Kostenloser Website-Compliance-Scan: worauf achten (und was ignorieren)

Suchen Sie nach „kostenloser Website-Compliance-Scan" und Sie finden hundert Tools. Viele sind Lead-Gen-Trichter für Beratungsfirmen oder Overlay-Anbieter. Dieser Artikel ist der Käuferleitfaden.

Was ein nützlicher freier Scan tut

1. Testet gegen benannte Kriterien. WCAG-2.1-AA-Erfolgskriterien, DSGVO-Artikelreferenzen, ePrivacy-Regeln. Keine vagen „Risiko-Scores".
2. Erfasst Netzwerkverkehr beim ersten Laden. Der nützlichste DSGVO-Cookie-Test funktioniert nur mit Snapshot innerhalb einer Sekunde.
3. Differenziert Schwere. Ein fehlendes Form-Label ist hochkritisch, ein fehlendes alt an einem dekorativen Trenner nicht. Mit einer Einschränkung: Kein automatisches Werkzeug unterscheidet diese beiden Bilder wirklich. Alle prüfen nur, ob das Attribut vorhanden ist, unseres eingeschlossen.
4. Liefert konkrete Sanierung. Genauer Selektor und Code-Änderung. Nicht „Kontrast verbessern".
5. Sagt, was er nicht prüfen kann. Kein Tool deckt alle WCAG-Probleme ab.

Warnsignale

„Ihre Site ist X% nicht-konform." Eine Prozentzahl verschleiert die Schwere.

„Risiko von 75.000 USD Klage." Drohsprache. Echte Audits zitieren jurisdiktionsspezifische Bußgelder.

„Wir beheben alle Accessibility-Probleme automatisch." Der Overlay-Claim. FTC hat dafür Strafen verhängt.

Keine Erwähnung von WCAG-Kriterien. Ohne Nennung von 1.4.3 Kontrast ist der Bericht nicht handlungsfähig.

Keine Erwähnung von Jurisdiktion. „DSGVO-Verstöße" ist nutzlos ohne EU-Besucher.

Wie man Ergebnisse liest

• Hochkritische Probleme? Form-Labels, fehlende Alt-Attribute, Kontrast, unbenannte Links und Buttons, Pixel vor Einwilligung. Diese zuerst beheben. Tastaturfallen und Fokus-Sichtbarkeit gehören auf dieselbe Prioritätenliste, tauchen aber in keinem automatisierten Bericht auf, kein Scanner drückt Tab.
• Cookie-Inventar? Selbst mit der Cookie-Richtlinie abgleichen. Diesen Abgleich nimmt Ihnen kein uns bekannter Scanner ab, unserer auch nicht.
• Pflicht-Seiten? Datenschutzerklärung, Barrierefreiheits-Erklärung und in Deutschland und Österreich das Impressum. Erwarten Sie eine reine Existenzprüfung: Eine Cookie-Richtlinie wird üblicherweise in die Datenschutzprüfung eingerechnet statt eigenständig bewertet, und keines dieser Dokumente wird inhaltlich gelesen.
• Liste handlungsfähig? Wenn Entwickler nicht fixen kann, war es Marketing.

Was mit dem Bericht tun

1. Scan ausführen, Liste exportieren.
2. Triage: Hochkritisch zuerst.
3. Ein Ticket pro Problem mit Selektor und Fix.
4. Nach dem Deploy des Fix-Pakets re-scannen, nicht nach jeder einzelnen Änderung: Der kostenlose Scan erlaubt einen Lauf pro E-Mail-Adresse in sieben Tagen.
5. Wiederkehrenden Scan einrichten, wöchentlich der KMU-Standard.

Veracly’s kostenloser Scan

Am obigen Maßstab gemessen, hier unser eigener. Der kostenlose Scan umfasst eine Seite, einen Lauf pro E-Mail-Adresse in sieben Tagen. Er testet gegen WCAG 2.1 AA via axe-core plus fünf eigene DOM-Regeln, erfasst Cookies, Storage-Schreibvorgänge und Drittanbieter-Requests beim ersten Laden vor jeder Banner-Interaktion, gleicht diese Requests mit einem handgepflegten Verzeichnis von 69 Tracker-Anbietern ab und prüft, ob Datenschutzerklärung, Barrierefreiheits-Erklärung und, in Deutschland und Österreich, ein Impressum auf Ihrer eigenen Domain existieren. Jeder Befund zitiert das WCAG-Kriterium oder den Verordnungsartikel.

Gegen welche Regelwerke bewertet wird, hängt davon ab, wo Ihre Besucher sind, nicht davon, was Sie bezahlt haben. Ein kostenloser Scan leitet ein einzelnes Land ab und liefert das passende Regelwerk: EAA und DSGVO für eine EU-Site, UK Equality Act und UK GDPR für eine britische. Mehrere Länder im Scope, und damit ADA oder AODA neben den europäischen Paketen, ergeben sich aus den konfigurierten Besucherländern eines bezahlten Tarifs. Analysen, Regelwerke und Score-Formel sind in beiden Fällen identisch. Der kostenlose Tarif erläutert nur seine drei wichtigsten Befunde und lässt Beleg-Screenshots und Copy-Paste-Fixes ganz weg.

Und weil wir das oben zum Kriterium gemacht haben: Was der Scan nicht erkennt. Es wird nie eine Taste gedrückt, Tastaturfallen, Fokusreihenfolge und Fokus-Sichtbarkeit bleiben ungeprüft. PDFs werden gar nicht gescannt. Eingebettete Fremdvideos erhalten keine Untertitelprüfung. Alles, was axe als „needs review" zurückgibt, wird verworfen statt berichtet, wodurch Kontrastbefunde über Bildern und Verläufen still verschwinden. Es gibt genau einen Viewport, 1280×800, Reflow und reine Mobil-Defekte werden nie ausgelöst. 29 WCAG-Kriterien sind als manuell und wertungsneutral markiert. Und wir klicken Ihr Cookie-Banner nicht an, denn ein Klick wäre selbst eine Einwilligungshandlung und würde die Messung vor Einwilligung verfälschen: Wir können sagen, ob eine „Alle ablehnen"-Schaltfläche vorhanden und gleichwertig gestaltet ist, aber nicht, ob ein Klick darauf die Tags tatsächlich stoppt. Scan starten.

Siehe auch: Website-Compliance-Audit · WCAG 2.1 AA Audit