Suchen Sie nach “Website-Wartungs-Checkliste” und Sie bekommen jedes Mal dieselbe Liste. Plugins updaten. Auf defekte Links prüfen. Ein Backup machen. Domain verlängern. Das ist nicht falsch. Es ist nur der Teil, den alle schon kennen, und er lässt die Prüfungen aus, die Probleme wirklich erkennen, bevor sie Sie einen Kunden kosten.
Das ist eine andere Checkliste. Es ist die, die wir an einer Website durchgehen, gruppiert so, wie unser eigener Website-Gesundheitscheck sie durchgeht. Jeder Punkt nennt, was es ist, warum es zählt, und wie Sie es selbst kostenlos prüfen.
Eines vorweg, weil es die ganze Liste ehrlich hält: Diese Prüfungen lesen Ihre öffentliche Startseite und Ihre öffentlichen DNS-Einträge. Sie loggen sich nirgends ein, crawlen nicht jede Seite, und erkennen keine Seite, die hinter den Kulissen bereits gehackt ist. Diese Liste sagt Ihnen, ob Eingangstür und Schlösser solide sind. Sie kann Ihnen nicht sagen, ob jemand schon drinnen ist.
Die Liste hat zwei Hälften: Sicherheit und Vertrauen, dann Tempo und Qualität.
Teil 1: Sicherheit und Vertrauen
Neun Prüfungen. Die ersten beiden bestätigen, dass die Seite und ihre E-Mail überhaupt existieren. Die mittleren fünf drehen sich um Vertrauen, vor allem E-Mail, wo kleine Unternehmen am meisten still verlieren. Die letzten beiden drehen sich darum, erreichbar zu sein.
1. Ist die Seite wirklich online?
Die grundlegendste Prüfung: Zeigt die Domain überhaupt auf einen Server? Ein einziger abgelaufener DNS-Eintrag, und die Seite ist einfach weg, ohne Fehlermeldung, die Sie warnt. Laden Sie Ihre Startseite in einem privaten Fenster. Kommt sie nicht, zählt nichts anderes auf dieser Liste noch.
2. Kann die Domain E-Mails empfangen?
Eine Domain braucht einen MX-Eintrag, um Post anzunehmen. Unternehmen verlieren das beim Wechsel des E-Mail-Anbieters, wenn ein Eintrag wegfällt. Plötzlich prallt jede Antwort an Ihre Adresse ab, und Sie erfahren es von einem verärgerten Kunden. Wenn Sie E-Mail an Ihrer Domain nutzen, bestätigen Sie, dass sie noch empfangen kann.
3. SPF: wer in Ihrem Namen senden darf
SPF listet auf, welche Server mit Ihrer Domain senden dürfen. Zwei Dinge brechen es. Entweder gibt es keinen Eintrag, oder, hinterhältiger, es gibt zwei. Empfangsserver verwerfen doppelte SPF-Einträge komplett, also kann “wir haben SPF” still falsch sein. Prüfen Sie, dass Sie genau einen Eintrag haben und dass er jeden Dienst nennt, von dem Sie tatsächlich senden. Unser kostenloser SPF-Checker zeigt es Ihnen.
4. DMARC: was passiert, wenn eine Nachricht fehlschlägt
DMARC sagt Empfangsservern, was sie mit Post tun sollen, die Ihre Prüfungen nicht besteht: nichts (p=none), in den Spam schicken (quarantine) oder ablehnen (reject). Im Dezember 2025 hatten 83,9 % der Domains überhaupt keinen DMARC-Eintrag. Zwei Details, die die meisten Checker übersehen: eine Subdomain-Policy auf sp=none lässt Ihre Subdomains fälschbar, und eine rua-Adresse, die ins Leere zeigt, lässt Ihre Fehlerberichte verschwinden. Der kostenlose DMARC-Checker liest all das.
5. DKIM: signieren Ihre Absender wirklich?
DKIM ist die Signatur, die beweist, dass eine E-Mail wirklich von Ihnen kam. SPF sagt, wer senden darf. DKIM beweist, dass er es getan hat. Die Lücke ist häufig: Ein Dienst ist in SPF erlaubt, signiert aber nicht wirklich, also ist seine Post schwächer, als Sie denken. Eine echte Prüfung testet die Standardsignaturen der Dienste, die Sie nutzen, wie Google Workspace, Microsoft 365, SendGrid, Mailchimp und Resend, und bestätigt, dass sie aktiv sind.
6. CAA: wer Zertifikate für Ihre Domain ausstellen darf
Ein CAA-Eintrag begrenzt, welche Zertifizierungsstellen ein SSL-Zertifikat für Ihre Domain ausstellen dürfen. Ohne ihn darf jede, was die Tür für ein fehlerhaft ausgestelltes Zertifikat weiter öffnet. Es ist ein kleiner Eintrag, den die meisten Seiten nie setzen, und ihn zu setzen ist ein stilles Sicherheits-Upgrade.
7. SSL: ist das Zertifikat wirklich gültig?
“Hat ein Schloss” ist nicht dasselbe wie “gültig”. Ein Zertifikat kann abgelaufen sein, den falschen Hostnamen abdecken oder eine gebrochene Kette haben, und jedes davon löst die bildschirmfüllende Warnung “Ihre Verbindung ist nicht privat” aus, die Besucher zurück zur Suche schickt. Eine echte Prüfung bestätigt, dass das Zertifikat im Browser gültig ist, Hostname und Kette inbegriffen, und wie viele Tage es bis zum Ablauf hat. Führen Sie den kostenlosen SSL-Checker aus.
