Die acht Kriterien dieses Bereichs untersuchen, ob Ihre Website diese Fragen sichtbar und widerspruchsfrei beantwortet. Sie verbinden rechtliche Pflichtangaben, technische Grundlagen der Sicherheit und inhaltliche Glaubwürdigkeit. Dabei gilt ein klarer Grundsatz: Wir prüfen, was öffentlich sichtbar ist. Eine rechtliche Bewertung oder einen Sicherheitstest ersetzt das nicht.
Auf einen Blick
- Geprüft werden Impressum, Datenschutz- und Einwilligungsoberfläche, HTTPS und Sicherheits-Header, konsistente Unternehmensangaben, Aktualität, Referenzen und Belege, Kontakttransparenz sowie die Messbereitschaft.
- Die Prüfung stellt fest, ob Angaben vorhanden, auffindbar und widerspruchsfrei sind. Ob sie rechtlich vollständig sind, kann nur eine rechtliche Prüfung beurteilen.
- Sicherheitsmerkmale werden ohne aktive Angriffe geprüft. Header-Angaben sind Hinweise, kein Nachweis der Sicherheit.
- Vertrauen wirkt doppelt: auf Menschen und auf Systeme. Google bewertet Inhalte unter anderem danach, ob Herkunft, Expertise und Belege erkennbar sind (Google Search Central: Hilfreiche Inhalte).
Warum Vertrauen messbare Grundlagen hat
Ob Menschen einer Website vertrauen, hängt vor allem davon ab, ob sie erkennen können, wer dahintersteht, und ob Angaben überprüfbar sind. Google fragt in seinen Leitlinien für hilfreiche, zuverlässige Inhalte ausdrücklich, wer eine Seite verantwortet, wie Inhalte entstanden sind und warum es sie gibt (Google Search Central: Hilfreiche, zuverlässige Inhalte erstellen). In Nutzerstudien der Nielsen Norman Group suchten Besucher gezielt nach Informationen über ein Unternehmen, begegneten Kundenstimmen auf dessen eigener Website mit Vorbehalt und glichen sie mit unabhängigen Bewertungsportalen ab (Nielsen Norman Group: „About Us“ Information on Websites).
Für Suchmaschinen und KI-Systeme gilt ein ähnliches Prinzip. Google fragt in seinen Leitlinien für hilfreiche Inhalte ausdrücklich, ob ein Inhalt klar erkennen lässt, wer ihn erstellt hat, ob Aussagen belegt sind und ob die Website als vertrauenswürdige Quelle für das Thema gelten kann (Google Search Central: Hilfreiche Inhalte). Widersprüchliche oder veraltete Angaben schwächen beides: das Vertrauen der Besucher und die Verlässlichkeit, mit der Systeme Ihre Informationen wiedergeben.
Prüfkriterien im Detail
Impressum & rechtliche Oberfläche
Worum es geht. Geprüft wird, ob das Impressum und weitere rechtliche Seiten von jeder Seite aus leicht erreichbar sind und ob die üblichen Angaben sichtbar vorhanden sind.
Warum das wichtig ist. In Deutschland müssen Anbieter geschäftsmäßiger digitaler Dienste nach § 5 des Digitale-Dienste-Gesetzes (DDG) bestimmte Informationen leicht erkennbar, unmittelbar erreichbar und ständig verfügbar halten – darunter Name und Anschrift, Kontaktmöglichkeiten einschließlich E-Mail-Adresse und, soweit vorhanden, Registereintrag und Umsatzsteuer-Identifikationsnummer. Das DDG hat am 14. Mai 2024 das Telemediengesetz abgelöst; der frühere § 5 TMG ist damit ersetzt (§ 5 DDG). Für Besucher ist das Impressum zugleich der schnellste Weg, zu prüfen, mit wem sie es zu tun haben.
So prüfen wir. Wir halten fest, ob das Impressum von allen geprüften Seiten aus mit einem Klick erreichbar ist, ob der Link eindeutig benannt ist und ob die üblichen Angaben sichtbar vorhanden sind.
Typische Befunde.
- Das Impressum ist nur auf der Startseite verlinkt oder auf Mobilgeräten nicht erreichbar.
- Der Link ist mit einem unklaren Begriff beschriftet oder hinter einem Menüpunkt wie „Über uns“ versteckt.
- Veraltete Verweise auf das Telemediengesetz (§ 5 TMG).
- Abweichende Anschriften zwischen Impressum und Kontaktseite.
