Praktischer, aktueller Rat, nach Themen geordnet. 50 tips and counting — each one answer-first, so you can skim or dig in.
Wählen Sie eine unverwechselbare Domain, die man ohne Erklärung aussprechen, hören, tippen und hinter ein „@“ setzen kann; nehmen Sie die Endung, die Ihre Kunden erwarten; prüfen Sie Marken und ähnliche Namen; und behalten Sie die Domain in der eigenen Hand.
Behalten Sie die Domain in einem Konto der Firma, sichern Sie Registrar- und DNS-Zugänge mit starker Multi-Faktor-Authentifizierung, aktivieren Sie Transfer- oder Registry-Sperren, halten Sie Wiederherstellungs- und Rechnungskontakte aktuell und setzen Sie DNSSEC mit Bedacht ein.
Führen Sie jedes kritische Web-Konto auf den Namen des Unternehmens, mit persönlich benannten Administratoren, MFA, unabhängigen Wiederherstellungswegen und überwachter Abrechnung; pflegen Sie eine Kontenliste – und entziehen Sie Zugriffe, wenn Mitarbeiter oder Dienstleister gehen.
Domainnamen ignorieren die Großschreibung – URL-Pfade, Routen und Serverdateien tun das nicht unbedingt. Bleiben Sie durchgehend bei Kleinbuchstaben, lassen Sie das CMS die URLs erzeugen, halten Sie Basispfade in der Konfiguration, benennen Sie Schreibweisen-Änderungen mit Bedacht um und testen Sie die gebaute und die Live-Site.
Ein einzelner Ladevorgang der Startseite sagt wenig – testen Sie die nackte Domain, www, wichtige Seiten und Assets aus verschiedenen Regionen, bei verschiedenen Anbietern und im Mobilfunknetz, über IPv4 und – wo veröffentlicht – IPv6, prüfen Sie HTTPS, Weiterleitungen und echte Inhalte, und übergeben Sie den Job dann dem laufenden Monitoring.
Eine wartbare Website hat eine klare, maßgebliche Quelle, nutzt gemeinsame Bausteine wieder, statt sie zu kopieren, und hat einen dokumentierten Weg zum Testen, Ausrollen und Zurücknehmen von Änderungen – mit erfassten Abhängigkeiten und exportierbaren Inhalten, damit eine andere fähige Person gefahrlos übernehmen kann.
Sichern Sie alles, was zum Wiederaufbau der Website nötig ist, so oft, wie es Ihr verkraftbarer Datenverlust verlangt; bewahren Sie unabhängige, verschlüsselte Generationen auf, überwachen Sie die Sicherungsläufe und stellen Sie die komplette Website regelmäßig in einer geschützten Testumgebung wieder her – bewiesen ist ein Backup erst, wenn es ein sauberes, funktionierendes System zurückbringt.
Lassen Sie häufige externe Prüfungen von mehreren Standorten laufen, die echten Inhalt verifizieren; ergänzen Sie eine Browser-Prüfung der Funktion, von der Ihr Geschäft abhängt (auf sichere Weise); behalten Sie TLS- und Domain-Verlängerung im Auge; überwachen Sie interne Warnzeichen, wo Sie können – und schicken Sie bestätigte Alarme über mehr als einen Kanal an eine namentlich benannte Person.
Prüfen Sie die echte Angriffsfläche – offen erreichbare Software, Server- und Anwendungskonfiguration, Identitäten und Sitzungen, jeden Eingabe- und Upload-Weg und die Abhängigkeiten von Dritten –, beheben Sie die Funde und prüfen Sie nach, nach Plan und nach jedem Vorfall oder Sicherheitshinweis.
Bringen Sie Ihre Datenschutzerklärung mit der Realität in Deckung – die Daten, die Sie wirklich erheben, die Drittanbieter, die Sie nutzen, wie lange Sie speichern und wie Nutzer ihre Rechte ausüben – in klarer Sprache, und wo nötig mit vorheriger Einwilligung für nicht notwendige Cookies und ähnliche Techniken.
Schalten Sie die automatische Verzeichnisliste ab, damit niemand Ordnerinhalte durchstöbern kann, schützen Sie heikle Pfade auf jeder Ebene, die Anfragen beantwortet, und halten Sie Backups und Zugangsdaten aus dem Webroot heraus – direkte URLs funktionieren mit oder ohne Liste.
