Mehr als 40 Punkte in einfachen Worten: was angesehen wird, warum es wichtig ist und was es bedeutet, wenn etwas durchfällt.
Die Prüfung gliedert sich in drei Gruppen – Inhalt, Technik und Teilen in sozialen Medien & Daten – und daneben wird die Geschwindigkeit getrennt mit den Core Web Vitals von Google gemessen, auf dem Handy und am Computer. Zwei weitere Vertrauens-Prüfungen werden angezeigt, ohne in die Punktzahl einzugehen.
Was Google und der Besucher aus Ihrer Seite verstehen.
| Prüfung | Was angesehen wird, und warum |
|---|---|
| Seitentitel | Gibt es einen Titel? Es ist die eine Zeile, die man in den Google-Ergebnissen sieht, bevor man entscheidet, ob man klickt. |
| Länge des Titels | Zu kurz sagt nichts; zu lang wird in der Mitte abgeschnitten. |
| Beschreibung (Meta-Description) | Der kurze Text unter dem Titel. Fehlt er, schreibt Google irgendetwas, das es findet. |
| Länge der Beschreibung | Aus demselben Grund: Sie soll hineinpassen und etwas aussagen. |
| Eine H1-Überschrift | Der Haupttitel innerhalb der Seite. Keiner oder mehrere verwischen, worum es auf der Seite geht. |
| Reihenfolge der Überschriften | Überschriften sollten der Reihe nach folgen (H1 → H2 → H3), wie die Kapitel eines Buches. |
| Textmenge | Eine fast leere Seite erreicht selten eine gute Platzierung. |
| Bildbeschreibungen (alt) | Ohne sie weiß Google nicht, was ein Foto zeigt – und der Screenreader eines blinden Besuchers ebenso wenig. |
| Interne Links | Seiten, die nicht miteinander verlinkt sind, sind Seiten, die niemand findet. |
Das Fundament. Wenn hier etwas kaputt ist, spielt es keine Rolle, wie gut der Text ist.
| Prüfung | Was angesehen wird, und warum |
|---|---|
| Viewport | Fehlt er, erscheint die Seite auf dem Handy wie eine verkleinerte Desktop-Seite. |
| HTTPS | Ohne HTTPS schreibt der Browser „nicht sicher“ neben Ihren Namen. |
| Noindex | Ein Tag, das Google sagt: „Zeige mich nicht an.“ Es wird öfter versehentlich stehen gelassen, als man denkt – und lässt eine ganze Website verschwinden. |
| Sprache der Seite | Sagt Google und Übersetzungswerkzeugen, in welcher Sprache die Seite geschrieben ist. |
| Canonical | Legt fest, welche Adresse die „offizielle“ ist, wenn es von einer Seite Varianten gibt. |
| robots.txt | Die Anweisungen für Suchmaschinen. Fehlt sie oder ist sie falsch, kann sie versehentlich Türen verschließen. |
| Sitemap | Die Liste Ihrer Seiten. Ohne sie muss Google selbst suchen. |
| Favicon | Das kleine Symbol im Browser-Tab. Klein, aber es ist Ihre Identität unter zwanzig offenen Tabs. |
| Weiterleitungskette | Jeder zusätzliche „Sprung“, bevor die Seite lädt, kostet Zeit und verliert Besucher. |
| Leere Links | Links, die ins Nichts führen – ein kaputtes Erlebnis und verlorenes „Gewicht“ bei Google. |
Und eine weitere Prüfung, die nicht in die Punktzahl eingeht: die Seite auf dem Handy. Google liest die mobile Version, und manche Websites liefern Handys eine eigene Kopie aus (zum Beispiel einen mobilen Cache). Wir öffnen die Seite auch wie ein Handy und sagen Ihnen, wenn dort etwas fehlt – Titel, Beschreibung, Text – oder wenn die Symbole als kleine Kästchen erscheinen.
Und die Servereinstellungen, die ebenfalls nicht in die Punktzahl eingehen: HTTP/2 (schnelleres Laden), Komprimierung der Seiten, das „Zwischenspeichern“ von Dateien im Browser für spätere Besuche, ein echtes „404“, wenn eine Seite nicht existiert (sonst listet Google womöglich Fehlerseiten) und eine Hauptadresse – mit oder ohne www, wobei die andere dauerhaft dorthin weiterleitet. Zur Information zeigen wir außerdem HTTP/3 und IPv6.
Und der HTML-Code der Seite, der ebenfalls nicht in die Punktzahl eingeht: jede ID nur einmal verwendet, Tags in der richtigen Reihenfolge geschlossen, Elemente nur dort, wo HTML sie erlaubt, Attribute richtig geschrieben und kein veralteter Code. Browser kommen meist damit zurecht, aber ein solcher Fehler kann ein Formular oder einen Screenreader durcheinanderbringen. Wir lesen nur den Code, den die Prüfung ohnehin schon heruntergeladen hat.
Was Menschen sehen, wenn jemand Ihre Seite teilt.
| Prüfung | Was angesehen wird, und warum |
|---|---|
| og:title | Der Titel, der erscheint, wenn Ihr Link auf Facebook, Viber oder WhatsApp gepostet wird. |
| og:image | Das Vorschaubild. Ohne es ist Ihr Link eine graue Textzeile. |
| Strukturierte Daten (JSON-LD) | Informationen in einer Sprache, die Maschinen lesen: welche Art von Unternehmen Sie sind, wo, und Ihre Öffnungszeiten. |
Getrennt gemessen, mit Daten von Google, auf dem Handy und am Computer:
Auch das Gewicht der Bilder wird geprüft – die häufigste Ursache für eine langsame Seite.
