Veraltete Webseiten finden: zehn Merkmale und wie Sie sie systematisch aufspüren

Wenn Webdesigner von einer veralteten Webseite sprechen, meinen sie oft das Aussehen: kleine Schrift, verschachtelte Menüs, Bilder im alten 4:3-Format. Das ist Geschmackssache und schwer zu begründen. Für die Ansprache eines Unternehmens taugt es wenig, denn vielleicht mag der Inhaber seine Seite genau so.

Belastbarer sind vier Ebenen, die sich prüfen lassen:

Ein Unternehmer muss nicht wissen, was PHP ist. Er versteht aber sofort, dass seine Besucher eine Warnung sehen oder dass ihm eine Abmahnung droht. Genau deshalb sind diese Merkmale der bessere Gesprächseinstieg als jedes Urteil über das Design.

Wie häufig diese Merkmale sind, messen wir laufend. Grundlage sind die Startseiten aller erreichbaren .de-Domains, die echte Inhalte ausliefern, also ohne Parkseiten und Fehlerseiten. Am 30. September 2026 waren das 2.708.608 Webseiten.

So messen wir

• HTTPS: Die Startseite landet nach allen Weiterleitungen auf einer Adresse mit http:// statt https://, meist weil kein gültiges Zertifikat eingerichtet ist.
• PHP: aus dem Antwort-Header X-Powered-By. Nur ein Teil der Seiten zeigt ihn, der Anteil gilt für diese. Wer die Version offen anzeigt, pflegt seinen Server vermutlich auch sonst weniger. Für alle Webseiten liegt der Wert daher eher niedriger.
• Handy-Darstellung: kein Viewport-Tag mit width=device-width, keine Media-Queries nach Bildschirmbreite und kein bekannter Baukasten, der das selbst regelt.
• Ladezeit: Zeit vom ersten Aufruf bis zum vollständigen HTML der Startseite, mit Weiterleitungen, gemessen von einem Server in Deutschland. Der Median liegt bei 729 Millisekunden. Das ersetzt keine Messung mit Lighthouse, ist aber ein zuverlässiges Warnsignal.
• Copyright-Jahr: das jüngste Jahr in einem ©-Vermerk auf der Startseite.
• Google Fonts und Tracking: Einbindung von fonts.googleapis.com oder fonts.gstatic.com im HTML; Analytics-Code, ohne dass ein Einwilligungstool erkennbar ist.
• SPF und DMARC: öffentliche DNS-Abfrage der Domain.

Zu jedem Merkmal finden Sie, was es für das Unternehmen bedeutet, wie Sie es selbst prüfen und welches Angebot dazu passt.

1. Keine verschlüsselte Verbindung (HTTPS)

Seit 2018 kennzeichnet Chrome jede Seite ohne HTTPS mit „Nicht sicher“ neben der Adresse. Besonders heikel ist das bei Kontaktformularen: Die eingegebenen Daten gehen unverschlüsselt durchs Netz.

So prüfen Sie es: Rufen Sie die Adresse mit https:// auf. Erscheint eine Warnung oder springt der Browser auf http:// zurück, fehlt die Verschlüsselung. Passendes Angebot: Zertifikat einrichten, oft zusammen mit Hosting-Umzug und Wartung.

2. Abgelaufenes oder ungültiges Zertifikat

Schlimmer als gar kein HTTPS: Der Browser zeigt eine ganzseitige Warnung wie „Ihre Verbindung ist nicht privat“, und die meisten Besucher kehren um. Das Thema wird häufiger. Seit dem 15. März 2026 dürfen öffentliche Zertifikate höchstens 200 Tage gelten, ab März 2027 nur noch 100 und ab 2029 nur noch 47 Tage. Wer das Zertifikat von Hand verlängert, vergisst es früher oder später.

So prüfen Sie es: Klick auf das Symbol links neben der Adresse, dann auf die Zertifikatsangaben. Dort steht „Gültig bis“. Passendes Angebot: automatische Verlängerung und Überwachung im Wartungsvertrag.

3. PHP-Version ohne Sicherheitsupdates

WordPress, TYPO3, Joomla und die meisten Shop-Systeme laufen auf PHP. Jede Version bekommt vier Jahre lang Updates, danach keine mehr. Neu entdeckte Sicherheitslücken bleiben dann offen.

So prüfen Sie es: In den Entwicklertools des Browsers (F12) unter „Netzwerk“ die erste Anfrage anklicken und in den Antwort-Headern nach X-Powered-By suchen. Viele Server verbergen die Angabe, dann lässt sich die Version von außen nicht feststellen. Passendes Angebot: PHP-Update mit Test der Seite, danach Wartungsvertrag.

4. Stark veraltetes CMS

Ein CMS, das jahrelang nicht aktualisiert wurde, ist ein bekanntes Einfallstor. In unserem Index laufen 859.580 Seiten mit WordPress, also 31,7 % aller aktiven Webseiten. Wie sich die Systeme insgesamt verteilen, zeigt das Technologie-Verzeichnis.

So prüfen Sie es: Quelltext öffnen (Strg+U) und nach „generator“ suchen. Dort steht oft System und Version, etwa WordPress 4.9.8. Viele Seiten entfernen den Eintrag, sein Fehlen beweist also nichts. Passendes Angebot: Update oder, bei sehr alten Versionen, Relaunch.

5. Keine Darstellung fürs Handy

Google bewertet für die Suche die Handy-Version einer Seite. Eine Seite, die auf dem Smartphone nur verkleinert erscheint, verliert Besucher und Sichtbarkeit zugleich.

So prüfen Sie es: Seite auf dem Smartphone öffnen oder in Chrome mit Strg+Umschalt+M die Geräteansicht einschalten. Muss man zoomen, um den Text zu lesen, fehlt die mobile Darstellung. Im Quelltext fehlt dann meist <meta name="viewport" content="width=device-width">. Passendes Angebot: Relaunch.

