Viele Betriebe sehen eine rote Zahl und sind beunruhigt, andere sehen Grün und lesen nicht weiter. Beides greift zu kurz, denn der Bericht hat zwei Hälften, die Unterschiedliches messen.

So starten Sie die Messung

1. Öffnen Sie pagespeed.web.dev, geben Sie die vollständige Adresse einer Seite ein und klicken Sie auf „Analysieren“.
2. Der Bericht zeigt zuerst das Ergebnis für Mobilgeräte. Oben schalten Sie auf Desktop um.
3. Messen Sie auch eine zweite wichtige Seite, etwa Ihre Leistungsseite. Bewertet wird immer nur die eingegebene Adresse.

Oben: Was echte Besucher erleben

Diese Werte stammen aus dem Chrome User Experience Report. Google sammelt dafür anonymisierte Messdaten aus dem Chrome-Browser und fasst die letzten 28 Tage zusammen. Drei der Werte bilden die Core Web Vitals:

• LCP (Largest Contentful Paint): Wann ist der Hauptinhalt zu sehen, oft das große Titelbild? Gut sind bis zu 2,5 Sekunden.
• INP (Interaction to Next Paint): Wie schnell reagiert die Seite auf Tippen und Klicken? Gut sind bis zu 200 Millisekunden.
• CLS (Cumulative Layout Shift): Wie stark verrutschen Inhalte beim Laden? Gut ist ein Wert bis 0,1.

Maßgeblich ist der Wert, den mindestens drei von vier Seitenaufrufen schaffen. Liegen alle drei Werte im grünen Bereich, gilt die Bewertung als bestanden.

Bei vielen kleinen Websites bleibt dieser Teil leer oder zeigt die Werte der ganzen Website. Dann gab es zu wenige Besuche mit Chrome. Ein Fehler Ihrer Seite ist das nicht.

Unten: Die Labormessung mit Punktzahl

Für die Labormessung lädt Google die Seite einmal mit einem simulierten Mittelklasse-Handy über eine gedrosselte Mobilverbindung. Für den Desktop simuliert es einen Rechner mit Kabelanschluss. Die Farben sind schnell erklärt: ab 90 Punkten grün, von 50 bis 89 orange, darunter rot.

Aufschlussreicher als die Zahl sind die Hinweise darunter. Sie nennen, was die Seite bremst. Typisch sind zu große Bilder oder Skripte, die das Anzeigen verzögern. Ein Klick auf einen Hinweis zeigt die betroffenen Dateien, damit kann Ihre Agentur gezielt arbeiten.

Was die Punktzahl nicht verrät

• Wie es echten Besuchern geht. Die Labormessung ist ein einzelner, simulierter Aufruf.
• Einen festen Wert. Zwei Messungen hintereinander ergeben oft unterschiedliche Zahlen, weil Server und Netz schwanken.
• Ihren Platz bei Google. Die Core Web Vitals sind eines von vielen Signalen, die Google auswertet.
• Ob Kunden anrufen. Eine schnelle Seite ohne sichtbare Telefonnummer bringt wenig.

Google selbst hält es nicht unbedingt für gut investierte Zeit, nur wegen der Suche auf die volle Punktzahl hinzuarbeiten. Das sehen wir genauso.

Was Sie mit dem Ergebnis anfangen

Notieren Sie die Werte mit Datum und messen Sie nach größeren Änderungen erneut. Das Labor zeigt eine Verbesserung sofort, die Werte echter Besucher ziehen erst nach und nach mit. Rote Werte bei echten Besuchern sind ein Arbeitsauftrag. Fehlen Besucherdaten, nehmen Sie die Hinweise aus dem Labor als Liste für die nächste Überarbeitung. Was eine Website an laufender Pflege braucht, beschreibt unsere Seite zur Website-Wartung. Den Bericht gehen wir auch gern gemeinsam mit Ihnen durch, per Video oder bei Ihnen vor Ort.

Eine Frage zu PageSpeed Insights

PHP ist die Programmiersprache, in der WordPress, Joomla, viele Shopsysteme und die meisten Kontaktformulare auf dem Server laufen. Fast jede Betriebs-Website nutzt sie, ohne dass der Inhaber davon etwas merkt. Genau deshalb betrifft diese Lücke so viele Websites auf einmal, vom Handwerksbetrieb in Essen bis zur Praxis im Ruhrgebiet.

Was am 21. Oktober passiert ist

Die beiden Lücken tragen die Nummern CVE-2026-109618 und CVE-2026-109619. Das PHP-Projekt hatte das Update einen Tag vorher angekündigt und am Mittwoch um 16 Uhr deutscher Zeit veröffentlicht. Laut der Mitteilung auf php.net sind alle PHP-Installationen betroffen, die Anfragen aus dem Internet beantworten, unabhängig vom Webserver. Einzelheiten zu den Lücken waren schon vor dem Update im Umlauf, erste Angriffsversuche wurden noch am selben Nachmittag gemeldet.

Auch das WordPress-Projekt hat am 21. Oktober eine eigene Warnung veröffentlicht. Der Kern: Ein WordPress-Update gibt es dafür nicht und wird es nicht geben, weil die Lücke nicht in WordPress liegt, sondern eine Ebene tiefer. Wer WordPress betreibt, muss PHP aktualisieren oder den Hoster dazu bringen.

Welche Versionen jetzt sicher sind

Das PHP-Projekt hat für alle vier gepflegten Versionsreihen eine korrigierte Fassung veröffentlicht:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Entscheidend ist die dritte Zahl. Ein Server mit PHP 8.4.26 hat die Lücke noch, einer mit 8.4.27 nicht mehr. Für PHP 8.1, 8.0 und 7.4 gibt es keine fertigen Updates, nur Korrekturen im Quelltext für Fachleute. Ob ein Hoster diese einbaut, entscheidet er selbst. Dazu kommt: PHP 8.2 bekommt laut php.net nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Wer jetzt ohnehin umstellt, geht gleich auf 8.3 oder 8.4.

So finden Sie heraus, welche Version Ihre Website nutzt

Sie brauchen dafür keinen Techniker. Bei WordPress steht die Version im Adminbereich:

1. Melden Sie sich in WordPress an und öffnen Sie im Menü „Werkzeuge“ den Punkt „Website-Zustand“.
2. Wechseln Sie oben auf den Reiter „Bericht“.
3. Klappen Sie den Abschnitt „Server“ auf. Dort steht die PHP-Version mit allen drei Zahlen, etwa 8.3.36.

Steht dort eine der vier sicheren Nummern, ist Ihre Website auf dem Stand vom 21. Oktober. Steht dort eine ältere Nummer derselben Reihe, etwa 8.3.35, hat Ihr Hoster die Korrektur noch nicht eingespielt. Dann hilft eine Nachricht an den Hoster, denn die dritte Zahl können Sie selbst nicht ändern. Steht dort 8.1 oder weniger, müssen Sie die Reihe wechseln. Ohne WordPress sehen Sie die Version im Kundenmenü des Hosters, wie in den nächsten Abschnitten beschrieben.

So stellen Sie bei Strato um

Viele Betriebs-Websites liegen bei Strato oder IONOS, deshalb hier die Wege dort. Laut Strato-Hilfe geht es so: Melden Sie sich im Kunden-Login an, öffnen Sie das Menü mit den drei Punkten und wählen Sie „Ihr Paket“. Unter „Datenbanken und Webspace“ finden Sie „PHP-Version einstellen“. Dort wählen Sie die Version aus und speichern. Strato bietet derzeit 8.2 bis 8.5 an, die dritte Zahl pflegt Strato selbst nach. Nach dem Speichern dauert es einen Moment, bis die neue Version greift.

So stellen Sie bei IONOS um

Im IONOS-Konto klicken Sie oben im Menü auf „Hosting“ und wählen bei mehreren Verträgen den passenden aus. In der Kachel „PHP“ öffnen Sie die PHP-Einstellungen. Dort sehen Sie jede Domain mit der zugewiesenen Version und können sie einzeln umstellen. Eine Ausnahme nennt IONOS selbst: Bei „Managed WordPress“ und „MyWebsite“ legt IONOS die Version fest. Dort können Sie nichts einstellen, fragen Sie im Zweifel nach, ob das Update eingespielt ist.