Sie gehen nicht in die Punktzahl ein – gehören aber zu den Dingen, die ein Inhaber von sich aus nie sieht.
| Prüfung | Was angesehen wird, und warum |
|---|---|
| Tracking vor der Einwilligung | Starten der Facebook-Pixel, Google Analytics oder TikTok, bevor der Besucher das Cookie-Banner beantwortet? Dann ist das Banner Dekoration, und das DSGVO-Bußgeld ist real. Wir prüfen es auf der Seite und mit Googles eigener Messung – einem echten Browser, der nie auf „Akzeptieren“ klickt. |
| Zahlungsbuttons | Stripe und PayPal akzeptieren ihr Skript nur von ihren eigenen Servern. Legt ein Geschwindigkeits-Plugin eine Kopie an, verschwinden Apple Pay und Google Pay ohne Meldung aus dem Shop. Wir sehen uns auch eine Produktseite an, auf der sie laden. |
Sie gehen nicht in die Punktzahl ein. Wir sehen nur an, was jeder Besucher sieht, und das öffentliche DNS – wir suchen nicht nach versteckten Dateien, Anmeldeseiten oder Sicherheitslücken, denn jeder kann die Website eines anderen in BeOnTop eintragen.
| Prüfung | Was angesehen wird, und warum |
|---|---|
| Googles Liste gefährlicher Websites | Ob Google die Website wegen Viren oder Betrugs auf seine Liste gesetzt hat (Safe Browsing). Dann zeigt Chrome Besuchern statt der Website eine rote Seite „Gefährliche Website“. |
| Sicherheitszertifikat (SSL) | Ob es gültig und für die richtige Adresse ausgestellt ist und wie viele Tage bis zum Ablauf bleiben. Läuft es ab, zeigen Browser statt der Website eine Warnseite. |
| Zertifikatsdetails | Ob sein Schlüssel groß genug ist, um sicher zu sein, ob das Zertifikat auch auf der Adresse funktioniert, die jemand stattdessen eintippen könnte (mit oder ohne www.), und ob ein CAA-Eintrag die einzige Stelle benennt, die Zertifikate für die Domain ausstellen darf (optional). |
| Einstellungen der sicheren Verbindung (TLS) | Welche TLS-Versionen der Server akzeptiert: das moderne TLS 1.3 und 1.2, und ob er noch das alte TLS 1.0/1.1 (2021 eingestellt) annimmt. Vier kurze Verbindungen wie bei einem Browser – sonst wird nichts gesendet. |
| http:// leitet auf https:// weiter | Landet jemand, der die Adresse ohne „https“ eintippt, auf der sicheren Website? |
| Ablauf der Domain | Wann die Domain selbst abläuft, so wie ihr Register es veröffentlicht. Eine abgelaufene Domain nimmt Website und E-Mail mit – deshalb senden wir einige Tage vorher auch eine dringende E-Mail. .gr, .eu und .cy veröffentlichen das Datum nicht. |
| DNSSEC (signiertes DNS) | Ob die Domain signiert ist, sodass niemand ihre DNS-Antworten fälschen kann – und vor allem, dass die Signatur nicht kaputt ist: Dann weigern sich viele Internetanbieter, die Website zu finden. Eine Domain ohne DNSSEC ist der Normalfall und verliert keine Punkte. |
| Unsichere Dateien auf einer sicheren Seite | Skripte, Stile oder Bilder von http://-Adressen – Browser blockieren sie oder zeigen „nicht sicher“. |
| Plugins mit bekannten Lücken | Für WordPress-Websites: die Versionen der Plugins und des Themes, wie sie in den Adressen der Dateien der Seite erscheinen, verglichen mit öffentlich bekannten Sicherheitslücken (Daten: Wordfence Intelligence, © Defiant Inc.). Bei den Websites von Mitbewerbern wird das nicht angezeigt. |
| Software-Versionen | PHP, das keine Sicherheitskorrekturen mehr erhält, WordPress, das WordPress.org selbst „unsicher“ nennt, und Software, die gar nicht mehr unterstützt wird (Windows/IIS älter als 10, Apache 2.2, Drupal vor 10, Joomla vor 5). |
| JavaScript-Bibliotheken | jQuery, jQuery UI, Bootstrap, AngularJS und Lodash in Versionen mit bekannten Lücken oder ohne Support – wie sie in den Adressen der Dateien der Seite erscheinen. Keine Datei wird einzeln geöffnet. |
| E-Mails, die sich als Sie ausgeben | Die SPF- und DMARC-Einträge der Domain: Ohne sie kann jeder E-Mails senden, die scheinbar vom Unternehmen kommen. |
| Signieren Ihrer E-Mails (DKIM) | Ob die E-Mails der Domain signiert von einem bekannten Anbieter versendet werden (Google, Microsoft 365, SendGrid, Mailchimp und andere). Gmail und Outlook vertrauen signierten E-Mails mehr. |
| Spam-Listen (Blacklists) | Ob Ihr Mailserver oder der Server der Website auf einer Spam-Liste steht (SpamCop, PSBL, Mailspike) – dann landet ein Großteil Ihrer E-Mails im Spam-Ordner oder kommt zurück. Nur eine DNS-Anfrage an jede Liste; an die Website wird nichts gesendet. |
| HSTS, Schutz-Header, Cookies | Kleine Servereinstellungen, die den Browser vorsichtiger machen – von Cookies lesen wir nur Namen und Kennzeichen, nie ihren Inhalt. |
Zu jedem Ergebnis gehören eine Erklärung und ein Vorschlag zur Behebung. Sie können sie unverändert an die Person weitergeben, die Ihre Website betreut, oder – wenn sie mit WordPress läuft – BeOnTop die fehlenden Bildbeschreibungen selbst schreiben lassen. Siehe die Anleitung.