Scan — Vollständiger Website-Audit in 5 Sekunden

Impressums- und Datenschutzseiten werden auf abgelöste Gesetzesverweise geprüft. Verweise auf § 5 TMG, § 13 TMG oder das TTDSG sind seit 2024 überholt — maßgeblich sind heute § 5 DDG (Digitale-Dienste-Gesetz) und das TDDDG. Der Scan markiert solche Altverweise als Warnung mit konkretem Aktualisierungs-Hinweis (z. B. § 5 TMG → § 5 DDG).

Wird ein Chat-Widget eingebunden, prüft der Scan markenneutral, ob in dessen Umfeld ein KI-Hinweis steht. Nach Art. 50 EU AI Act müssen KI-Systeme, die mit Menschen interagieren, ab dem 02.08.2026 als KI offengelegt werden. Fehlt eine erkennbare Offenlegung, erscheint ein Hinweis mit Empfehlung — getrennt nach Befund, nicht als pauschaler Score-Abzug.

Seit Juni 2025 ist das Barrierefreiheitsstärkungsgesetz (BFSG) für viele Online-Angebote relevant. Der Scan prüft, ob eine Barrierefreiheitserklärung verlinkt ist. Dieser Befund ist bewusst NICHT score-relevant für die Abmahn-Ampel — Barrierefreiheit hat eine eigene BFSG/WCAG-Karte — und erscheint stattdessen als separater Hinweis in der „Hinweise“-Liste.

Werden Schriftarten dynamisch von einem externen Anbieter nachgeladen, entsteht ein Datentransfer in ein Drittland — ein häufiger Abmahngrund. Der Scan erkennt den dynamischen Einbau und empfiehlt das lokale (selbst gehostete) Einbinden. Da externe Ressourcen bereits gewertet werden, gibt es hier keinen zweiten Punktabzug, sondern einen klar beschrifteten Zusatz-Hinweis.

Statt eines einzigen starren Ablauf-Alarms warnt XICTRAQ gestaffelt. Die Anzeige im Cockpit wechselt bei 60, 30, 14, 7 und 3 Tagen Restlaufzeit die Stufe (rot ab 3 Tagen). Die Benachrichtigung beginnt bei der in den Einstellungen gewählten Vorwarnzeit (Vorgabe 14 Tage, einstellbar von 3 bis 90) und meldet sich darunter bei jeder neu erreichten Stufe erneut — 30, 14, 7, 3 und 1 Tag —, ab 3 Tagen als kritisch.

Läuft ein Zertifikat länger als rund 100 Tage, deutet das auf eine manuelle Ausstellung ohne automatische Erneuerung (ACME) hin. Hintergrund: Die maximal zulässige TLS-Laufzeit sinkt schrittweise (200 Tage seit März 2026, höchstens 100 Tage ab 2027, höchstens 47 Tage ab 2029). Das Cockpit weist auf dieses Risiko hin und empfiehlt die automatische Erneuerung — z. B. „Zertifikat läuft 365 Tage — bereit für die 47-Tage-Pflicht?“.

Der Scan liest das geladene HTML und findet alle Skripte und Stylesheets, die von einer fremden Domain stammen und kein integrity-Attribut tragen. Jeder Treffer wird mit Domain und Typ (Skript/Style) aufgelistet. Subresource Integrity hinterlegt einen Hash der Datei: ändert der Anbieter den Inhalt, blockiert der Browser das Laden automatisch. Fehlt der Hash, lädt der Browser auch eine veränderte Datei ungeprüft. Empfohlen wird, integrity (sha384-…) und crossorigin=anonymous zu ergänzen — eigene, inhaltsgehashte Dateien (Hash bereits im Dateinamen) sind ausgenommen.

