WordPress Audit: Der Scan zeigt, was Sie ändern müssen – und prüft danach, ob es behoben ist

„WordPress Audit“: was Sie davon erwarten sollten

Wer „WordPress Audit“, „WordPress Website analysieren“ oder „WordPress Sicherheitscheck“ sucht, braucht meist keine Definition. Sie wollen wissen, was auf Ihrer Website nicht stimmt, und vor allem, was Sie als Nächstes tun. Viele Ratgeber zum Thema beantworten die erste Hälfte und lassen die zweite aus.

Sie liefern lange Checklisten und Ratschläge, die stimmen, aber allgemein bleiben – „optimieren Sie Ihre Bilder“, „installieren Sie ein Cache-Plugin“ – und hören dort auf. Sie schließen den Tab und wissen, worauf Sie achten sollten, aber nicht, was bei Ihnen kaputt ist und wie Sie es genau beheben. Diese Lücke schließt diese Seite. „Optimieren Sie Ihre Bilder“ hilft nicht weiter. „Wählen Sie in Imagify WebP als Next-Gen-Format, aktivieren Sie Display images in Next-Gen format on the site und scannen Sie danach erneut“ schon.

Die Schleife hat drei Schritte, und genau darum geht es auf dieser Seite:

1. Diagnose – der Scan findet die Probleme und sortiert sie nach Schweregrad.
2. Korrektur – für jedes Problem das genaue WordPress-Plugin oder die Einstellung, die Sie ändern.
3. Nachweis – ein erneuter Scan, der die Punktzahl vorher und nachher zeigt. Ohne ihn wissen Sie nie, ob Sie das Problem behoben oder nur verschoben haben.

Was der Scan prüft, und ein schneller Erfolg in jedem Bereich

Sechs Bereiche. Das kostenlose Audit liefert die Punktzahl für jeden davon und die fünf vorrangigen Korrekturen. Für jeden Bereich steht hier eine häufige Korrektur mit großer Wirkung bei wenig Aufwand – die Sorte, die Sie an einem Wochenende erledigen.

Viele Audits hören bei einer solchen Liste auf. Der Rest dieser Seite geht weiter: der genaue Handgriff in WordPress, Problem für Problem.

Wie die Punktzahl berechnet wird, und was sie nicht verrät

Die Frage kommt jedes Mal – woher kommt diese Zahl? –, deshalb hier die vollständige Antwort.

Jeder Bereich startet mit 100 Punkten. Jede Prüfung mit Warnung oder Fehler zieht eine feste Punktzahl ab, die im Code der Engine steht. Eine Warnung kostet 3 bis 20 Punkte: meist zwischen 3 und 8, eine langsame Serverantwort ist mit 12 oder 20 die Ausnahme. Ein Fehler kostet 8 bis 30. Reine Informationen kosten nichts, mit Ausnahme von drei kleineren Sicherheits-Headern, deren Fehlen je 2 oder 3 Punkte kostet. Ein Bereich fällt nie unter 0. Die Gesamtpunktzahl ist der gerundete Durchschnitt der Bereiche. Läuft die Website nicht mit WordPress, entfällt der WordPress-Bereich, und der Durchschnitt wird aus fünf Bereichen gebildet.

Konkret: Hinter einer Gesamtpunktzahl von 71 können ein Bereich mit 100 und ein anderer mit 30 Punkten stecken. Genau das zeigt das echte Beispiel weiter unten. Die Gesamtpunktzahl beruhigt oder beunruhigt; die Punktzahlen der Bereiche zeigen, wo Sie ansetzen müssen.

Eine Punktzahl ist kein Google-Ranking

Keine Punktzahl bis 100 – weder unsere noch die von PageSpeed Insights – ist ein Rankingfaktor. Die Core Web Vitals von Google sind Schwellenwerte, gemessen bei echten Besuchern: Das größte Inhaltselement sollte innerhalb von 2,5 Sekunden erscheinen (LCP), die Seite sollte innerhalb von 200 Millisekunden auf Interaktionen reagieren (INP), und die Layoutverschiebung sollte höchstens 0,1 betragen (CLS), jeweils gemessen am 75. Perzentil der Seitenaufrufe, laut web.dev. Wer von 82 auf 87 Punkte kommt, indem er Warnungen poliert, gewinnt in der Suche nichts. Eine behobene Indexierungssperre dagegen kann viel bewirken.

Core Web Vitals: Dafür ist PageSpeed Insights da

Wichtig, bevor Sie Ihr Ergebnis lesen: Dieser Scan misst die Core Web Vitals nicht. Er liest Ihr HTML und die Antworten Ihres Servers, ohne die Seite in einem Browser darzustellen, und hat deshalb keine LCP-, INP- oder CLS-Werte. Was er misst, sind die typischen WordPress-Ursachen schlechter Werte: langsame Serverantwort, Bilder ohne Abmessungen, blockierendes CSS und JavaScript, schwerer Code von Drittanbietern. Die Werte selbst liefert PageSpeed Insights: Laborwerte und, wenn Google genug Daten zu Ihrer Seite hat, Felddaten echter Besucher aus dem Chrome UX Report. Ist Ihre Website in der Google Search Console bestätigt, fasst dort der Core-Web-Vitals-Bericht Ihre URLs nach Status zusammen.