Was Sie tun können. Verlinken Sie das Impressum in der Fußzeile jeder Seite mit dem Begriff „Impressum“, aktualisieren Sie veraltete Gesetzesverweise und gleichen Sie die Angaben mit Kontaktseite und Unternehmensprofilen ab. Lassen Sie den Inhalt rechtlich prüfen, wenn Sie unsicher sind.
Grenzen der Aussage. Das Vorhandensein eines Impressums belegt nicht, dass es rechtlich vollständig und korrekt ist.
Datenschutz- & Consent-Oberfläche
Worum es geht. Untersucht werden die Datenschutzerklärung und die Einwilligungsabfrage für Cookies und vergleichbare Technologien – und ob das sichtbare Verhalten der Website zu den Angaben passt.
Warum das wichtig ist. Die Datenschutz-Grundverordnung (DSGVO) verlangt, dass Informationen über die Verarbeitung personenbezogener Daten präzise, transparent, verständlich und leicht zugänglich in klarer und einfacher Sprache bereitgestellt werden (Art. 12 DSGVO) (Verordnung (EU) 2016/679 (DSGVO)). Für das Speichern von Informationen auf dem Endgerät oder den Zugriff darauf – etwa durch Cookies – verlangt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) grundsätzlich eine Einwilligung, sofern keine Ausnahme greift, etwa für technisch unbedingt erforderliche Speicherungen (§ 25 TDDDG). Für Besucher ist eine faire, verständliche Einwilligungsabfrage zugleich ein sichtbares Signal für einen respektvollen Umgang mit ihren Daten.
So prüfen wir. Wir betrachten Auffindbarkeit und Verständlichkeit der Datenschutzerklärung, Aufbau und Wahlmöglichkeiten der Einwilligungsabfrage sowie – soweit öffentlich beobachtbar – ob vor einer Einwilligung bereits Dienste von Drittanbietern geladen werden.
Typische Befunde.
- Tracking- oder Marketingdienste werden geladen, bevor eine Einwilligung erteilt wurde.
- Die Ablehnung ist deutlich aufwendiger als die Zustimmung.
- Die Datenschutzerklärung nennt Dienste, die gar nicht eingesetzt werden, oder verschweigt eingesetzte Dienste.
- Das Einwilligungsbanner verdeckt auf Mobilgeräten wesentliche Inhalte oder ist per Tastatur nicht bedienbar.
Was Sie tun können. Gleichen Sie die tatsächlich eingesetzten Dienste regelmäßig mit Datenschutzerklärung und Einwilligungsabfrage ab. Gestalten Sie Zustimmung und Ablehnung gleichwertig und laden Sie einwilligungspflichtige Dienste erst nach der Zustimmung. Ziehen Sie für die rechtliche Bewertung Ihre Datenschutzbeauftragten oder eine Anwältin oder einen Anwalt hinzu.
Grenzen der Aussage. Eine Prüfung der sichtbaren Oberfläche ist keine Rechtsberatung und kein Nachweis, dass alle Datenschutzpflichten erfüllt sind. Interne Datenflüsse, Auftragsverarbeitungen und Rechtsgrundlagen sind von außen nicht vollständig erkennbar.
HTTPS & sichtbare Security-Header
Worum es geht. Geprüft wird, ob die Website durchgängig über HTTPS ausgeliefert wird und ob ausgewählte, öffentlich sichtbare Sicherheits-Header gesetzt sind.
Warum das wichtig ist. HTTPS verschlüsselt die Verbindung zwischen Browser und Server und schützt übertragene Daten – etwa aus einem Kontaktformular – vor dem Mitlesen und Verändern. Die OWASP Foundation empfiehlt, TLS für alle Seiten einzusetzen, standardmäßig TLS 1.3 zu verwenden, TLS 1.2 nur aus Kompatibilitätsgründen zu unterstützen und ältere Versionen zu deaktivieren (OWASP: Transport Layer Security Cheat Sheet). Für Deutschland beschreibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) in der Technischen Richtlinie TR-02102-2 (Version 2026-01) Empfehlungen für den sicheren Einsatz von TLS (BSI: TR-02102-2). Sicherheits-Header wie HTTP Strict Transport Security (HSTS), Content Security Policy (CSP) oder X-Content-Type-Options bieten zusätzliche Schutzschichten gegen typische Angriffe, wenn sie passend konfiguriert sind (OWASP: HTTP Headers Cheat Sheet). Browser kennzeichnen unverschlüsselte Seiten zudem als „nicht sicher“ – ein direkter Vertrauensverlust.
