Wissen
Ehrliche Einordnungen zu AI-generiertem Code, Website-Pflichten, Datenschutz, Hosting und technischer Strategie für kleine Unternehmen.
Zielgruppen
Für lokale Branchen mit sensiblen Kontaktpunkten gibt es eigene Einstiege mit klarer technischer Abgrenzung.
93 Beiträge
Kategorie filtern
Passkeys sind mehr als ein neuer Login-Button. Prüfen Sie RP ID, Origins, Server-Validierung, Conditional UI, User Verification, Cross-Device-Nutzung und Recovery als zusammenhängende Authentifizierungsarchitektur.
Ein praxisnaher Übergabe-Check für Registrar-Zugriff, Nameserver, DNSSEC, CAA, Mail-Records, TTLs und Recovery vor Agentur- oder Hostingwechseln.
103 Early Hints kann kritische Ressourcen früher starten. Falsche Preloads, veraltete Assets, Auth-Grenzen und irreführende TTFB-Werte können den Vorteil aber wieder auffressen.
WordPress kann fehlgeschlagene Plugin-Auto-Updates bei PHP-Fatal-Errors zurückrollen. Warum das wichtig ist – und weshalb Rollback funktionale Tests, Monitoring und Restore trotzdem nicht ersetzt.
Ein funktionierender Google-, Microsoft- oder SSO-Login beweist keine sichere OAuth/OIDC-Integration. Prüfen Sie Redirect-URIs, PKCE, state/nonce, Issuer-Bindung und Preview-Umgebungen.
CHIPS begrenzt Third-Party-Cookies auf einen Top-Level-Site-Kontext. So prüfen Sie Partitioned, Browser-Fallbacks, eingebettete Widgets, Sessions und Datenschutzannahmen.
Brotli oder gzip im Hosting-Panel reicht nicht. Prüfen Sie Content-Encoding, Accept-Encoding, CDN-/Proxy-Verhalten, Cache-Varianten und die echte Transfergröße.
Session-Cookies schützen private Antworten nicht automatisch. So prüfen Sie Cache-Control, Vary, CDN-Regeln und Logout-Verhalten mit zwei Testkonten.
RFC 9989 ersetzt die alte DMARC-Spezifikation. Was sich bei pct, Testmodus, Reporting und Website-Mail geändert hat – und wie Sie SPF, DKIM, Alignment und Zustellung praktisch auditieren.
Sichere Schemaänderungen brauchen mehr als eine erfolgreiche Migration: So prüfen Sie Lock-Risiken, Abwärtskompatibilität, Rollbacks und das Expand-Contract-Muster.
Permissions Policy begrenzt Browser-Fähigkeiten wie Kamera, Mikrofon und Geolocation. So prüfen Sie Header, iframe-Delegation, Drittanbieter-Widgets und Rollouts ohne Funktionen blind zu brechen.
Sticky Header, Cookie-Banner, Chatfenster und fixe Toolbars können fokussierte Links oder Felder verdecken. So prüfen Sie WCAG 2.2 Focus Not Obscured in echten Nutzerwegen.
Ein AAAA-Record kann eine zweite Produktionsroute öffnen. So prüfen Sie DNS, Erreichbarkeit, TLS, Redirects und Sicherheitskontrollen getrennt für IPv4 und IPv6.
Warum Service Worker nach Deployments alte Frontend-Versionen ausliefern können und wie sich Update-Lifecycle, Cache-Strategien und Rollouts systematisch prüfen lassen.
Warum falsche lastmod-Daten, Redirects und nicht-kanonische URLs eine Sitemap entwerten – und wie Sie sie als verlässliches technisches Inventar prüfen.
Webhooks scheitern selten am Happy Path. So prüfen Sie Signaturen, Replay-Schutz, Retries, Duplikate, Reihenfolge, Idempotenz und Queue-Grenzen.
Source Maps sind nicht automatisch eine Sicherheitslücke. Aber unbeabsichtigt veröffentlichte Maps können Quellcode, Dateipfade und interne Struktur offenlegen. So prüfen Sie Build, Deployment und Error-Monitoring sauber.