Was ein externes Audit sieht, und was nicht

Die Engine liest Ihre Website von außen, ohne Zugang zum Dashboard. Das ist eine bewusste Entscheidung – nichts zu installieren, nichts zu verbinden –, und sie hat einen Preis, den man offen benennen sollte.

Anders gesagt: Der Scanner sieht, was Googlebot und ein Angreifer sehen – und genau das kostet Sie Rankings oder macht Sie angreifbar. Was er nicht sieht, braucht Ihren eigenen Blick ins Dashboard oder ein serverseitiges Sicherheits-Plugin wie Wordfence. Hängt ein Punkt vom Admin-Zugang ab, steht das hier, statt die Zahl der Prüfungen aufzublähen.

Die siebte Ebene, die kaum ein Audit prüft: ob KI-Assistenten Sie finden und zitieren

Ein Teil Ihrer Besucher kommt heute über eine Antwort von ChatGPT, Claude, Perplexity oder Google statt über eine Liste von Links. In Deutschland blendet Google seit dem 26. März 2025 KI-Übersichten in die Suchergebnisse ein. In solchen Antworten zitiert zu werden, nennt man manchmal GEO (Generative Engine Optimization), und die meisten WordPress Audits schauen sich das noch nicht an.

Offen gesagt: Von den Punkten unten prüft die Engine nur hreflang automatisch (SEO-Bereich). Die robots.txt-Prüfung schlägt nur Alarm, wenn die ganze Website für alle Bots oder für Googlebot gesperrt ist; eine Sperre gegen KI-Crawler lässt sie in Ruhe, weil sie eine bewusste Entscheidung sein kann. Den Rest prüfen Sie in jeweils etwa dreißig Sekunden selbst. So geht es, mit dem genauen Befehl.

Rollen der Crawler laut Dokumentation von OpenAI, Anthropic, Perplexity und Google; laut Google hat Google-Extended keinen Einfluss darauf, ob eine Website in der Google-Suche erscheint. Der Vorschlag für llms.txt steht auf llmstxt.org.

Ein Wort zu WordPress: Das SEO-Plugin, das Sie schon nutzen – Yoast SEO, Rank Math, SEOPress –, gibt strukturierte Daten und Datumsangaben aus; Autorenzeile und Autorenseite kommen aus Ihrem Theme. Eine llms.txt gehört ins Stammverzeichnis der Website: eine Textdatei, mehr nicht. Den Zugriff der Crawler regeln Sie in der virtuellen robots.txt, die WordPress erzeugt, oder im robots.txt-Editor Ihres SEO-Plugins.

Der WordPress-Maßnahmenplan: was Sie genau ändern

Hier unterscheidet sich diese Seite von den anderen. Ein Scanner, der „verbessern Sie Ihre TTFB“ sagt, lässt Sie zwei Stunden suchen. Hier steht für häufige Fehler der konkrete Handgriff – das Plugin, die Option, die Einstellung. Die Kennungen in Codeschrift sind die IDs der Prüfungen im Bericht, damit Sie jede Zeile Ihrem Scan zuordnen können; der Punktabzug stammt direkt aus dem Code der Engine.

Die letzte Spalte ist meine eigene Einschätzung, ausdrücklich als solche: eine Schätzung von Aufwand und Nutzen aus Korrekturen an unseren eigenen Websites, kein Wert aus der Engine. Sie hilft bei der Entscheidung, wenn alles rot ist: zuerst, was zehn Minuten dauert und viel bringt; an einem ruhigen Tag dann, was zwei Stunden kostet und die Website härtet, ohne die Punktzahl stark zu bewegen.

Der vollständige Bericht für 9,90 € geht alle 81 Prüfungen mit Messwert und Empfehlung durch, dazu der PDF-Export. Das kostenlose Audit liefert die fünf vorrangigen Korrekturen: oft genug für ein erstes Wochenende. Die Reihenfolge, der ich auf unseren eigenen Websites folge: Seiten-Cache und WebP am Samstagvormittag (großer Nutzen, wenig Aufwand), direkt danach die Benutzerliste der REST-API, und blockierendes CSS und JavaScript dann, wenn Zeit bleibt, die Seiten erneut zu testen.

So sieht das Ergebnis bei einer echten Website aus

Statt eines geschönten Screenshots hier der echte Scan von mythologiste.com vom 13. September 2026, einem WooCommerce-Shop, den wir selbst betreiben. Seine Schwächen sind unsere, und ich werde sie nicht schönreden.

