Warum ein Website-Check als Lead-Magnet funktioniert
Klassische Lead-Magnete sind Whitepaper, Checklisten oder Webinare. Sie tauschen allgemeines Wissen gegen eine E-Mail-Adresse. Ein Website-Check funktioniert anders: Er liefert dem Besucher sofort einen Befund über seine eigene Website. Preisgeben muss er dafür nur die Adresse, die er prüfen will. Das senkt die Schwelle, und es gibt der Agentur einen konkreten Gesprächsgegenstand, falls der Besucher später Kontakt aufnimmt.
Den Gegenstand des Checks haben fast alle potenziellen Kunden. 92 Prozent der bayerischen Unternehmen mit mindestens zehn tätigen Personen hatten 2025 eine eigene Webseite (Bayerisches Landesamt für Statistik). Die Erhebung gilt nur für Bayern und nur für Unternehmen ab zehn tätigen Personen, für kleinere Betriebe nennt die Meldung keinen Wert. Für eine Agentur, die im Mittelstand akquiriert, ist die Richtung trotzdem klar: Die Website ist vorhanden, offen ist ihr Zustand.
Dieser Zustand ist selten makellos, deshalb findet ein Check häufig einen Ansatzpunkt. Verschlüsselung ist inzwischen der Normalfall: 97,3 Prozent der mobil abgerufenen Startseiten liefen 2025 über HTTPS (HTTP Archive Web Almanac 2025). Bei den Sicherheitsheadern sieht es anders aus. Eine Strict-Transport-Security-Kopfzeile trugen 36 Prozent der mobil abgerufenen Seiten (HTTP Archive Web Almanac 2025), die Verbreitung der Content Security Policy lag bei 21,9 Prozent (HTTP Archive Web Almanac 2025). Ein Security-Score, der die Kopfzeilen der Antwort bewertet, zeigt damit bei vielen Websites Spielraum.
Die Werte aus dem Web Almanac beschreiben das öffentliche Web insgesamt, nicht den deutschen Mittelstand, und zeigen eine Tendenz, keine Erwartung für eine einzelne Website. Ein fehlender Header ist auch nicht automatisch eine Lücke; das klärt erst der Blick auf die konkrete Seite.
Was das Audit-Widget prüft und zeigt
XICTRAQ® führt den Website-Check als einbettbares Audit-Widget im Agency-Plan für Agenturen. Mit einer Zeile JavaScript wird ein öffentlicher Website-Schnellcheck mit Logo und Farben der Agentur auf deren eigener Seite eingebettet (XICTRAQ, Seite für Agenturen). Auf der Preisseite steht das Audit-Leadmagnet-Widget nur im Agency-Plan.
<script defer src="https://www.xictraq.com/check-widget.js"
data-token="IHRE_USER_ID"
data-lang="de"
data-title="Wie steht es um Ihre Website?"
data-button="Jetzt prüfen"></script>Das Attribut data-token trägt die Nutzerkennung des Agentur-Kontos, daraus löst der Server das Branding auf. Mit data-title, data-button und data-placeholder passen Sie Überschrift, Beschriftung des Prüfknopfs und Platzhalter an, data-lang legt die Sprache der Oberfläche fest. Alle Attribute und Schnittstellen beschreibt das Handbuch zu den Widgets.
Das Widget zeigt, ob die Website antwortet, und die Antwortzeit in Millisekunden. Läuft die Verbindung in eine Zeitüberschreitung, steht dort „Nicht erreichbar“ statt „Offline“, weil viele Server Anfragen aus Rechenzentren sperren. Warum eine Seite für die einen lädt und für die anderen nicht, zeigt der Beitrag Bei uns geht die Seite, beim Kunden nicht.
Der Check meldet, ob das SSL-Zertifikat gültig ist, und öffnet die Frage, wer Ablauf und Erneuerung im Blick behält.
Der Wert bewertet die Sicherheitsheader der Antwort, dazu HTTPS und sichtbare Versionsangaben im Server-Kopf, auf einer Skala von 0 bis 100 (XICTRAQ-Handbuch). Was die einzelnen Kopfzeilen bewirken, erklärt der Beitrag zu den HTTP-Security-Headern.