Autofill ist Teil der Conversion-Strecke. So prüfen Sie autocomplete, Eingabezweck, Adressgruppen und mobile Formulare, bevor unnötige Reibung zu Abbrüchen wird.
Ein technischer Audit-Leitfaden für sichere Recovery-Flows: Token-Lebensdauer, Einmalnutzung, Referrer, Drittanbieter, Redirects, Rate Limits und Sessions.
Ein praxisnaher Audit für Analytics, Chat, A/B-Tests, Consent-Tools und andere Drittanbieter: Welche Skripte liefern Geschäftswert – und welche verbrauchen Ladezeit, Main-Thread-Zeit und Wartungsbudget?
Viele Websites tauschen Daten mit iframes, Login-Popups, Zahlungsfenstern und Widgets über window.postMessage aus. So prüfen Sie targetOrigin, event.origin, event.source, Nachrichtenschemata und privilegierte Aktionen.
Ein zentriertes Overlay ist noch kein funktionierender Modal-Dialog. Prüfen Sie Fokus, Tastaturnavigation, Escape, Inertheit, Rückgabe des Fokus und native dialog-Semantik.
Domain, DNS, Hosting, Quellcode und Search Console funktionieren oft jahrelang – bis die Agentur wechselt. Diese Handover-Prüfung zeigt, welche Zugänge und Besitzverhältnisse vorher geklärt sein sollten.
Warum noindex und robots.txt keine Zugriffskontrolle ersetzen – und wie Teams Staging- und Preview-Umgebungen auf Indexierung, Zugang, Daten und Produktionskopplungen prüfen.
Backups können täglich erfolgreich laufen und im Ernstfall trotzdem unbrauchbar sein. So prüfen Sie Restore-Tests, Abhängigkeiten, RPO/RTO, Zugangsdaten und echte Wiederanlaufzeiten.
Mehrsprachige Seiten können technisch erreichbar sein und trotzdem die falsche Sprachversion in der Suche verlieren. So prüfen Sie Canonicals, hreflang-Cluster, Sitemaps und Sprachwechsel.
Ein alter CNAME zu einem gelöschten Cloud- oder SaaS-Dienst kann zur übernehmbaren Subdomain werden. So prüfen Sie DNS-Lebenszyklen, Verifizierung und Decommissioning.
CORS entscheidet, ob Browser JavaScript eine Cross-Origin-Antwort lesen lassen. Es ersetzt weder Login noch Rollenprüfung, CSRF-Schutz oder serverseitige Zugriffskontrolle.
Eine SPA kann eine perfekte Fehlerseite anzeigen und trotzdem HTTP 200 senden. So prüfen Sie Soft-404s, Client-Routing, Statuscodes, Monitoring und Indexierung.
Kontaktformular, Passwort-Reset oder Rechnung: So prüfen Sie SPF, DKIM, DMARC, Alignment und Bounce-Handling, bevor wichtige Website-Mails still verschwinden.
Ein eigener Tracking-Endpunkt gibt mehr Kontrolle über Datenflüsse – macht Analyse und Werbung aber nicht automatisch einwilligungsfrei. So prüfen Sie Consent Mode, Server-Container, Logs und Datenminimierung.
Prefetch und Prerender können Navigationen drastisch beschleunigen – aber auch Analytics, Warenkorb, Login und Serverlast vorzeitig auslösen. So prüfen Sie den Rollout.
Ein Session-Cookie kann HTTPS, HttpOnly und SameSite nutzen und trotzdem unnötig breit über Subdomains gelten. So prüfen Sie Domain, Path, Präfixe und reale Login-Flows.
Dateiendung, MIME-Typ und Virenscan reichen allein nicht. So prüfen Sie Validierung, Quarantäne, Storage, Browser-Auslieferung und Zugriffskontrolle.