8. Mobiler Viewport: weiß das Telefon, wie es die Seite darstellen soll?
Ein kleines Tag, das Viewport-Meta-Tag, sagt dem Telefon, wie es Ihre Seite anordnen soll. Ohne es sehen mobile Besucher ein winziges, herausgezoomtes Desktop-Layout, das sie zum Lesen aufziehen müssen. Die meisten geben auf. Es ist eine einzeilige Korrektur, die in einem Redesign leicht verloren geht.
9. robots.txt und KI-Zugang: erreichen die Crawler Sie?
Ihre robots.txt-Datei steuert, wer Ihre Seite lesen darf. Prüfen Sie, dass sie existiert, dass Googlebot und Bingbot Ihre Startseite erreichen, und, zunehmend wichtig, dass KI-Crawler nicht blockiert sind. Wenn jemand ChatGPT oder Perplexity nach einem Unternehmen wie Ihrem fragt, muss die KI zuerst hineindürfen. Unser KI-Crawler-Checker testet sieben davon auf einmal, darunter GPTBot, ClaudeBot, PerplexityBot und Google-Extended, und der robots.txt-Checker deckt die Such-Crawler ab.
Teil 2: Tempo und Qualität
Die zweite Hälfte dreht sich um das Erlebnis, sobald ein Besucher ankommt. Diese kommen aus Googles eigenem PageSpeed Insights, auf Mobil ausgeführt, und Sie bekommen sie aus unserem kostenlosen Geschwindigkeitstest.
Es gibt vier Werte von 100:
- Tempo (Leistung): wie schnell die Seite auf einem Mittelklasse-Telefon wirklich lädt.
- Barrierefreiheit: ob Menschen mit Screenreader oder Tastaturnavigation die Seite nutzen können.
- Richtig gebaut (Best Practices): ob die Seite den modernen Regeln folgt, die Browser erwarten.
- Such-Grundlagen (SEO): ob die Grundlagen vorhanden sind, nach denen Suchmaschinen schauen.
Unter den Werten sagen drei Zahlen, wie sich das Laden wirklich anfühlt:
- LCP (Largest Contentful Paint): wie lange, bis der Hauptinhalt erscheint.
- CLS (Cumulative Layout Shift): wie stark die Seite beim Laden herumspringt.
- TBT (Total Blocking Time): wie lange die Seite eingefroren ist und nicht auf Tippen reagiert.
Dann die Hinweise zur mobilen Nutzbarkeit, die Ihnen auf einem Telefon still Umsätze kosten: zu dicht platzierte Schaltflächen, Text kleiner als 12px, und Inhalte, die breiter als der Bildschirm laufen und zum seitlichen Scrollen zwingen.
Die ehrlichen Grenzen, noch einmal
Es lohnt sich, das zu wiederholen, denn es ist der Unterschied zwischen einer nützlichen Liste und einem falschen Sicherheitsgefühl. Alles oben liest Ihre öffentliche Startseite und Ihre öffentlichen DNS-Einträge. Es wird sich nicht in Ihre Seite einloggen, nicht jede Seite crawlen, noch eine bereits kompromittierte Seite erkennen. Behandeln Sie ein sauberes Ergebnis als “die Eingangstür ist solide”, nicht als “es ist nirgends etwas falsch”.
Ein paar Dinge liegen bewusst außerhalb dieser Kernprüfung und haben eigene kostenlose Werkzeuge, wenn Sie sie wollen: Ihre Weiterleitungen, Ihre Sicherheits-Header und Ihre Social-Vorschau-Tags. Nützlich, aber getrennt vom Gesundheitscheck oben.
Wie oft Sie jede Prüfung ausführen sollten
Wartung ist kein einmaliges Ereignis im Jahr, weil die Dinge auf dieser Liste nach ihrem eigenen Zeitplan ausfallen:
- Zertifikat und DNS: monatlich. Zertifikate laufen an einem festen Datum ab, und ein Anbieterwechsel kann jederzeit einen Eintrag fallen lassen.
- E-Mail (SPF, DKIM, DMARC): nach jeder Änderung an Ihrer E-Mail oder Ihren Sende-Tools, sonst monatlich.
- KI- und Suchzugang: monatlich, und jedes Mal, wenn Sie robots.txt anfassen.
- Tempo und Mobil: nach jedem Redesign oder großen Inhaltszuwachs.
Wenn das nach einer Dauerpflicht klingt, dann weil es eine ist. Eine echte, und der Grund, warum Wartung ausgelassen wird.
Oder geben Sie die ganze Liste ab
Sie können jede Prüfung hier selbst ausführen, kostenlos, und sollten es mindestens einmal tun. Der Haken ist der nächste Monat, und der danach, weil Zertifikate ablaufen, Einträge abdriften und Crawler-Regeln sich ändern, ob Sie daran denken hinzusehen oder nicht.
Diese laufende Arbeit ist das, was Surmado tut. Sie bedienen kein Checklisten-Werkzeug. Scout baut Ihre Seite auf einem Fundament neu auf, auf dem all das vom ersten Tag an richtig eingestellt ist, und hält es dann so: Zertifikat gültig, E-Mail authentifiziert, KI-Crawler zugelassen, Tempo im Rahmen. Nichts auf dieser Liste wird zu Ihrem Sonntagabend-Problem. Wenn Sie die ganze Seite erledigt haben wollen, ist das Surmado Sites.
Weiterführende Beiträge: