Eine WordPress-Website zu auditieren heißt, einen halben Tag lang zu prüfen, was sie bremst, was sie gefährdet und wo sie rechtlich angreifbar ist, und die Korrekturen anschließend nach Priorität zu ordnen. Hier sind die zwölf Prüfpunkte, auf die es ankommt, das kostenlose Werkzeug für jeden Punkt, der Schwellenwert, ab dem du handeln solltest, und eine Checkliste für jedes weitere Audit.
Gesamt-Audit, SEO-Audit, Sicherheits-Audit: Welches brauchst du?
Dieser Leitfaden behandelt das Gesamt-Audit: für eine Website, die du übernimmst, die du neu aufsetzen willst oder die seit einem Jahr niemand mehr angesehen hat. Zwei Bereiche mit eigener Methode streift er bewusst nur:
- Suchmaschinenoptimierung im Detail (Inhalte, Tags, interne Verlinkung, Rankings): siehe unsere Methode für das SEO-Audit einer WordPress-Website.
- Sicherheit Punkt für Punkt: siehe die WordPress-Sicherheitscheckliste mit 40 Punkten.
Das Gesamt-Audit dient der Entscheidung: korrigieren, den Hoster wechseln, neu bauen oder die Wartung abgeben? Es liefert ein Gesamtbild, das die beiden Spezial-Audits anschließend vertiefen.
Was du vor dem Start brauchst
- Ein WordPress-Administratorkonto und nach Möglichkeit SFTP- oder SSH-Zugang (mit WP-CLI dauern mehrere Prüfungen zehn Sekunden).
- Zugriff auf die Google Search Console der Domain und auf den Kundenbereich des Hosters für Logs und Backups.
- Ein privates Browserfenster, um die Website wie ein Besucher zu sehen (Cookie-Banner, Cache, Weiterleitungen).
Die zwölf Prüfpunkte und ihre Schwellenwerte
| Prüfpunkt | Kostenloses Werkzeug | Gutes Zeichen | Handlungsbedarf |
|---|---|---|---|
| Ladezeit | PageSpeed Insights | LCP ≤ 2,5 s, INP ≤ 200 ms, CLS ≤ 0,1 | Eine Metrik „schlecht“ auf Mobilgeräten |
| Mobile Darstellung | Lighthouse, Gerätemodus des Browsers | Kein horizontales Scrollen, gut antippbare Schaltflächen | Text zu klein, unbrauchbare Menüs |
| HTTPS-Zertifikat | Browser, SSL Labs | Gültig, automatisch verlängert, alles über HTTPS | Ablauf steht bevor, gemischte Inhalte |
| Ausstehende Aktualisierungen | Dashboard, WP-CLI | Nichts länger als eine Woche offen | Plugin mehrere Versionen im Rückstand |
| Ungenutzte Plugins | Plugin-Liste | Jedes Plugin hat eine Aufgabe | Deaktivierte oder verwaiste Plugins |
| PHP-Version | Website-Zustand | PHP 8.3 oder neuer | Version ohne Support |
| Sitemap | Search Console | Eingereicht, fehlerfrei | Ausgeschlossene oder fehlerhafte URLs |
| 404-Fehler | Search Console, Logs | Nur wertlose Adressen | Alte Seiten mit eingehenden Links |
| Cookies und DSGVO | Privates Fenster, Browser-Werkzeuge | Kein Tracker vor der Einwilligung | Ablehnen schwieriger als Zustimmen |
| Backups | Hoster, Plugin | Kopie außerhalb des Servers, Wiederherstellung getestet | Nie wiederhergestellt, Kopie auf demselben Server |
| Sicherheit | Website-Zustand, Checkliste | Zwei-Faktor-Authentifizierung, eingeschränkte Zugänge | Unbekannte Administratoren, ungeschützter Login |
| Barrierefreiheit | Lighthouse, WAVE | Alternativtexte, Kontraste, Tastatur | Formulare ohne Beschriftung |
Performance und Mobilgeräte
Prüfe die Startseite und deine drei meistbesuchten Seiten in PageSpeed Insights, im Tab für Mobilgeräte. Die Felddaten (die tatsächliche Erfahrung der Besucher) zählen mehr als der Labor-Score. Die drei Core Web Vitals messen, wie lange das größte Element bis zur Anzeige braucht (LCP), wie schnell die Seite auf Klicks reagiert (INP) und wie stabil das Layout ist (CLS). Typische Ursachen bei WordPress: unkomprimierte Bilder, ein schwerer Page Builder, fehlendes Seiten-Caching, ein überlasteter Server.
