Wir haben in den vergangenen Wochen 44 Websites aus unserem Audit- und Interessenten-Pool forensisch geprüft, automatisiert, technisch, ohne Ansehen der Person. Das Ergebnis in einem Satz: keine einzige Seite war sauber. Nicht eine. 40 von 44 Websites (91 Prozent) landen in unserem Severity-Raster bei „hoch“ oder „kritisch“, nur drei bei „niedrig“ und eine einzige bei „mittel“. Über alle 44 Seiten hinweg zählen wir 36 kritische, 143 hohe, 162 mittlere und 174 niedrige Einzelbefunde.
Diese Zahlen sind kein repräsentativer Querschnitt des deutschen Mittelstands: die geprüften Firmen stammen aus unserem eigenen Audit- und Interessenten-Pool, die Auswahl ist also verzerrt und tendenziell nach oben (schlechter) ausgeschlagen, weil Firmen, die uns überhaupt für einen Check ansprechen, häufig schon eine Vermutung haben, dass etwas nicht stimmt. Trotzdem: 0 von 44 sauberen Seiten ist ein Befund, der für sich spricht, gerade weil jedes einzelne Audit auf demselben deterministischen, automatisierten Prüfraster beruht und die Zahlen damit über alle 44 Websites hinweg vergleichbar sind, statt subjektiv geschätzt zu werden.
Der häufigste kritische Mangel: Tracker feuern vor Einwilligung. Auf 21 der 44 Seiten laden oder aktivieren Tracking-Skripte (Analytics, Marketing-Pixel, teils Google Tag Manager selbst), bevor die Besucherin oder der Besucher überhaupt eine Consent-Entscheidung getroffen hat. Das ist kein Kavaliersdelikt: Wer personenbezogene Daten verarbeitet, bevor eine wirksame Einwilligung vorliegt, verstößt gegen Art. 6 DSGVO und gegen § 25 TDDDG (vormals TTDSG). Die Aufsichtsbehörden verhängen dafür in Deutschland und der EU inzwischen sechs- bis siebenstellige Bußgelder, nicht als Ausnahme, sondern als etablierte Praxis. Für eine Geschäftsführung heißt das konkret: Rechtsrisiko, Bußgeldrisiko und im Streitfall Beweislast-Umkehr, weil die eigene Website technisch nachweisbar gegen die eigene Datenschutzerklärung verstößt. Für die Technik heißt es: Consent-Management-Plattform (CMP) so konfigurieren, dass Tag-Manager-Container selbst erst nach Einwilligung laden, nicht nur die einzelnen Tags darin, sondern der Container als Ganzes, sonst bleibt ein technisches Vorab-Signal an Google bestehen, das rechtlich schon reicht.
Auf Platz zwei: unsichere Netzwerk-Requests, auf 24 von 44 Seiten mit „hoch“ bewertet. Gemeint sind Verbindungen, die nicht sauber verschlüsselt sind oder Daten an Drittanbieter schicken, ohne dass dies technisch abgesichert oder vertraglich abgedeckt ist. Für die Geschäftsführung: ein Datenleck-Risiko, das im Ernstfall meldepflichtig werden kann (Art. 33 DSGVO, 72-Stunden-Frist). Für die Technik: jede externe Verbindung im Netzwerk-Log gegenprüfen, Mixed-Content eliminieren, Drittanbieter-Skripte auf das Nötigste reduzieren.
Barrierefreiheit ist mit 26 betroffenen Seiten der mit Abstand häufigste Einzelbefund überhaupt, wenn auch „nur“ mit mittlerer Severity eingestuft. Ab dem 28. Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz (BFSG) für digitale Angebote mit Verbraucherbezug. Verstöße sind kein theoretisches Risiko mehr, sondern ordnungswidrigkeitsbewehrt. Technisch sind die häufigsten axe-Verstöße meist mit überschaubarem Aufwand behebbar: Kontrastwerte, fehlende Alt-Texte, nicht fokussierbare interaktive Elemente.
Auf Rang drei und vier folgen mit je 23 betroffenen Seiten SPF/DMARC-Mailsicherheit und Green-Web-Hosting. Fehlende oder unvollständige SPF/DMARC-Einträge machen Domains anfällig für Phishing im eigenen Namen: Kriminelle können E-Mails versenden, die scheinbar vom geprüften Unternehmen stammen, was für die Geschäftsführung ein Reputationsrisiko und für Empfänger ein reales Betrugsrisiko bedeutet. Technisch ist der Fix ein DNS-Eintrag, kein Software-Projekt. Green-Web-Hosting ist eher ein Nachhaltigkeits- als ein Sicherheitsbefund und entsprechend niedrig eingestuft.
Es folgen fünf weitere Baustellen, jede für sich unauffällig, in Summe aber Teil desselben Musters. SEO-Tiefe (22 Seiten, niedrig) ist eher eine Frage entgangener Sichtbarkeit als ein Risiko im engeren Sinn. Fehlende Subresource Integrity/SRI (22 Seiten, niedrig): ohne SRI-Prüfsumme kann ein kompromittiertes externes Skript unbemerkt Schadcode nachladen, ein Einfallstor, das sich technisch mit einem einzigen HTML-Attribut schließen lässt. Offene Login-Seiten (21 Seiten, niedrig): Administrations- oder Backend-Zugänge, die frei im Netz erreichbar sind und damit potenziellen Angreifern eine erste Angriffsfläche bieten, auch wenn ein einzelner offener Login noch keinen erfolgreichen Einbruch bedeutet. Fehlende HTTP-Security-Header (19 Seiten, hoch): fehlende Schutzmechanismen, die im Browser selbst greifen und ganze Klassen von Angriffen erschweren sollen. Und mangelnde Empfänger-Transparenz (19 Seiten, niedrig): unvollständige Angaben dazu, an wen personenbezogene Daten weitergegeben werden, was Betroffenen die Ausübung ihrer Auskunftsrechte erschwert.
Das Gesamtbild: Die geprüften Websites sind im Durchschnitt keine Einzelfälle mit einem Ausrutscher, sondern zeigen ein Muster aus mehreren gleichzeitig offenen Baustellen, rechtlich, technisch und in der Nutzbarkeit. Für uns als Prüfstelle ist das der eigentliche Befund: Der Bedarf an einer strukturierten, wiederholbaren forensischen Prüfung ist real und breit, nicht auf Einzelfälle beschränkt.