Ein neues Release ist online, aber offene Tabs können alten Code behalten. So prüfen Sie Service-Worker-Lifecycle, Cache-Versionen, skipWaiting und gemischte Deployments.
Retries, Duplikate, falsche Reihenfolge und stille Worker-Fehler machen Webhooks fragil. So prüfen Sie Idempotenz, Queues, Signaturen und Reconciliation.
WP-Cron hängt standardmäßig von Website-Aufrufen ab. So prüfen Sie geplante Jobs, erkennen überfällige Events und machen kritische WordPress-Automationen verlässlicher.
AI-Crawler sind nicht alle dasselbe. So trennen Sie Suche, Modelltraining, Agenten und technische Zugriffskontrolle in robots.txt, CDN und WAF.
Chrome kann seit 2025 auch bestimmte `Cache-Control: no-store`-Seiten aus dem bfcache wiederherstellen. So prüfen Sie Logout, stale Daten, Formulare und Analytics.
npm Trusted Publishing und Build-Attestierungen stärken die Software-Lieferkette. Sie beweisen Herkunft – aber nicht, dass Code sicher oder frei von Schadlogik ist.
Ein Löschbutton entfernt selten alle Daten. So prüfen Sie Datenbanken, Auth, Dateien, Auftragsverarbeiter, Logs und Backups als vollständigen Löschprozess.
Mehrstufige Weiterleitungen verlangsamen Seiten, verfälschen Messdaten und machen Migrationen fragil. So prüfen Sie alte URLs, Statuscodes und Zielseiten systematisch.
Kleine Klick- und Touch-Ziele verursachen Fehlbedienungen, Abbrüche und Barrieren. So prüfen Sie Navigation, Formulare und Overlays nach WCAG 2.2.
Seit 2026 ist Trusted Types in aktuellen Browsern breiter verfügbar. So finden Sie DOM-XSS-Risiken, führen Report-Only ein und vermeiden einen Produktionsausfall.
Ein Myth-Busting-Audit für Next.js, Vite, Source Maps und Build-Artefakte: So erkennen und beheben Sie versehentlich öffentlich ausgelieferte Zugangsdaten.
Warum grüne Backup-Jobs keine belastbare Absicherung beweisen – und wie ein realistischer Restore-Test Daten, Konfiguration und Betriebsfähigkeit überprüft.
Wie aus einer veralteten WordPress-Website ein moderner Next.js-Auftritt mit klarer Positionierung, geschütztem Kundenbereich, Webdiktat, CI und kontrolliertem VPS-Deployment wurde.
Warum eine Kontaktdatei allein keine Schwachstellen löst – und welche Prozesse nötig sind, damit Sicherheitsmeldungen wirklich ankommen, bewertet und behoben werden.
Warum öffentlich erreichbare Testsysteme zu Indexierungs-, Datenschutz- und Sicherheitsproblemen werden können – und wie Sie sie sauber absichern.
Unklare Validierungsfehler kosten Anfragen und schließen Menschen aus. So prüfen Sie Formulare auf verständliche, barrierearme Fehlerbehandlung.
Ein technischer Red-Flag-Check für SPF, DKIM, DMARC und die Zustellbarkeit von Kontaktformularen, Passwort-Resets und Transaktionsmails.
Sieben Red Flags zeigen, ob Account-Recovery Nutzer sicher zurückbringt oder heimlich Supportkosten, Abbrüche und Sicherheitsrisiken erzeugt.
Warum Domain-Inhaberschaft, Verlängerung, Registrar-Zugänge und Transfer-Sperren in jeden Website-Betriebscheck gehören.
Warum automatische TLS-Erneuerung ohne externes Monitoring, Eskalation und Runbook ein stilles Betriebsrisiko bleibt.
Wie die Reporting API CSP-Verstöße, veraltete Funktionen und andere stille Browserprobleme sichtbar macht – und warum sie klassisches Monitoring nur ergänzt.
Fünf typische Fehler bei Hero-Bildern, Responsive Images und Lazy Loading, die mobile Ladezeit, Stabilität und Conversions verschlechtern.