So prüfen wir. Wir prüfen die Weiterleitung von HTTP auf HTTPS, die Gültigkeit des Zertifikats, gemischte Inhalte und die Antwort-Header ausgewählter Seiten. Es finden keine Angriffe, Schwachstellenscans oder Belastungstests statt.
Typische Befunde.
- Einzelne Bilder oder Skripte werden noch über HTTP geladen (gemischte Inhalte).
- HSTS ist nicht gesetzt, sodass der erste Aufruf über HTTP möglich bleibt.
- Keine Content Security Policy oder eine sehr freizügige.
- Server-Header verraten die genaue Software-Version.
Was Sie tun können. Leiten Sie alle Aufrufe dauerhaft auf HTTPS um, aktivieren Sie HSTS und ergänzen Sie schrittweise weitere Sicherheits-Header. Testen Sie insbesondere eine Content Security Policy zunächst im Beobachtungsmodus, damit keine Funktionen ausfallen.
Grenzen der Aussage. Vorhandene oder fehlende Header belegen weder ein sicheres noch ein unsicheres System. Eine Sicherheitsaussage erfordert einen eigenen, beauftragten Sicherheitstest.
Konsistente Unternehmens- & Leistungsdaten
Worum es geht. Verglichen werden Firmenname, Anschrift, Telefonnummer, Leistungen, Einzugsgebiet und Öffnungszeiten über verschiedene Seiten, strukturierte Daten und öffentliche Profile hinweg.
Warum das wichtig ist. Widersprüchliche Angaben verunsichern Interessenten und führen im schlimmsten Fall zu Fehlbesuchen oder Anrufen bei einer alten Nummer. Google beschreibt, wie Unternehmen ihre offiziellen Angaben über die eigene Website und das Unternehmensprofil festlegen, damit Nutzer den offiziellen Auftritt zuverlässig erkennen (Google Search Central: Unternehmensdetails). Auch KI-Systeme, die Antworten aus mehreren Quellen zusammensetzen, geben eher widersprüchliche Informationen wieder, wenn die Quellen sich widersprechen. Mehr dazu im Bereich KI-Verständlichkeit.
So prüfen wir. In einer Stichprobe werden die zentralen Angaben auf Startseite, Kontaktseite, Impressum, in strukturierten Daten und – soweit öffentlich – in Unternehmensprofilen verglichen.
Typische Befunde.
- Nach einem Umzug steht die alte Adresse noch in der Fußzeile oder im Markup.
- Leistungen, die nicht mehr angeboten werden, stehen noch im Menü.
- Unterschiedliche Schreibweisen des Firmennamens.
Was Sie tun können. Führen Sie eine zentrale Liste Ihrer offiziellen Unternehmensangaben und prüfen Sie bei jeder Änderung alle Stellen, an denen sie erscheinen – Website, strukturierte Daten, Unternehmensprofil, Verzeichnisse und soziale Netzwerke.
Grenzen der Aussage. Übereinstimmende Angaben belegen nicht, dass sie sachlich zutreffen. Geprüft wird die Konsistenz der öffentlich sichtbaren Quellen.
Aktualität sichtbarer Inhalte
Worum es geht. Untersucht werden sichtbare Datumsangaben, Team- und Leistungsseiten, Projektbeispiele, Veranstaltungshinweise und Verweise, die erkennbar veraltet sind.
Warum das wichtig ist. Veraltete Inhalte lassen eine Website verlassen wirken und führen zu falschen Erwartungen – etwa bei alten Preisen, ausgeschiedenen Ansprechpartnern oder ausgelaufenen Förderprogrammen. Google rät zugleich davon ab, Seiten nur durch ein neues Datum aktueller erscheinen zu lassen, ohne den Inhalt substanziell zu ändern (Google Search Central: Hilfreiche Inhalte).
So prüfen wir. Wir erfassen sichtbare Datumsangaben, Copyright-Vermerke, Hinweise auf vergangene Ereignisse und Angaben, die erkennbar nicht mehr zutreffen.
Typische Befunde.
- Ein „Aktuelles“-Bereich, dessen jüngster Beitrag Jahre alt ist.
- Ausgeschiedene Mitarbeitende auf der Teamseite.
- Verweise auf abgelaufene Aktionen, Termine oder Gesetzesstände.
Was Sie tun können. Legen Sie für jede Seite eine verantwortliche Person und einen Prüfrhythmus fest. Entfernen Sie Bereiche, die Sie nicht regelmäßig pflegen können, statt sie veralten zu lassen. Aktualisieren Sie Datumsangaben nur bei echten inhaltlichen Änderungen.
