KMU-Websites im Check: 150 Betriebe geprüft

Ein Website-Check für kleine Unternehmen ist ein automatischer Test der Startseite gegen die Grundlagen, die Kunden, Geld oder Ärger kosten, wenn sie fehlen: Rechtstexte und Einwilligung, E-Mail-Authentifizierung, Barrierefreiheit und wie Suchmaschinen und KI-Assistenten die Seite lesen.

Am 28. Oktober 2026 haben wir 150 Websites kleiner Betriebe aus Deutschland, Österreich und der Schweiz durch unseren kostenlosen Website-Check geschickt: Elektriker, Dachdecker, Steuerberater, Zahnärzte, Fahrschulen, Restaurants und fünfzehn weitere Branchen, gefunden so, wie Kunden sie finden, über die Suche nach Gewerk und Stadt. 144 ließen sich prüfen. Der Median liegt bei 79 von 100 Punkten, nur 12 Websites erreichen 90. Die Lücken liegen dort, wo Inhaber selten hinschauen: Rechtstexte mit abgeschafften Gesetzen, Mail-Domains, die jeder fälschen kann, und Seiten, die an einfachen Barrierefreiheitsregeln scheitern.

Befund	Anteil der KMU-Websites
Zitieren veraltetes Recht (deutsche Websites)	54,7 %
Verlinken noch die abgeschaltete OS-Plattform (deutsche Websites)	23,4 %
Statistik, Werbung oder Social-Tracking vor der Einwilligung (deutsche Websites, echter Browser)	24,2 %
Laden Google Fonts vor der Einwilligung von Googles Servern (deutsche Websites, echter Browser)	17,2 %
Kein DMARC-Eintrag	45,8 %
Keine DMARC-Durchsetzung (fehlt oder p=none)	75,7 %
Mindestens ein Verstoß gegen WCAG 2.1 AA	88,7 %
Kein Organization- oder LocalBusiness-Schema	47,2 %
Kein Vorschaubild für geteilte Links	48,6 %
llms.txt	0 %

55 % der deutschen KMU-Websites zitieren veraltetes Recht

Die Regeln hinter Impressum und Datenschutzerklärung haben sich im November 2020, im Mai 2024 und im Juli 2025 geändert, und viele Rechtstexte sind älter. Von den 128 deutschen Websites nennen 70 mindestens eine Regel, die es nicht mehr gibt:

Veralteter Verweis	Heute	Deutsche Websites
Link zur OS-Plattform der EU (Online-Streitbeilegung)	Nichts: Die EU hat sie am 20. Juli 2025 abgeschaltet	23,4 %
„§ 5 TMG“ oder „§ 55 RStV“ im Impressum	§ 5 DDG (seit 14. Mai 2024), § 18 MStV (seit November 2020)	30,3 % der lesbaren Impressen
„TTDSG“ oder „Privacy Shield“ in den Datenschutztexten	TDDDG (seit 14. Mai 2024), EU-US Data Privacy Framework	25,8 % der lesbaren Datenschutzerklärungen

Am wichtigsten ist der tote OS-Link. Die Plattform gibt es nicht mehr (Verordnung (EU) 2024/3228), und ein Verweis darauf kann als irreführend nach § 5 UWG gelten. Die Lösung dauert fünf Minuten: Absatz und Link aus Impressum, AGB und Marktplatz-Profilen löschen. Der Hinweis zur Verbraucherschlichtung nach § 36 VSBG ist eine andere Pflicht und bleibt, wo sie gilt.

TMG und TTDSG sind dagegen eher ein Schönheitsfehler, zeigen aber einen Rechtstext, den seit 2024 niemand gelesen hat. Das Gesetz zu nennen ist nicht vorgeschrieben, die einfachste Lösung ist also, die Angabe zu streichen.

Das ist keine Rechtsberatung. Unser Abmahn-Check listet jeden Verweis auf, den er auf einer Seite findet.

24 % tracken, bevor jemand einwilligt

Der Cookie-Scanner hat jede deutsche Website in einem echten Browser geöffnet, wie ein Besucher, und festgehalten, was vor jedem Klick auf den Banner lädt. Auf 31 von 128 Websites (24,2 %) liefen Statistik, Werbung oder Social-Media-Tracking vor der Einwilligung, oder ein Tracking-Cookie wurde gesetzt. Google Analytics allein tat das auf 17 Websites. Neun der 31 zeigen gar keinen Einwilligungsbanner; bei den anderen ist der Banner da, aber die Tags warten nicht auf ihn.

