Zuletzt gescannt: 8. Oktober 2026

C0/100

Durchschnittlich

Score-Bericht

luigisbox.sk

Gescannt am 8. Oktober 2026

WordPress

jQuery

Slick Slider

Fancybox

Cloudflare

Zuletzt gescannt: 8. Oktober 2026

KI-Verdict

Your site is reasonably optimized but has critical security gaps. Enable HSTS protection in WordPress settings immediately to secure data transmission. Your SEO and GDPR compliance are solid strengths.

Aktionsplan

Aktionsplan nach Wirkung und Aufwand

Jedes gefundene Problem, sortiert danach, wie viel die Behebung bringt und wie viel Arbeit sie macht. Beginnen Sie mit den schnellen Erfolgen.

So bewerten wir →

Schnelle Erfolge

Große Wirkung, wenig Arbeit. Erledigen Sie diese zuerst.

Größere Projekte

Große Wirkung, aber die Behebung braucht Planung.

+3 weitere

Kleine Korrekturen

Geringere Wirkung, schnell erledigt.

+17 weitere

Später

Geringere Wirkung und mehr Arbeit. Planen Sie sie, wenn der Rest erledigt ist.

+19 weitere

91/100

Performance

Gewichtung: 25% · 14 bestanden · 4 Warnungen · 0 fehlgeschlagen · 2 SPA (manuell prüfen)

Was wir gefunden haben: 4.81 s (gut: <3,4 s)

Warum es wichtig ist: Der Speed Index erfasst das gesamte visuelle Ladeerlebnis. Ein langsamer Speed Index bedeutet, dass Nutzer den Inhalt Stück für Stück laden sehen, statt eine vollständige Seite wahrzunehmen.

So beheben: Der Speed Index misst die visuelle Vollständigkeit über die Zeit. Verbessern Sie ihn durch: Priorisierung von Inhalten above the fold, Preloading kritischer Ressourcen und Minimierung render-blockierender Ressourcen.

Nachweis:PSI-lab· Konfidenz: high

Geschwindigkeitsaudit anfragen

Was wir gefunden haben: 51 KB ungenutzt (CSS: 18 KB, JS: 33 KB)

Warum es wichtig ist: Ungenutzter Code wird heruntergeladen und geparst, aber nie ausgeführt - reine Verschwendung. Sein Entfernen beschleunigt die Parse-Zeit und reduziert die Bandbreite.

Hinweis: Diese Prüfung nutzt heuristische Erkennung und kann False Positives produzieren. Manuelle Verifizierung empfohlen.

So beheben: Entfernen Sie ungenutztes CSS mit PurgeCSS oder UnCSS. Splitten Sie JavaScript so, dass pro Seite nur der benötigte Code lädt. Prüfen Sie Plugins - jedes fügt CSS/JS hinzu.

Nachweis:PSI-lab· Konfidenz: low

Warum es wichtig ist: Preconnect spart 100-500 ms pro Drittanbieter-Origin, indem Verbindungen früh aufgebaut werden. Preload beginnt kritische Ressourcen herunterzuladen, bevor der Browser sie in CSS/JS entdeckt.

So beheben: Fügen Sie Resource Hints hinzu: <link rel='preconnect' href='https://fonts.googleapis.com'> für Drittanbieter-Origins, <link rel='preload' as='image' href='hero.webp'> für kritische Ressourcen.

Nachweis:HTML-heuristic· Konfidenz: high

Geschwindigkeitsaudit anfragen

Was wir gefunden haben: Eigene Schriften ohne Preload-Hints erkannt

Warum es wichtig ist: Schriften werden spät in der Render-Pipeline entdeckt (nach dem Parsen des CSS). Preloading weist den Browser an, sie sofort herunterzuladen, und reduziert Flash of Invisible Text (FOIT) um 200-500 ms.

So beheben: Preloaden Sie Ihre primäre Schrift: <link rel='preload' href='/fonts/main.woff2' as='font' type='font/woff2' crossorigin>. Für Google Fonts: preconnect zu fonts.gstatic.com.

Nachweis:HTML-heuristic· Konfidenz: high

Geschwindigkeitsaudit anfragen

4 Probleme gefunden in Performance. Verbesserungspotenzial vorhanden.

Ihr Shop qualifiziert sich noch nicht für das Zulien Score-Badge. Erreichen Sie 80+, um es zu verdienen!

📧 Erinnerungen für Re-Scans

Wir senden Ihnen monatlich eine E-Mail, wenn ein erneuter Scan ansteht und Sie Ihre Verbesserungen verfolgen können.

Ich stimme den Datenschutzerklärung. Wir senden Ihnen Ihren Bericht und optionale Re-Scan-Benachrichtigungen.

🚀 Verbessern Sie Ihren Score

Unsere PrestaShop-Module beheben die meisten dieser Probleme automatisch.

Kostenlose 15-Min-Beratung · Unverbindlich

Teilen & Exportieren

Bereit, Ihren Score zu verbessern?

Selbst beheben

Schauen Sie sich unsere Module an und beheben Sie die Probleme mit 2 Klicks.

Zulien-Module ansehen

Wir erledigen es für Sie

Beschreiben Sie Ihr Ziel und wir senden Ihnen innerhalb von 48 Stunden ein Angebot — ohne Telefonat.

Schriftliches Angebot anfordern

Antwort innerhalb von 48 h · Kein Verkaufsgespräch

Dies ist eine automatisierte heuristische Schätzung, kein professionelles Audit. Befunde spiegeln öffentlich beobachtbare Signale zum Scan-Zeitpunkt wider und können False Positives enthalten.Mehr zu unserer MethodikUngenauigkeit meldenDiesen Bericht entfernen

Zulien Score

Full e-commerce audit — 50+ checks across 7 categories

78/100

Grade C

luigisbox.sk

Auditdatum: 8. Oktober 2026

Plattform: WordPress

Online-Bericht: https://score.zulien.sk/r/luigisbox.sk

Zusammenfassung

Fehler

Warnungen

151

Prüfungen gesamt

Punkte nach Kategorie

Kategorie	Punkte	Gewicht	Fehler	Warnungen	OK
Performance	91/100	25%	0	4	14
SEO	88/100	20%	0	6	20
Sicherheit	55/100	15%	3	8	5
Mobil	85/100	10%	1	5	8
KI-Bereitschaft	80/100	10%	1	12	18
Recht & DSGVO	81/100	10%	0	5	7
Schwachstellen	57/100	10%	5	6	5
Barrierefreiheit / EAA	66/100	10%	1	2	5

Kritische Befunde

HSTS (Strict-Transport-Security)· Sicherheit

Ohne HSTS können Angreifer die erste HTTP-Anfrage abfangen und die Verbindung herabstufen, um in öffentlichem WLAN Session-Cookies zu stehlen.

Content-Security-Policy (CSP)· Sicherheit

CSP ist eine starke Verteidigung gegen XSS-Angriffe. Ohne sie läuft jedes eingeschleuste Skript mit vollen Rechten. CSP blockiert die Injektion von Inline-Skripten.

Clickjacking-Schutz· Sicherheit

Clickjacking überlagert Ihre Seite in einem versteckten Iframe. Angreifer bringen Nutzer dazu, Schaltflächen (etwa 'Kauf bestätigen') zu klicken, ohne es zu bemerken.

Beschriftungen von Formularfeldern (WCAG 3.3.2)· Mobil

Der EAA 2026 (European Accessibility Act) tritt am 28.6.2025 in Kraft. Onlineshops mit mehr als 10 Mitarbeitern oder €2 Mio. Umsatz müssen WCAG-2.1-AA-konform sein — fehlende Beschriftungen gehören zu den häufigsten klagbaren Mängeln.

Qualität des Alt-Textes von Bildern für die KI· KI-Bereitschaft

Schlechter Alt-Text bedeutet, dass Ihre Produktbilder für die visuelle KI-Suche (Google Lens, Bing Visual Search) unsichtbar sind. Es ist zudem eine Barrierefreiheits-Anforderung (WCAG 2.1 AA) — viele Regionen setzen sie gesetzlich durch.

CSRF-Schutz für Formulare· Schwachstellen

CSRF steht in den OWASP Top 10. Ohne Tokens können Angreifer Seiten erstellen, die Formulare auf Ihrer Website automatisch über die Browsersitzung des Opfers absenden.

