WordPress-Audit – wo deine Site wirklich steht
Vom kostenlosen Quick-Check bis zum Audit mit PDF-Report und Besprechung. Damit du weißt, was wirklich ansteht – bevor du einen Wartungsvertrag bei uns oder anderswo abschließt.
Drei Stufen, je nachdem, wie genau du es wissen willst
Der Quick-Check schaut von außen, das Audit von innen. Für große oder besondere Sites stimmen wir den Umfang vorher ab.
Quick-Check
kostenlos
- Braucht nur die URL, keinen Zugang
- 34 Prüfungen, nur öffentlich sichtbare Daten
- Kurzer PDF-Bericht mit Ampel je Bereich und den wichtigsten Befunden
- Nur für Inhaberinnen und Inhaber der Website oder von ihnen Beauftragte
Standard-Audit
290 € netto, je weitere Site 190 €
- 56 Prüfungen in 9 Bereichen, mit Zugang zu deiner Site
- Automatisiert erhoben, von uns durchgesehen und bewertet
- PDF-Report mit Fahrplan und Aufwandsschätzung
- 30 Minuten Besprechung
Größere Audits
Umfang und Preis nach Abstimmung
- Multisite
- WooCommerce mit viel eigenem Code
- Code-Review eigener Themes und Plugins
- Barrierefreiheit nach WCAG/BFSG
Wofür ein WordPress-Audit gut ist
Ein Audit lohnt sich in vier Situationen. Wenn du dich in einer davon wiedererkennst, sagen wir's offen: dann bekommst du durch die strukturierte Bestandsaufnahme mehr Klarheit als durch ein halbes Dutzend Gespräche mit Anbietern.
Bevor du Wartungspartner wechselst
Aktueller Anbieter zu teuer, zu langsam oder weg? Wir analysieren den Status, bevor du blind weiter wechselst. Du siehst schwarz auf weiß, wo deine Site steht.
Nach Übernahme einer fremden Site
Site wurde vom letzten Entwickler gebaut, der nicht mehr erreichbar ist. Niemand weiß, was drin steckt. Wir dokumentieren, was vorhanden ist – Plugins, Themes, Custom-Code.
Nach einem Sicherheitsvorfall
Site wurde gehackt, gespammt oder geblacklistet und ist inzwischen bereinigt? Wir prüfen den aktuellen Stand: bekannte Lücken, Zugänge, Härtung. Eine forensische Ursachenanalyse ist das nicht – ein akuter Hack ist ein Fall für den Notfall-Service.
Vor einer Investitionsentscheidung
Soll die Site relauncht, migriert oder ergänzt werden? Der Audit liefert die technische Grundlage für deine Entscheidung – inklusive realistischer Aufwandsschätzungen.
Was der Quick-Check prüft
34 Prüfungen, nur mit öffentlich sichtbaren Daten. Du nennst uns die URL, an deiner Website wird nichts verändert. Ergebnis ist ein kurzer PDF-Bericht mit Ampel je Bereich und den wichtigsten Befunden.
Sicherheit von außen
- Bekannte Schwachstellen in sichtbaren Plugins, Themes und der WordPress-Version
- Öffentlich abrufbare Benutzernamen
- XML-RPC
- Sicherheits-Header
SSL/TLS
- Zertifikat
- Weiterleitung auf HTTPS
- Veraltete TLS-Versionen
Performance
- PageSpeed mobil und Desktop
- Core Web Vitals echter Besucher (sofern Google Daten hat)
- Serverantwortzeit
- Seiten-Cache
- Bildoptimierung
Datenschutz (technisch)
- Drittanbieter und Cookies vor der Einwilligung
- Einwilligungs-Tool
- Impressum und Datenschutzerklärung verlinkt
- Eingebundene Dienste in der Datenschutzerklärung erwähnt
- SPF
- DMARC
Technisches SEO
- Indexierung, Sitemap, robots.txt
- Titel, Beschreibungen, Überschriften
- Defekte Links und Weiterleitungsketten
- Unverschlüsselte Inhalte
Barrierefreiheit
- Automatischer Kurzscan
Bei Online-Shops
- Widerrufsbutton (Pflicht seit 19.06.2026, § 356a BGB)
Der Quick-Check sieht nur, was von außen sichtbar ist, und ersetzt kein Audit. Wir machen ihn nur für Inhaberinnen und Inhaber der Website oder von ihnen Beauftragte. Schreib uns über das Kontaktformular, welche Site es ist.