Grenzen der Aussage. Sichtbare Aktualität belegt nicht, dass interne Abläufe oder Angebote tatsächlich aktuell sind.
Referenzen, Belege & Proof Points
Worum es geht. Geprüft wird, ob Referenzen, Fallbeispiele, Kundenstimmen, Zertifikate und Qualifikationen vorhanden sind, wie konkret sie sind und ob sie in der Nähe der Aussagen stehen, die sie belegen sollen.
Warum das wichtig ist. Belege machen Versprechen überprüfbar. In Studien der Nielsen Norman Group blieben Teilnehmende gegenüber Kundenstimmen auf der Website eines Unternehmens skeptisch, weil diese ausgewählt sein könnten, und glichen sie mit unabhängigen Bewertungsportalen ab (Nielsen Norman Group: „About Us“ Information on Websites). Für Kundenbewertungen gibt es zudem rechtliche Anforderungen: Wer Verbraucherbewertungen zugänglich macht, muss nach § 5b Abs. 3 des Gesetzes gegen den unlauteren Wettbewerb (UWG) darüber informieren, ob und wie er sicherstellt, dass die Bewertungen von Personen stammen, die das Produkt oder die Leistung tatsächlich genutzt oder erworben haben (§ 5b UWG).
So prüfen wir. Wir halten fest, welche Belege vorhanden sind, ob sie konkret und zuordenbar sind und wie nah sie an den jeweiligen Leistungsversprechen stehen.
Typische Befunde.
- Große Leistungsversprechen ohne jedes Beispiel.
- Kundenstimmen nur mit Vornamen oder ohne Bezug zur Leistung.
- Kundenlogos ohne Erklärung, was für diese Kunden geleistet wurde.
- Zahlen wie „98 % Zufriedenheit“ ohne Angabe von Methode und Zeitraum.
Was Sie tun können. Stellen Sie zu Ihren wichtigsten Leistungen je ein konkretes Fallbeispiel mit Ausgangslage, Vorgehen und Ergebnis bereit – mit Einwilligung der Kunden. Nennen Sie bei Zahlen Quelle, Zeitraum und Methode. Verlinken Sie auf unabhängige Bewertungsplattformen und informieren Sie, wie Sie die Echtheit eigener Bewertungen sicherstellen.
Grenzen der Aussage. Vorhandene Belege bestätigen nicht unabhängig jede Aussage. Ob Kundenstimmen echt und Einwilligungen erteilt sind, ist von außen nicht überprüfbar.
Kontakttransparenz
Worum es geht. Untersucht wird, wie leicht sich herausfinden lässt, wer hinter dem Angebot steht und wie man diese Menschen erreicht: Ansprechpartner, Kontaktkanäle, Erreichbarkeitszeiten und Standort.
Warum das wichtig ist. In Nutzertests der Nielsen Norman Group wirkten Unternehmen, die Kontaktangaben verstecken oder nicht deutlich verlinken, ausweichend und wenig verlässlich. Die Nielsen Norman Group empfiehlt, mindestens Telefonnummer und E-Mail-Adresse anzugeben, ein Kontaktformular nur ergänzend anzubieten und zu sagen, wann mit einer Antwort zu rechnen ist (Nielsen Norman Group: „Contact Us“ Page Guidelines).
So prüfen wir. Wir prüfen, ob eine Kontaktseite leicht auffindbar ist, welche Kanäle angeboten werden, ob Ansprechpartner oder Zuständigkeiten erkennbar sind und ob ein Standort oder Einzugsgebiet genannt wird.
Typische Befunde.
- Nur ein Kontaktformular, keine Telefonnummer und keine E-Mail-Adresse.
- Keine Angabe, wer antwortet oder wann.
- Die Telefonnummer ist als Bild eingebunden und auf dem Smartphone nicht antippbar.
Was Sie tun können. Bieten Sie mindestens zwei Kontaktwege an, machen Sie Telefonnummer und E-Mail-Adresse auf Mobilgeräten direkt antippbar und nennen Sie Erreichbarkeitszeiten. Zeigen Sie, wenn möglich, die Menschen, mit denen Kunden zusammenarbeiten werden.
Grenzen der Aussage. Transparente Kontaktangaben belegen nicht, wie schnell oder wie gut tatsächlich geantwortet wird.
