Was ein technisches Audit zutage fördert

Was ein technisches Audit prüft

Geprüft wird das Verhalten der Website gegenüber Maschinen: gegenüber dem Browser, der sie darstellt, gegenüber den Programmen, mit denen Suchmaschinen Seiten einsammeln, und gegenüber den Hilfsmitteln, mit denen Menschen mit Einschränkungen sie bedienen. Die Grundlage sind Abrufe: Jede Adresse wird aufgerufen, und festgehalten wird, was der Server antwortet, wie lange es dauert und was dabei zusätzlich geladen wird.

Nicht geprüft werden Gestaltung, Texte und Nutzerführung. Ob eine Seite überzeugt, ob die Ansprache zur Zielgruppe passt und ob der Weg zur Anfrage kurz genug ist, beantwortet ein Audit dieser Art nicht. Diese Trennung bestimmt, was Sie vom Ergebnis erwarten dürfen: Ein technisches Audit stellt fest, ob die Seite funktioniert.

Die Prüfung findet am laufenden Auftritt statt und verändert ihn nicht. Sie braucht lesenden Zugang zu den Serverprotokollen, den Zugang zu den Berichten, die Suchmaschinen für verifizierte Betreiber bereitstellen, und eine Liste der Adressen, die zur Website gehören. Ohne diese drei Quellen bleibt ein Audit an der Oberfläche, weil sich Fehler, die nur zeitweise auftreten, von außen nicht zuverlässig erkennen lassen.

Sechs Klassen von Befunden

Die Zuordnung zu einer Klasse ist der erste Schritt der Bewertung. Sie bestimmt, wer den Befund behebt und wie dringend das ist.

1. Auslieferung und Erreichbarkeit

Hierher gehört alles, was zwischen Abruf und Antwort passiert. Jede Antwort eines Servers trägt eine dreistellige Kennzahl, den Statuscode, mit dem er dem Browser mitteilt, wie der Abruf ausgegangen ist. Die 200 steht für eine gefundene Seite, die 301 für einen dauerhaften Umzug an eine andere Adresse, die 302 für einen vorübergehenden, die 404 für eine Adresse, unter der nichts liegt, und die 500 für einen Fehler im Server selbst. Diese Codes sieht der Besucher nicht, Suchmaschinen richten ihr Verhalten aber vollständig danach aus.

Die häufigen Befunde dieser Klasse: Adressen, die eine 404 zurückgeben, obwohl es die Seite gibt. Ein dauerhafter Umzug, der als vorübergehender gekennzeichnet ist, wodurch die alte Adresse ihre Position im Suchergebnis behält statt sie an die neue abzugeben. Weiterleitungsketten, bei denen ein Abruf über drei oder vier Stationen läuft, weil sich Adressen über mehrere Umbauten hinweg verschoben haben. Und dieselbe Seite, die unter mehreren Adressen erreichbar ist, etwa mit und ohne Vorsilbe im Domainnamen, ohne dass eine davon als maßgeblich gekennzeichnet wäre. Diese Klasse hat die größte Wirkung, weil sie Besucher und Suchmaschinen gleichermaßen trifft und weil ein einzelner Fehler dieser Art ganze Bereiche unerreichbar macht.

2. Indexierbarkeit

Der Index ist das Verzeichnis, in das eine Suchmaschine aufnimmt, was sie später in Ergebnissen anzeigen kann. Eine Seite, die dort fehlt, ist über die Suche nicht auffindbar, auch wenn sie im Browser einwandfrei erscheint. Gesteuert wird die Aufnahme über Anweisungen im Quelltext und in einer Steuerdatei im Wurzelverzeichnis der Website, dazu über eine Adressliste, mit der Betreiber ihren Bestand melden.

Typische Befunde sind Anweisungen aus der Entwicklungsphase, die versehentlich in den Livebetrieb übernommen wurden und ganze Bereiche vom Index ausschließen, eine Adressliste, die Seiten enthält, die es nicht mehr gibt, und Seiten, deren Kennzeichnung der maßgeblichen Adresse auf eine andere Seite zeigt, wodurch sie sich selbst aus dem Wettbewerb nimmt. Die Wirkung ist hoch und tritt verzögert ein, weil sie sich erst zeigt, wenn Suchmaschinen den Bestand erneut einlesen. Genau diese Verzögerung macht die Klasse gefährlich: Zwischen Ursache und sichtbarem Verlust an Sichtbarkeit liegen oft Wochen.

3. Ladeverhalten

Diese Klasse erfasst, wie viel Zeit zwischen dem Abruf und dem Moment vergeht, in dem der Besucher mit der Seite arbeiten kann. Im Audit zählt dabei weniger der einzelne Messwert als seine Herkunft: Welcher Bestandteil der Seite hält den Aufbau auf. Die Antwort fällt fast immer auf drei Verursacher. Erstens Bilder, die in der Auflösung der Kamera hinterlegt sind und beim Abruf auf Anzeigegröße verkleinert werden, wodurch ein Vielfaches der nötigen Datenmenge über die Leitung geht. Zweitens Programmbausteine von fremden Servern, deren Antwort abgewartet wird, bevor der Aufbau weiterläuft. Drittens eine Auslieferung, bei der der Server jede Seite bei jedem Abruf neu zusammensetzt, statt das fertige Ergebnis für kurze Zeit vorzuhalten. Welche Kennzahlen Suchmaschinen dafür ansetzen und wie sich die Werte verbessern lassen, behandelt der Beitrag zu den Tempo-Kennzahlen einer langsamen Website.