Was wir im Audit konkret prüfen
56 Prüfungen in 9 Bereichen, automatisiert erhoben und von uns durchgesehen und bewertet. Hier offen, was im Preis von 290 € für die erste Site drin ist – jede weitere kostet 190 €:
Technische Grundlagen & Inventar
- WordPress- und PHP-Version inklusive Ende der Sicherheitsupdates
- Vollständige Plugin- und Theme-Liste mit Update-Status
- Pflegezustand: über zwei Jahre ohne Update, aus dem Verzeichnis entfernt
- Ungenutzte und doppelte Plugins
- Datenbankgröße
Sicherheit
- Abgleich mit Schwachstellen-Datenbank (Wordfence Intelligence)
- Administrator-Konten und Registrierung
- Debug-Modus und Datei-Editor
- Offen liegende Dateien (z. B. Backups, .env, Logs) und Verzeichnislisten
- Sicherheits-Header
Mit Server-Zugang zusätzlich
- Veränderte Core- und Plugin-Dateien
- Schadcode-Muster
- PHP-Dateien im Upload-Ordner
- Versteckte Administrator-Konten
Performance
- PageSpeed mobil und Desktop
- Core Web Vitals echter Besucher (sofern Google Daten hat)
- Serverantwortzeit
- Seiten-Cache
- Bildoptimierung
Mit Server-Zugang zusätzlich
- Autoload-Daten
- Geplante Aufgaben
Infrastruktur & E-Mail
- SSL/TLS: Zertifikat und veraltete TLS-Versionen
- Weiterleitung auf HTTPS
- Hostnamen: Erreichbarkeit mit und ohne www
- E-Mail: SPF und DMARC
Backup & Betrieb
- Existiert ein aktuelles Backup – mit Dateien und Datenbank?
- Wo wird es gespeichert – getrennt vom Hosting?
- Aufbewahrungsdauer?
- Wurde der Restore schon einmal getestet und dokumentiert?
- WordPress-Websitezustand
Datenschutz (technisch)
- Drittanbieter und Cookies vor der Einwilligung
- Einwilligungs-Tool
- Externe Schriften, Karten und eingebundene Dienste
- Impressum und Datenschutzerklärung verlinkt, eingebundene Dienste darin erwähnt
- AV-Verträge für die eingebundenen Dienste – nach deiner Angabe, ohne Prüfung der Vertragsinhalte
Technisches SEO
- Indexierung, Sitemap, robots.txt
- Titel, Beschreibungen, Überschriften
- Defekte Links und Weiterleitungsketten
- Unverschlüsselte Inhalte
- Der Crawl umfasst bis zu 200 Seiten
Barrierefreiheit (Kurzscan)
- Automatischer Scan mehrerer Seiten
- Auf den automatisch prüfbaren Teil von WCAG 2.2 AA
- Ausdrücklich keine vollständige Prüfung
Shop (bei WooCommerce)
- Widerrufsbutton (Pflicht seit 19.06.2026, § 356a BGB)
Empfehlungen mit Aufwandsschätzung
- Risiken nach Priorität (kritisch / hoch / mittel / niedrig)
- Fahrplan: sofort / in 30 Tagen / in 90 Tagen
- Geschätzter Aufwand in Stunden zum Stundensatz von 120 € netto
- Empfehlung Wartungspaket, falls passend
Wie tief wir prüfen, hängt vom Zugang ab
Ein WordPress-Admin-Zugang reicht für den Großteil der Prüfungen. Mit SSH/SFTP prüfen wir zusätzlich Dateien und Datenbank. Im Bericht steht, was mit welchem Zugang geprüft wurde und was offen blieb.
Das Standard-Audit deckt den üblichen Fall ab. Multisite, WooCommerce mit viel eigenem Code, ein Code-Review eigener Themes und Plugins oder eine Prüfung der Barrierefreiheit nach WCAG/BFSG sind größere Audits – Umfang und Preis stimmen wir vorher mit dir ab.
Optional dazubuchbar: Restore-Test
Im Audit klären wir, ob dein Backup existiert und ob der Restore je getestet wurde. Ob es sich tatsächlich zurückspielen lässt, zeigt erst der Test: Wir spielen das Backup in eine Testumgebung zurück und prüfen, ob daraus eine lauffähige Site entsteht. Dafür brauchen wir Zugriff auf Backup und Hosting. Abrechnung nach Aufwand zum Stundensatz von 120 € – den Aufwand schätzen wir vorher ein, sobald wir Backup-Lösung und Hosting kennen. In unserer WordPress-Wartung ist der regelmäßige Restore-Check in jedem Paket enthalten.
