Was ist ein Website-Compliance-Audit? Ein praktischer Leitfaden für KMU

Wenn Sie ein KMU mit Website betreiben, haben sich die geltenden Regeln in den letzten fünf Jahren vervielfacht. Barrierefreiheits-Gesetze treffen jetzt private Unternehmen in der EU, im UK, in den USA, Kanada und Australien. Die Datenschutzaufsichten haben von Verwarnungen auf umsatzproportionale Bußgelder umgeschwenkt. Cookie-Einwilligungen sind längst nicht mehr nur ein EU-Thema.

Ein Website-Compliance-Audit ist die strukturierte Prüfung, mit der Sie herausfinden, ob Ihre Website wirklich den Gesetzen entspricht, die für sie gelten. Dieser Beitrag erklärt, was das Audit umfasst, wie man es ohne wochenlangen Beratungsaufwand durchführt und was ein KMU als Erstes anpacken sollte.

Was geprüft wird

Es gibt kein einheitliches Globalgesetz für „Website-Compliance“. Das Audit ist eine Checkliste aus den Regelungen, die dort gelten, wo Ihre Besucher leben. Für die meisten KMU in der EU, im UK oder in den USA decken die folgenden vier Listen 90 % des tatsächlichen Risikos ab.

1. Barrierefreiheit

Praktische Zielmarke ist WCAG 2.1 Stufe AA, wobei es sich lohnt, genau hinzusehen, welches Gesetz auf welche Version verweist. Der Europäische Rechtsakt zur Barrierefreiheit (in Deutschland umgesetzt als BFSG, in Kraft seit 28. Juni 2025) erreicht WCAG 2.1 AA über die harmonisierte Norm EN 301 549. Der AODA verlangt WCAG 2.0 AA, nicht 2.1 (O. Reg. 191/11 s. 14, ohne die Erfolgskriterien 1.2.4 und 1.2.5). Der UK Equality Act 2010 nennt überhaupt keinen technischen Standard; WCAG 2.1 AA ist im UK nur für den öffentlichen Sektor verbindlich (Accessibility Regulations 2018). Und auch ADA Title III übernimmt keinen Standard, die Regel des US-Justizministeriums vom April 2024 legt WCAG 2.1 AA ausschließlich für Stellen unter Title II fest. Wer nach 2.1 AA baut, erfüllt alle vier, deshalb bleibt das die sinnvolle Zielmarke.

Ein automatisierter Scan erfasst den maschinell prüfbaren Teil der WCAG, üblicherweise mit rund einem Drittel der Erfolgskriterien beziffert: Kontraste, fehlende Alt-Texte, Formularlabels, unbenannte Links und Buttons, fehlende Sprachauszeichnung, falsche ARIA-Nutzung. Nicht erfasst werden Tastaturfallen, Fokusreihenfolge, Fokus-Sichtbarkeit, Reflow und die Frage, ob ein Alt-Text inhaltlich etwas taugt. Veracly führt 29 WCAG-Kriterien aus genau diesem Grund als manuell und wertungsneutral. Ein Scan zeigt, ob die offensichtlichen Probleme existieren, kein Scan bescheinigt Konformität.

Mehr lesen: WCAG 2.1 AA Barrierefreiheits-Audit erklärt.

2. Datenschutz und Einwilligung

Für Besucher aus EU/UK ist die Einwilligung für nicht-essentielle Cookies und Tracker zwingend vor deren Ausführung. Ein echtes Audit erfasst den Netzwerkverkehr beim ersten Seitenaufruf, bevor der Nutzer überhaupt klickt. Banner mit „Durch Nutzung der Seite stimmen Sie zu“ oder die Tracker auf Pageload abschießen, sind die häufigste Schwachstelle, und für eine Aufsichtsbehörde am leichtesten zu erkennen.

Mehr lesen: Was ist ein DSGVO-Cookie-Audit?

3. Tracking und Analytics

Geprüft werden Tracking-Pixel (Meta, TikTok, LinkedIn, Google Ads), Session-Recorder (Hotjar, FullStory, Microsoft Clarity), Werbe-Tags und alles, was Besucherverhalten an Dritte sendet. Jedes Tool hat DSGVO-, ePrivacy- und mittlerweile auch US-bundesstaatliche Implikationen. Die Lösung ist meistens nicht das Entfernen, sondern das nachgelagerte Laden nach Einwilligung und die korrekte Offenlegung.

Mehr lesen: Tracking-Pixel-Audit: DSGVO und ePrivacy.