Wie falsche Cache-Regeln, alte HTML-Dokumente und gelöschte Assets nach Deployments zu inkonsistenten Websites und stillen Conversion-Fehlern führen.
Wie ein Inventar für Drittanbieter-Skripte, CSP und Subresource Integrity Sicherheits-, Datenschutz- und Performance-Risiken sichtbar macht.
Wie noindex, robots.txt, falsche Canonicals und kaputte Sitemaps nach Deployments ganze Bereiche aus der Suche verschwinden lassen.
Warum Uptime-Checks und Error-Tracking stille Conversion-Ausfälle übersehen und wie synthetische Checkout-Tests verlorene Umsätze früher sichtbar machen.
Warum schneller erzeugter Code ohne klare Review-Regeln technische Schulden, Sicherheitslücken und Wartungsrisiken beschleunigt.
Warum ein hübscher Relaunch ohne saubere Redirect-Matrix Rankings, Links und Conversions verliert – und wie Sie die wichtigsten Fehler vor dem Go-live finden.
Warum npm audit allein keine Lieferkettenstrategie ist – und wie Lockfiles, Dependency Review und ein schlankes SBOM-Inventar die Reaktionszeit verkürzen.
Wie ein gewachsener VPS von schwerer App-Orchestrierung auf CI-Artefakte, PM2, Doppler und Caddy umgestellt wurde, ohne produktive Dienste in einem Big-Bang-Cutover zu riskieren.
Eine Website ist nicht fertig übergeben, wenn nur ein Admin-Login existiert. Diese Checkliste prüft Eigentum, Zugänge, Dokumentation und Betriebsfähigkeit.
Warum eine .env-Datei kein Tresor ist und wie Secrets über Builds, Container, Logs und Frontend-Bundles auslaufen.
Ein Formular kann eine Erfolgsmeldung zeigen und trotzdem Leads verlieren. Diese Checks decken Zustell-, UX- und Monitoring-Lücken auf.
Warum ein grüner Backup-Status nicht beweist, dass Ihre Website nach einem Ausfall wirklich wiederhergestellt werden kann.
Ein praktischer Sicherheitscheck für Docker-basierte Websites, SaaS-Projekte und Agentur-Deployments.
HTTP-Sicherheitsheader wie CSP, HSTS und Referrer-Policy sind kleine Konfigurationen mit großer Wirkung. Website-Teams sollten sie nicht als einmaligen Scan, sondern als Wartungsaufgabe behandeln.
Interaction to Next Paint zeigt, ob eine Website nach dem Laden wirklich schnell reagiert. Website-Teams sollten deshalb echte Nutzerflüsse, JavaScript-Arbeit und Formularinteraktionen prüfen.
Seit dem European Accessibility Act und dem deutschen BFSG sollten Shops, Buchungsstrecken und digitale Services Barrierefreiheit nicht als einmaliges Redesign behandeln, sondern als laufenden Website-Check.
Interaction to Next Paint ist Teil der Core Web Vitals und zeigt, ob eine Website nach dem Laden wirklich reagiert. Für Website-Betreiber, Agenturen und Dev-Teams gehört INP deshalb in Wartung, QA und Performance-Audits.
Kontaktformulare, Buchungsstrecken und Transaktionsmails brauchen saubere DNS- und Absenderkonfiguration. SPF, DKIM und DMARC gehören deshalb in jeden Website-Check.
Cookie-Banner, Consent Mode und Tag Manager müssen zusammen geprüft werden. Entscheidend ist nicht nur, ob ein Banner sichtbar ist, sondern ob Skripte wirklich erst nach passender Einwilligung feuern.
WordPress-Plugins sind praktisch, aber jedes Plugin ist auch Abhängigkeit, Angriffsfläche und Wartungsaufgabe. Website-Teams sollten Plugins regelmäßig prüfen, reduzieren und dokumentieren.
Der EU Data Act rückt den Wechsel von Cloud- und Datenverarbeitungsdiensten stärker in den Fokus. Für Website-Teams ist das ein guter Anlass, Hosting, Backups, Exporte und Vendor-Lock-in praktisch zu prüfen.