Was nach dem Audit bei dir landet
Ein PDF-Report
Strukturiert, lesbar, mit klaren Prioritäten. Kein Tech-Buzzword-Bingo, sondern verständliche Empfehlungen. Vorne eine Seite Zusammenfassung, dann der Fahrplan und die Befunde mit Priorität und Aufwand. Die Details stehen im Anhang: das Inventar deiner Site und eine Übersicht aller Prüfungen. Auf Deutsch oder Englisch, wie du möchtest.
Der Report bleibt bei dir. Auch wenn du danach nicht weiter mit uns arbeitest, kannst du ihn anderen Anbietern zeigen. Wir verstecken keine Erkenntnisse hinter Bezahlschranken.
Eine 30-minütige Besprechung
Wir gehen den Report gemeinsam durch, beantworten Fragen und priorisieren mit dir die wichtigsten Punkte. Per Video-Call, am Telefon oder vor Ort – wie es dir passt.
Falls du danach unsere Wartung buchst: gut. Falls nicht: auch gut. Wir gehen aus dem Gespräch ohne erhobenen Zeigefinger.
WordPress-
Audit-Report
Beispielname GmbH
Muster · nicht zur Veröffentlichung
Was kein Audit bei uns ist
Fünf Klarstellungen, weil der Begriff im Markt unklar verwendet wird:
Kein Penetrationstest
Wir prüfen Sicherheits-Basics, aber führen keine aktive Angriffs-Simulation durch. Wer das braucht – etwa für ISO-27001-Audits – ist bei einer spezialisierten Pentest-Firma besser aufgehoben.
Kein SEO-Audit
Wir prüfen technisches SEO – Indexierung, Sitemap, Titel, Links –, aber nicht deine Content-Strategie, Backlink-Profile oder Keyword-Performance. Dafür gibt es SEO-Spezialisten.
Keine Marketing-Beratung
Wir sagen nichts dazu, wie deine Site besser verkauft oder wie du Leads generierst. Wir schauen, ob sie technisch sauber, sicher und performant ist – nicht, ob sie geschäftlich erfolgreich ist.
Keine Barrierefreiheitsprüfung nach BFSG
Der Kurzscan findet nur automatisch erkennbare Barrieren. Eine belastbare Prüfung ist ein eigenes Audit.
Keine Rechtsberatung
Aussagen zu Datenschutz und Widerrufsbutton sind technische Feststellungen, keine rechtliche Bewertung.
So läuft ein Audit bei uns ab
Anfrage
Du schreibst uns über das Kontaktformular oder rufst direkt an. Wir bestätigen den Termin schriftlich, inklusive Auftrag und Rechnung – 290 € netto für die erste Site, 190 € je weitere.
Zugänge bereitstellen
Du legst einen eigenen Administrator-Benutzer für uns an – bitte keine bestehenden Konten weitergeben. Damit erstellen wir ein Anwendungspasswort. Optional: lesender SSH/SFTP- und Hoster-Zugang. Grundlage ist ein Vertrag zur Auftragsverarbeitung. Nach dem Audit löschen bzw. widerrufen wir den Zugang und bestätigen das schriftlich.
Audit durchführen
Wir prüfen die 9 Bereiche, sehen die Ergebnisse durch und fassen die Befunde mit Bewertung, Fahrplan und Aufwand im Report zusammen. Dauer: 5 Werktage.
PDF-Report
Du bekommst den Report per Mail, mit einer Vorschau der wichtigsten Befunde im Mail-Body. Pünktlich zum vereinbarten Termin.
Besprechung
30 Minuten Video-Call, Telefon oder vor Ort. Wir gehen die Empfehlungen durch, beantworten Fragen, sortieren Prioritäten.
Anrechnung bei Wartungsvertrag
Wenn du innerhalb 4 Wochen nach dem Audit einen Wartungsvertrag bei uns abschließt, rechnen wir den Audit-Preis auf deinen ersten Monatsbeitrag an – höchstens in dessen Höhe. Bei Basic und Pro ist der erste Monat damit abgedeckt, bei Premium zahlst du nur die Differenz.