Einwilligung, gemessen im echten Browser (deutsche Websites)	Anteil
Statistik, Werbung oder Social-Tracking vor der Einwilligung	24,2 %
Tracking-Cookie vor der Einwilligung gesetzt	18,8 %
Google Fonts vor der Einwilligung von Google geladen	17,2 %
Laden nach Ablehnen weiter Google Analytics, Googles Werbeserver, Meta oder X	25,4 % der 63 Websites mit klickbarem Ablehnen-Button

Die letzte Zeile ist die teure. Nach einem Klick auf Ablehnen und einem Neuladen haben 16 der 63 Websites weiter Google Analytics, Googles Werbeserver (oft über ein eingebettetes YouTube-Video), Meta oder X geladen. Ein Teil davon ist Googles Consent Mode, der Googles Tags nach einer Ablehnung absichtlich lädt und Pings ohne Cookies sendet. Ob das ohne Einwilligung zulässig ist, ist in Deutschland umstritten; die IP-Adresse des Besuchers erreicht Google so oder so. Unser Beitrag zu typischen Fehlern bei Cookie-Bannern nennt die üblichen Ursachen, und der Cookie-Scanner zeigt, was eine Website vor und nach jedem Klick lädt.

76 % der Domains stoppen keine gefälschten Mails

DMARC ist ein DNS-Eintrag, der empfangenden Mailservern sagt, was sie mit Mails tun sollen, die angeblich von Ihrer Domain kommen, aber die SPF- und DKIM-Prüfung nicht bestehen. Ohne DMARC, oder mit der Richtlinie p=none, entscheidet jeder Empfänger allein über eine gefälschte Rechnung in Ihrem Namen.

E-Mail-Einrichtung (144 Domains)	Anteil
Kein DMARC-Eintrag	45,8 %
DMARC mit p=none (nur Beobachtung)	29,9 %
DMARC mit quarantine oder reject	24,3 %
Kein SPF-Eintrag	13,9 %
Weder SPF noch DMARC	6,9 %
MTA-STS (verschlüsselte Zustellung erzwungen)	0 %

Gmail und Yahoo verlangen DMARC von Massenversendern seit Februar 2024, und das BSI nennt SPF, DKIM und DMARC in der TR-03182 als Stand der Technik. Für einen kleinen Betrieb ist der Punkt einfacher: Rechnungsbetrug im Namen der Firma, verschickt an die eigenen Kunden. Ein DMARC-Eintrag ist eine Zeile im DNS. Mit p=none und einer Berichtsadresse beginnen, zwei Wochen die Berichte lesen, dann auf quarantine umstellen. Unser Vergleich der DMARC-Checker nennt kostenlose Werkzeuge für die Berichte.

89 % fallen im automatischen Barrierefreiheits-Test durch

Wir haben 141 Startseiten mit axe-core gegen WCAG 2.1 AA in einem echten Browser geprüft. 125 hatten mindestens einen Verstoß, 122 mindestens einen schweren oder kritischen. Die mittlere Website verletzt zwei Regeln an acht Elementen, die Korrekturen sind also meist klein.

WCAG-Regel (141 Startseiten)	Websites mit Verstoß
Zu schwacher Textkontrast	74,5 %
Links ohne Namen (Icon-Links, leere Links)	45,4 %
Zoom auf dem Handy gesperrt	17,7 %
Bilder ohne Alternativtext	12,8 %
Links, die sich nur durch Farbe abheben	12,1 %

Das Muster passt zur WebAIM Million 2026, die auf 95,9 % der Startseiten der Top-Million erkennbare WCAG-Fehler fand und auf 83,9 % zu schwachen Kontrast (mit einem anderen Werkzeug, WAVE).

Das Barrierefreiheitsstärkungsgesetz (BFSG) gilt seit dem 28. Juni 2025, aber nicht für jede Website: Es erfasst Dienstleistungen für Verbraucher, die online verkauft werden, etwa Shops und Buchungen, die einen Vertrag schließen, und nimmt Kleinstunternehmen (weniger als zehn Beschäftigte und höchstens 2 Mio. € Umsatz) aus, die Dienstleistungen anbieten. Eine Zahnarztpraxis mit Informationsseite fällt meist nicht darunter. Der schwache Kontrast und die namenlosen Links kosten sie trotzdem Patienten, die die Seite nicht lesen können. Unser Vergleich der Barrierefreiheits-Checker stellt die kostenlosen Werkzeuge vor.

