schnell (LCP unter 2,5 s)
  • Layout bleibt beim Laden stabil (CLS unter 0,1)
  • Seite reagiert schnell auf Eingaben (geringe Blockierzeit)
  • Seitengewicht unter 3 MB

Tiefenprüfung der Unterseiten

Zusätzlich geprüfte Unterseiten: 12. Gemessen wurde jeweils vor jeder Einwilligung.

SeiteFremdserver vor EinwilligungNeue CookiesImpressum / Datenschutz verlinkt
/ fonts.googleapis.com, fonts.gstatic.com, googleads.g.doubleclick.net, i.ytimg.com, jnn-pa.googleapis.com, static.doubleclick.net, www.google.com, www.gstatic.com, www.youtube.com, yt3.ggpht.com __Secure-YNID, YSC, __Secure-ROLLOUT_TOKEN, VISITOR_INFO1_LIVE, VISITOR_PRIVACY_METADATA ja / ja
/leistungen.html fonts.googleapis.com, fonts.gstatic.com – ja / ja
/referenzen.html fonts.googleapis.com, fonts.gstatic.com – nein / ja
/ueber-uns.html – – ja / ja
/blog.html fonts.googleapis.com, fonts.gstatic.com – ja / ja
/karriere.html – – ja / ja
/kontakt.html fonts.googleapis.com, fonts.gstatic.com – ja / ja
/blog/antifouling.html – – ja / ja
/aktuelles.html fonts.googleapis.com, fonts.gstatic.com – ja / ja
/blog/winterlager.html fonts.googleapis.com, fonts.gstatic.com – ja / ja
/impressum.html fonts.googleapis.com, fonts.gstatic.com – ja / ja
/datenschutz.html fonts.googleapis.com, fonts.gstatic.com – ja / ja

Messung und Grenzen

  • Erkanntes System: nicht eindeutig erkannt
  • Einwilligungs-Tool: keines erkannt
  • Anfragen beim Erstbesuch: 23 · Fremdserver: 10 · Cookies vor Einwilligung: 5
  • Ladezeit-Wertung mobil (Lighthouse, simuliert): 98/100
  • Dauer der Prüfung: 15 s
  • Automatische Tests erfassen nur einen Teil der WCAG-Kriterien und ersetzen keine manuelle Prüfung, etwa der Tastaturbedienung und der Verständlichkeit (W3C WAI).
  • Die Tiefenprüfung ruft die Startseite und bis zu 25 von ihr aus verlinkte Unterseiten (bis zur zweiten Ebene) wie ein Erstbesucher ohne Einwilligung auf. Seiten hinter Login, Formularen, Warenkorb oder Suche sind nicht enthalten.
  • Auf den Unterseiten erfasst die Tiefenprüfung Fremdserver, Cookies und die Verlinkung von Impressum und Datenschutzerklärung; Barrierefreiheit und Ladezeit misst sie nur auf der Startseite.
  • 1 Seite konnte nicht oder nur mit Fehlerstatus geladen werden; sie fließen nicht in die Zählung ein.