Wenn du nach dem Audit zu einem anderen Anbieter gehst: auch okay. Der Report bleibt bei dir, die 290 € waren dein Preis für Klarheit.
Häufige Fragen zum WordPress-Audit
Was unterscheidet Quick-Check und Audit?
Der Quick-Check braucht nur deine URL und sieht, was von außen sichtbar ist: 34 Prüfungen, ein kurzer PDF-Bericht mit Ampel je Bereich, kostenlos. Das Audit arbeitet mit Zugang zu deiner Site: 56 Prüfungen in 9 Bereichen, automatisiert erhoben und von uns durchgesehen und bewertet, mit Fahrplan, Aufwandsschätzung und Besprechung. Der Quick-Check zeigt, ob sich ein genauer Blick lohnt – ein Audit ersetzt er nicht.
Welche Zugänge braucht ihr?
Für den Quick-Check keine, nur die URL. Für das Audit einen eigenen Administrator-Benutzer in WordPress – bitte gib keine bestehenden Konten weiter. Damit legen wir ein Anwendungspasswort an. Das reicht für den Großteil der Prüfungen. Optional bekommen wir lesenden SSH/SFTP-Zugang und Zugang zum Hoster, dann prüfen wir zusätzlich Dateien und Datenbank. Im Bericht steht, was mit welchem Zugang geprüft wurde und was offen blieb.
Wie geht ihr mit unseren Daten um?
Wir prüfen nur lesend und ändern nichts. Auf deiner Website wird kein Plugin installiert. Zugangsdaten bleiben bei uns lokal und werden nach dem Audit gelöscht; den Zugang selbst löschen bzw. widerrufen wir und bestätigen dir das schriftlich. Die Auswertung ist KI-gestützt, Benutzerdaten werten wir dabei nur pseudonymisiert aus. Grundlage ist ein Vertrag zur Auftragsverarbeitung.
Was, wenn das Audit zeigt, dass unsere Site ein Total-Schaden ist?
Dann sagen wir das ehrlich. Manchmal ist eine Site so verbaut, dass ein Neuaufbau günstiger ist als die Sanierung. Wir empfehlen nichts, das wirtschaftlich keinen Sinn ergibt – auch wenn wir damit weniger Wartungsaufträge bekommen. Im Report steht dann eine realistische Kosten-Nutzen-Rechnung.
Können wir das Audit auch ohne Folgeauftrag buchen?
Ja, ist sogar die häufige Variante. Manche Kunden wollen nur wissen, wo sie stehen, ohne sofort etwas zu ändern. Andere holen das Audit als Zweitmeinung zu ihrem bestehenden Anbieter ein. Beides ist okay.
Wie lange dauert es vom Auftrag bis zum Report?
Standardmäßig 5 Werktage nach Erhalt der Zugänge. Bei sehr großen Sites oder eilbedürftigen Fällen sprechen wir den Termin vorher ab. Wir liefern lieber pünktlich als zu schnell.
Was, wenn wir nach dem Audit selbst die Empfehlungen umsetzen wollen?
Wunderbar. Der Report enthält pro Befund eine konkrete Empfehlung mit Aufwand. Damit kannst du selbst entscheiden, was du intern erledigst und was du extern vergibst. Wir stehen für Rückfragen zur Verfügung – kostenpflichtig zum Stundensatz, aber ohne Mindest-Volumen.
Testet ihr im Audit, ob sich unser Backup wiederherstellen lässt?
Nicht im Grundpreis. Wir prüfen, ob es ein aktuelles Backup gibt, wo es liegt, wie lange es aufbewahrt wird und ob der Restore schon einmal getestet wurde. Ist das nicht der Fall, steht es als Risiko im Report. Den Restore-Test selbst kannst du dazubuchen: Wir spielen das Backup in eine Testumgebung zurück und prüfen, ob daraus eine lauffähige Site entsteht – nach Aufwand zum Stundensatz von 120 €, den Aufwand schätzen wir vorher ein. In unserer Wartung ist der regelmäßige Restore-Check in jedem Paket enthalten.
Audit anfragen?
Schreib uns kurz, welche Site geprüft werden soll und ob du mit dem kostenlosen Quick-Check startest oder gleich das Audit willst. Wir bestätigen den Termin innerhalb eines Werktags. Der Audit-Preis von 290 € netto ist transparent und einmalig.