Bei anderen Hostern heißt der Punkt ähnlich, meist „PHP-Version“ oder „PHP-Einstellungen“ im Kundenmenü. Auf Servern mit Plesk steht er unter „Websites & Domains“. Wer den Zugang zum Kundenmenü nicht hat, fragt die Agentur oder die Person, die die Website damals eingerichtet hat. Dieser Zugang gehört in Ihre Hände, spätestens jetzt.

Warum nach dem Umstellen manchmal eine weiße Seite kommt

Ein Wechsel der PHP-Reihe, etwa von 8.1 auf 8.4, ist technisch ein Klick. Ältere Themes und Plugins vertragen ihn aber nicht immer. Im ungünstigen Fall zeigt die Website danach nur noch eine weiße Seite oder eine Fehlermeldung. Das ist ärgerlich, aber kein Grund, auf einer unsicheren Version zu bleiben. So gehen Sie vor:

1. Sicherung anlegen oder prüfen, dass die automatische Sicherung des Hosters aktuell ist.
2. In WordPress alle anstehenden Updates für Plugins und Theme einspielen. Auf der Plugin-Seite steht bei jedem Eintrag, welche PHP-Version es mindestens braucht.
3. Die PHP-Version zu einer ruhigen Tageszeit umstellen und danach Startseite, Kontaktformular und, falls vorhanden, den Shop durchklicken.
4. Kommt eine Fehlermeldung, nennt sie meist das verantwortliche Plugin. Dieses Plugin abschalten oder ersetzen. Die PHP-Version zurückzudrehen löst das Problem nur scheinbar.

Was das mit der Wartung zu tun hat

Diese Lücke zeigt, warum eine Website jemanden braucht, der regelmäßig hinsieht. In unserer Website-Wartung spielen wir Updates nach einer Prüfung ein, sichern lokal und in der Cloud, prüfen die Erreichbarkeit und schicken einen Monatsbericht. Die PHP-Version aller betreuten Websites sehen wir dabei in einer Übersicht. So fällt auf, wenn eine Reihe aus der Pflege läuft oder ein Hoster nach einem Tag wie dem 21. Oktober noch nicht nachgezogen hat.

Ihre Liste für heute

1. PHP-Version im Website-Zustand oder im Kundenmenü ablesen und notieren.
2. Steht dort 8.2.35, 8.3.36, 8.4.27 oder 8.5.12: erledigt. Morgen noch einmal nachsehen, ob es so geblieben ist.
3. Steht dort eine ältere Nummer derselben Reihe: dem Hoster schreiben und nach dem Termin für das Update fragen.
4. Steht dort 8.1 oder älter: Sicherung prüfen, Plugins aktualisieren, auf 8.3 oder 8.4 umstellen, Website testen.
5. Zeigt die Website nach dem Wechsel Fehler: das genannte Plugin abschalten, nicht zurück auf die alte Reihe.
6. Zusätzlich prüfen, ob im Adminbereich fremde Benutzer aufgetaucht sind oder Besucher aus Google umgeleitet werden. Das sind typische Spuren eines Angriffs, der schon stattgefunden hat. Was dann zu tun ist, steht auf unserer Seite Website gehackt.

Wenn Sie beim Ablesen unsicher sind oder nach dem Umstellen etwas nicht mehr geht, schreiben Sie uns kurz. Oft reicht ein Blick in den Website-Zustand, um zu sagen, ob bei Ihnen Handlungsbedarf besteht.

Sie schauen sich online eine Küche an, und in den nächsten Tagen begegnet Ihnen genau dieser Küchenhersteller überall: auf Nachrichtenseiten, bei YouTube, im Instagram-Feed. Das ist Retargeting. Große Händler setzen es ständig ein. Die Frage ist, ob es auch für einen Tischler, eine Physiotherapie oder ein Café sinnvoll ist.

Wie Retargeting funktioniert

Beim Besuch Ihrer Website merkt sich ein Cookie oder eine andere Kennung, dass dieser Browser da war, zum Beispiel auf der Seite zu Badsanierungen. Aus diesen Besuchern entsteht eine Liste. Die nutzen Sie später in Google Ads oder bei Meta, um genau diesen Menschen Anzeigen zu zeigen, auf Websites, in Apps, bei YouTube oder in sozialen Netzwerken. Google nennt das meist Remarketing.

Die Liste lässt sich fein aufteilen, etwa nur in Besucher der Preisseite oder nur in Besucher, die länger als eine Minute geblieben sind. Wie viele Menschen auf einer Liste stehen, zeigt Google Ads im Bereich für Zielgruppen an.

Dafür braucht es die Einwilligung der Besucher. Die nötigen Cookies dürfen erst nach Zustimmung gesetzt werden, und wer im Cookie-Hinweis ablehnt, landet nicht auf der Liste. Die Zielgruppe ist also kleiner, als die Besucherzahl vermuten lässt.

Wann es sich lohnt

Sinnvoll ist Retargeting, wenn Kunden länger überlegen. Wer eine Küche, neue Fenster, ein Brautkleid oder eine Sanierung plant, vergleicht über Wochen. Eine Anzeige zur richtigen Zeit erinnert an Sie, bevor die Entscheidung fällt.

Die zweite Voraussetzung ist Reichweite. Google liefert Anzeigen an eine Liste erst aus, wenn sie eine Mindestgröße erreicht hat. Kleine Websites mit wenigen Besuchern im Monat kommen oft gar nicht dorthin, oder die Anzeigen erreichen nur einen sehr kleinen Kreis.

Außerdem braucht die Anzeige einen Anlass. Eine Botschaft wie „Wir sind noch da“ bewegt kaum jemanden. Mehr Chancen hat eine Anzeige mit einem konkreten Angebot, etwa einem Beratungstermin vor Ort oder einer Aktion im Frühjahr.

Wann es sich nicht lohnt

Bei Notdiensten und spontanen Entscheidungen. Wer einen Schlüsseldienst braucht, ruft den ersten passenden an, eine Anzeige drei Tage später kommt zu spät. Ähnlich ist es beim Imbiss, beim Friseur ohne Termin oder bei Reparaturen, die sofort erledigt werden müssen.

Auch bei sehr kleinem Budget bringt Retargeting wenig. Es ergänzt andere Werbung. Solange keine Suchanzeigen, kein gepflegtes Unternehmensprofil und keine anderen Wege neue Besucher bringen, bleibt die Liste klein, und das Geld wirkt an anderer Stelle mehr.

So testen Sie Retargeting mit überschaubarem Risiko

Legen Sie ein festes Budget und einen festen Zeitraum fest, etwa sechs Wochen. Bestimmen Sie vorher, woran Sie den Erfolg messen, zum Beispiel an Anfragen über das Formular oder an gebuchten Terminen. Nach Ablauf vergleichen Sie mit den Wochen davor.

Kosten entstehen je nach Einstellung pro Klick oder pro tausend Einblendungen. Bei kleinen Listen sind die Einblendungen oft günstig, die Zahl der Menschen dahinter ist aber auch klein. Maßgeblich ist, was am Ende an Anfragen herauskommt. Der Preis je Klick allein sagt wenig.

Vor dem Start gehört außerdem die Datenschutzerklärung auf den Prüfstand. Sie muss die genutzten Dienste nennen, etwa Google Ads oder das Pixel von Meta, und der Cookie-Hinweis muss sie abfragen. Wir sind Webdesigner, keine Anwälte. Was genau in Ihre Datenschutzerklärung gehört, klären Sie im Zweifel mit einem Anwalt.

Worauf Sie beim Einsatz achten

• Häufigkeit begrenzen. Wer dieselbe Anzeige ständig sieht, wird eher genervt als neugierig.
• Kunden ausschließen. Wer schon angefragt oder gekauft hat, sollte die Anzeige nicht mehr sehen.
• Zeitraum passend wählen. Bei einer Küche passen einige Wochen, bei einer Veranstaltung nur die Tage bis zum Termin.
• Ergebnisse messen. Nur mit sauberem Tracking sehen Sie, ob aus den Anzeigen Anfragen werden.