Verdächtige Inline-Skript-Muster· Schwachstellen

Diese Muster (Base64-Decodierung, eval mit Kodierung, dynamische Skript-Injektion) sind Kennzeichen von Magecart-Payment-Skimmern. Skimmer werden auf E-Commerce-Websites häufig als Google Tag Manager getarnt.

SPF-Eintrag (E-Mail-Sicherheit)· Schwachstellen

Ohne SPF kann jeder E-Mails versenden, die scheinbar von Ihrer Domain stammen. Seit 2024 lehnen Google und Yahoo E-Mails von Domains ohne SPF ab. Ihre Transaktions-E-Mails landen möglicherweise im Spam.

DMARC-Richtlinie (E-Mail-Authentifizierung)· Schwachstellen

Ohne DMARC können Angreifer perfekt gefälschte E-Mails im Namen Ihrer Marke versenden. Seit Mai 2025 verlangen Google, Yahoo und Microsoft DMARC für Massenversender. Fehlendes DMARC = Probleme mit der E-Mail-Zustellbarkeit.

Sicherheit der Zahlungsseite· Schwachstellen

Zahlungsseiten ohne korrekte Sicherheits-Header verstoßen gegen PCI DSS und erleichtern den Diebstahl von Kartendaten erheblich. Zahlungsdienstleister können monatliche Bußgelder für Nichteinhaltung verhängen.

Formularbeschriftungen· Barrierefreiheit / EAA

Felder ohne Beschriftung lassen Screenreader-Nutzer raten — Suche, Newsletter und Kasse werden unbrauchbar. EN 301 549 § 9.1.3.1 / 9.4.1.2 (WCAG 1.3.1 / 4.1.2).

Aktionsplan nach Wirkung und Aufwand

Jedes gefundene Problem, sortiert danach, wie viel die Behebung bringt und wie viel Arbeit sie macht. Beginnen Sie mit den schnellen Erfolgen.

Schnelle Erfolge (5)

Große Wirkung, wenig Arbeit. Erledigen Sie diese zuerst.

Befund	Kategorie	Aufwand
HSTS (Strict-Transport-Security)	Sicherheit	schnell
Clickjacking-Schutz	Sicherheit	schnell
Verzeichnisauflistung	Schwachstellen	schnell
SPF-Eintrag (E-Mail-Sicherheit)	Schwachstellen	schnell
DMARC-Richtlinie (E-Mail-Authentifizierung)	Schwachstellen	schnell

Größere Projekte (8)

Große Wirkung, aber die Behebung braucht Planung.

Befund	Kategorie	Aufwand
Content-Security-Policy (CSP)	Sicherheit	ca. ein Tag
Beschriftungen von Formularfeldern (WCAG 3.3.2)	Mobil	ca. ein Tag
Qualität des Alt-Textes von Bildern für die KI	KI-Bereitschaft	ca. ein Tag
CSRF-Schutz für Formulare	Schwachstellen	ca. ein Tag
Ressourcen mit gemischten Inhalten	Schwachstellen	ca. ein Tag
Sicherheit der Zahlungsseite	Schwachstellen	ca. ein Tag
Formularbeschriftungen	Barrierefreiheit / EAA	ca. ein Tag
Verdächtige Inline-Skript-Muster	Schwachstellen	Projekt

Kleine Korrekturen (22)

Geringere Wirkung, schnell erledigt.

Befund	Kategorie	Aufwand
Meta-Title	SEO	schnell
XML Sitemap	SEO	schnell
Konsistenz der kanonischen URL	SEO	schnell
Leere/tote Links	SEO	schnell
Konsistenz des Sitemap-Hosts	SEO	schnell
DNSSEC	Sicherheit	schnell
CAA-DNS-Eintrag	Sicherheit	schnell
X-Content-Type-Options	Sicherheit	schnell
Referrer-Policy	Sicherheit	schnell
Permissions-Policy	Sicherheit	schnell
Subresource Integrity (SRI)	Sicherheit	schnell
security.txt (RFC 9116)	Sicherheit	schnell

+10 weitere

Später (24)

Geringere Wirkung und mehr Arbeit. Planen Sie sie, wenn der Rest erledigt ist.

Befund	Kategorie	Aufwand
Optimierung des Bildformats	SEO	ca. ein Tag
Größe der Touch-Ziele	Mobil	ca. ein Tag
Lesbarkeit der Schriftgröße	Mobil	ca. ein Tag
Größe des Inline-CSS	Mobil	ca. ein Tag
Qualität von Linktexten (WCAG 2.4.4)	Mobil	ca. ein Tag
FAQ-Schema (direkte AI-Antworten)	KI-Bereitschaft	ca. ein Tag
Cookie-Richtlinie	Recht & DSGVO	ca. ein Tag
Seite mit Allgemeinen Geschäftsbedingungen	Recht & DSGVO	ca. ein Tag
Internationale Datenübermittlungen	Recht & DSGVO	ca. ein Tag
Recht auf Löschung (Datenlöschung)	Recht & DSGVO	ca. ein Tag
Newsletter-Einwilligung	Recht & DSGVO	ca. ein Tag
Offenlegung von Inline-JavaScript	Schwachstellen	ca. ein Tag

+12 weitere

Performance

91/100

Gewicht: 25% · 14 OK · 4 Warnungen · 0 Fehler · 20 gesamt

Speed IndexWarnung

4.81 s (gut: <3,4 s)

Warum das wichtig ist: Der Speed Index erfasst das gesamte visuelle Ladeerlebnis. Ein langsamer Speed Index bedeutet, dass Nutzer den Inhalt Stück für Stück laden sehen, statt eine vollständige Seite wahrzunehmen.

So beheben Sie es: Der Speed Index misst die visuelle Vollständigkeit über die Zeit. Verbessern Sie ihn durch: Priorisierung von Inhalten above the fold, Preloading kritischer Ressourcen und Minimierung render-blockierender Ressourcen.

Ungenutzter Code (CSS + JS)Warnung

51 KB ungenutzt (CSS: 18 KB, JS: 33 KB)

Warum das wichtig ist: Ungenutzter Code wird heruntergeladen und geparst, aber nie ausgeführt - reine Verschwendung. Sein Entfernen beschleunigt die Parse-Zeit und reduziert die Bandbreite.

So beheben Sie es: Entfernen Sie ungenutztes CSS mit PurgeCSS oder UnCSS. Splitten Sie JavaScript so, dass pro Seite nur der benötigte Code lädt. Prüfen Sie Plugins - jedes fügt CSS/JS hinzu.

Resource Hints (Preload/Preconnect)Warnung

Warum das wichtig ist: Preconnect spart 100-500 ms pro Drittanbieter-Origin, indem Verbindungen früh aufgebaut werden. Preload beginnt kritische Ressourcen herunterzuladen, bevor der Browser sie in CSS/JS entdeckt.

So beheben Sie es: Fügen Sie Resource Hints hinzu: <link rel='preconnect' href='https://fonts.googleapis.com'> für Drittanbieter-Origins, <link rel='preload' as='image' href='hero.webp'> für kritische Ressourcen.

Font-PreloadingWarnung

Eigene Schriften ohne Preload-Hints erkannt

Warum das wichtig ist: Schriften werden spät in der Render-Pipeline entdeckt (nach dem Parsen des CSS). Preloading weist den Browser an, sie sofort herunterzuladen, und reduziert Flash of Invisible Text (FOIT) um 200-500 ms.

So beheben Sie es: Preloaden Sie Ihre primäre Schrift: <link rel='preload' href='/fonts/main.woff2' as='font' type='font/woff2' crossorigin>. Für Google Fonts: preconnect zu fonts.gstatic.com.

Server-Antwortzeit (TTFB)Bestanden

41 ms

First Contentful Paint (FCP)Bestanden

0.65 s

Largest Contentful Paint (LCP)Bestanden

0.81 s – Core Web Vital ✓

Total Blocking Time (TBT)Bestanden

40 ms

Cumulative Layout Shift (CLS)Bestanden

0.001 – Core Web Vital ✓

GesamtseitengewichtBestanden

669 KB (56 Requests)

JavaScript-BudgetBestanden

130 KB — innerhalb des Budgets von 600 KB

Warum das wichtig ist: JavaScript ist die teuerste Ressource einer Seite: es muss geladen, geparst und ausgeführt werden, bevor die Seite auf Eingaben reagiert. Unter 600 KB zu bleiben ist das, was Mittelklasse-Smartphones reaktionsfähig hält.

Request-BudgetBestanden

56 Requests — innerhalb des Budgets von 80

Warum das wichtig ist: Jeder Request kostet einen Roundtrip. Unter HTTP/2 teilen sie sich eine Verbindung, müssen aber trotzdem einzeln entdeckt, eingereiht und verarbeitet werden.