Entscheidend ist der Kontrast: 93/100 bei SEO, 30/100 bei der Performance, dieselbe Website, derselbe Moment. Bis auf einen zu langen Title und eine zu lange Meta-Description ist die Seite bei SEO ohne Befund. Über Performance oder Sicherheit sagt das nichts, denn ein SEO-Plugin schaut sich diese Bereiche nicht an. Ein verbreitetes Missverständnis unter WordPress-Betreibern: „Ich habe Yoast, also ist meine Website in Ordnung.“

Der Nachweis: nach jeder Korrektur erneut scannen

Korrigieren ohne Kontrolle heißt blind arbeiten. Ein echtes Beispiel: Auf mythologiste.com hat im Juli 2026 das Einschalten des Seiten-Caches, das die Antwortzeit senken sollte, nebenbei das native Lazy Loading von WordPress abgeschaltet. Die Performance-Punktzahl stieg in einer Zeile, und in einer anderen tauchte ein neuer Fehler auf. Ohne erneuten Scan hätten wir es nie bemerkt.

Die Methode ist schlicht und zuverlässig:

1. Notieren Sie Ihre Ausgangspunktzahl pro Bereich (das kostenlose Audit genügt).
2. Beheben Sie ein Problem nach dem anderen, zuerst die Fehler.
3. Scannen Sie dieselbe URL erneut. Hat sich die Punktzahl in die richtige Richtung bewegt? Behalten Sie die Änderung. Hat sie sich nicht bewegt, oder ist ein anderes Problem aufgetaucht? Dann wissen Sie sofort, was Sie nachjustieren müssen.

Für wichtige Seiten wird der erneute Scan am besten zur monatlichen Routine, denn eine WordPress-Website verschlechtert sich von selbst: Ein Theme-Update bringt JPEG-Bilder zurück, ein Plugin fügt ein blockierendes Skript hinzu, eine Migration aktiviert wieder „Suchmaschinen davon abraten, diese Website zu indexieren“. Der Pro-Tarif (29 €/Monat, Konto erforderlich) scannt Ihre Websites täglich oder wöchentlich und benachrichtigt Sie per E-Mail, wenn eine Punktzahl fällt. Für eine Handvoll Seiten erledigt der kostenlose manuelle Scan schon den Großteil.

Welches Tool für welchen Zweck

Dieser Scanner ersetzt weder Ihr SEO-Plugin noch PageSpeed Insights noch eine Beratung. Er deckt einen bestimmten Bedarf ab; hier steht, welchen, und was er nicht kann.

Unsere Grenzen, offen gesagt. Die Engine analysiert eine URL nach der anderen, nicht die ganze Website: Verwaiste Seiten, Klicktiefe oder doppelte Inhalte sieht sie nicht. Über Ihre Backlinks weiß sie nichts, und sie beurteilt nicht, ob Ihr Inhalt die Suchintention trifft. Eine sinnvolle Reihenfolge: zuerst der Scan, weil er eine Minute dauert und die mechanischen Probleme findet; dann ein direkter Vergleich mit einem Mitbewerber; zuletzt ein Mensch, wenn geschäftlich genug auf dem Spiel steht.

Was wir tatsächlich finden: 14 WordPress-Websites aus dem deutschsprachigen Raum im Scanner

Methode. Am 13. September 2026 habe ich 24 Websites aus Deutschland und Österreich durch diese Engine geschickt: WordPress- und SEO-Agenturen, einen Hoster, einen Anbieter von SEO-Software, WordPress-Blogs. Fünf ließen sich nicht auswerten (dreimal eine Anti-Bot-Seite, einmal ein Fehler 404, einmal keine Verbindung), bei fünf weiteren hat die Engine kein WordPress erkannt. Es bleiben 14 WordPress-Websites, mit je einem Scan der Startseite. Die Stichprobe ist klein und schmeichelhaft – Profis des Webs, keine seit Jahren unberührte Handwerker-Website. Behalten Sie beides im Hinterkopf.

• Median der Gesamtpunktzahl: 80,5 von 100 (Minimum 70, Maximum 91). Nur eine Website kommt über 90.
• 4 der 13 Websites mit Fotos oder Grafiken liefern kein einziges Bild in WebP oder AVIF, und bei 7 von 13 schlägt die Prüfung der Bildformate fehl.
• 5 der 11 Websites, deren REST-API antwortet, geben ihre Benutzerliste preis unter /wp-json/wp/v2/users – zweimal gleich zehn Benutzernamen, die erste Hälfte dessen, was ein Angriff zum Erraten von Passwörtern braucht.
• 10 von 14 Websites senden keinen Content-Security-Policy-Header, 3 von 14 kein HSTS.
• Bei 9 von 14 Websites ist die WordPress-Version öffentlich sichtbar, und bei 5 von 14 hat der Scan keinen Seiten-Cache erkannt (ein Cache beim Hoster ohne erkennbare Spur kann dabei übersehen werden).

Was mich an dieser Stichprobe am meisten überrascht hat: Die SEO-Punktzahlen liegen bei allen 14 Websites über 90 – die SEO-Plugins machen ihre Arbeit –, während die Performance-Punktzahlen zwischen 0 und 65 streuen. Dasselbe Muster wie bei unserem eigenen Shop weiter oben: Ein gutes SEO-Ergebnis sagt nichts über Geschwindigkeit und Angriffsfläche.

Häufige Fragen