Schicken Sie Besucher direkt zu HTTPS und leiten Sie den Rest um, beseitigen Sie Mixed Content bei allen Ressourcentypen, führen Sie HSTS vorsichtig ein, sichern Sie Cookies und ergänzen Sie Antwort-Header Schicht für Schicht – die CSP zuerst im Berichtsmodus mit echter Auswertung, erst dann scharf.
Halten Sie CMS, Plugins und alle gewarteten Ebenen aktuell – priorisiert nach dem, was tatsächlich ausgenutzt wird –, entfernen Sie nachweislich unnötige Komponenten, geben Sie jedem nur die nötigen Rechte mit phishing-resistenter MFA und behandeln Sie jedes Konto mit Kontrolle über die Website als Admin-Login.
Erheben Sie nur die Daten, die Sie wirklich brauchen, löschen Sie sie, sobald der Zweck erfüllt ist, wissen Sie, welche Drittanbieter Besucherdaten bekommen – und holen Sie erst die Einwilligung ein, bevor nicht notwendige Cookies oder Tracker gesetzt werden.
Verhindern Sie unbefugtes Relaying und helfen Sie Empfängern, Fälschungen mit Ihrer exakten Domain abzuweisen – beschränken Sie den ausgehenden Versand und veröffentlichen Sie korrekt abgestimmte SPF-, DKIM- und DMARC-Einträge in Ihrem DNS.
Behandeln Sie Posteingang und Missbrauchsschutz als getrennte Aufgaben – prüfen Sie die abgestimmte Authentifizierung, schützen Sie Ihre Absender-Reputation, betreiben Sie ein sicheres, barrierefreies Kontaktformular an eine Rollen-Adresse und gehen Sie davon aus, dass jede veröffentlichte Adresse eingesammelt werden kann.
Nutzen Sie eine Adresse auf Ihrer eigenen Domain statt eines Gratis-Kontos bei Internetanbieter oder Webmail-Dienst – mit einer Domain, die Sie kontrollieren, wählen und authentifizieren Sie Ihre Mail-Dienste selbst, jede Nachricht trägt Ihre Marke, und die Adresse bleibt übertragbar, solange Sie die Domain behalten.
Liefern Sie Ihre Website über einen einzigen kanonischen HTTPS-Hostnamen aus und leiten Sie gleichwertige Aliasse – www oder ohne www, http-Varianten – dauerhaft dorthin weiter, damit Besucher und Suchmaschinen immer auf der Version landen, die Sie gewählt haben.
Steuern Sie Auffinden und Indexierung als Ganzes – robots.txt plus Sitemap lenken das Crawling, noindex schließt aus, Canonical-Tags wählen unter Duplikaten die bevorzugte URL, und die Search Console zeigt die Realität – ohne Seiten zu blockieren, die gefunden werden sollen.
Halten Sie URLs kurz, klein geschrieben, mit Bindestrichen getrennt, lesbar und stabil, mit einer Struktur, die echte Hierarchie abbildet – wenden Sie die Konvention auf neue URLs an, halten Sie Sitzungsdaten ganz aus URLs heraus und erhalten Sie alte URLs per Weiterleitung, wenn Seiten wirklich umziehen.
Geben Sie jeder indexierbaren Seite einen eigenen, aussagekräftigen Titel und eine wirklich nützliche Meta-Beschreibung für den Menschen, der über den Klick entscheidet – nie aufgefüllt, nur um technisch einzigartig zu sein; das alte Keywords-Meta-Tag ist tot.
Geben Sie jeder Sprache eine eigene, crawlbare und von Menschen geprüfte URL mit einem Canonical in derselben Sprache, verknüpfen Sie die Versionen wechselseitig per hreflang – dann können Suchmaschinen, die das Signal unterstützen, Suchenden leichter die passende Version zeigen.
Niemand kontrolliert die organischen Suchergebnisse von Google. Behandeln Sie „garantiert Platz 1“ deshalb als ernstes Warnsignal – und bewerben Sie Ihre Website mit ehrlichen Inhalten, einer technisch gesunden, crawlbaren Website und echten redaktionellen Erwähnungen: gemessen, gepflegt und niemals gekauft.
Erfassen Sie vor dem Relaunch jede alte URL aus mehreren Quellen, lassen Sie unveränderte URLs in Ruhe, leiten Sie jede geänderte mit einer permanenten Weiterleitung auf die passendste neue – und prüfen Sie danach das alte Verzeichnis direkt und behalten Sie die Zuordnung über Jahre.