Textkomprimierung (gzip/brotli)Bestanden

Alle Textressourcen ordnungsgemäß komprimiert

Lazy LoadingBestanden

5 % der Bilder nutzen natives Lazy Loading (23/425)

Font-LadestrategieBestanden

font-display: swap

Cache-Control-StrategieBestanden

max-age=86400

HTTP/3-(QUIC-)UnterstützungBestanden

HTTP/3 über Alt-Svc-Header aktiviert

Skript-LadestrategieBestanden

85 % der Skripte nutzen async/defer/module (3 async, 14 defer, 0 module)

Drittanbieter-DiensteInfo

Nicht gemessen — PageSpeed hat für diese URL kein Drittanbieter-Audit zurückgegeben

Warum das wichtig ist: Wir weisen das als nicht gemessen aus und nicht als null Drittanbieter, denn das sind sehr unterschiedliche Befunde.

So beheben Sie es: Führen Sie den Scan erneut aus oder sehen Sie sich die Drittanbieter-Übersicht direkt bei PageSpeed Insights an.

Render-blockierende RessourcenInfo

Nicht gemessen - PageSpeed hat für diese URL kein Audit render-blockierender Ressourcen zurückgegeben

So beheben Sie es: Führen Sie den Scan erneut aus oder testen Sie direkt bei PageSpeed Insights. Diese Metrik benötigt einen erfolgreichen Lighthouse-Lab-Lauf.

SEO

88/100

Gewicht: 20% · 20 OK · 6 Warnungen · 0 Fehler · 27 gesamt

Meta-TitleWarnung

70 Zeichen (optimal: 30-60)

Warum das wichtig ist: Abgeschnittene Titel senken die Klickrate, weil der Suchende die vollständige Botschaft nie sieht.

So beheben Sie es: Kürzen Sie Ihren Title auf unter 60 Zeichen. Google schneidet längere Titel mit '…' ab, wodurch Ihre Botschaft abgeschnitten wird.

XML SitemapWarnung

Could not be retrieved in time — not verified

Warum das wichtig ist: We could not confirm either way within the probe budget, so this is not a finding about your sitemap — it is a note that the check did not complete. A slow-to-generate sitemap is worth caching regardless.

So beheben Sie es: Check /sitemap.xml yourself. If it is generated on every request, cache it to a static file: a sitemap that takes seconds to build is also slow for Googlebot, which fetches it regularly.

Optimierung des BildformatsWarnung

Nur 10 % moderne Formate — 2 veraltete Bilder verbleiben

Warum das wichtig ist: WebP/AVIF-Bilder sind bei gleicher Qualität 30-70 % kleiner als JPEG/PNG. Das verbessert direkt die Seitengeschwindigkeit, den LCP und das mobile Erlebnis.

So beheben Sie es: Konvertieren Sie die verbleibenden JPEG/PNG-Bilder zu WebP (30-50 % kleiner) oder AVIF (50-70 % kleiner). Verwenden Sie das <picture>-Element als Browser-Fallback.

Konsistenz der kanonischen URLWarnung

Canonical verweist auf eine andere URL: https://www.luigisbox.sk/

Warum das wichtig ist: Ein nicht übereinstimmender Canonical teilt Google mit, dass diese Seite ein Duplikat einer anderen URL ist. Wenn das unbeabsichtigt ist, ignoriert Google diese Seite möglicherweise vollständig zugunsten des kanonischen Ziels.

So beheben Sie es: Ihre kanonische URL stimmt nicht mit der aktuellen Seiten-URL überein. Stellen Sie sicher, dass der Canonical auf die bevorzugte Version verweist (mit oder ohne abschließenden Schrägstrich, www vs. non-www). Inkonsistente Canonicals verwirren Suchmaschinen.

Leere/tote LinksWarnung

10 tote Links (0 leer, 10 nur Hash, 0 javascript:void)

Warum das wichtig ist: Tote Links verschwenden Crawl-Budget und verwirren Suchmaschinen. Sie schaffen zudem eine schlechte Nutzererfahrung — Nutzer klicken in Erwartung einer Navigation, und nichts passiert.

So beheben Sie es: Ersetzen Sie leere href='', href='#' und href='javascript:void(0)' durch echte URLs. Wenn interaktiv, verwenden Sie <button> statt <a>.

Konsistenz des Sitemap-HostsWarnung

robots.txt Sitemap verweist auf www.luigisbox.com (Seite ist luigisbox.sk)

Warum das wichtig ist: Google ruft die Sitemap von dem in der robots.txt deklarierten Host ab. Eine Staging-Domain dort legt entweder eine Umgebung offen, die nicht indexiert werden darf, oder schickt jedes Crawling an den falschen Host — was Ranking-Signale aufteilt und Crawl-Budget verbrennt.

So beheben Sie es: Ändern Sie die Sitemap:-Zeile in der robots.txt auf Ihren kanonischen Host. Ein Staging/Dev-Hostname (new., staging., dev.) gibt Google die Vorproduktion preis und füttert Crawler mit URLs, die 404 liefern oder die Live-Website duplizieren.

Meta-DescriptionBestanden

137 Zeichen

H1-ÜberschriftBestanden

"Pre výnimočné vyhľadávanie a odporúčanie produktov"

Inhaltsstruktur (H2-Überschriften)Bestanden

9 H2-Zwischenüberschriften gefunden

Open-Graph-TagsBestanden

og:title, og:description, og:image, og:type

Open-Graph-BildformatBestanden

image/webp

Twitter/X-CardsBestanden

Card-Typ: summary_large_image

Canonical-URLBestanden

https://www.luigisbox.sk/

Strukturierte Daten (JSON-LD)Bestanden

3 Block/Blöcke: Place, PostalAddress, Organization, ImageObject

JSON-LD-GültigkeitBestanden

3 Block/Blöcke parsen fehlerfrei

robots.txtBestanden

Vorhanden, verweist auf Sitemap

HTML-SprachattributBestanden

lang="sk-SK"

Hreflang-Tags (mehrsprachig)Bestanden

10 Sprache(n): en, sk, cs, pl, de

Bild-Alt-AttributeBestanden

100% von 425 Bildern haben Alt-Text

Meta-Robots-TagBestanden

follow, index, max-snippet:-1, max-video-preview:-1, max-image-preview:large

FaviconBestanden

Favicon erkannt

Semantische HTML-StrukturBestanden

4/6 semantische Elemente: <nav>, <main>, <header>, <footer>

InhaltstiefeBestanden

1801 Wörter — ausreichender Inhalt

Tiefe ÜberschriftenhierarchieBestanden

H2: 9, H3: 34 — gut strukturierter Inhalt

Interne VerlinkungBestanden

20 interne Links — starke Website-Navigation

Grundlagen der BarrierefreiheitBestanden

3/4 Barrierefreiheits-Signale: 1 ARIA roles, 9 ARIA labels, lang="sk-SK"

Text-zu-HTML-VerhältnisInfo

2 % Verhältnis, aber 1801 Wörter — der Inhalt ist ausreichend; das niedrige Verhältnis kommt von aufgeblähtem Markup/Inline-JS, nicht von dünnem Inhalt

Warum das wichtig ist: Das Text-zu-HTML-Verhältnis ist nur dann ein Signal für dünnen Inhalt, wenn auch die tatsächliche Wortanzahl niedrig ist. Bei 500+ Wörtern haben Suchmaschinen genügend Grundlage für das Ranking.

So beheben Sie es: Ihr Textinhalt ist ausreichend. Um das Verhältnis zu erhöhen, verlagern Sie Inline-<script>/<style> in externe Dateien und reduzieren Sie aufgeblähte Templates — das ist ein Performance-/Sauberkeitsgewinn, keine Inhaltslücke.

Sicherheit

55/100

Gewicht: 15% · 5 OK · 8 Warnungen · 3 Fehler · 16 gesamt

HSTS (Strict-Transport-Security)Fehlgeschlagen

Warum das wichtig ist: Ohne HSTS können Angreifer die erste HTTP-Anfrage abfangen und die Verbindung herabstufen, um in öffentlichem WLAN Session-Cookies zu stehlen.

So beheben Sie es: Fügen Sie den Header hinzu: Strict-Transport-Security: max-age=31536000; includeSubDomains; preload - reichen Sie die Domain anschließend bei hstspreload.org ein.