KI-generierte Texte, Bilder und Zusammenfassungen brauchen nachvollziehbare Herkunft, klare Freigaben und technische Dokumentation. Für Website-Teams ist das weniger ein Plugin-Problem als ein Workflow-Problem.
KI-generierte und KI-unterstützte Website-Inhalte brauchen nachvollziehbare Herkunft, klare Freigaben und saubere Datenhygiene. Für Website-Betreiber ist das ein praktisches Workflow-Thema.
Kontaktformulare, Reports, Newsletter und Rechnungen landen schnell im Spam, wenn DNS und Versandwege nicht sauber sind. SPF, DKIM, DMARC und One-Click-Unsubscribe gehören deshalb in jeden Website-Check.
Viele Website-Risiken entstehen nicht durch spektakuläre Hacks, sondern durch undokumentierte Plugins, fehlende Update-Routinen und unklare Verantwortung. So schafft Website-Pflichtencheck technische Klarheit.
Google hält Third-Party-Cookies in Chrome weiter über Nutzereinstellungen steuerbar. Für Website-Betreiber heißt das nicht Entwarnung, sondern: Tracking, Consent und Drittanbieter-Skripte müssen regelmäßig geprüft werden.
Seit Juni 2025 gelten in Deutschland neue Barrierefreiheitsanforderungen für bestimmte digitale Produkte und Dienstleistungen. Für Website-Teams heißt das: Accessibility gehört in Wartung, QA und Relaunch-Prozesse.
Ab August 2026 greifen weitere Transparenzpflichten des EU AI Act. Was Website-Betreiber, Agenturen und Softwareteams jetzt vorbereiten sollten.
Ab September 2026 greifen erste Meldepflichten aus dem EU Cyber Resilience Act. Für Softwareteams heißt das: Schwachstellen, Updates, Incident-Wege und Produktverantwortung müssen dokumentierbar werden.
Wann ein Cookiebanner technisch nötig wird, warum die Antwort nicht am Banner selbst hängt und welche Fehler kleine Unternehmen häufig übersehen.
Karten, Fonts, Buchungstools, Tracking und Widgets sind praktisch, aber technisch riskant, wenn niemand prüft, was sie laden.
Die nächsten Stufen des EU AI Act bringen mehr Transparenz- und Dokumentationspflichten. Was Website-Betreiber, Agenturen und Softwareteams schon heute vorbereiten sollten.
Warum Website-Checks sehr unterschiedliche Preise haben, welche Leistungen wirklich enthalten sein sollten und wann ein kleiner Scan reicht.
Der EU Data Act macht Cloud-Wechsel und Datenportabilität praktischer. Für Websites, SaaS und Agenturprojekte heißt das: Exit-Strategie, Datenexport und Anbieterabhängigkeiten gehören dokumentiert.
Die Regeln für General-Purpose-AI-Modelle sind in der EU scharfgestellt. Für kleine Softwareteams heißt das: Modellwahl, Datenflüsse und Verantwortlichkeiten gehören sauber dokumentiert.
KI-Tools beschleunigen die Entwicklung, aber sie führen auch neue Risiken für Code-Sicherheit und Daten ein. Was müssen Unternehmen für ISO 27001 und Compliance beachten?
KI-Tools beschleunigen Prototypen, aber sie produzieren auch Blindgänger. Wann lohnt sich AI-generierter Code – und wann wird er zum Risiko?
Starten Sie mit einer technischen Prüfung. Wenn nur Kleinigkeiten auffallen, können Sie es dabei belassen, den Bericht weitergeben oder später gezielte Fixes buchen.
Technische Prüfung und Umsetzung, keine Rechtsberatung. Ich prüfe sichtbare Signale, Einbindungen und Auslieferungsprobleme; Rechtstexte und verbindliche juristische Bewertungen bleiben Aufgabe von Anwält:innen oder Datenschutzberatung.