Liefern Sie Bytes effizient aus – entfernen Sie Code, der sich im Test als ungenutzt erweist, minifizieren Sie mit Tools, die die Syntax verstehen, aktivieren Sie Gzip oder Brotli, nutzen Sie modernes HTTP, cachen Sie versionierte Dateien aggressiv (und nur diese) und wägen Sie ein CDN gegen den gemessenen Bedarf ab.
Liefern Sie Bilder im Format aus, das bei Ihrer Qualitätsgrenze am kleinsten testet, erzeugen Sie responsive Breiten mit korrektem sizes, komprimieren Sie mit offenen Augen, setzen Sie echte Maße – und laden Sie unkritische Bilder verzögert, nie das Element, das wahrscheinlich der größte sichtbare Inhalt (LCP) ist.
Testen Sie auf den Geräten, die Ihr Publikum wirklich nutzt, mit gedrosselter Verbindung und CPU, mit kaltem und warmem Cache und mit echten Interaktionen, damit INP etwas aussagt – und lesen Sie Labor-, Feld- und eigene First-Party-Daten zusammen, ohne zu erwarten, dass die Zahlen übereinstimmen.
Erfassen Sie jede Drittanbieter-Integration mit ihrer echten Wirkung, entfernen Sie, was sich nicht mehr rechtfertigt, laden Sie kompatible nicht notwendige bewusst (auch erst bei Interaktion) – und behandeln Sie jede verbleibende als Datenschutz-, Sicherheits- und Anbieter-Abhängigkeit.
Geben Sie Besuchern einen unübersehbaren, einheitlichen Weg zu Ihnen – klare Navigation, eine verlässliche Fußzeile, eine richtige Kontaktseite –, mit Firmenangaben dort, wo sie korrekt, passend und gesetzlich gefordert sind, und testen Sie jeden Kontaktweg.
Prüfen Sie regelmäßig auf tote Links und ersetzen Sie die Standard-404-Seite durch eine klare Fehlerseite im Look Ihrer Website, die sagt, was passiert ist, den echten Statuscode zurückgibt und verirrten Besuchern weiterhilft.
Geben Sie allen Seiten eine einheitliche, vorhersehbare Navigation und klare Orientierungspunkte – aufgabenorientierte Menüs, echte Barrierefreiheits-Semantik, Breadcrumbs, wo die Hierarchie hilft –, damit Besucher wissen, wo sie sind, und finden, was sie brauchen.
Gestalten Sie für die Erwartungen und Bedürfnisse Ihrer echten Zielgruppe, nicht nach persönlichem Geschmack – so wirkt die Website glaubwürdig und macht die wichtigen Aktionen leichter.
Bauen Sie eine semantische HTML-Grundlage, ergänzen Sie CSS und JavaScript als Extras mit getesteten Fallbacks, und prüfen Sie die Kernaufgaben in Ihren unterstützten Browsern, auf den Geräten und in den Fehlerfällen – Tastatur, Zoom und Skripte, die zwar laden, aber kaputtgehen, eingeschlossen.
Schreiben Sie semantisches, gut strukturiertes HTML – Überschriftenebenen, die die Hierarchie abbilden, passende Landmarken, benannte Bedienelemente, Elemente nach ihrer Bedeutung gewählt –, damit Seiten barrierefrei und robust sind und Maschinen klare Struktursignale bekommen.
Lesen Sie jede Seite vor der Veröffentlichung Korrektur – Rechtschreib- und Grammatikfehler untergraben die Glaubwürdigkeit – mit Rechtschreibprüfung plus eigenem Urteil, lautem Vorlesen, einem zweiten Leser und Faktenchecks für KI-generierte und übersetzte Texte.
Halten Sie Ihr Kontaktformular kurz und klar, prüfen Sie die Eingaben auf dem Server, fangen Sie Spam mit einem Honeypot ab, zeigen Sie eine Erfolgsmeldung und schicken Sie eine Bestätigungs-Mail, damit Absender wissen, dass es geklappt hat.
Machen Sie Ihre Website ohne Maus bedienbar, mit Alternativtexten, die ihren Zweck erfüllen, gemessenem Kontrast, beschrifteten Formularen, Untertiteln und Audiodeskription, wo Medien sie brauchen – und testen Sie die wichtigen Abläufe mit Tastatur, Screenreader und automatischem Prüfprogramm, als Anfang, nicht als Beweis.