Content-Security-Policy (CSP)Fehlgeschlagen

Warum das wichtig ist: CSP ist eine starke Verteidigung gegen XSS-Angriffe. Ohne sie läuft jedes eingeschleuste Skript mit vollen Rechten. CSP blockiert die Injektion von Inline-Skripten.

So beheben Sie es: Implementieren Sie einen CSP-Header. Beginnen Sie mit: Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: - und verschärfen Sie ihn dann schrittweise.

Clickjacking-SchutzFehlgeschlagen

Warum das wichtig ist: Clickjacking überlagert Ihre Seite in einem versteckten Iframe. Angreifer bringen Nutzer dazu, Schaltflächen (etwa 'Kauf bestätigen') zu klicken, ohne es zu bemerken.

So beheben Sie es: Fügen Sie X-Frame-Options: DENY hinzu (oder SAMEORIGIN, falls Iframes benötigt werden). Besser: Verwenden Sie CSP frame-ancestors 'self'.

DNSSECWarnung

Keine DNSKEY-Einträge - Zone ist nicht signiert

Warum das wichtig ist: Ohne DNSSEC können Angreifer, die zwischengeschaltete Resolver kontrollieren, Antworten für Ihre Domain fälschen - und Nutzer auf Phishing-Seiten mit gültigem HTTPS leiten, die Ihrem Namen entsprechen. Nationale CSIRTs in der EU (SK-CERT, NÚKIB) empfehlen DNSSEC für alle betroffenen Einrichtungen.

So beheben Sie es: Aktivieren Sie DNSSEC bei Ihrem DNS-Anbieter (die meisten modernen Registrare bieten 1-Klick-Aktivierung: Cloudflare, Route 53, Google Cloud DNS, web.sk, websupport.sk). Überprüfen Sie es anschließend über dnsviz.net.

CAA-DNS-EintragWarnung

Keine CAA-Einträge - jede Zertifizierungsstelle kann Zertifikate für diese Domain ausstellen

Warum das wichtig ist: CAA-Einträge begrenzen, welche Zertifizierungsstellen Zertifikate für Ihre Domain ausstellen dürfen. Ohne CAA kann eine kompromittierte oder betrügerische Stelle gültige Zertifikate ausstellen, denen Browser vertrauen - ein dokumentiertes Angriffsmuster (DigiNotar 2011, Symantec 2017).

So beheben Sie es: Veröffentlichen Sie CAA-TXT-Einträge, die Ihre Zertifizierungsstelle festlegen. Für Let's Encrypt: `0 issue "letsencrypt.org"`. Für mehrere Stellen fügen Sie weitere `0 issue "..."`-Einträge hinzu. Fügen Sie `0 iodef "mailto:security@yourdomain.tld"` für Meldungen über Fehlausstellungen hinzu.

X-Content-Type-OptionsWarnung

Warum das wichtig ist: Ohne nosniff können Browser hochgeladene Dateien als Skripte ausführen. Ein Angreifer könnte eine .jpg hochladen, die eigentlich JavaScript ist, und den Browser dazu bringen, sie auszuführen.

So beheben Sie es: Fügen Sie den Header hinzu: X-Content-Type-Options: nosniff

Referrer-PolicyWarnung

Warum das wichtig ist: Ohne Referrer-Policy senden Browser die vollständige URL an Dritte. Dabei können sensible Daten wie Session-Tokens in URLs oder interne Seitenpfade preisgegeben werden.

So beheben Sie es: Fügen Sie den Header hinzu: Referrer-Policy: strict-origin-when-cross-origin - das ist der beste Kompromiss zwischen Funktionalität und Datenschutz.

Permissions-PolicyWarnung

Warum das wichtig ist: Ohne Permissions-Policy kann jedes Drittanbieter-Skript (Werbung, Analytics, Chat-Widgets) ohne Ihr Wissen auf Kamera, Mikrofon und Standort zugreifen.

So beheben Sie es: Fügen Sie hinzu: Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=() - deaktivieren Sie APIs, die Ihre Website nicht benötigt.

Subresource Integrity (SRI)Warnung

Nur 0/2 der SRI-fähigen Drittanbieter-Skripte haben Integrity-Hashes

Warum das wichtig ist: Ohne SRI können Angreifer bei der Kompromittierung eines versionsgepinnten Drittanbieter-CDN Schadcode in Ihre Website einschleusen - derselbe Vektor wie beim Magecart-Angriff auf British Airways.

So beheben Sie es: Fügen Sie versionsgepinnten <script>-Tags von Drittanbietern integrity='sha384-...' und crossorigin='anonymous' hinzu (verwenden Sie srihash.org). Automatisch aktualisierende Anbieter-Skripte (Analytics, Zahlungs-SDKs, Consent-Tools) sind korrekt ausgeschlossen - sie können SRI nicht nutzen.

security.txt (RFC 9116)Warnung

Warum das wichtig ist: security.txt ermöglicht es ethischen Hackern, Schwachstellen verantwortungsvoll zu melden. Ohne sie könnten sie diese öffentlich machen oder gar nicht melden.

So beheben Sie es: Erstellen Sie /.well-known/security.txt mit den Feldern Contact, Expires und Preferred-Languages. Den Generator finden Sie auf securitytxt.org.

Iframe-SandboxingWarnung

1/1 unbekannte(r) Iframe(s) ohne sandbox-Attribut

Warum das wichtig ist: Nicht gesandboxte Iframes aus unbekannten Quellen können auf Ihr DOM zugreifen, Skripte ausführen und das oberste Fenster navigieren. Sie sollten gesandboxt werden, um Clickjacking und XSS zu verhindern.

So beheben Sie es: Fügen Sie nicht-anbieterbezogenen <iframe>-Elementen ein sandbox-Attribut hinzu. Verwenden Sie sandbox='allow-scripts allow-same-origin' für Drittanbieter-Einbettungen. Vertrauenswürdige Medien-/Zahlungs-Einbettungen (YouTube, Maps, Stripe, reCAPTCHA) sind korrekt ausgeschlossen - sie benötigen volle Rechte, um zu funktionieren.

SSL/TLS-ZertifikatBestanden

Gültige HTTPS-Verbindung hergestellt

HTTP → HTTPS-WeiterleitungBestanden

HTTP leitet korrekt auf HTTPS weiter

Cookie-SicherheitsflagsBestanden

1 Cookie(s) - alle haben Secure, HttpOnly, SameSite

Technologie-OffenlegungBestanden

Server: cloudflare (ohne Version)

CDN-/WAF-SchutzBestanden

Cloudflare erkannt - DDoS-Schutz und Edge-Caching sind aktiv

Mobil

85/100

Gewicht: 10% · 8 OK · 5 Warnungen · 1 Fehler · 14 gesamt

Beschriftungen von Formularfeldern (WCAG 3.3.2)Fehlgeschlagen

Nur 0/7 Inputs haben eine Beschriftung (0%)

Warum das wichtig ist: Der EAA 2026 (European Accessibility Act) tritt am 28.6.2025 in Kraft. Onlineshops mit mehr als 10 Mitarbeitern oder €2 Mio. Umsatz müssen WCAG-2.1-AA-konform sein — fehlende Beschriftungen gehören zu den häufigsten klagbaren Mängeln.

So beheben Sie es: 7 Input-Elemente haben keine Beschriftung. Jeder Input muss ein zugeordnetes <label for="id">Text</label> oder aria-label haben. Ein Placeholder ist KEINE Beschriftung (WCAG 3.3.2). Handelt es sich um ein Checkout-/Registrierungsformular — senkt dies die Conversion und verstößt gegen EN 301 549 (EAA 2026).

Größe der Touch-ZieleWarnung

Some tappable targets are too small or too close together (Lighthouse tap-targets audit)

Warum das wichtig ist: Kleine Touch-Ziele führen zu Fehlberührungen auf dem Mobilgerät. Im E-Commerce kostet eine Fehlberührung auf 'Aus dem Warenkorb entfernen' statt 'Zur Kasse' direkt Umsatz.

So beheben Sie es: Stellen Sie sicher, dass ALLE interaktiven Elemente (Buttons, Links, Formularfelder) mindestens 48×48px groß sind und einen Mindestabstand von 8px zueinander haben. Achten Sie besonders auf: Navigationsmenüs, Filter-Buttons, Produktvarianten-Auswahl und Footer-Links.

Lesbarkeit der SchriftgrößeWarnung

Some text renders below the 12px legibility threshold (Lighthouse font-size audit)

Warum das wichtig ist: Text kleiner als 16px zwingt mobile Nutzer zum Pinch-Zoom. Das bricht das responsive Layout und schafft ein frustrierendes Erlebnis.

