So misst der Lotsencheck

Ein echter Browser statt Quelltext-Lesen

Der Check startet auf unserem Server einen Chromium-Browser, gesteuert mit Playwright. Er ruft Ihre Startseite auf wie jemand, der zum ersten Mal kommt: ohne Cookies, ohne gespeicherte Einwilligung, mit deutscher Spracheinstellung.

Der Browser lädt die Seite vollständig, wartet nachladende Skripte ab und scrollt einmal durch die Seite, ohne etwas anzuklicken. Erfasst werden alle Netzwerkanfragen mit Zeitpunkt, alle Cookies mit Domain und Laufzeit und die Einträge im Browser-Speicher (Local Storage und Session Storage).

Werkzeuge, die nur den Quelltext lesen, schließen daraus auf die geladenen Dienste. Was ein Tag-Manager oder ein Plugin erst zur Laufzeit nachlädt, sehen sie nicht. Der Browser sieht es, weil er es selbst lädt.

Messung vor der Einwilligung und Ablehnen-Test

Alle Datenschutz-Befunde beziehen sich auf den Zustand vor jeder Einwilligung. Jede Verbindung zu einem fremden Server wird mit Adresse festgehalten. Bekannte Dienste benennen wir mit Namen, unbekannte Server listen wir mit ihrer Adresse.

Erkennt der Check ein Cookie-Banner, klickt er „Ablehnen“ oder die gleichwertige Schaltfläche des Banners und ruft danach eine weitere Unterseite auf. Gemessen wird, was trotz Ablehnung weiter geladen oder neu gespeichert wird.

Auf „Akzeptieren“ klickt der Check nie. Was erst nach einer Zustimmung lädt, ist nicht Teil der Prüfung.

Barrierefreiheit: der automatisch prüfbare Teil

In der geladenen Seite läuft axe-core mit den Regeln für WCAG 2.0 und 2.1 der Stufen A und AA. Jeder Befund nennt die Regel, das WCAG-Erfolgskriterium und bis zu acht betroffene Stellen mit ihrem Selektor.

Automatische Tests erfassen nur einen Teil der Anforderungen. Ob Texte verständlich sind, ob sich alles per Tastatur bedienen lässt oder ob ein Alternativtext inhaltlich passt, kann nur ein Mensch beurteilen. Ein Ergebnis ohne Befund heißt deshalb nicht, dass eine Website barrierefrei ist.

Zum Maßstab: Die europäische Norm EN 301 549 verweist in der geltenden Fassung V3.2.1 auf WCAG 2.1 AA. Die Fassung V4.1.1 mit WCAG 2.2 AA ist am 02.09.2026 erschienen, aber noch nicht im EU-Amtsblatt zitiert (Stand 12.10.2026).

Ladezeit: Lighthouse, mobil simuliert

Die Ladezeit misst Google Lighthouse in einem eigenen Seitenaufruf: als Smartphone mit simulierter Mobilfunkverbindung und gedrosselter Rechenleistung. Ausgewertet werden die Leistungswertung, Largest Contentful Paint (LCP), Cumulative Layout Shift (CLS), Total Blocking Time (TBT), Speed Index und das Seitengewicht.

Das ist eine Labormessung aus einem einzelnen Lauf. Echte Besucher erleben andere Werte, und zwei Läufe hintereinander können voneinander abweichen. Für den Vergleich vorher und nachher taugt sie trotzdem, weil der Nachcheck unter denselben Bedingungen misst.

Sicherheit: passiv, ohne Angriffe

Geprüft wird nur, was jeder Besucher ohnehin sieht. Dazu gehören die verschlüsselte Auslieferung, Gültigkeit und Ablaufdatum des Zertifikats und die Weiterleitung von http:// auf https://. Außerdem prüft der Check die Sicherheits-Header des Servers, unverschlüsselt nachgeladene Inhalte und sichtbare Software-Versionen, etwa von PHP oder jQuery.

Der Check probiert keine Passwörter, sucht nicht nach versteckten Verzeichnissen, scannt keine Ports und nutzt keine Sicherheitslücken aus. Außer den Seiten selbst ruft er nur Standarddateien ab: /robots.txt, die Sitemap und /.well-known/security.txt.

Pflichtangaben und Auffindbarkeit

Der Check sucht auf der Startseite die Links zu Impressum und Datenschutzerklärung und ruft beide Seiten auf. Er prüft, ob sie erreichbar sind und ob typische Angaben erkennbar sind, etwa E-Mail-Adresse, Anschrift, Register und vertretungsberechtigte Person. Ob diese Angaben richtig und vollständig sind, prüft er nicht.

Für die Auffindbarkeit prüft er auf der Startseite Statuscode, noindex, robots.txt, Seitentitel, Meta-Beschreibung, Hauptüberschrift, Viewport, Sitemap, kanonische URL, Open-Graph-Angaben und strukturierte Daten.