Responsive zu sein ist nicht dasselbe wie auf dem Handy gut bedienbar – bringen Sie Größe und Abstand der Tippziele in Ordnung, wählen Sie Eingabetypen ehrlich, zähmen Sie seitliches Scrollen und Dialoge, halten Sie Zoom, Tastatur und Hilfstechnik am Laufen – und testen Sie dann auf echten Geräten in beiden Ausrichtungen.
Liefern Sie ein kleines, gestaffeltes Icon-Set – ein starkes Zeichen, je Kontext angepasst, ein SVG-Favicon mit korrekt dimensioniertem PNG und gültiger .ico als Ersatz, ein hochauflösendes Apple-Touch-Icon und ein theme-color-Vorschlag – statt einer Datei pro Plattform.
Nutzen Sie datenschutzfreundliche Analytics und Server-Logs, um Aktionen zu messen, die Entscheidungen tragen – bestätigte Konversionen, Anfragen, kaputte Links, Seiten, auf denen Besucher einen Vorgang abbrechen – statt bloßer Zugriffszahlen.
Beantworten Sie jede echte Anfrage schnell und zuverlässig – mit einer Bestätigung erst nach echter Annahme, einem gemeinsamen Ablauf mit Verantwortlichem und Vertretung sowie Tests der ganzen Strecke –, damit keine Anfrage durch Verzögerung oder Fehlbearbeitung verloren geht.
Beschriften Sie Kampagnen-Links mit UTM-Parametern, damit die Statistik erfasste Besuche und Conversions den Kampagnen zuordnen kann – eine dokumentierte Konvention in Kleinschreibung, Links von Anfang bis Ende getestet, interne Links und personenbezogene Daten außen vor.
Machen Sie das Teilen mühelos mit schlanken, barrierefreien Teilen-Funktionen – Web Share, wo unterstützt, ein Link-kopieren-Button, der sein Ergebnis meldet, saubere kanonische URLs – plus vollständigen Open-Graph-Metadaten; schwere Widgets von Drittanbietern lassen Sie weg.
Betreiben Sie Ihren Newsletter auf gültiger, dokumentierter Einwilligung (oder einem echten Soft-Opt-in), mit einer einfachen, kostenlosen, zügig umgesetzten Abmeldung, relevanten, barrierefreien Inhalten und abgestimmter Authentifizierung – die rechtliche Verantwortung bleibt auch mit Versanddienst bei Ihnen.
Zeigen Sie die Menschen, die Arbeit und die Geschichte hinter Ihrem Unternehmen – mit sauber genehmigten Fotos, barrierefreiem Video und glaubwürdigem, offengelegtem Social Proof: echt, wo Identität zählt, geprüft auf das, was der Hintergrund verrät, und nie erfunden.
Veröffentlichen Sie wirklich nützliche, gut geordnete Inhalte zu den Themen, die Sie am besten kennen – auffindbar, ehrlich belegt, zu einem echten Hub verknüpft –, um die Chancen zu erhöhen, dass man Ihre Website speichert, zitiert und findet.
Verringern Sie vermeidbares Zögern im Checkout – mit HTTPS auf der ganzen Website, sauber abgegrenzter, beim Anbieter gehosteter Zahlungsabwicklung, Kosten früh und vor der Bestellung exakt gezeigt, ehrlichen Bedingungen und barrierefreien Formularen – und liefern Sie erst nach serverseitiger Prüfung der Zahlung.
Beanspruchen Sie Ihr Google-Unternehmensprofil (sofern Ihr Betrieb dafür infrage kommt) und füllen Sie es korrekt aus, halten Sie Ihre öffentlichen Firmendaten überall im Kern einheitlich – ohne eine private Adresse preiszugeben – und nutzen Sie eine zuverlässige Nummer, unter der jemand abnimmt, für Gebiete, die Sie wirklich bedienen.
Geben Sie jeder wichtigen Seite eine offensichtliche Hauptaktion – anrufen, buchen, kaufen, Angebot anfordern, abonnieren – mit klarer Hervorhebung, ehrlichen Beschriftungen, zugänglicher Semantik und Zuständen, früh platziert und auf langen Seiten wiederholt, wo es nötig ist.
Ersetzen Sie Allerweltsadjektive durch nachvollziehbare, nachprüfbare Belege – echte, offengelegte Bewertungen, Fallstudien mit Ausgangslage und Rahmen, aktuelle Nachweise mit Link auf den Prüfeintrag des Ausstellers, ehrlich abgegrenzte Preise –, platziert nahe der Entscheidung, die sie stützen, und rechtmäßig veröffentlicht.