So beheben Sie es: Legen Sie eine Mindestschriftgröße von 16px für den Fließtext fest. Verwenden Sie relative Einheiten (rem/em) statt px für Skalierbarkeit. Produkttitel: 18px+, Preise: 20px+, CTAs: 16px+ fett.

Theme-FarbeWarnung

Warum das wichtig ist: theme-color schafft ein poliertes, markengerechtes mobiles Erlebnis. Die Website wirkt dadurch nativ und professionell.

So beheben Sie es: Fügen Sie <meta name='theme-color' content='#your-brand-color'> passend zu Ihrer Marke hinzu. Browser färben damit die Adressleiste, den Task-Switcher und die PWA-Oberfläche.

Größe des Inline-CSSWarnung

340 KB Inline-CSS

Warum das wichtig ist: Große Inline-CSS-Blöcke erhöhen den initialen HTML-Download und die Parse-Zeit — besonders schmerzhaft auf dem Mobilgerät mit begrenzter CPU und langsameren Verbindungen.

So beheben Sie es: Lagern Sie Inline-Styles in externe CSS-Dateien aus. Inline-CSS größer als 50 KB erhöht die HTML-Payload und kann nicht separat gecacht werden. Behalten Sie nur kritisches Above-the-Fold-CSS inline.

Qualität von Linktexten (WCAG 2.4.4)Warnung

1 Links haben einen generischen Text ("click here", "more", "tu"...)

Warum das wichtig ist: WCAG 2.4.4: Der Zweck eines Links muss aus dem Text hervorgehen. Vage Links verschlechtern UX, Conversion und SEO (Ankertext-Relevanz für Google).

So beheben Sie es: Ersetze 'Click here' / 'Read more' / 'Mehr' durch beschreibenden Text: 'Mehr über die DSGVO lesen', 'Modul-Preisliste ansehen'. Screenreader lesen Links außerhalb des Kontexts — ein alleinstehendes 'mehr' ist bedeutungslos.

Viewport-KonfigurationBestanden

width=device-width, initial-scale=1

Mobile-Performance-ScoreBestanden

90/100 — ausgezeichnet

Inhalt passt in den ViewportBestanden

Kein horizontales Scrollen nötig

Techniken für responsives DesignBestanden

Erkannt: Flexbox, CSS Grid, Media queries

Mobile Navigation (semantisch)Bestanden

<nav>-Element vorhanden — korrekter Navigations-Landmark

Responsive Bilder (srcset)Bestanden

48 Bild(er) verwenden srcset für responsive Größe

Formular-EingabetypenBestanden

Optimiert: 1 email

Überschriftenhierarchie (WCAG 1.3.1)Bestanden

Keine übersprungenen Ebenen

KI-Bereitschaft

80/100

Gewicht: 10% · 18 OK · 12 Warnungen · 1 Fehler · 35 gesamt

Qualität des Alt-Textes von Bildern für die KIFehlgeschlagen

Nur 24% hochwertiger Alt-Text — 1 fehlend, 207 schlecht

Warum das wichtig ist: Schlechter Alt-Text bedeutet, dass Ihre Produktbilder für die visuelle KI-Suche (Google Lens, Bing Visual Search) unsichtbar sind. Es ist zudem eine Barrierefreiheits-Anforderung (WCAG 2.1 AA) — viele Regionen setzen sie gesetzlich durch.

So beheben Sie es: Prüfen Sie alle Bilder: Fügen Sie jedem <img> beschreibenden Alt-Text (3-15 Wörter) hinzu. Nennen Sie Produktnamen, Merkmale, Materialien, Farben. Dies ist entscheidend für die visuelle KI-Suche und die Barrierefreiheits-Konformität.

Zugriffsrichtlinie für AI-BotsWarnung

Kleinere Bots blockiert: Bytespider, PetalBot

Warum das wichtig ist: Auch kleinere AI-Bots tragen dazu bei, wie AI-Modelle Ihre Marke verstehen. Mehr AI-Präsenz bedeutet mehr AI-Zitierungen und Produktempfehlungen.

So beheben Sie es: Sie blockieren einige AI-Crawler (Bytespider, PetalBot). Das ist zwar nicht kritisch, doch diese Bots liefern Trainingsdaten für AI-Modelle, die Ihre Produkte empfehlen könnten.

FAQ-Schema (direkte AI-Antworten)Warnung

Warum das wichtig ist: ChatGPT, Perplexity und Google AI Overviews übernehmen FAQ-Antworten wörtlich. Das FAQ-Schema ist eine der schnellsten Möglichkeiten, um Ihre Inhalte von der AI zitieren zu lassen.

So beheben Sie es: Fügen Sie jeder Produkt- und Kategorieseite ein FAQPage-Schema hinzu. Nehmen Sie 3-5 Fragen und Antworten pro Seite auf zu: Produktspezifikationen, Versand, Rückgabe, Gebrauchsanweisungen. Format: Frage (vollständiger Satz) + Antwort (75-150 Wörter).

Breadcrumb-SchemaWarnung

Warum das wichtig ist: AI-Assistenten nutzen Breadcrumbs, um die Produktkategorisierung und Website-Struktur zu verstehen. Ohne sie kann die AI nicht einordnen, wo Produkte in Ihren Katalog passen — z. B. 'Laufschuhe' unter 'Sport > Schuhe > Laufen'.

So beheben Sie es: Fügen Sie ein BreadcrumbList-Schema hinzu, das Ihre Kategoriehierarchie widerspiegelt: Startseite → Kategorie → Unterkategorie → Produkt. Jedes Element benötigt name und URL.

Antwort-zuerst-InhaltsformatWarnung

Der Inhalt beginnt nicht mit einem starken zusammenfassenden Absatz

Warum das wichtig ist: AI-Assistenten extrahieren Inhalte aus den ersten 100 Wörtern, um Zusammenfassungen zu erstellen. Die meisten AI-Systeme lesen von oben nach unten, sodass Antwort-zuerst-Seiten häufiger zitiert werden.

So beheben Sie es: Platzieren Sie Ihre wichtigsten Informationen in den ersten 100 Wörtern der Seite. Verwenden Sie die BLUF-Methode (Bottom Line Up Front): Beginnen Sie damit, WAS das Produkt ist und warum es wichtig ist, und führen Sie es dann aus.

Strukturierter Inhalt (Listen & Tabellen)Warnung

Gefunden: 33 lists — erwägen Sie, comparison tables hinzuzufügen

Warum das wichtig ist: AI-Modelle bevorzugen die Datenextraktion aus HTML-Listen und -Tabellen. Perplexity und ChatGPT übernehmen Aufzählungspunkte und Tabellendaten mit höherer Genauigkeit als Absatztext.

So beheben Sie es: Fügen Sie Ihrem Inhalt comparison tables hinzu. Verwenden Sie <ul>/<ol> für Funktionslisten, Spezifikationen und Vorteile. Verwenden Sie <table> für Produktvergleiche, Preisstufen und Spezifikationen. Die AI extrahiert strukturierten Inhalt viel schneller als Absätze.

Signale für InhaltsaktualitätWarnung

Schema-Daten gefunden, aber kein sichtbares Datum auf der Seite

Warum das wichtig ist: AI-Modelle gewichten Aktualität in ihren Zitierungsalgorithmen. Aktualitätssignale teilen der AI mit, dass Ihr Inhalt aktuell und zuverlässig ist.

So beheben Sie es: Fügen Sie beides hinzu: 1) dateModified und datePublished in Ihrem Article/Product-JSON-LD-Schema, 2) ein sichtbares 'Zuletzt aktualisiert: [Datum]' auf der Seite. Beide Signale bekräftigen die Inhaltsaktualität für die AI.

Optimierung der AbschnittslängeWarnung

Durchschn. Abschnitt: 33 Wörter — nur 5% im optimalen Bereich von 80-200 Wörtern

Warum das wichtig ist: Für Google AI Overviews sind 100-150 Wörter pro Abschnitt der Sweet Spot — lange Abschnitte werden übersprungen und sehr kurze haben keine Substanz.

So beheben Sie es: Strukturieren Sie den Inhalt in Abschnitte von 120-180 Wörtern zwischen H2/H3-Überschriften. Jeder Abschnitt sollte ein Thema vollständig abdecken. Teilen Sie Abschnitte über 300 Wörter, erweitern Sie Abschnitte unter 80 Wörtern.

