Zwei Jahre sind im Leben einer Website eine lange Zeit. Meist merkt man das nicht sofort: Die Seite lädt weiterhin, die Formulare funktionieren größtenteils, und im CMS lassen sich neue Unterseiten anlegen. Die Probleme wachsen dort, wo man sie schwerer bemerkt: bei der Indexierung, der Geschwindigkeit, der Sicherheit, der Analyse, der Barrierefreiheit und der Sichtbarkeit in KI-gestützten Suchmaschinen.
In diesem Artikel zeige ich, was Sie prüfen sollten, wenn Ihre Website älter als zwei Jahre ist und schon lange keinen technischen Check mehr hatte. Es geht nicht darum, sofort eine neue Website zu bauen. Oft reichen ein Audit, eine Prioritätenliste und einige gezielt ausgewählte Korrekturen.
In diesem Artikel:
- 1. Technisches SEO und Indexierung
- 2. Inhalte, Suchintention und alte Unterseiten
- 3. GEO/AEO: Sichtbarkeit in KI-Suchergebnissen
- 4. Core Web Vitals und die tatsächliche Ladegeschwindigkeit
- 5. Skripte, Consent Mode und Analytics
- 6. Sicherheitsupdates für CMS und Framework
- 7. Digitale Barrierefreiheit
- 8. Formulare, Conversions und Integrationen
- 9. Monitoring, Backups und ein Notfallplan
- Was tun nach dem Audit?
- Technisches SEO und Indexierung
Der erste Bereich sind die SEO-Grundlagen, die in zwei Jahren unbemerkt aus dem Gleichgewicht geraten können. Jemand hat die Menüstruktur geändert, jemand hat einen alten Bereich entfernt, jemand hat neue Filter in Produkt- oder Artikellisten eingebaut, und jemand anderes hat die Landingpage einer Kampagne weitergeleitet, ohne die Folgen zu prüfen. Nach einigen solchen Änderungen sieht Google eine andere Website als das Marketingteam.
Google betont immer wieder die Grundlagen: Eine Seite muss für Suchmaschinen-Crawler erreichbar, indexierbar und verständlich sein. Beginnen Sie deshalb mit der Google Search Console, einem Crawl der gesamten Website und einer Liste Ihrer wichtigsten URLs.
Prüfen Sie vor allem:
- ob wichtige Seiten indexiert sind,
- ob unnötige Seiten in den Index gelangt sind,
- ob kanonische URLs (Canonical) auf die richtigen Seiten verweisen,
- ob robots.txt und Meta-Robots-Tags wichtige Unterseiten blockieren,
- ob die XML-Sitemap (sitemap.xml) aktuell ist,
- ob 301-Weiterleitungen Ketten bilden,
- ob Titel, Meta-Beschreibungen und H1-Überschriften massenhaft doppelt vorkommen,
- ob wichtige Unterseiten zu tief in der Seitenstruktur versteckt sind und ob interne Links zu ihnen führen.
Der häufigste Fehler nach zwei Jahren: Das Team vergleicht nur den organischen Traffic von Monat zu Monat. Das reicht nicht. Sie müssen prüfen, ob die Website technisch noch in Ordnung ist, denn Rückgänge entstehen oft aus vielen kleinen Versäumnissen und nicht aus einem spektakulären Ausfall.
Wenn Ihre Website auf Drupal läuft, lesen Sie auch unseren Artikel 10 SEO-Funktionen, die ein modernes CMS haben sollte, am Beispiel von Drupal.
- Inhalte, Suchintention und alte Unterseiten
Der zweite Bereich sind die Inhalte. Nach zwei Jahren können manche Artikel, Landingpages und Leistungsbeschreibungen zwar noch korrekt sein, aber nicht mehr auf die Fragen antworten, die Ihre Kunden heute stellen. Das zeigt sich besonders im B2B-Bereich und in Branchen wie IT, Finanzen, Bildung, Medizin und E-Commerce.
Es ändern sich Produkte, das Angebot, die Wettbewerber, die Sprache der Kunden und die Suchergebnisse selbst. Ein Artikel, der 2024 viel Traffic gebracht hat, kann 2026 gegen die Konkurrenz verlieren, weil er neue Varianten von Suchanfragen nicht abdeckt oder nicht berücksichtigt, wie Kunden heute Entscheidungen treffen.