Fast die Hälfte sagt der KI-Suche nicht, wer dahintersteht

KI-Assistenten wie ChatGPT und Perplexity müssen zuordnen, was sie zitieren. Ein schema.org-Block, der den Betrieb, seine Adresse und seine Profile nennt, ist der günstigste Weg, zuordenbar zu werden.

Befund (144 Websites)	Anteil
Kein Organization-, LocalBusiness- oder Person-Schema	47,2 %
Gar kein JSON-LD	33,3 %
Keine sameAs-Links zu anderen Profilen	78,5 %
Kein Vorschaubild für geteilte Links (og:image)	48,6 %
Nicht genau eine H1 auf der Startseite	33,3 %
Sperren einen KI-Crawler in der robots.txt	0,7 %
llms.txt	0 %

Hier schneiden kleine Betriebe besser ab als die großen deutschen Websites: Bei den 1.000 meistverlinkten deutschen Websites fehlt das Organization-Schema auf 60,4 %, in dieser Stichprobe auf 47,2 %. Die Hälfte der KMU-Websites läuft auf WordPress, und dessen SEO-Plugins schreiben den Block von selbst: 63 % der WordPress-Websites haben einen, beim Rest sind es 41 %. Meist ist es aber nur ein nacktes Organization. Nur 34 Websites (23,6 %) nutzen einen lokalen Unternehmenstyp wie LocalBusiness, Dentist oder Electrician, also den Typ für Adresse, Öffnungszeiten und Einzugsgebiet. KI-Crawler sperrt fast niemand (bei den großen Websites 27 %).

Die Hälfte der Websites hat außerdem kein og:image. Ein Link darauf zeigt in WhatsApp, LinkedIn oder Slack einen grauen Kasten oder ein zufälliges Bild von der Seite.

44 % haben Buttons, die ein KI-Agent nicht findet

KI-Agenten wie ChatGPT Agent buchen Termine und füllen Formulare aus, indem sie den Barrierefreiheitsbaum der Seite lesen. Auf 62 von 140 Startseiten sieht mindestens ein Element aus wie ein Button und verhält sich so, ist aber ein gestaltetes div. Ein Agent sieht dort kein Bedienelement, ein Screenreader auch nicht. 64 haben Buttons oder Links ohne Namen. Beides ist je eine Zeile HTML; mehr dazu in Was eine agentenfreundliche Website ausmacht.

So haben wir gemessen

• Stichprobe: 22 Websuchen nach Gewerk und Stadt (etwa „Elektriker Krefeld“, „Installateur Graz“, „Treuhand Luzern“), 20 deutsche Städte plus Graz und Luzern. Aus jeder Trefferliste haben wir die eigenen Websites der Betriebe genommen, ohne Verzeichnisse, Bewertungsportale, Franchise-Seiten und Unternehmen mit mehr als 250 Beschäftigten. 150 Domains: 134 aus Deutschland, 9 aus Österreich, 7 aus der Schweiz.
• Prüfungen: die sieben Bereiche des öffentlichen Website-Checks, gleicher Code, gleiche Bewertung: AI Visibility Check, Abmahn-Check, SEO Site Audit, BFSG-Check (axe-core in Headless Chrome), AI Agent Readiness Check, Email Setup Check und Social Preview Check. Für die Einwilligung hat der Cookie-Scanner jede deutsche und österreichische Website in Headless Chrome geöffnet, festgehalten, was vor der Einwilligung lädt, Ablehnen geklickt, wo er den Button fand, und neu geladen; 128 deutsche Websites haben diesen Scan durchlaufen.
• Abdeckung: 144 von 150 Websites wurden geprüft. Nicht geprüft: drei Domains, die nicht mehr auflösen (aber noch in der Suche stehen), eine Website, die nur unverschlüsselt über HTTP antwortet, eine mit HTTP 500 und eine, deren Firewall automatische Verbindungen kappt. Zwei weitere funktionierten nur mit www davor; geprüft haben wir diese Adresse. Barrierefreiheits- und Agenten-Check scheiterten auf drei bzw. vier Websites.
• Deutsches Recht für deutsche Websites: Die Rechtszahlen beziehen sich auf die 128 geprüften deutschen Websites. E-Mail, Barrierefreiheit, KI und Link-Vorschau auf alle 144.
• Grenzen: nur die Startseite, automatisch, ein Durchlauf pro Website. Suchergebnisse bevorzugen Websites, die ranken; die Stichprobe neigt also zu Betrieben, die in ihre Website investieren. Die Branchengruppen sind klein (2 bis 17 Websites), deshalb vergleichen wir keine Gewerke.
• Keine Einzeldaten: Wir veröffentlichen nicht, welcher Betrieb was nicht besteht. Eine Liste kleiner Betriebe mit Rechtslücken ist eine Zielliste für Abmahnkanzleien. Jeder Inhaber kann seine eigene Website in einer Minute prüfen.
• Unsere eigenen Korrekturen: Die Studie hat gezeigt, dass unsere Tools eine Website ohne HTTPS und eine, deren HTTPS nur mit www funktioniert, als unerreichbar gemeldet haben. Beide Fälle bekommen jetzt eine eigene Meldung mit der Lösung. Außerdem hat unser SEO Site Audit dekorative Bilder (alt="") als fehlenden Alternativtext gezählt und damit 81 Websites zu Unrecht markiert. Wir haben das behoben und den SEO-Bereich am 29. Oktober neu geprüft; alle Zahlen hier stammen aus der korrigierten Version.