Überschriften im Frage-Antwort-FormatWarnung

Warum das wichtig ist: Das Frage-Antwort-Inhaltsformat entspricht der Art, wie Menschen KI-Assistenten befragen. Ohne Überschriften im Frageformat lässt sich Ihr Inhalt von der KI schwerer den Nutzeranfragen zuordnen.

So beheben Sie es: Fügen Sie H2/H3-Überschriften hinzu, die als Fragen Ihrer Kunden formuliert sind: 'Wie viel kostet der Versand?', 'Welche Größen sind verfügbar?', 'Wie sende ich einen Artikel zurück?' Folgen Sie jeder mit einer direkten, prägnanten Antwort.

Canonical-Tag für KI-DeduplizierungWarnung

Canonical verweist auf eine andere URL: https://www.luigisbox.sk/

Warum das wichtig ist: KI-Suchmaschinen (ChatGPT, Perplexity, Bing Copilot) nutzen Canonicals zur Deduplizierung von Inhalten. Ein falscher Canonical bedeutet, dass die KI die falsche Seitenversion zitiert oder diese Seite ganz ignoriert.

So beheben Sie es: Prüfen Sie, ob dieser Canonical beabsichtigt ist. KI-Modelle gruppieren nahezu identische URLs und wählen eine repräsentative Seite. Verweist der Canonical auf eine andere URL, indexiert die KI nur diese Ziel-URL, nicht diese Seite.

Lesbarkeit des Inhalts für die KIWarnung

Grade 19 — zu komplex für eine breite KI-Zitierung (technischer Schwellenwert: 14)

Warum das wichtig ist: Inhalt mit einer Lesbarkeit über Grade 12 lässt sich von der KI schwerer als klare, prägnante Antworten extrahieren. Seiten mit klaren Überschriften und zugänglicher Sprache werden häufiger zitiert.

So beheben Sie es: Vereinfachen Sie Sätze (Ziel: durchschnittlich 15-20 Wörter), verwenden Sie gängige Wörter, gliedern Sie komplexe Gedanken in kürzere Absätze. Die KI extrahiert Inhalte für ein breites Publikum — ist er zu akademisch, überspringt die KI ihn.

Expertenzitate und QuellenangabenWarnung

Warum das wichtig ist: Inhalt ohne Quellenangaben oder Expertenzitate erscheint der KI unbestätigt. KI-Assistenten bevorzugen Inhalte, die durch benannte Quellen, Datenverweise und Expertenmeinungen gestützt sind.

So beheben Sie es: Fügen Sie jeder wichtigen Seite 2-3 Expertenzitate oder Datenquellen hinzu. Verwenden Sie <blockquote> für Zitate und verlinken Sie auf maßgebliche Quellen (.gov, .edu, Wikipedia, Branchenberichte).

WebMCP-AgentenbereitschaftWarnung

Warum das wichtig ist: WebMCP ist die Art und Weise, wie KI-Agenten mit Ihrem Shop interagieren werden (Produktsuche, In-den-Warenkorb-Legen, Verfügbarkeitsprüfung). Google und Microsoft entwickeln diesen Standard gemeinsam.

So beheben Sie es: WebMCP (W3C-Community-Group-Standard, Chrome 146+) ermöglicht es Seiten, strukturierte Werkzeuge für KI-Agenten zu deklarieren. Fügen Sie den <form>-Elementen die Attribute toolname und tooldescription hinzu oder binden Sie ein <script type='application/webmcp+json'>-Manifest ein.

KI-Agenten-Zugriff (live)Bestanden

ChatGPT-User und PerplexityBot erhalten dieselbe Seite wie ein Browser

Inhaltszugänglichkeit für AIBestanden

1801 Wörter im rohen HTML (2.0% Textanteil) — von AI-Crawlern ohne JS-Ausführung lesbar

Grundlage strukturierter DatenBestanden

3 JSON-LD-Blöcke mit 9 verschiedenen Schema-Typen: Place, BusinessEntity, WebSite, ImageObject, WebPage, Person

Organization-Schema + EntitätsverknüpfungBestanden

Organization mit 4 sameAs-Links gefunden — starke Entitätsidentität

Website-Suche-Schema (SearchAction)Bestanden

WebSite SearchAction konfiguriert — die AI kann Ihren Shop durchsuchen

Inhaltstiefe für AIBestanden

1801 Wörter — reichhaltiger Inhalt für AI-Analyse und -Zitierung

Überschriftenhierarchie für AIBestanden

Korrekte Struktur: 1 H1 → 9 H2 → 34 H3 — klare Inhaltsgliederung

Semantische HTML-StrukturBestanden

4/6 semantische Elemente: <nav>, <main>, <header>, <footer>

Entitätsklarheit und MarkensignaleBestanden

OG-Tags vollständig + 4 sameAs-Links: Facebook, X/Twitter, LinkedIn, YouTube

Signale zur Autorenkompetenz (E-E-A-T)Bestanden

Article-Schema mit Person/author — starkes Kompetenzsignal für die KI

Schema für Bewertungen und RatingsBestanden

AggregateRating/Review-Daten gefunden — Social Proof für die KI

Extrahierbare AntwortblöckeBestanden

47 Absätze, durchschn. 59 Wörter — optimal für KI-Extraktion

Präsenz von Statistiken und DatenBestanden

10 Datenpunkte gefunden — starker Zitationsmagnet

Dichte interner LinksBestanden

11 kontextuelle interne Links pro 1.000 Wörter — starkes Knowledge-Graph-Signal

Knowledge-Graph-BereitschaftBestanden

3/4 Entitätssignale — starke Präsenz im Knowledge Graph

Verhältnis von Inhalt zu BoilerplateBestanden

62% des Textes in <main>/<article> — sauberes Inhaltssignal

AggregateRating-SchemaBestanden

Schema für aggregierte Bewertungen vorhanden

Kundenbewertungen — AggregatBestanden

1 source: AggregateRating schema — ★ 4.8 · 435 reviews

Warum das wichtig ist: Bewertungen aus mehreren Quellen mit veröffentlichten Anzahlen verstärken das Vertrauen: KI-Assistenten (ChatGPT/Perplexity) und Google SGE zitieren Shops mit einem überprüfbaren AggregateRating-Schema bevorzugt; SK/CZ-Käufer vergleichen vor dem Kauf Heureka mit Trustpilot.

llms.txt (Website-Beschreibung für AI)Info

Gültige llms.txt mit 4000 Zeichen — korrektes Format mit H1, links, summary

Warum das wichtig ist: No answer engine consumes llms.txt for AI-search citation today (2026) — adoption is ~8.7% and Google declined to support it. It's optional future-proofing, mainly read by coding/IDE agents. Prioritize AI-crawler access, server-rendered content, statistics and cited sources instead. See /ai-readiness-methodology.md.

llms-full.txt (vollständiger Inhalt für AI)Info

Not present — not required for AI visibility

Warum das wichtig ist: llms-full.txt stellt AI-Modellen Ihren gesamten Website-Inhalt in einer einzigen verarbeitbaren Datei bereit. Das macht den Unterschied, ob eine AI nur einen kurzen Überblick oder tiefes Wissen über Ihre Produkte und Dienstleistungen hat.

Speakable-Inhalt (Sprach-KI)Info

Not present — optional; SpeakableSpecification has limited assistant adoption

ai.txt (KI-Berechtigungen)Info

Not present — optional; AI-bot permissions are enforced via robots.txt, not ai.txt

Warum das wichtig ist: ai.txt ist ein aufkommender Standard für feingranulare KI-Berechtigungen, der über robots.txt hinausgeht. Er gibt Ihnen die Kontrolle darüber, wie die KI Ihren Inhalt nutzt.

Recht & DSGVO

81/100

Gewicht: 10% · 7 OK · 5 Warnungen · 0 Fehler · 14 gesamt

Cookie-RichtlinieWarnung

Warum das wichtig ist: Die ePrivacy-Richtlinie verlangt eine transparente Offenlegung von Cookies. Vage Aussagen wie „Wir verwenden Cookies für die Funktionalität" erfüllen die Anforderung an die Spezifität nicht.

So beheben Sie es: Erstellen Sie eine separate Cookie-Richtlinie-Seite, die jedes Cookie auflistet nach: Name, Anbieter, Zweck, Kategorie (notwendig/Analyse/Marketing) und Ablaufdauer. Die meisten CMPs generieren dies automatisch.