Der Besucher lädt das Ergebnis als PDF mit Logo, Farben und Firmenname der Agentur herunter, der Dateiname trägt den Markennamen. Ist ein Firmenname gesetzt, entfällt der Hinweis auf XICTRAQ®.
Das Ergebnis stammt aus demselben Schnellcheck wie der öffentliche Scan und wird 10 Minuten serverseitig zwischengespeichert (XICTRAQ-Handbuch). Der Check ist eine Momentaufnahme, kein Dauerbetrieb. Wer eine Website laufend beobachten will, braucht den Security-Scan im festen Takt und die Prüfung der Erreichbarkeit, also genau die Leistung, die die Agentur anschließend verkaufen kann.
Logo, Farben und Firmenname kommen aus den White-Label-Einstellungen des Kontos. Ohne Agency-Plan zeigt das Widget die Standardfarben von XICTRAQ® (XICTRAQ-Handbuch) und erfasst keine Leads.
Wo das Widget auf der Agentur-Seite hingehört
Ein Prüffeld auf der Startseite geht leicht unter, weil es mit Leistungsübersicht, Referenzen und Kontakt konkurriert. Besser funktioniert eine Seite, die den Check zum Thema macht, weil er dort zum Anliegen des Besuchers passt.
- Leistungsseite Wartung und Sicherheit: Der Check zeigt, was die Leistung adressiert, das Formular darunter fragt nach einem Gespräch.
- Ratgeberbeitrag: Ein Beitrag über Sicherheitsheader oder Zertifikate mit dem Check am Ende lässt Leser das Gelesene an der eigenen Seite ausprobieren.
- Eigene Domain für Kampagnen: Die Lead-Liste speichert die Herkunftsdomain, nicht den Pfad. Wer Kampagnen getrennt auswerten will, braucht dafür eine eigene Domain oder Subdomain.
Wichtig ist der Text um das Widget. Ohne eigene Angaben lautet die Überschrift „Kostenloser Website-Check“ und der Knopf „Prüfen“, beides lässt sich über data-title und data-button ändern (XICTRAQ-Handbuch). Ein Satz unter dem Feld sollte sagen, was geprüft wird, dass die Prüfung von außen erfolgt und dass die geprüfte Adresse gespeichert wird. Das gehört ohnehin in die Datenschutzhinweise, wie weiter unten beschrieben.
Was ein Lead enthält und was nicht
Jeder erfolgreiche Schnellcheck und jeder PDF-Download über das eingebettete Widget wird als Lead des Agentur-Kontos erfasst, dedupliziert pro Stunde je geprüfter Adresse und Besucher (XICTRAQ-Handbuch). Gezählt wird nur, was aus einer eingebetteten Seite kommt: Die Domain der einbettenden Seite wird mitgeschrieben, Aufrufe ohne Einbettung und die Vorschauseiten von XICTRAQ® zählen nicht.
| Angabe | Im Lead | Was sie für den Vertrieb bedeutet |
|---|---|---|
| Geprüfte Adresse | ja | Welche Website geprüft wurde, nicht wem sie gehört |
| Land | ja, aus der IP abgeleitet | Grobe Herkunft mit den Unschärfen jeder IP-Zuordnung |
| Herkunftsdomain | ja | Auf welcher Ihrer Domains das Widget lief |
| Zeitpunkt | ja | Wann geprüft wurde |
| IP-Adresse | nur als Hash mit Tagesschlüssel, nicht abrufbar | Dient allein der Entdopplung |
| Name, E-Mail, Telefon | nein | Kein Kontaktweg und keine Einwilligung |
Abrufbar ist die Liste im Dashboard und eingeloggt über die Schnittstelle. Sie enthält die neuesten 100 Leads, auf Wunsch mit Zählern für die Gesamtzahl, die letzten 7 Tage und die 7 Tage davor (XICTRAQ-Handbuch). Den IP-Hash gibt die Liste nicht aus; er wird mit einem Tagesschlüssel gebildet und lässt sich nach Ablauf des Tages nicht mehr auf die IP zurückrechnen (XICTRAQ-Handbuch).