Google hat seinen „Test auf Optimierung für Mobilgeräte“ Ende 2023 eingestellt: Nutze Lighthouse (in Chrome und Edge integriert) und geh die Website tatsächlich auf einem Smartphone durch, einschließlich Menüs, Formularen und Bestellvorgang.
Wartung: Aktualisierungen, Plugins, PHP
Unter Werkzeuge > Website-Zustand findest du bereits eine Bestandsaufnahme (PHP-Version, Aktualisierungen, inaktive Plugins, verspätete geplante Aufgaben). Mit WP-CLI geht die Inventur schneller:
wp core version && wp core check-update
wp plugin list --update=available --fields=name,version,update_version
wp plugin list --status=inactive --fields=name,version
wp theme list --fields=name,status,version,update
wp eval 'echo PHP_VERSION;'Ein deaktiviertes Plugin bleibt angreifbar, wenn es eine Sicherheitslücke enthält: Lösche, was du nicht brauchst. Suche außerdem nach Plugins, die seit über einem Jahr nicht aktualisiert wurden (siehe verwaiste Plugins erkennen). Für PHP empfiehlt WordPress Version 8.3 oder neuer; ältere Versionen erhalten nicht mehr alle Sicherheitskorrekturen, wie unser Zeitplan der PHP-Versionen erklärt.
Indexierung: Sitemap und 404-Fehler
Seit WordPress 5.5 wird unter /wp-sitemap.xml eine XML-Sitemap erzeugt, sofern kein SEO-Plugin sie ersetzt. Prüfe, ob sie in der Search Console eingereicht ist und ob der Bericht „Seiten“ keine unerwarteten Ausschlüsse zeigt. Im selben Bericht zählen vor allem die 404-Fehler alter Seiten, die noch Links erhalten: Leite sie auf die nächstliegende Entsprechung weiter. 404-Fehler durch Bots, die nach Schwachstellen suchen, sind dagegen normal.
Rechtliches: Cookies, Pflichtangaben und Barrierefreiheit
- Cookies: Öffne die Website in einem privaten Fenster, dann die Entwicklerwerkzeuge, Tab Speicher (oder Anwendung). Vor der Entscheidung des Besuchers darf kein nicht notwendiges Analyse- oder Werbe-Cookie gesetzt werden (§ 25 TDDDG), und die Datenschutzaufsichtsbehörden verlangen, dass Ablehnen genauso einfach ist wie Zustimmen.
- Pflichtseiten: Impressum, aktuelle Datenschutzerklärung (Formulare, Plugins, die Daten erheben, Speicherfristen), AGB für einen Onlineshop.
- Barrierefreiheit: Seit dem 28. Juni 2025 gilt der European Accessibility Act (in Deutschland umgesetzt durch das Barrierefreiheitsstärkungsgesetz) unter anderem für den Onlinehandel (Kleinstunternehmen, die Dienstleistungen erbringen, sind ausgenommen). Auch ohne Pflicht solltest du Alternativtexte, Kontraste, Tastaturbedienung und Formularbeschriftungen prüfen.
Backups, Sicherheit und Logs
Ein Backup, das nie wiederhergestellt wurde, ist eine Annahme. Frag, wo die Kopien liegen und wie lange sie aufbewahrt werden, und spiel eine davon auf einer Staging-Umgebung ein (Vorgehen in unserem Leitfaden zur 3-2-1-Backup-Regel). Bei der Sicherheit beschränkt sich das Gesamt-Audit auf deutliche Signale: unbekannte oder zu viele Administratorkonten, eine Login-Seite ohne Begrenzung der Anmeldeversuche, keine Zwei-Faktor-Authentifizierung, erreichbare sensible Dateien (debug.log, .zip- oder .sql-Archive im Stammverzeichnis).
Lies zum Schluss die Fehlerprotokolle des Servers einer Woche: Wiederholte PHP-Fehler deuten auf ein inkompatibles Plugin hin, Spitzen von Anfragen an wp-login.php oder xmlrpc.php auf automatisierte Angriffe.