Seite mit Allgemeinen GeschäftsbedingungenWarnung

Warum das wichtig ist: Die EU-Verbraucherrechte-Richtlinie verlangt klare Bedingungen vor dem Kauf. Fehlende AGB bedeuten, dass Kunden behaupten können, nicht informiert worden zu sein, was ihnen ein verlängertes Widerrufsrecht einräumt.

So beheben Sie es: Erstellen Sie Allgemeine Geschäftsbedingungen (AGB), die abdecken: Bestellvorgang, Zahlung, Lieferung, Rückgabe, Gewährleistung und Streitbeilegung. Verlinken Sie sie im Footer und im Checkout.

Internationale DatenübermittlungenWarnung

2 US-basierte Tracker ohne Einwilligung: Google Analytics/GTM, Microsoft Clarity

Warum das wichtig ist: Das EU-US Data Privacy Framework deckt einige Übermittlungen ab, aber das Laden von US-Trackern ohne Einwilligung bleibt ein Verstoß. Die österreichische und die französische Datenschutzbehörde haben Google Analytics ohne angemessene Garantien für nicht konform erklärt.

So beheben Sie es: US-basierte Tracker übermitteln personenbezogene Daten außerhalb der EU. Nach der DSGVO erfordert dies: 1) Nutzereinwilligung per CMP, 2) Standardvertragsklauseln (SCC) mit jedem Anbieter, 3) eine Datenübermittlungs-Folgenabschätzung.

Recht auf Löschung (Datenlöschung)Warnung

Warum das wichtig ist: Artikel 17 DSGVO gibt Nutzern das „Recht auf Vergessenwerden". EU-Aufsichtsbehörden erwarten einen klaren, zugänglichen Prozess, und das Behindern von Löschanfragen ist eine dokumentierte Feststellung der Durchsetzung.

So beheben Sie es: Bieten Sie Nutzern einen klaren Mechanismus, um die Löschung ihrer Daten zu beantragen — eine dedizierte Seite, ein Formular oder ausdrückliche Anweisungen in Ihrer Datenschutzerklärung. Fügen Sie eine Option „Konto löschen" in den Nutzereinstellungen hinzu.

Newsletter-EinwilligungWarnung

Newsletter-Anmeldung ohne sichtbare Einwilligungs-Checkbox gefunden

Warum das wichtig ist: Die DSGVO verlangt für Marketing-E-Mails eine „freiwillig, für den bestimmten Fall, in informierter Weise" erteilte Einwilligung. Ein Newsletter-Formular ohne ausdrückliches Opt-in verstößt gegen Artikel 7, und vorausgewählte Kästchen sind keine gültige Einwilligung.

So beheben Sie es: Fügen Sie Ihrem Newsletter-Formular eine nicht vorausgewählte Einwilligungs-Checkbox hinzu: „Ich stimme dem Erhalt von Marketing-E-Mails zu und habe die Datenschutzerklärung [Link] gelesen." Vorausgewählte Kästchen sind unter der DSGVO keine gültige Einwilligung.

Google Consent Mode v2Bestanden

Consent-Mode-Signale erkannt (ad_storage, analytics_storage)

Datenschutzerklärung-SeiteBestanden

https://www.luigisbox.sk/zasady-ochrany-osobnych-udajov/

Rechtlicher Kontakt / Impressum-SeiteBestanden

https://www.luigisbox.sk/o-nas/

Datenverschlüsselung (kein Mixed Content)Bestanden

Alle Ressourcen werden über HTTPS geladen

Datenweitergabe an DritteBestanden

2 Drittanbieter-Domain(s)

Kontakt zum Datenschutzbeauftragten (DSB)Bestanden

DSB-/Datenschutzkontakt gefunden

Mechanismus zum Widerruf der EinwilligungBestanden

Mechanismus zum Widerruf der Einwilligung / Opt-out gefunden

Cookie-Consent-Banner (CMP)Info

Im Server-HTML ist keine CMP vorhanden, aber GTM ist eingebunden — der Consent-Banner wird möglicherweise zur Laufzeit injiziert (serverseitig nicht überprüfbar)

Warum das wichtig ist: EU-Aufsichtsbehörden setzen die Cookie-Einwilligung durch (die CNIL verhängte 150 Mio. € gegen Google). Wird die CMP per GTM injiziert, kann dieser Scan sie nicht bestätigen — manuell prüfen.

So beheben Sie es: Bestätigen Sie, dass eine Consent-Management-Plattform tatsächlich geladen wird und nicht essenzielle Cookies bis zum Opt-in blockiert. A Google Tag Manager container is present, and CMPs/consent are very often loaded through GTM at runtime — which our server-side HTML scan can't see. Verify in the browser (Cookiebot/OneTrust/Usercentrics + Consent Mode fire on load) or expose the loader in the initial HTML.

Tracking-Skripte und EinwilligungInfo

2 Tracker erkannt (Google Analytics/GTM, Microsoft Clarity); im Server-HTML ist keine CMP sichtbar, aber GTM ist eingebunden

Warum das wichtig ist: Tracking vor der Einwilligung zu laden ist ein direkter DSGVO-/ePrivacy-Verstoß, aber die GTM-verwaltete Einwilligungssteuerung ist serverseitig nicht sichtbar — im Browser prüfen.

So beheben Sie es: Bestätigen Sie, dass diese Tracker durch Einwilligung gesteuert werden (GTM Consent Mode / CMP-Skriptblockierung), bevor sie auslösen. A Google Tag Manager container is present, and CMPs/consent are very often loaded through GTM at runtime — which our server-side HTML scan can't see. Verify in the browser (Cookiebot/OneTrust/Usercentrics + Consent Mode fire on load) or expose the loader in the initial HTML.

Schwachstellen

57/100

Gewicht: 10% · 5 OK · 6 Warnungen · 5 Fehler · 16 gesamt

CSRF-Schutz für FormulareFehlgeschlagen

2 Formular(e) ohne CSRF-Tokens

Warum das wichtig ist: CSRF steht in den OWASP Top 10. Ohne Tokens können Angreifer Seiten erstellen, die Formulare auf Ihrer Website automatisch über die Browsersitzung des Opfers absenden.

So beheben Sie es: Fügen Sie jedem Formular eine CSRF-Token-Validierung hinzu. Die meisten CMS-Frameworks verfügen über einen integrierten CSRF-Schutz — stellen Sie sicher, dass er auf allen Formularen aktiviert ist, einschließlich Suche und Newsletter-Anmeldung.

Verdächtige Inline-Skript-MusterFehlgeschlagen

Erkannt: new Function() with decoding

Warum das wichtig ist: Diese Muster (Base64-Decodierung, eval mit Kodierung, dynamische Skript-Injektion) sind Kennzeichen von Magecart-Payment-Skimmern. Skimmer werden auf E-Commerce-Websites häufig als Google Tag Manager getarnt.

So beheben Sie es: Überprüfen Sie alle Inline-Skripte auf obfuskierten Code. Magecart-Angreifer schleusen Payment-Skimmer ein, die als Analytics- oder GTM-Skripte getarnt sind. Vergleichen Sie Ihr aktuelles HTML mit einer bekannt guten Version. Erwägen Sie den Einsatz von CSP mit strengen Nonces.

SPF-Eintrag (E-Mail-Sicherheit)Fehlgeschlagen

Warum das wichtig ist: Ohne SPF kann jeder E-Mails versenden, die scheinbar von Ihrer Domain stammen. Seit 2024 lehnen Google und Yahoo E-Mails von Domains ohne SPF ab. Ihre Transaktions-E-Mails landen möglicherweise im Spam.

So beheben Sie es: Fügen Sie einen SPF-TXT-Eintrag zu Ihrem DNS hinzu: v=spf1 include:_spf.google.com ~all (an Ihren E-Mail-Anbieter anpassen). Er teilt empfangenden Servern mit, welche IPs E-Mails für Ihre Domain versenden dürfen.

DMARC-Richtlinie (E-Mail-Authentifizierung)Fehlgeschlagen

Warum das wichtig ist: Ohne DMARC können Angreifer perfekt gefälschte E-Mails im Namen Ihrer Marke versenden. Seit Mai 2025 verlangen Google, Yahoo und Microsoft DMARC für Massenversender. Fehlendes DMARC = Probleme mit der E-Mail-Zustellbarkeit.

So beheben Sie es: Fügen Sie einen DMARC-TXT-Eintrag bei _dmarc.ihredomain.com hinzu: v=DMARC1; p=quarantine; rua=mailto:dmarc@ihredomain.com — beginnen Sie mit quarantine und wechseln Sie dann zu reject.