Das Land ist eine Ableitung, keine Angabe des Besuchers. IP-Datenbanken ordnen Adressbereiche Orten zu, und gerade bei Mobilfunk und großen Zugangsanbietern landen viele Besucher an Sammelorten. Warum ein Besucher plötzlich aus Frankfurt kommt, erklärt der Beitrag zu IP-Standorten und Sammelorten. Für die Lead-Liste taugt das Land deshalb zur groben Einordnung, nicht zur regionalen Zuordnung.
Ein Lead aus dem Website-Check ist eine geprüfte Adresse, keine Einwilligung. Er sagt, dass jemand eine Website geprüft hat. Er sagt nicht, wer das war, ob die Person zu dieser Website gehört und ob sie von Ihnen hören will.
Ein Lead ist keine Einwilligung: was § 7 UWG verlangt
Nach § 7 Abs. 2 Nr. 2 UWG ist eine unzumutbare Belästigung stets anzunehmen bei Werbung unter Verwendung elektronischer Post, ohne dass eine vorherige ausdrückliche Einwilligung des Adressaten vorliegt (UWG). Die Vorschrift unterscheidet nicht zwischen Verbrauchern und Unternehmen. Eine Werbemail an die Kontaktadresse aus dem Impressum der geprüften Domain ist damit ohne vorherige ausdrückliche Einwilligung unzulässig, gleich ob der Empfänger ein Handwerksbetrieb oder ein Konzern ist.
Beim Telefon unterscheidet das Gesetz: Gegenüber Verbrauchern braucht ein Werbeanruf die vorherige ausdrückliche Einwilligung, gegenüber sonstigen Marktteilnehmern zumindest eine mutmaßliche (UWG). Ob ein anonymer Scan einer Website auf ein mutmaßliches Interesse ihres Inhabers schließen lässt, ist eine Wertungsfrage, und schon die Ausgangslage spricht dagegen: Wer geprüft hat, ist unbekannt.
Auch die Ausnahme für Bestandskunden hilft nicht weiter. § 7 Abs. 3 UWG lässt E-Mail-Werbung ohne Einwilligung nur zu, wenn ein Unternehmer die elektronische Postadresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten hat und weitere Bedingungen erfüllt sind, darunter der Hinweis auf das Widerspruchsrecht (UWG). Ein Scan ist kein Verkauf, und eine E-Mail-Adresse hat der Besucher dabei nicht hinterlassen.
Ein verbreiteter Denkfehler betrifft das Verhältnis zur DSGVO. Nach deren Erwägungsgrund 47 kann die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden (DSGVO). Das betrifft die datenschutzrechtliche Seite der Verarbeitung. Ob eine Werbemail ohne Einwilligung verschickt werden darf, beantwortet § 7 UWG gesondert, und dort genügt ein berechtigtes Interesse nicht.
Jeder kann jede Adresse prüfen: der Inhaber, ein Dienstleister, ein Wettbewerber oder jemand, der das Widget ausprobiert. Den Kontakt aus dem Impressum der geprüften Domain anzuschreiben, ist deshalb doppelt falsch: rechtlich nach § 7 UWG und sachlich, weil der Empfänger den Anlass womöglich gar nicht kennt.
Wie ernst die Aufsicht unerlaubte Werbung nimmt, zeigen die Zahlen zur Telefonwerbung. Im Jahr 2025 erreichten die Bundesnetzagentur 39.842 schriftliche Beschwerden zu unerlaubter Telefonwerbung, 6 Prozent mehr als im Jahr 2024 mit 37.561 (Bundesnetzagentur). Im selben Jahr bearbeitete sie 13 große Bußgeldverfahren (Bundesnetzagentur); insgesamt verhängte sie Bußgelder von über 1,099 Millionen Euro (Bundesnetzagentur). Zum ersten Mal sanktionierte sie Verstöße gegen die Pflicht, Werbeeinwilligungen zu dokumentieren und aufzubewahren (Bundesnetzagentur).