4. Sicherheit und Aktualitätsstand

Geprüft werden das Verschlüsselungszertifikat und seine Restlaufzeit, die Versionsstände der eingesetzten Bausteine und die Schutzeinstellungen, die der Server bei jeder Antwort mitsendet. Veraltete Bausteine sind der häufigste Befund dieser Klasse und zugleich der mit dem klarsten Handlungsbedarf: Für bekannte Schwachstellen in verbreiteten Komponenten existieren fertige Angriffswerkzeuge, die ohne gezielte Auswahl des Opfers eingesetzt werden.

5. Datenschutz in der Auslieferung

Erfasst wird, welche Aufrufe an Dritte beim Laden einer Seite entstehen und ob sie vor oder nach einer Einwilligung stattfinden. Typische Befunde sind eingebettete Karten, Schriftarten oder Videoplayer, die beim Seitenaufruf sofort eine Verbindung herstellen, sowie Messwerkzeuge, die trotz abgelehnter Einwilligung laden. Die Einordnung übernimmt der Beitrag zum Cookie-Banner nach der Datenschutz-Grundverordnung.

6. Technische Zugänglichkeit

Geprüft wird der Teil der Barrierefreiheit, der sich maschinell feststellen lässt: ob Bedienelemente mit der Tastatur erreichbar sind, ob Bilder eine Textalternative tragen, ob Formularfelder mit ihrer Beschriftung verbunden sind und ob die Überschriften eine durchgehende Ordnung bilden. Der andere Teil verlangt einen Menschen, der die Seite benutzt. Welche Betriebe verpflichtet sind, behandelt der Beitrag zur barrierefreien Website nach dem Barrierefreiheitsstärkungsgesetz.

Die Reihenfolge nach Wirkung und Aufwand

Jeder Befund bekommt zwei Einschätzungen: was passiert, wenn er bleibt, und was seine Behebung kostet. Aus der Kombination ergeben sich vier Gruppen, die den Arbeitsplan bilden.

1. Große Wirkung, kleiner Aufwand. Wird zuerst erledigt, meist innerhalb weniger Stunden. Typisch sind falsch gesetzte Indexierungsanweisungen, abgelaufene Weiterleitungen und fehlende Schutzeinstellungen am Server.
2. Große Wirkung, großer Aufwand. Bekommt ein Datum und ein Budget, keine Sofortmaßnahme. Typisch sind der Wechsel eines veralteten Unterbaus, die Neuordnung einer gewachsenen Adressstruktur und der Umbau der Einwilligungslösung.
3. Kleine Wirkung, kleiner Aufwand. Läuft bei der nächsten ohnehin anstehenden Arbeit mit. Typisch sind einzelne Alternativtexte, fehlende Beschriftungen und Auszeichnungen im Quelltext.
4. Kleine Wirkung, großer Aufwand. Wird bewusst zurückgestellt, mit Begründung und Wiedervorlage. Das ist eine Entscheidung, kein Versäumnis, und sie gehört genauso dokumentiert wie eine Behebung.

Die Einschätzung der Wirkung ist der Teil, den kein Werkzeug liefern kann. Eine langsame Seite wiegt schwer, wenn sie die meistbesuchte Einstiegsseite ist, und wenig, wenn sie im Jahr zwanzig Aufrufe hat. Deshalb gehört zur Bewertung die Zugriffsstatistik: Erst die Zahl der betroffenen Besucher macht aus einem technischen Mangel einen wirtschaftlichen.

Ein Beispiel für die Rechnung: Ein Audit meldet vierzig Seiten ohne Textalternative bei Bildern und eine einzelne Weiterleitungskette auf der Startseite. Die vierzig Befunde stehen in der Liste weit oben, weil sie zahlreich sind. Die Kette betrifft dagegen jeden Besucher, der die Adresse ohne Unterseite aufruft, verlängert jeden dieser Abrufe und kostet bei jedem Sprung einen Teil der Bewertung, die Suchmaschinen der Zieladresse zurechnen. Behoben ist sie in Minuten. Nach Wirkung und Aufwand steht sie damit an erster Stelle, die vierzig Alternativtexte laufen in der dritten Gruppe mit.

Für die Schätzung des Aufwands hat sich eine grobe Dreiteilung bewährt: Befunde, die eine Einstellung betreffen und ohne Test in den Livebetrieb können; Befunde, die eine Änderung am Quelltext verlangen und vorher auf einer Vorschau geprüft werden müssen; und Befunde, die eine Entscheidung über Struktur oder Budget voraussetzen. Die erste Gruppe wird sofort abgearbeitet, die zweite gebündelt, die dritte terminiert. Diese Dreiteilung ersetzt keine genaue Schätzung, sie verhindert aber die häufigste Verzögerung: dass die ganze Liste liegen bleibt, weil einzelne Punkte darin eine Grundsatzentscheidung verlangen.