Sicherheit der ZahlungsseiteFehlgeschlagen

Auf der Zahlungsseite fehlt: No HSTS, No CSP, No X-Content-Type-Options, No clickjacking protection

Warum das wichtig ist: Zahlungsseiten ohne korrekte Sicherheits-Header verstoßen gegen PCI DSS und erleichtern den Diebstahl von Kartendaten erheblich. Zahlungsdienstleister können monatliche Bußgelder für Nichteinhaltung verhängen.

So beheben Sie es: KRITISCH: Auf Ihrer Zahlungsseite fehlen Sicherheits-Header: No HSTS, No CSP, No X-Content-Type-Options, No clickjacking protection. PCI-DSS-Anforderung 6.5 schreibt Schutz vor gängigen Schwachstellen auf Seiten vor, die Kartendaten verarbeiten.

VerzeichnisauflistungWarnung

Nicht überprüfbar — /wp-includes/, /wp-content/uploads/ antworteten nicht

Warum das wichtig ist: Diese Pfade existieren in jeder WordPress-Installation. Keine Antwort innerhalb unseres Zeitlimits beweist nicht, dass die Auflistung aus ist, daher wird das nicht als bestanden gemeldet.

So beheben Sie es: Öffnen Sie die Pfade im Browser: Eine Seite 'Index of /…' bedeutet, die Auflistung ist an — deaktivieren mit 'Options -Indexes' (Apache) oder 'autoindex off;' (Nginx). 403 oder 404 ist in Ordnung.

CORS-KonfigurationWarnung

Access-Control-Allow-Origin: * (erlaubt jede Domain)

Warum das wichtig ist: Eine Wildcard-CORS-Richtlinie erlaubt es jeder Website, Anfragen an Ihre API/Seiten zu stellen. In Kombination mit Access-Control-Allow-Credentials ermöglicht dies cross-origin Datendiebstahl.

So beheben Sie es: Ersetzen Sie den Wildcard-CORS-Header durch spezifische erlaubte Origins. Vermeiden Sie Access-Control-Allow-Origin: * auf Seiten mit Authentifizierung oder sensiblen Daten.

Offenlegung von Inline-JavaScriptWarnung

57 KB Inline-JavaScript

Warum das wichtig ist: Große Mengen an Inline-JavaScript verhindern eine ordnungsgemäße CSP-Implementierung und erhöhen das XSS-Risiko. Externe Skripte können mit SRI-Hashes geschützt werden.

So beheben Sie es: Verschieben Sie Inline-Skripte in externe Dateien. Inline-JavaScript vergrößert die Angriffsfläche für XSS und erschwert die Implementierung von CSP (erfordert unsafe-inline).

DKIM-Signierung (E-Mail-Authentifizierung)Warnung

Warum das wichtig ist: DKIM signiert ausgehende E-Mails kryptografisch, um zu beweisen, dass sie von Ihrer Domain stammen. Ohne DKIM stufen E-Mail-Anbieter den Vertrauenswert herab — Transaktions-E-Mails landen im Spam. Gmail und Yahoo verlangen seit 2024 DKIM für Massenversender.

So beheben Sie es: Richten Sie die DKIM-Signierung über Ihren E-Mail-Anbieter ein (Google Workspace, Microsoft 365, Mailchimp, SendGrid). Veröffentlichen Sie den öffentlichen DKIM-Schlüssel als TXT-Eintrag bei <selector>._domainkey.ihredomain.com.

Cross-Origin-IsolationWarnung

Warum das wichtig ist: Ohne Cross-Origin-Isolation-Header ist Ihre Website anfällig für Spectre-Angriffe, die sensible Daten über Browser-Tabs hinweg preisgeben können. Diese Header sind für SharedArrayBuffer und hochauflösende Timer erforderlich.

So beheben Sie es: Fügen Sie die Header Cross-Origin-Opener-Policy: same-origin und Cross-Origin-Resource-Policy: same-origin hinzu. Diese schützen vor Seitenkanalangriffen vom Spectre-Typ.

Ressourcen mit gemischten InhaltenWarnung

1 HTTP-Ressource(n) auf HTTPS-Seite

Warum das wichtig ist: Gemischte Inhalte ermöglichen Man-in-the-Middle-Angriffe auf bestimmte Ressourcen. Browser blockieren gemischte Inhalte zunehmend, wodurch Bilder und Skripte auf Ihrer Website nicht mehr funktionieren.

So beheben Sie es: Ersetzen Sie HTTP-URLs durch HTTPS: http://app.luigisbox.com

Offenlegung der CMS-VersionBestanden

Kein Generator-Tag — CMS-Identität verborgen

Offengelegte sensible DateienBestanden

.env, .git, composer.json — alle ordnungsgemäß blockiert

Offengelegtes InstallationsskriptBestanden

Keine /install/- oder /setup/-Pfade zugänglich

Admin-Panel unter Standard-URLBestanden

Unter gängigen Pfaden nicht gefunden (/admin, /wp-admin, /administrator, /backoffice)

Debug-Modus / FehleroffenlegungBestanden

Keine Debug-Indikatoren in der Seitenausgabe gefunden

Barrierefreiheit / EAA

66/100

Gewicht: 10% · 5 OK · 2 Warnungen · 1 Fehler · 9 gesamt

FormularbeschriftungenFehlgeschlagen

7 von 7 Feldern haben keine zugeordnete Beschriftung

Warum das wichtig ist: Felder ohne Beschriftung lassen Screenreader-Nutzer raten — Suche, Newsletter und Kasse werden unbrauchbar. EN 301 549 § 9.1.3.1 / 9.4.1.2 (WCAG 1.3.1 / 4.1.2).

So beheben Sie es: Verknüpfen Sie jedes Feld mit <label for> (oder aria-label / aria-labelledby). Platzhalter sind keine Labels.

SK § 4 zák. 351/2022 · CZ § 4 zák. 424/2023

Alt-Texte der BilderWarnung

1 von 425 Bildern ohne Alt-Text

Warum das wichtig ist: Jedes Bild ohne Alt-Text ist für Screenreader-Nutzer unzugänglicher Inhalt (WCAG 1.1.1 / EN 301 549 § 9.1.1.1).

So beheben Sie es: Ergänzen Sie Alt-Text bei den übrigen Bildern (alt="" für dekorative).

SprunglinkWarnung

Kein „Zum Inhalt springen”-Link erkannt

Warum das wichtig ist: Tastatur- und Screenreader-Nutzer tabben sonst auf jeder Seite durch das gesamte Menü. EN 301 549 § 9.2.4.1 (WCAG 2.4.1).

So beheben Sie es: Fügen Sie einen visuell verborgenen „Zum Inhalt springen"-Link als erstes fokussierbares Element hinzu, das auf <main id="main"> zeigt.

SeitenspracheBestanden

<html lang="sk-SK"> ist gesetzt

ÜberschriftenstrukturBestanden

Eine einzige <h1> mit konsistenter Gliederung

LinktextBestanden

Links verwenden beschreibenden Text

Landmark-BereicheBestanden

Semantische Landmarks vorhanden (<main>, <nav>/<header>)

Zoom & SkalierungBestanden

Pinch-Zoom ist nicht deaktiviert

EAA-RechtsgrundlageInfo

Fällt unter den European Accessibility Act (in Kraft ab 28.6.2025): SK 351/2022, CZ 424/2023 Sb., RL (EU) 2019/882 — bewertet nach EN 301 549. Inger bietet EAA-Audits und -Behebung.

Nächste Schritte

Start with the failures — every red item carries a How to fix note. Prioritise Security and Legal & Compliance, which carry statutory consequences.
Re-run the audit after fixing — run a fresh scan at score.zulien.sk and compare the score.
Get help with the harder ones — for a deep audit or an expert assessment, see inger.sk.
Track NIS2 and GDPR compliance — if your shop falls under NIS2 (turnover over €10M or more than 50 staff), you need a formal compliance framework.

Online-Bericht

The full interactive version, with clickable links and the option to re-scan, is here:

https://score.zulien.sk/r/luigisbox.sk

Disclaimer: This report is generated automatically by Zulien Score. Its findings come from publicly available data and technical analysis. For a legally binding assessment (of GDPR compliance, for instance) we recommend consulting a DPO or a lawyer specialising in data protection. Zulien Score is not a licensed legal or audit firm.

Zulien Score · score.zulien.sk · by Zulien · Hosted at inger.sk