Was eine KMU-Website zuerst beheben sollte

1. Das Impressum einmal lesen. Den Absatz zur OS-Plattform löschen, „§ 5 TMG“ durch „§ 5 DDG“ ersetzen oder streichen, „TTDSG“ und „Privacy Shield“ in der Datenschutzerklärung ersetzen. Fünfzehn Minuten.
2. DMARC veröffentlichen. Ein DNS-Eintrag, zuerst p=none mit Berichtsadresse, zwei Wochen später quarantine.
3. Nichts von Google vor der Einwilligung. Schriften auf dem eigenen Server hosten, Statistik und Karten erst nach Zustimmung laden.
4. Kontrast korrigieren und jeden Icon-Link benennen. Meist eine Theme-Einstellung und ein aria-label pro Icon.
5. Sagen, wer Sie sind. Ein LocalBusiness-JSON-LD-Block mit Name, Adresse, Öffnungszeiten und sameAs-Links, dazu ein og:image für geteilte Links.

FAQ

Wie gut sind die Websites kleiner Betriebe in Deutschland? Bei den technischen Grundlagen besser als ihr Ruf, bei den Details schlechter. Der Median in unserem Check von 144 Websites liegt bei 79 von 100 Punkten, 12 Websites erreichen 90 oder mehr, keine mehr als 94. Die SEO-Grundlagen stimmen meist; Rechtstexte, E-Mail-Authentifizierung und Barrierefreiheit nicht.

Brauche ich den Link zur OS-Plattform der EU noch? Nein. Die EU hat die OS-Plattform am 20. Juli 2025 abgeschaltet, die Pflicht zur Verlinkung ist damit entfallen. 23,4 % der deutschen KMU-Websites in unserem Check verlinken sie noch. Link und Absatz entfernen; der Hinweis zur Verbraucherschlichtung nach § 36 VSBG ist davon nicht betroffen.

Was ist DMARC, und braucht ein kleiner Betrieb das? DMARC ist ein DNS-Eintrag, der Mailserver anweist, Mails mit gefälschter Absenderdomain abzulehnen oder in Quarantäne zu legen. Ohne DMARC können Betrüger leichter Rechnungen in Ihrem Namen an Ihre eigenen Kunden schicken. 45,8 % der geprüften Domains haben gar keinen DMARC-Eintrag.

Gilt das BFSG für meine Website? Nur wenn Sie Dienstleistungen für Verbraucher online verkaufen, etwa über einen Shop oder eine Buchung mit Vertragsschluss, und kein Kleinstunternehmen (weniger als zehn Beschäftigte, höchstens 2 Mio. € Umsatz) mit Dienstleistungen sind. Eine reine Informationsseite fällt meist nicht darunter. Das ist keine Rechtsberatung.

Kann ich meine eigene Website prüfen? Ja. Der Website-Check führt dieselben sieben Prüfungen für jede Adresse in unter einer Minute aus, kostenlos und ohne Anmeldung, und sortiert die Korrekturen nach ihrem Nutzen.

Die meisten dieser Korrekturen sind an einem Nachmittag erledigt. Wenn die Website Teil einer größeren Aufgabe ist (Formulare, die ins CRM laufen, Buchungen, die im Kalender landen, Mails, die ankommen), schreiben Sie uns.