Wie die Wertung entsteht

Jeder Bereich startet bei 100 Punkten, jeder Befund zieht je nach Schwere Punkte ab. Der Bereich Ladezeit übernimmt die Lighthouse-Wertung.

Die Gesamtwertung gewichtet die Bereiche: Datenschutz 28 %, Pflichtangaben 18 %, Sicherheit 18 %, Barrierefreiheit 16 %, Ladezeit 12 %, Auffindbarkeit 8 %. Ein kritischer Befund begrenzt die Gesamtwertung auf höchstens 64 Punkte, zwei oder mehr auf höchstens 49.

Die Wertung ist eine technische Kennzahl. Sie sagt nichts darüber, ob eine Website rechtmäßig ist.

Grenzen

Ein automatischer Check findet nicht alles. Diese Grenzen gelten für jedes Ergebnis:

• Momentaufnahme: Das Ergebnis gilt für den Zeitpunkt der Prüfung. Ändert sich die Website, ändert sich das Ergebnis.
• Umfang: Die kostenlose Prüfung umfasst die Startseite, Impressum, Datenschutzerklärung und nach dem Ablehnen-Test eine weitere Unterseite. Der Vollbericht ergänzt eine Tiefenprüfung von bis zu 25 Unterseiten auf fremde Server, neue Cookies und Links zu Impressum und Datenschutzerklärung.
• Bot-Schutz: Websites mit Bot-Schutz, Captcha oder Zugangssperre können wir nicht oder nur teilweise prüfen. Solche Sperren umgehen wir nicht.
• Nicht erfasst: Inhalte hinter Anmeldung, Formularen oder Bezahlschranke und alles, was erst nach einer Zustimmung lädt.
• Keine Rechtsprüfung: Befunde beschreiben technische Tatsachen. Ob in Ihrem Fall eine Pflicht besteht oder eine Ausnahme greift, hängt von Umständen ab, die wir nicht prüfen. Für eine verbindliche Einschätzung wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Was wir speichern

Gespeichert werden die geprüfte Adresse, das Prüfergebnis und der Zeitpunkt. Ergebnisse kostenloser Prüfungen löschen wir nach 90 Tagen, gekaufte Berichte nach 12 Monaten. Von Cookies halten wir Name, Domain und Laufzeit fest, nicht ihren Inhalt.

Für die Prüfung brauchen wir weder Ihren Namen noch ein Konto, und Ihre IP-Adresse speichern wir dafür nicht. Gegen Missbrauch zählen wir Prüfungen über einen pseudonymisierten Prüfwert mit täglich wechselndem Schlüssel. Einzelheiten stehen in der Datenschutzerklärung.

Der Prüf-Bot: Kennung und Widerspruch

Unser Prüf-Browser gibt sich in seiner Browserkennung (User-Agent) mit dem Zusatz HarborBitLotsencheck/1.0 zu erkennen. Er kommt nur, wenn jemand Ihre Adresse in den Lotsencheck eingibt oder einen gekauften Bericht nachprüfen lässt. Von sich aus durchsucht er das Netz nicht.

Je Prüfung lädt er die Startseite zweimal: einmal im Browser, einmal für die Ladezeit-Messung. Dazu kommen die verlinkten Seiten zu Impressum und Datenschutzerklärung, nach dem Ablehnen-Test eine weitere Unterseite sowie Standarddateien wie /robots.txt und die Sitemap. Wird der Vollbericht gekauft, prüft er zusätzlich bis zu 25 Unterseiten.

Zwischen zwei Seitenaufrufen liegt mindestens eine Sekunde. Er füllt keine Formulare aus, meldet sich nirgends an, klickt im Cookie-Banner nur auf „Ablehnen“ und umgeht keinen Bot-Schutz.

Einträge in Ihrer robots.txt wertet er als Prüfgegenstand, nicht als Sperre, weil er nur im Einzelfall auf Auftrag eines Nutzers kommt. Für einen verbindlichen Ausschluss gibt es unsere Sperrliste.

Sie möchten nicht, dass Ihre Website mit dem Lotsencheck geprüft wird? Schreiben Sie mit Ihrer Domain an info@harborbit.de. Wir setzen die Domain auf die Sperrliste und löschen vorhandene Ergebnisse dazu; danach lehnt der Check Prüfaufträge für diese Domain ab.

Eingesetzte Software und Versionen

Der Check arbeitet mit diesen Werkzeugen (Stand 12.10.2026):

• Chromium, gesteuert mit Playwright 1.63: Seitenaufruf, Anfragen, Cookies, Speicher, Ablehnen-Test
• Google Lighthouse 13.5.0: Ladezeit-Messung, mobil, simulierte Drosselung
• axe-core 4.13.0 von Deque: automatische Barrierefreiheitsprüfung nach WCAG 2.0 und 2.1, Stufen A und AA
• Eigene Herstellerdatenbank mit 116 Diensten und 25 Einwilligungs-Tools; Cookie-Muster ergänzt um die Open Cookie Database (Lizenz Apache 2.0)