Prüfen Sie bei einem Content-Audit:
- Seiten mit einem starken Rückgang der Klicks oder der CTR,
- Seiten mit vielen Impressionen, aber wenigen Klicks,
- alte Blogartikel, die in den Suchergebnissen noch weit oben stehen, aber veraltete CTAs enthalten,
- Keyword-Kannibalisierung, also mehrere Unterseiten, die dieselbe Suchintention bedienen,
- fehlende interne Links zu Leistungsseiten und Case Studies,
- Seiten ohne Autor, ohne Aktualisierungsdatum oder ohne echte Beispiele,
- Inhalte, die wie eine neutrale Kategoriebeschreibung klingen und nicht wie die Antwort eines Experten.
Nicht jeder alte Text muss neu geschrieben werden. Manchmal reicht es, aktuellen Kontext, einen FAQ-Abschnitt, einen neuen CTA und einen Link zu neuerem Material zu ergänzen und defekte Links zu entfernen. Die Entscheidung sollte aber bewusst fallen: aktualisieren, zusammenführen, behalten oder löschen.
- GEO/AEO: Sichtbarkeit in KI-Suchergebnissen
Wenn Ihre Website vor mehr als zwei Jahren entstanden ist, hat sie wahrscheinlich niemand mit Blick auf AI Overviews, AI Mode, Perplexity oder ChatGPT Search geplant. 2026 ist das keine Kuriosität mehr. Es ist ein eigener Kanal, in dem Kunden Marken, Leistungen und Ratgeber entdecken.
Google sagt in seinen Richtlinien klar: Auch in generativen Ergebnissen zählen die SEO-Grundlagen. Eine Seite muss indexiert sein, der Inhalt sollte eigenständig, konkret und nützlich sein, und wichtige Informationen müssen als Text verfügbar sein. Google verlangt weder eine spezielle Datei wie llms.txt noch zusätzliche strukturierte Daten, damit eine Seite in AI Overviews oder im AI Mode erscheint.
Das heißt nicht, dass sich nichts geändert hat. Geändert hat sich, wie Nutzer zu Inhalten gelangen und wie sie diese bewerten. KI-gestützte Suchmaschinen zeigen häufiger Seiten, die Fragen klar beantworten, Erfahrung belegen, gut gegliederte Abschnitte haben und KI-Systemen erkennen lassen, wer der Autor ist, worum es im Inhalt geht und warum man ihm vertrauen kann.
Prüfen Sie bei einem GEO/AEO-Audit:
- ob wichtige Seiten konkrete Fragen Ihrer Kunden beantworten,
- ob der Text Definitionen, Vergleiche, Auswahlkriterien und Beispiele enthält,
- ob Autorschaft und die Erfahrung Ihres Unternehmens sichtbar sind,
- ob die strukturierten Daten zu den sichtbaren Inhalten der Seite passen,
- ob Bilder und Videos den Text ergänzen und nicht nur das Layout schmücken,
- ob Ihr Unternehmen auf der Website, in Case Studies, in Profilen und in externen Erwähnungen einheitlich beschrieben ist,
- wie sich Impressionen, Klicks und CTR im Leistungsbericht der Search Console entwickeln. Google rechnet dort auch den Traffic aus AI Overviews und dem AI Mode ein, bietet dafür aber keinen eigenen Bericht.
Auf Reddit gehen die Meinungen zu GEO weit auseinander. Die einen sehen sinkende Klickzahlen durch AI Overviews, die anderen halten „GEO“ einfach für gut gemachtes SEO mit besser strukturierten Inhalten. Meine praktische Empfehlung ist einfach: Suchen Sie keine Tricks, die nur auf KI abzielen. Erstellen Sie Inhalte, die sich zitieren, verstehen und überprüfen lassen.
Was genau wir auf Drupal-Websites prüfen, beschreiben wir im Artikel Jenseits von SEO: was wir in einem Drupal-AI-Readability-Audit prüfen.
- Core Web Vitals und die tatsächliche Ladegeschwindigkeit
Eine Website kann am Tag des Launches schnell sein und zwei Jahre später deutlich langsamer. Dafür reichen einige Kampagnen, neue Werbepixel, ein Chat-Widget, ein eingebettetes Tool eines Drittanbieters, große Fotos, die ein Redakteur hochgeladen hat, und ein zusätzliches Formular-Plugin. Es gibt keinen einzelnen großen Ausfall. Die Seite wird nach und nach langsamer.
2026 sollten Sie die drei Core-Web-Vitals-Metriken überwachen:
- LCP, also die Zeit bis zur Anzeige des Hauptinhalts – Ziel: höchstens 2,5 Sekunden,
- INP, also die Reaktionszeit der Seite auf eine Nutzeraktion – Ziel: höchstens 200 ms,
- CLS, also die Stabilität des Seitenlayouts – Ziel: höchstens 0,1.