Den Bußgeldrahmen setzt § 20 UWG: bis zu 300.000 Euro für Werbeanrufe gegenüber Verbrauchern ohne vorherige ausdrückliche Einwilligung, bis zu 50.000 Euro, wenn eine solche Einwilligung nicht dokumentiert oder nicht mindestens 5 Jahre aufbewahrt wird (UWG). Die Pflicht zur Dokumentation selbst steht in § 7a UWG. Für E-Mail-Werbung ohne Einwilligung sieht § 20 UWG kein Bußgeld vor. Das macht sie nicht harmlos: Nach § 8 UWG können unter anderem Mitbewerber Beseitigung und Unterlassung verlangen, und begeht ein Beauftragter den Verstoß, richtet sich der Anspruch auch gegen den Inhaber des Unternehmens (UWG). Wer Akquise an einen Dienstleister vergibt, muss also selbst mit Unterlassungs- und Beseitigungsansprüchen rechnen.
Vom Scan zur Anfrage: den Weg der Besucher gestalten
Wenn die Agentur den Besucher nicht anschreiben darf, muss der Besucher den nächsten Schritt selbst gehen. Das ist kein Nachteil. Wer nach dem Check Kontakt aufnimmt, hat das Ergebnis gesehen, weiß, worum es geht, und erwartet eine Antwort. Die Antwort auf eine Anfrage ist in der Regel keine unerbetene Werbung, solange sie bei der Anfrage bleibt. Die Aufgabe der Agentur-Seite ist es, diesen Schritt naheliegend zu machen.
- Ergebnis einordnen: Unter dem Widget in zwei, drei Sätzen erklären, was Status, Zertifikat und Security-Score bedeuten und was der Check nicht abdeckt, etwa Inhalte, Barrierefreiheit oder Datenschutz.
- Gespräch anbieten: Ein Kontaktformular direkt neben dem Ergebnis, mit einem Feld für die geprüfte Adresse und der Frage, wobei Sie helfen können. Wer es absendet, stellt eine Anfrage.
- Newsletter getrennt fragen: Wer zusätzlich Werbung per E-Mail erhalten möchte, gibt dafür eine eigene, nicht vorausgewählte Einwilligung. Eine Bestätigungsmail mit Klick auf einen Link zeigt, dass die Adresse dem Anfragenden gehört.
- Einwilligung belegen: Zeitpunkt, Wortlaut der Einwilligung und Bestätigung speichern. Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat (DSGVO).
- Das PDF wirken lassen: Wer das PDF mit Ihrem Logo intern weiterreicht, reicht auch Ihren Namen weiter, ohne dass Sie jemanden anschreiben.
Damit dieser Weg trägt, muss das Formular zuverlässig zustellen. Eine Anfrage, die im Spamfilter landet, ist verloren. Wie sich Absenden und Zustellung des Kontaktformulars überwachen lassen, beschreibt ein eigener Beitrag.
Die Lead-Liste ist dabei kein Adressbuch, sondern eine Statistik: Steigt die Zahl der Scans, während die Zahl der Anfragen gleich bleibt, liegt das Problem zwischen Ergebnis und Formular, nicht beim Check. Die Zähler für die letzten 7 Tage und die 7 Tage davor (XICTRAQ-Handbuch) machen diesen Vergleich ohne Zusatzaufwand möglich.
Die Datenschutzerklärung der Agentur ergänzen
Mit dem Widget verarbeitet die Agentur Daten von Besuchern ihrer eigenen Website. Laut Handbuch verarbeitet sie geprüfte URLs und daraus entstehende Leads als Verantwortliche, die rechtliche Bewertung im Einzelfall liegt bei ihr (XICTRAQ-Handbuch). Werden personenbezogene Daten bei der betroffenen Person erhoben, verlangt Art. 13 DSGVO zum Zeitpunkt der Erhebung unter anderem Angaben zum Verantwortlichen, zu Zwecken und Rechtsgrundlage, bei einer Stützung auf berechtigte Interessen zu diesen Interessen und zu den Empfängern (DSGVO).