4. Pflichtseiten

• Datenschutzerklärung, die zu dem passt, was die Seite tatsächlich tut
• Cookie-Richtlinie mit aktuellem Cookie-Inventar
• Erklärung zur Barrierefreiheit (Pflicht unter EAA/BFSG seit Juni 2025)
• Impressum (in Deutschland, Österreich, Schweiz Pflicht)
• AGB, sobald Sie etwas verkaufen

Entscheidend ist, welche Hälfte dieser Liste ein Scanner überhaupt klären kann. Veracly prüft, ob Datenschutzerklärung, Erklärung zur Barrierefreiheit und Impressum existieren und auf Ihrer eigenen Domain erreichbar sind, und meldet Tracker, die wir laden sehen, deren Name aber nirgends in Ihrer Datenschutzerklärung auftaucht. Der Scanner liest die Erklärung nicht auf Verantwortlichen, Rechtsgrundlage oder Speicherdauer, gleicht Ihre Cookie-Tabelle nicht mit den tatsächlich gesetzten Cookies ab und prüft AGB gar nicht. Das bleibt eine menschliche Lektüre. Wir sagen das lieber, als einen grünen Haken so aussehen zu lassen, als hätte eine Juristin unterschrieben.

Manuelles Audit vs. kontinuierliches Scannen

Ein Beratungs-Audit dauert 2 to 6 Wochen und kostet für eine KMU-Website 5.000 to 20.000 €. Das ist als Momentaufnahme in Ordnung, aber die meisten Compliance-Regressionen entstehen nach dem Audit, im laufenden Produktbetrieb. Ein neues Drittanbieter-Widget, ein überarbeitetes Anmeldeformular, ein vom Marketing eingesetztes Analytics-Tool, das in der Entwicklung niemand kennt. Kontinuierliches Scannen erkennt das am Tag des Deploys statt Monate später, wenn der Brief der Aufsichtsbehörde kommt.

Was KMU als Erstes angehen sollten

1. Tracker vor Einwilligung stoppen. Höchstes Risiko, einfachste Behebung. Verschieben Sie jeden Meta-/TikTok-/LinkedIn-Pixel und jede nicht-essentielle Analytics hinter eine Einwilligungsprüfung.
2. „Durch Weiternutzung stimmen Sie zu“-Banner ersetzen durch ein Banner mit gleichwertigen Buttons „Akzeptieren“ und „Ablehnen“. CNIL und Garante haben für die Alternative bereits Bußgelder verhängt. Die ICO hat wegen Banner-Gestaltung nie ein Bußgeld verhängt, wohl aber Sweeps durchgeführt und Betreiber angeschrieben, zuletzt die britischen Top 1.000 im Januar 2025.
3. Top-WCAG-Verstöße beheben. Kontraste, fehlende Alt-Texte, Formular-Labels, Fokus-Zustände, Tastaturfallen. Diese fünf Punkte machen den Großteil echter Beschwerden aus.
4. Erklärung zur Barrierefreiheit veröffentlichen. EAA/BFSG schreiben das seit Juni 2025 vor.
5. Datenschutzerklärung an die Realität anpassen. Die meisten KMU-Erklärungen sind Vorlagen ohne Bezug zur Live-Site. Aufsichten prüfen das.

Häufige Fehler

Vertrauen in ein Accessibility-Overlay. Die FTC hat accessiBe im Januar 2025 mit 1 Mio. USD Bußgeld belegt, weil deren Marketing zu Overlays irreführend war. Overlays schaffen keine Compliance, sie verdecken Probleme zur Laufzeit, der Code bleibt für viele Nutzer unbenutzbar und für Klagen angreifbar.

Compliance als reines US- oder EU-Thema betrachten. Die meisten KMU-Sites bedienen heute Besucher aus mehreren Jurisdiktionen.

Nur einmal auditieren. Häufiges Muster: gründliches Audit, sauberer Bericht, sechs Monate Routine-Releases, Behördenbrief. Machen Sie das Audit zum festen Teil Ihres Release-Prozesses.

So geht Veracly damit um

Veracly wurde speziell für die KMU-Variante dieses Problems gebaut. Ein Scan berichtet gleichzeitig gegen EAA/BFSG, DSGVO und ePrivacy, ADA, UK Equality Act und AODA. US-bundesstaatliche Datenschutzgesetze sind nicht in der Engine, und wir benennen die Lücke lieber, als die Liste aufzublähen.

Der kostenlose Scan umfasst eine Seite, einmal pro E-Mail-Adresse innerhalb von sieben Tagen. Er nutzt dieselben Analysen, dieselben Regelwerke und dieselbe Bewertung wie ein bezahlter Scan, die Befunde sind also echt, aber er kommt bewusst mit KI-Erklärungen nur für seine drei wichtigsten Befunde, ohne Beleg-Screenshots und ohne Copy-paste-Fixes, und er ist eine Momentaufnahme statt kontinuierlichem Monitoring. Das gehört zum bezahlten Tarif. Starten Sie den kostenlosen Scan und sehen Sie Ihre Website mit den Augen einer Aufsichtsbehörde, bevor diese hinschaut.