Wichtig: Ein PageSpeed-Insights-Ergebnis für eine einzelne URL reicht nicht. Prüfen Sie verschiedene Seitentypen: die Startseite, eine Produkt- oder Artikelliste, einen Artikel, eine Landingpage, ein Formular, die Login-Seite, den Warenkorb oder das Kundenportal. Das Problem steckt oft in einer Vorlage und nicht in einer einzelnen URL.
Typische Ursachen für Probleme:
- ein nicht optimiertes Bild im Hero-Bereich,
- zu viel JavaScript im ersten sichtbaren Bildschirmbereich,
- CSS- und JS-Dateien, die das Rendern der Seite blockieren,
- Skripte von Drittanbietern, die ohne Kontrolle geladen werden,
- Webfonts, die Text beim Laden der Seite verschieben,
- Anzeigen oder Banner, die das Seitenlayout verändern,
- Frontend-Komponenten, die den Hauptthread des Browsers blockieren.
Wenn Ihre Website auf Drupal läuft, prüfen Sie das Caching, die Aggregation von CSS- und JS-Dateien, das Lazy Loading von Bildern, die Unterstützung der Formate WebP und AVIF, das CDN und ob ein individuelles Theme auf jeder Unterseite zu viel Code hinzufügt. Weitere praktische Tipps finden Sie im Artikel Schnellstes CMS: Wie verbessert man die Leistung und beschleunigt die Seite? Es lohnt sich, ein Performance-Audit mit Drupal-Support und Wartung zu verbinden, damit die empfohlenen Korrekturen nicht im Bericht stehen bleiben.
- Skripte, Consent Mode und Analytics
Nach zwei Jahren gehört die Analyse oft zu den am stärksten vernachlässigten Teilen einer Website. GA4 wurde in Eile eingerichtet, die Conversion-Definitionen passen nach dem Umbau der Formulare nicht mehr, und das Cookie-Banner wurde einmal konfiguriert und nie wieder angefasst. Das Team trifft deshalb Entscheidungen auf Basis von Daten, denen es nicht vertrauen sollte.
2026 sollte ein Audit nicht nur GA4 abdecken, sondern auch Consent Mode, Google Tag Manager, Events, bezahlte Kampagnen und die Frage, ob Tags erst nach der Einwilligung des Nutzers ausgelöst werden. Google beschreibt Consent Mode als Mechanismus, der die Datenerhebung für Werbung und Analyse an die Einwilligungen der Nutzer anpasst. Ein fehlerhaft eingerichteter Consent Mode kann gleichzeitig zu Datenverlust und zum Risiko von Verstößen gegen Datenschutzvorschriften führen.
Prüfen Sie:
- ob die GA4-Events zu Ihren aktuellen Formularen und CTAs passen,
- ob Google Ads Klicks als Conversions zählt, die zu keiner echten Aktion führen,
- ob GTM ungenutzte Tags lädt,
- ob Consent Mode v2 korrekt eingerichtet ist,
- ob Werbeskripte INP und LCP verschlechtern,
- ob die Berichte die Daten zeigen, die Sie für Entscheidungen brauchen, und nicht nur schöne Diagramme,
- ob die Information über die Lead-Quelle korrekt in Ihr CRM gelangt.
In diesem Bereich müssen Marketing und Entwicklungsteam zusammenarbeiten. Das Marketing weiß, was gemessen werden soll. Die Entwickler wissen, ob eine bestimmte Umsetzung sinnvoll ist und ob sie die Seite verlangsamt.
- Sicherheitsupdates für CMS und Framework
Wenn Ihre Website auf einem Open-Source-CMS oder -Framework läuft, müssen Sie nach zwei Jahren den Stand der Updates prüfen. Nicht „irgendwann machen wir ein Update“, sondern konkret: die Core-Version, Module, Plugins, Composer- und npm-Pakete, PHP, die Datenbank, den Server, die Cache-Konfiguration, das Admin-Panel und die Integrationen.
Die OWASP Top 10 in der Ausgabe 2025 zeigen weiterhin, dass sich in Webanwendungen dieselben Risikokategorien wiederholen. Die Drupal-Community veröffentlicht Sicherheitshinweise zum Core und zu Community-Modulen. Die CISA führt einen Katalog bekannter Schwachstellen, die aktiv für Angriffe ausgenutzt werden. Das sind keine theoretischen Listen für Auditoren. Diese Quellen regelmäßig zu verfolgen, gehört zur laufenden Wartung einer Website.