Mess- & Analytics-Bereitschaft
Worum es geht. Erfasst wird, ob öffentlich erkennbare Hinweise auf Messwerkzeuge vorhanden sind, mit denen sich Reichweite und Anfragen messen lassen. Ob Zielereignisse definiert sind oder die Search Console eingerichtet ist, lässt sich von außen nicht feststellen.
Warum das wichtig ist. Ohne Messung bleibt jede Verbesserung eine Annahme. Die Google Search Console zeigt Klicks, Impressionen, Klickrate und durchschnittliche Position nach Suchanfrage, Seite, Land und Gerät (Google: Leistungsbericht der Search Console). Zugriffe aus AI Overviews und AI Mode sind dort im Suchtyp „Web“ enthalten (Google Search Central: KI-Funktionen und Ihre Website). Seit 2026 bietet Google zudem eigene Berichte zur Leistung in generativen KI-Funktionen (Google: New opportunities, control and insights for website owners). Bing Webmaster Tools zeigt im Bericht „AI Performance“, seit Februar 2026 als öffentliche Vorschau, wie oft eine Website in Copilot und KI-Zusammenfassungen von Bing zitiert wird; seit Juni 2026 kommen Auswertungen nach Themen, Absichten und Zitieranteil hinzu. Microsoft rät, diese Werte als Orientierung für die Planung zu lesen, nicht als exakte Messung (Bing Webmaster Blog: Introducing AI Performance in Bing Webmaster Tools, Bing Search Blog: New AI Visibility Insights in Bing Webmaster Tools, Bing Webmaster Blog: Introducing Topics Portfolio (Beta) in AI Performance).
So prüfen wir. Wir erfassen nur öffentlich erkennbare Hinweise, etwa eingebundene Messskripte. Auf Konten wie die Search Console oder ein Analysewerkzeug greifen wir nicht zu.
Typische Befunde.
- Ein Analysewerkzeug ist eingebunden, aber Anfragen oder Anrufe werden nicht als Ziel erfasst.
- Die Search Console ist nicht eingerichtet oder nicht mit der richtigen Domain-Variante verknüpft.
- Die Messung funktioniert erst nach Einwilligung, was bei der Auswertung nicht berücksichtigt wird.
Was Sie tun können. Richten Sie die Google Search Console und Bing Webmaster Tools ein, definieren Sie in Ihrem Analysewerkzeug die für Sie wichtigen Ereignisse – Formularversand, Klick auf Telefonnummer, Terminbuchung – und dokumentieren Sie, welche Daten nur mit Einwilligung erfasst werden.
Grenzen der Aussage. Ein eingebundenes Messwerkzeug belegt weder die Qualität der Daten noch eine korrekte Zuordnung von Geschäftsergebnissen. Ob Messung und Ziele korrekt eingerichtet sind, bleibt in einer externen Analyse „nicht geprüft“.
Quellen
Die Aussagen auf dieser Seite stützen sich auf die folgenden Quellen, geordnet nach Herausgeber. Angaben von Anbietern beschreiben, was ein Unternehmen über sein eigenes System sagt; sie sind dafür die maßgebliche Quelle und können sich jederzeit ändern. Bei Gesetzen, Standards und technischen Referenzen nennen wir die geltende Fassung.
- Google beschreibt, woran es verlässliche Inhalte und Unternehmensangaben festmacht und welche Berichte die Search Console sowie die Steuerung generativer KI-Funktionen bieten.
- Microsoft
- Microsoft beschreibt die Berichte zur Sichtbarkeit in Copilot und KI-Zusammenfassungen von Bing.
- Nielsen Norman Group
- Nutzerstudien der Nielsen Norman Group zeigen, wie Besucher Unternehmensangaben, Kundenstimmen und Kontaktwege bewerten; neuere Studien der Nielsen Norman Group zu diesen Fragen haben wir nicht gefunden (Stand November 2026).
- Bundesamt für Justiz
- Die Gesetzestexte regeln Impressumspflichten, Einwilligungen für Cookies und ähnliche Techniken sowie Anforderungen an Kundenbewertungen.
- Europäische Union
- Die DSGVO legt fest, wie über die Verarbeitung personenbezogener Daten zu informieren ist; das Legislative Observatory dokumentiert den Stand des Digital Omnibus.
- BSI
- Das Bundesamt für Sicherheit in der Informationstechnik gibt Empfehlungen für den sicheren Einsatz von TLS in Deutschland.
- OWASP Foundation
- Die OWASP Foundation beschreibt bewährte Verfahren für TLS und für Sicherheits-Header.