Eine geprüfte Adresse kann Personenbezug haben, etwa bei der Website eines Einzelunternehmers; dazu kommen Land, Zeitpunkt und IP-Hash. Die Datenschutzerklärung von XICTRAQ® beschreibt die Rollen: Prüft ein Besucher eine Domain über einen eingebetteten Baustein, hält XICTRAQ® für den betreibenden Kunden fest, welche Adresse geprüft wurde, von welcher Seite der Aufruf kam und aus welchem Land er stammte. Diese Verarbeitung erfolgt im Auftrag des einbindenden Kunden nach Art. 28 DSGVO (XICTRAQ-Datenschutzerklärung). Daneben protokolliert XICTRAQ® jede Prüfung zur Abwehr von Missbrauch und entfernt IP-Adresse, Browserkennung, verweisende Seite und Sprachangabe spätestens nach 90 Tagen aus diesen Einträgen (XICTRAQ-Datenschutzerklärung).
- Zweck: Website-Check für Besucher und Auswertung der Prüfungen als Anfragequelle.
- Verarbeitete Angaben: geprüfte Adresse, Herkunftsseite, abgeleitetes Land, Zeitpunkt und eine gehashte Kennung der IP-Adresse.
- Rechtsgrundlage: die von Ihnen gewählte, bei berechtigten Interessen mit Nennung dieser Interessen.
- Empfänger: XICTRAQ® als Auftragsverarbeiter, mit Verweis auf dessen eigene Protokollierung zur Missbrauchsabwehr.
- Speicherdauer: wie lange Sie Leads in der Liste und in nachgelagerten Systemen halten.
- Widerspruch: Wer Daten für Direktwerbung nutzt, muss das Widerspruchsrecht nach Art. 21 DSGVO beachten; nach einem Widerspruch werden die Daten für diesen Zweck nicht mehr verarbeitet (DSGVO).
Wie Aufsichtsbehörden Datenschutzerklärungen derzeit lesen und wo sie Lücken finden, beschreibt der Beitrag zur Transparenz der Datenschutzerklärung als Prüfschwerpunkt. Der Abschnitt zum Website-Check gehört in die Erklärung, bevor das Widget live geht.
Das Widget setzt keine Cookies und lädt keine Schriften von Drittanbietern (XICTRAQ-Handbuch). § 25 TDDDG knüpft das Speichern von Informationen in der Endeinrichtung und den Zugriff darauf grundsätzlich an eine Einwilligung, mit Ausnahmen für unbedingt erforderliche Vorgänge (TDDDG). Ob Ihre Seite ein Einwilligungsbanner braucht, hängt an ihren übrigen Bausteinen; eine pauschale Aussage zur Rechtskonformität folgt daraus nicht, die Bewertung bleibt bei der Agentur.
Setzt die Agentur-Seite selbst eine strikte Content Security Policy, braucht das Widget Freigaben: www.xictraq.com in script-src, api.xictraq.com in connect-src, data: in img-src für das Logo und api.xictraq.com in form-action, falls die Richtlinie diese Direktive setzt (XICTRAQ-Handbuch). Wie eine solche Richtlinie aufgebaut und schrittweise eingeführt wird, zeigt der Beitrag Content Security Policy richtig konfigurieren.
Content-Security-Policy: default-src 'self';
script-src 'self' https://www.xictraq.com;
connect-src 'self' https://api.xictraq.com;
img-src 'self' data:;
form-action 'self' https://api.xictraq.comMissbrauch abwehren, Liste sauber halten
Ein öffentliches Prüffeld lädt zu Massenprüfungen, Prüfungen interner Adressen und aufgeblähten Lead-Listen ein. Das Widget ist dagegen mehrfach abgesichert. Ein zeitbasiertes Challenge-Token muss zwischen 2 und 120 Sekunden alt sein, und vor der ersten Prüfung muss der Besucher mindestens 2 Sekunden auf der Seite verweilen (XICTRAQ-Handbuch). Die Rate-Limits liegen bei 10 Anfragen pro Minute und 60 pro Stunde je IP, geteilt zwischen Scan und PDF (XICTRAQ-Handbuch). Zu prüfende Adressen werden gegen interne und private IP-Bereiche abgeglichen, damit das Widget nicht als Werkzeug gegen interne Netze dient.