Eine Content-Security-Policy zu setzen ist ein Anfang — entscheidend ist, wie belastbar sie ist. Der Scan bewertet die Policy (aus dem HTTP-Header oder dem meta-http-equiv-Tag) mit einer Heuristik und vergibt eine Note von A bis F. Geprüft wird unter anderem: schwächt unsafe-inline oder unsafe-eval den Schutz, gibt es Nonces oder Hashes, ist strict-dynamic aktiv, existiert ein default-src, ist object-src auf none gesetzt und ist ein Report-Endpunkt (report-to / report-uri) hinterlegt. Die Einzelkriterien erscheinen als grüne (gut) und rote (schwach) Chips neben der Note.

Der Scan liest den Alt-Svc-Antwort-Header und erkennt, ob die Seite HTTP/3 (h3) bewirbt — moderne Browser wechseln dann automatisch auf HTTP/3/QUIC. Angezeigt werden der Status (beworben / kein Alt-Svc) und der rohe Alt-Svc-Wert. Nüchterner Hinweis: HTTP/3 ist nicht pauschal schneller; ob ein Vorteil entsteht, hängt von Netz, Server und CDN ab. Außerdem wurde die HTTP-Versions-Erkennung korrigiert, sodass die ausgehandelte Protokoll-Version (HTTP/1.1, HTTP/2, HTTP/3) im Ergebnis korrekt beschriftet wird.

Erkennt die Header Cross-Origin-Opener-Policy, Cross-Origin-Embedder-Policy und Cross-Origin-Resource-Policy samt Werten. Dieser Block ist reiner Hinweis und senkt KEINE bestehenden Scores. Typische Empfehlung: „COOP: same-origin-allow-popups“ ist ein risikoloser Quick-Win, der den Browsing-Context isoliert, ohne Popups oder OAuth-Flows zu brechen.

Prüft, ob im HTML ein Skript vom Typ speculationrules eingebunden ist. Speculation-Rules steuern Prefetch/Prerender und können die wahrgenommene Ladezeit beim Navigieren deutlich verbessern. Fehlt der Eintrag, liefert der Scan einen Copy-Paste-Hinweis mit einem Beispiel-Snippet — ohne Versprechen konkreter Geschwindigkeitswerte.

Ein informativer Hinweis, keine harte Erkennung: Die meisten serverseitigen TLS-Clients verhandeln noch keinen Post-Quantum-Schlüsselaustausch. Falls die ausgehandelte TLS-Gruppe/Kurve günstig auslesbar ist, wird sie mitgeliefert; ansonsten bleibt es bei einem neutralen Hinweis, dass Post-Quantum-TLS (z. B. X25519MLKEM768) im Aufkommen ist und die Readiness vom CDN/Server abhängt.

Der Scan prüft, ob unter /llms.txt eine Datei erreichbar ist (kurzer Timeout, fail-safe). Die Darstellung ist bewusst neutral: Eine llms.txt kann KI-Crawlern strukturierte Hinweise geben, ihre tatsächliche Wirkung ist jedoch umstritten und sie ist kein Ranking-Faktor — daher rein als optionaler Hinweis, ohne Wirkversprechen.

30 Sekunden vor dem Kundentermin die Domain scannen, Gesprächspunkte aus den roten Empfehlungen ableiten — etwa ein abmahngefährdeter Google-Fonts-Einbau als konkreter, verkaufbarer Auftrag. Diff-View zum vorherigen Scan zeigt direkt den Fortschritt nach abgeschlossenen Aufträgen.

Wettbewerber-URL scannen, Tech-Stack-Card im Netzwerk-Tab zeigt CMS, CDN, Analytics-Tools, Payment-Systeme. Performance und SEO vergleichen, Content-Struktur und Heading-Hierarchie analysieren — ohne manuelle Recherche.

Vor dem Go-Live einen Scan fahren — fehlende Viewport-Tags, vergessene robots.txt, nicht gesetzte Canonical-URL oder falsch konfiguriertes HSTS werden sofort sichtbar. Empfehlungen nach Severity priorisieren, kritische Fixes vor Launch erledigen.

Jeder ausgeführte Scan bleibt dauerhaft in der Scan-Historie. Auf Wunsch später wieder öffnen, um den Zustand zu einem bestimmten Zeitpunkt zu dokumentieren — etwa für Compliance-Nachweise oder Vertragsanhänge.