Was sich ohne Relaunch beheben lässt

Der größere Teil der üblichen Befunde verlangt keinen Neubau. Behoben werden kann am laufenden Auftritt, was an Einstellungen, Auslieferung und Auszeichnung hängt.

• Falsche Statuscodes, Weiterleitungsketten und uneinheitliche Adressformen
• Indexierungsanweisungen, Adressliste für Suchmaschinen, Kennzeichnung der maßgeblichen Adresse
• Bildformate, Zwischenspeicherung, Ladereihenfolge von Skripten und Schriften
• Zertifikat, Aktualisierung der Bausteine, Schutzeinstellungen des Servers
• Aufrufe an Dritte hinter die Einwilligung legen, lokale Einbindung von Schriften
• Alternativtexte, Feldbeschriftungen, Überschriftenordnung, strukturierte Auszeichnung

Einen Relaunch verlangen die Befunde, die an der Bauweise hängen. Dazu zählen eine Struktur, die keine sprechenden Adressen zulässt, ein Unterbau, für den es keine Aktualisierungen mehr gibt, und ein Aufbau, der auf kleinen Bildschirmen nicht bedienbar ist. Für diese Fälle ist das Audit die Entscheidungsgrundlage: Es sagt, wie viele Befunde am Fundament hängen und wie viele sich einzeln erledigen lassen.

Wie ein Durchgang abläuft

Ein vollständiger Durchgang besteht aus vier Abschnitten und endet mit einer Besprechung, nicht mit dem Versand einer Datei.

Am Anfang steht der maschinelle Abruf des gesamten Adressbestands. Dabei entsteht die Liste aller erreichbaren Seiten mit der jeweiligen Antwort des Servers, den internen Verweisen und den eingebundenen Dateien. Diese Liste ist die gemeinsame Grundlage für alles Weitere, und sie ist regelmäßig die erste Überraschung, weil Betriebe ihren eigenen Bestand selten vollständig kennen.

Darauf folgen die Messungen: Ladeverhalten für eine Auswahl repräsentativer Seiten, Versionsstände der eingesetzten Bausteine, ausgehende Aufrufe beim Seitenaufruf mit und ohne erteilte Einwilligung. Im dritten Abschnitt werden die Ergebnisse den sechs Klassen zugeordnet, mit der Folge bei Nichtbehebung versehen und nach Wirkung und Aufwand eingeschätzt. Der vierte Abschnitt ist die Besprechung: Die Befunde werden durchgegangen, offene Fragen zur betrieblichen Bedeutung geklärt und die Reihenfolge festgelegt.

Der letzte Abschnitt entscheidet über den Wert des Ganzen. Ein Bericht, der ohne Besprechung übergeben wird, bleibt in den meisten Betrieben liegen, weil die Übersetzung von der Befundliste in konkrete Arbeit ungeklärt ist.

Die Dauer hängt fast ausschließlich an der Zahl der Adressen. Ein Auftritt mit wenigen Dutzend Seiten ist an einem Arbeitstag vollständig geprüft. Bei mehreren tausend Adressen, etwa bei einem Auftritt mit Produktkatalog, wächst vor allem der dritte Abschnitt, weil sich Befunde dort zu Mustern zusammenfassen lassen und jedes Muster einzeln bewertet werden muss. Für die Planung heißt das: Der Abruf lässt sich nicht beschleunigen, die Bewertung schon, sobald der Betrieb angeben kann, welche Bereiche seines Auftritts geschäftlich tragen und welche Beiwerk sind.

Ein Punkt gehört vor den Start geklärt: was mit Bereichen geschieht, die von Dritten betreut werden. Ein eingebundenes Buchungssystem, ein Bewerberportal oder ein Shop-Bereich eines anderen Anbieters erscheint im Abruf als Teil des Auftritts, liegt aber außerhalb Ihres Zugriffs. Diese Bereiche werden mitgeprüft und getrennt ausgewiesen, damit die Befunde an die richtige Stelle gehen und nicht in Ihrer eigenen Liste als offene Punkte stehen bleiben.

Woran ein brauchbarer Bericht erkennbar ist

Der Unterschied zwischen einer Werkzeug-Ausgabe und einem Bericht liegt in vier Merkmalen, die sich beim Durchblättern prüfen lassen.

Ein Bewertungspunktestand allein erfüllt keines dieser Merkmale. Er fasst Messwerte zu einer Zahl zusammen, die sich nicht in Arbeit übersetzen lässt, und er verleitet dazu, die Zahl zu verbessern statt die Befunde mit der größten Wirkung zu beheben.

Die häufigsten Fehler im Umgang mit Befunden

Die folgenden vier Muster treten unabhängig von Größe und Alter der Website auf.