Gegen gefälschte Leads hilft die Bindung an die Einbettung. Die Kennung im Einbettungscode ist öffentlich, sie steht im Quelltext jeder Agentur-Seite. Deshalb zählt ein Lead nur, wenn der Aufruf aus einer eingebetteten Seite kommt, und die Herkunftsdomain steht in der Liste. Taucht dort eine Domain auf, die Sie nicht kennen, hat jemand Ihren Code übernommen. Eine Mengenbremse je Konto und Herkunft begrenzt zusätzlich, wie viele Leads eine einzelne Quelle pro Stunde erzeugen kann, und ein ruhendes Konto sammelt keine Leads.
Wer die Liste in ein CRM übernimmt, kennzeichnet jeden Eintrag als Prüfung, nicht als Kontakt. Das Feld für die Einwilligung bleibt leer, bis der Besucher selbst eine erteilt, etwa über das Formular neben dem Ergebnis.
Aus dem Befund ein Angebot machen
Kommt die Anfrage, liegt das Ergebnis schon auf dem Tisch. Ein fehlender HSTS-Header, ein Zertifikat kurz vor dem Ablauf oder lange Antwortzeiten sind konkrete Punkte, über die sich ein erster Auftrag besprechen lässt. Das eigentliche Angebot ist die laufende Überwachung: Erreichbarkeit, Zertifikate und Sicherheitsheader im festen Takt, mit Alarm bei Änderungen und einem Bericht, den der Kunde versteht.
Hier liegt für Agenturen der Übergang vom Einzelauftrag zum wiederkehrenden Umsatz. Wie Monitoring unter eigener Marke angeboten und kalkuliert wird, beschreibt der Beitrag zum White-Label-Monitoring für Agenturen. Einen Überblick über die Bereiche, die eine Agentur bei Kundenwebsites abdecken sollte, gibt der Leitfaden Website-Monitoring für Agenturen, und wie aus Messwerten regelmäßige Berichte werden, zeigt der Beitrag zu automatisierten Kunden-Reports.
HSTS, Content Security Policy und Frame-Schutz einrichten und die Wirkung mit dem kostenlosen Security-Score-Test nachmessen.
Statt einer einmaligen Momentaufnahme eine Prüfung im festen Takt aus mehreren Standorten, mit Alarm, damit die Agentur einen Ausfall möglichst vor dem Kunden bemerkt.
Statusseiten und PDF-Berichte unter eigenem Logo über Reporting und Statusseiten, damit der Kunde die laufende Arbeit sieht.
Eine Prüfung gegen WCAG 2.2 eignet sich ebenfalls als Gesprächsanlass, wie der Beitrag zum Prüfprofil nach der neuen EN 301 549 zeigt.
Den Website-Check auf der Agentur-Seite starten
Der Website-Check als Lead-Magnet bringt Anfragen, wenn drei Dinge zusammenpassen: ein Ergebnis, das der Besucher versteht, ein Kontaktweg direkt daneben und eine Lead-Liste, die als Statistik genutzt wird und nicht als Adressliste. Technisch ist der Einbau eine Zeile, die eigentliche Arbeit liegt in Seitentext, Formular und Datenschutzerklärung.
Einbau, Attribute und Schutzmechanismen stehen im Handbuch zum Audit-Widget, die Leistungen des Agency-Plans auf der Seite für Agenturen. Ein Test auf einer eigenen Testdomain zeigt in der Lead-Liste, wie die Herkunft erfasst wird.
Dieser Beitrag stützt sich auf: Gesetz gegen den unlauteren Wettbewerb (UWG), §§ 7, 7a, 8 und 20, Fassung auf gesetze-im-internet.de; Verordnung (EU) 2016/679 (DSGVO), Art. 7, 13, 21 und 28 sowie Erwägungsgrund 47; Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), § 25; Bundesnetzagentur, Pressemitteilung „Bundesnetzagentur verzeichnet erneuten Anstieg der Beschwerdezahlen“ vom 26. Januar 2026; HTTP Archive, Web Almanac 2025, Kapitel Security; Bayerisches Landesamt für Statistik, Pressemitteilung vom 30. Januar 2026 zur IKT-Nutzung in Unternehmen 2025; XICTRAQ®, Handbuch „Einbettbare Widgets“, Seite für Agenturen, Preisseite und Datenschutzerklärung (Ziffer 8e). Der Beitrag ersetzt keine Rechtsberatung.