Die Checkliste für jedes Audit
Ordne anschließend jede Abweichung einer von drei Stufen zu: kritisch (Sicherheit, Daten, Website nicht erreichbar: diese Woche), wichtig (mobile Performance, Rechtliches, Aktualisierungen: diesen Monat), optional (Feinschliff: einplanen). Ein Audit, das mit fünfzig Empfehlungen ohne Priorität endet, wird nie umgesetzt.
Die Website zwischen zwei Audits im Blick behalten
Ein jährliches Audit sieht die Sicherheitslücke nicht, die am nächsten Tag veröffentlicht wird. WP Masquerade Pro führt einen Teil des Audits laufend fort: Jede Website meldet täglich an deinen Mitgliederbereich den Stand ihrer Aktualisierungen (WordPress, Plugins, Themes, PHP-Version) und ihre bekannten Sicherheitslücken, die Integritätsprüfung meldet jede veränderte Core-Datei, und die Sicherheits-Header lassen sich setzen, ohne den Server anzufassen. Es ist weder ein Performance-Werkzeug noch ein Malware-Scanner noch eine Backup-Lösung: Für diese Punkte bleibst du bei den oben genannten Werkzeugen.
Die Aktualisierungen all deiner Websites auf einem Bildschirm
Die kostenlose Version reduziert bereits die WordPress-Spuren und schützt den Login. Pro ergänzt die Überwachung von Aktualisierungen und Sicherheitslücken all deiner Websites im Mitgliederbereich: 59 € netto pro Jahr für eine Website, 149 € netto für 10 Websites, 399 € netto für 100 Websites.
Häufige Fragen
Wie lange dauert ein Audit einer WordPress-Website?
Für eine Unternehmenswebsite rechnest du mit einem halben Tag und den hier genannten kostenlosen Werkzeugen. Ein Onlineshop oder eine Website mit Mitgliederbereich braucht mehr: Bestellvorgang, Konten, personenbezogene Daten und Performance unter Last.
Wie oft sollte man seine Website auditieren?
Ein vollständiges Audit pro Jahr, zusätzlich vor jedem Relaunch oder Hosterwechsel. Dazwischen erspart eine laufende Überwachung von Aktualisierungen, Sicherheitslücken und Erreichbarkeit böse Überraschungen.
Braucht man einen PageSpeed-Score von 100?
Nein. Entscheidend sind die Felddaten der Core Web Vitals auf Mobilgeräten: LCP, INP und CLS innerhalb der Google-Schwellenwerte. Ein mittelmäßiger Labor-Score bei guten realen Daten ist kein Problem.
Was ist der Unterschied zu einem SEO-Audit?
Das Gesamt-Audit prüft, ob die Website schnell, aktuell, rechtskonform und sicher ist. Das SEO-Audit analysiert Inhalte, Tags, interne Verlinkung und Rankings im Detail. Beide ergänzen sich: Eine langsame oder gehackte Website verliert Traffic, egal wie gut ihre Inhalte sind.
Das Wichtigste in Kürze
- Zwölf Prüfpunkte decken das Wesentliche ab: Ladezeit, Mobilgeräte, HTTPS, Aktualisierungen, Plugins, PHP, Sitemap, 404-Fehler, Cookies, Backups, Sicherheit, Barrierefreiheit.
- Schwellenwerte der Core Web Vitals: LCP ≤ 2,5 s, INP ≤ 200 ms, CLS ≤ 0,1, auf Mobilgeräten.
- Lösche ungenutzte Plugins: Auch deaktiviert bleiben sie angreifbar.
- Ein Backup gilt erst als bestätigt, wenn es wiederhergestellt wurde.
- Schließ mit drei Prioritätsstufen ab, nicht mit einer Punktzahl.
Quellen
- web.dev: Web Vitals und empfohlene Schwellenwerte (externer Link, öffnet in neuem Tab)
- WordPress.org: der Bildschirm Website-Zustand (externer Link, öffnet in neuem Tab)
- Datenschutzkonferenz: Orientierungshilfe für Anbieter digitaler Dienste (Cookies, TDDDG) (externer Link, öffnet in neuem Tab)
- WordPress.org: Anforderungen (externer Link, öffnet in neuem Tab)