Prüfen Sie bei einem Sicherheitsaudit:
- ob Ihre CMS- oder Framework-Version noch unterstützt wird,
- ob Module und Plugins aktive Maintainer haben,
- ob das Projekt verwaiste Bibliotheken enthält,
- ob Composer und npm bekannte Schwachstellen melden,
- ob das Admin-Panel mit Multi-Faktor-Authentifizierung (MFA) geschützt ist und Benutzerrollen eingeschränkte Berechtigungen haben,
- ob Formulare gegen Spam und Missbrauch geschützt sind,
- ob sich Backups tatsächlich wiederherstellen lassen,
- ob klar ist, wer auf kritische Sicherheitshinweise reagiert und wie schnell.
Bei Drupal sollten Sie zusätzlich prüfen, ob die Website auf einer älteren Minor-Version geblieben ist, die keine Sicherheitskorrekturen mehr erhält, und ob individueller Code Updates blockiert. Warum man heute schneller auf Sicherheitshinweise reagieren muss als früher, erklären wir im Artikel Drupal-Sicherheitsupdates im KI-Zeitalter. Wenn Sie ein größeres Update planen, sehen Sie sich auch an, was ein Upgrade auf Drupal 11 beinhaltet.
- Digitale Barrierefreiheit
Barrierefreiheit ist kein Thema mehr für „wenn wir mal Zeit haben“. Der European Accessibility Act gilt seit dem 28. Juni 2025 und betrifft ausgewählte Produkte und Dienstleistungen, unter anderem E-Commerce, Bankdienstleistungen, Verkehr, Telekommunikationsdienste und E-Books. Die neueste Version der Richtlinien ist WCAG 2.2, und es lohnt sich, sie anzuwenden, auch wenn Ihre Organisation noch keine formelle gesetzliche Pflicht hat.
Nach zwei Jahren verschlechtert sich die Barrierefreiheit oft durch die tägliche Pflege der Inhalte. Es fehlen Alternativtexte, die Überschriftenhierarchie stimmt nicht, Text steht in Grafiken, Banner lassen sich nicht mit der Tastatur bedienen, neue Farben kommen ohne Kontrastprüfung hinzu, und Formulare zeigen keine verständlichen Fehlermeldungen.
Prüfen Sie:
- den Kontrast von Text und Buttons,
- die Bedienung der Seite per Tastatur,
- eine sichtbare Hervorhebung des aktiven Elements (Fokus),
- die Alternativtexte von Bildern,
- die Struktur der Überschriften,
- die Beschriftungen der Formularfelder,
- die Fehlermeldungen,
- die Barrierefreiheit von Menüs, modalen Fenstern und dynamischen Komponenten,
- die Barrierefreiheit der auf der Website veröffentlichten PDF-Dateien.
Das ist nicht nur eine gesetzliche Anforderung. Eine barrierefreie Website ist meist für alle leichter zu nutzen, besonders auf dem Smartphone, bei schlechtem Licht, in Eile oder bei einer langsameren Verbindung. Wie man Barrierefreiheit in Drupal angeht, beschreiben wir im Artikel Wie erstellt man eine inklusive Website? Drupal-Tipps und Tricks zur Barrierefreiheit.
- Formulare, Conversions und Integrationen
Viele Unternehmen bewerten eine Website nach ihrem Traffic und nicht danach, was die Nutzer dort tun. Nach zwei Jahren lohnt es sich, die wichtigsten Nutzerwege so zu durchlaufen, wie es ein Kunde tun würde: der Einstieg über Google, das Lesen einer Leistungsseite, der Klick auf einen CTA, das Ausfüllen eines Formulars, der Erhalt einer Bestätigung, die Speicherung des Leads im CRM und die Benachrichtigung des Vertriebs.
Das klingt banal. In der Praxis zeigen sich genau hier die Lücken: Das Formular funktioniert, aber der Lead landet ohne Quelle im CRM. Ein CTA führt zu einer alten Seite. Eine automatische Benachrichtigung geht an jemanden, der nicht mehr im Unternehmen arbeitet. Die Meldung nach dem Absenden eines Formulars sagt nicht, was als Nächstes passiert. Die englische Version des Formulars hat andere Felder als die deutsche.