6. Lange Ladezeit

Google gibt für den Largest Contentful Paint, also den Moment, in dem der größte sichtbare Inhalt geladen ist, 2,5 Sekunden als Grenze für eine gute Nutzererfahrung an. Unsere Messung ist strenger gefasst: Schon 4,5 % der Startseiten brauchen über drei Sekunden, bis überhaupt das HTML vollständig da ist.

So prüfen Sie es: Adresse in PageSpeed Insights eingeben und die Werte für Mobilgeräte ansehen. Passendes Angebot: Optimierung von Bildern, Caching und Hosting.

7. Altes Copyright-Jahr

Ein „© 2017“ im Fußbereich ist kein technischer Mangel, aber ein Hinweis, dass sich länger niemand um die Seite gekümmert hat. Allein ist er wenig wert, denn viele gepflegte Seiten aktualisieren das Jahr nie. Zusammen mit anderen Zeichen wird er aussagekräftig: Termine aus vergangenen Jahren, verwaiste Nachrichten oder Hinweise zu Corona-Regeln auf der Startseite.

So prüfen Sie es: nach unten scrollen und den Fußbereich lesen. Passendes Angebot: Pflege der Inhalte, häufig im Paket mit einem Relaunch.

8. Google Fonts und Tracking ohne Einwilligung

Lädt eine Seite Schriften direkt von Google-Servern, geht die IP-Adresse jedes Besuchers an Google. Das Landgericht München I hat 2022 einem Besucher deshalb 100 Euro Schadensersatz zugesprochen. Danach erhielten viele Seitenbetreiber Abmahnungen. Ähnlich riskant ist Analytics-Code, der ohne Einwilligung startet.

So prüfen Sie es: im Quelltext nach „fonts.googleapis“ suchen oder in den Entwicklertools unter „Netzwerk“ vor jeder Einwilligung nach Anfragen an fonts.gstatic.com, google-analytics.com oder googletagmanager.com schauen. Passendes Angebot: Schriften lokal einbinden, Einwilligungslösung einrichten, Datenschutz-Check.

9. Fehlende SEO-Grundlagen

Ohne Meta-Beschreibung stellt Google selbst einen Textausschnitt für das Suchergebnis zusammen, oft einen unpassenden. Das betrifft 43,1 % der aktiven Webseiten. Dazu kommen fehlende strukturierte Daten und Bilder ohne Alternativtext.

So prüfen Sie es: im Quelltext nach name="description" suchen; strukturierte Daten zeigt der Test für Rich-Suchergebnisse von Google. Passendes Angebot: SEO-Grundpaket.

10. E-Mail ohne SPF und DMARC

SPF und DMARC sind DNS-Einträge, die festlegen, welche Server im Namen einer Domain E-Mails verschicken dürfen. Fehlen sie, können Fremde leichter mit der Adresse des Unternehmens Mails fälschen, und echte Mails landen eher im Spam. Google verlangt seit Februar 2024 von allen Absendern an Gmail-Adressen SPF oder DKIM, von Großversendern zusätzlich DMARC.

So prüfen Sie es: mit einem SPF- und DMARC-Prüfwerkzeug im Netz oder per nslookup -type=txt _dmarc.beispiel.de. Passendes Angebot: E-Mail-Einrichtung, eher etwas für IT-Dienstleister als für Webdesigner.

Für eine einzelne Seite brauchen Sie kein Werkzeug außer dem Browser und zwei kostenlosen Diensten. Diese Reihenfolge hat sich bewährt:

Halten Sie das Ergebnis mit Datum und einem Bildschirmfoto fest. Seiten ändern sich, und im Gespräch wollen Sie belegen können, was Sie gesehen haben.

Fünf Minuten pro Seite klingen wenig. Für 50 Unternehmen pro Woche sind es aber über vier Stunden, bevor Sie ein einziges Gespräch geführt haben. Und viele Seiten haben gar keinen Befund, der sich als Anlass eignet. Wer regelmäßig akquiriert, braucht deshalb einen Weg, die Kandidaten vorab zu filtern.

Suchmaschinen

Mit einer Suche wie "© 2016" Zahnarzt Leipzig finden Sie Seiten mit altem Copyright-Vermerk. Technische Merkmale wie HTTPS, die PHP-Version oder fehlende Handy-Darstellung findet eine Suchmaschine aber nicht.

Technologie-Suchdienste

Dienste wie BuiltWith oder Wappalyzer listen Webseiten nach eingesetzter Technik, etwa alle Seiten mit einem bestimmten Shop-System. Für die Frage, welche davon ein konkretes Problem haben und wer der Ansprechpartner ist, helfen sie wenig.

Website-Datenbank mit Filtern

SpearData erfasst die Merkmale aus diesem Artikel für alle aktiven .de-Webseiten vorab. In der Filter-Suche kombinieren Sie sie mit Region und Technik und sehen die Trefferzahl sofort und kostenlos. Erst die Webseiten, die Sie als Leads anfordern, werden bezahlt. Jede davon wird für Ihren Auftrag neu geprüft oder wurde in den letzten 30 Tagen geprüft, und der Ansprechpartner kommt aus dem Impressum.

Ein Befund ist erst dann ein guter Gesprächseinstieg, wenn er für den Inhaber eine Bedeutung hat. Übersetzen Sie Technik in Folgen:

Wie Sie den Befund rechtssicher übermitteln, mit Vorlagen für Anruf und E-Mail, steht im Ratgeber Akquise für Webagenturen. Welche Wege neben der direkten Ansprache Aufträge bringen, vergleicht Kunden finden als Webdesigner.