Prüfen Sie beim Audit:
- ob alle Formulare die Daten dorthin senden, wo sie hingehören,
- ob die Validierungsmeldungen der Felder verständlich sind,
- ob die Marketing-Einwilligungen aktuell sind,
- ob die Bestätigungs-E-Mails noch den richtigen Inhalt haben,
- ob für jeden Lead Quelle, Kampagne und Einstiegsseite gespeichert werden,
- ob die CTAs zu Ihrem aktuellen Angebot passen,
- ob alle Sprachversionen die Nutzer auf dieselbe Weise führen,
- ob Ihre wichtigsten Landingpages den nächsten Schritt klar zeigen.
Wenn Ihre Website auf Drupal läuft, lassen sich diese Probleme oft ohne Neuaufbau der gesamten Website beheben, durch Anpassungen im Webform-Modul, in den CRM-Integrationen, in Views, in CTA-Blöcken und in der Inhaltsstruktur. Bei größeren Änderungen sollten Sie die weitere Drupal-Entwicklung planen, um die Ursache des Problems zu beheben und nicht nur seine Symptome.
- Monitoring, Backups und ein Notfallplan
Der letzte Bereich ist der unspektakulärste, aber wenn man ihn vernachlässigt, wird es oft am teuersten. Nach zwei Jahren sollte Ihre Website einen klaren Plan haben: was überwacht wird, wer Alarme erhält, wer reagiert, wo die Backups liegen, wie lange ihre Wiederherstellung dauert und was als Vorfall gilt.
Das Minimum, das Sie prüfen sollten:
- Verfügbarkeitsmonitoring (Uptime) der Website und der wichtigsten Nutzerwege,
- Überwachung der Gültigkeit von SSL-Zertifikaten und Domains,
- Alarme bei 5xx-Fehlern,
- Anwendungs- und Serverlogs,
- Backups der Datenbank und der Dateien,
- einen Test der Backup-Wiederherstellung,
- eine Liste der Ansprechpartner für Eskalationen,
- ein Verfahren für die Reaktion auf kritische Schwachstellen,
- eine separate Staging-Umgebung.
Ohne das reagiert das Team erst, wenn ein Kunde oder die Geschäftsführung das Problem bemerkt. Diese Arbeitsweise ist riskant. Eine Unternehmenswebsite, besonders im B2B-Bereich, in Finanzen, Bildung, Medizin oder E-Commerce, muss als Geschäftssystem behandelt werden und nicht als Sammlung von Unterseiten. Wenn Sie noch keinen solchen Plan haben, beginnen Sie mit der Überwachung von Servern und Anwendungen.
Was tun nach dem Audit?
Ein gutes Audit endet nicht mit einem PDF-Bericht. Sein Ergebnis sollte eine Entscheidung sein: was wir jetzt tun, was wir für später planen und was wir gar nicht tun. Nach zwei Jahren mangelt es meist nicht an Themen. Es fehlen Prioritäten.
Ich schlage eine einfache Einteilung vor:
- kritisch: Sicherheit, defekte Formulare, Indexierungsfehler bei wichtigen Seiten,
- schnelle Korrekturen: Metadaten, CTAs, Weiterleitungen, schwere Bilder, ungenutzte Tags,
- geplante Arbeiten: Refactoring des Themes, Korrekturen der Barrierefreiheit, Aufräumen der Inhalte,
- strategische Entscheidungen: ein CMS-Update, eine Änderung der Architektur, die Neugestaltung ausgewählter Nutzerwege.
Ein Audit zeigt selten, dass die Website von Grund auf neu gebaut werden muss. Häufiger zeigt es, welche Elemente sich schrittweise ändern lassen. Diesen Ansatz beschreiben wir im Artikel Nicht neu aufbauen, sondern weiterentwickeln: ein schrittweiser Rahmen für die CMS-Modernisierung.
Wenn Ihre Website auf Drupal läuft und sie seit Langem niemand geprüft hat, beginnen Sie mit einem technischen Check: SEO, Performance, Sicherheit, Barrierefreiheit, Analytics und der Prozess der Veröffentlichung von Inhalten. Bei Droptica helfen wir Teams, Drupal-Websites zu pflegen und weiterzuentwickeln, vom laufenden Support bis zu größeren Änderungen an der Architektur. Wenn Sie zuerst den Zustand Ihres Systems prüfen und Prioritäten festlegen möchten, sehen Sie sich unser Drupal-Code-Audit an.
Wenn Sie lieber eine konkrete Liste von Risiken und empfohlenen Maßnahmen erhalten möchten, statt zu raten, kontaktieren Sie uns. Wir prüfen, was wirklich verbessert werden muss und was warten kann.