Was Sie jetzt prüfen können

Schauen Sie in Ihre Statistik, wie viele Besucher Ihre Website im Monat hat und wie lange Ihre Kunden gewöhnlich überlegen. Sind es wenige Besucher und schnelle Entscheidungen, investieren Sie lieber in Suchanzeigen und Ihr Unternehmensprofil. Wie wir Suchanzeigen für kleine Betriebe aufsetzen, zeigt unsere Seite zu Google Ads. Ob Retargeting bei Ihnen passt, klären wir im kostenlosen Erstgespräch.

Häufige Fragen zu Retargeting

Für Google ist der Hinweis ein starkes Signal, aber kein Befehl. Passen andere Signale nicht dazu, wählt Google im Zweifel selbst eine Adresse aus. Der Name kommt übrigens von kanonisch, also maßgeblich.

Wofür Ihr Betrieb das braucht

Doppelte Adressen entstehen schneller, als man denkt. Nehmen wir eine Physiotherapie-Praxis, die in ihrem Newsletter die Seite zur Rückenschule verlinkt. Damit die Statistik die Klicks zuordnen kann, hängt die Praxis einen Zusatz an die Adresse, etwa ?utm_source=newsletter. Für Google ist das eine zweite Adresse mit demselben Inhalt.

Der Canonical-Link auf der Seite stellt klar: Maßgeblich ist die Adresse ohne Zusatz. Google bündelt dann die Signale beider Fassungen bei dieser Adresse. In den Ergebnissen erscheint in der Regel nur sie. Ähnlich ist es bei Fassungen mit und ohne www, falls die Website nicht sauber umleitet.

Ein Blick in WordPress und die Search Console

In WordPress setzen SEO-Plugins wie Rank Math oder Yoast den Hinweis meist automatisch, und zwar auf die Seite selbst. Das passt für fast jede Seite. Ob Google Ihrer Angabe folgt, zeigt das URL-Prüftool in der Search Console. Dort finden Sie zwei Angaben: „Vom Nutzer angegebene kanonische URL“ und „Von Google ausgewählte kanonische URL“. Weichen beide ab, lohnt sich ein genauer Blick.

Ein falsch gesetzter Canonical-Link kann eine Seite aus den Suchergebnissen verdrängen, etwa wenn er auf eine ganz andere Seite zeigt. Mehr zu unserer Arbeit an der Auffindbarkeit lesen Sie auf der Seite zur Suchmaschinenoptimierung. Sie wissen nicht, was bei Ihnen eingetragen ist? Dann fragen Sie uns.

Ein Formular, das keine Anfragen mehr liefert, fällt lange nicht auf. Es gibt keine Fehlermeldung, die Website sieht normal aus, nur das Telefon klingelt seltener. Bei Überprüfungen stoßen wir immer wieder auf Formulare, deren Mails seit Wochen im Spamordner liegen.

Problem eins: Bots füllen das Formular aus

Automatische Programme durchsuchen das Netz nach Formularen und schicken Werbung, Links oder Unsinn. Das ist lästig. Auf Dauer kann es auch dazu führen, dass Ihr Postfach die Formular-Mails selbst als Spam einsortiert.

Am unauffälligsten sind unsichtbare Fallen, sogenannte Honeypots. Das sind Felder, die Menschen nicht sehen, Bots aber ausfüllen. Ist so ein Feld gefüllt, wird die Nachricht verworfen. Dazu kommt eine Zeitprüfung, denn ein Mensch braucht länger als eine Sekunde zum Ausfüllen. Bei unseren eigenen Formularen arbeiten zwei solcher Fallen und eine Prüfung per Skript zusammen, Besucher merken davon nichts.

Bilderrätsel und ähnliche Abfragen helfen ebenfalls, kosten aber Nutzer. Manche dieser Dienste laden außerdem Inhalte von fremden Servern und gehören dann in die Cookie-Einwilligung. Sinnvoll sind sie erst, wenn die unsichtbaren Fallen nicht mehr reichen.

Problem zwei: Echte Anfragen landen im Spam

Das ist das teurere Problem. Viele Formulare verschicken ihre Mails direkt vom Webserver, mit einer Absenderadresse, zu der der Server gar nicht gehört. Für das empfangende Postfach sieht das aus wie eine gefälschte Mail. Sie landet im Spamordner oder wird stillschweigend abgewiesen. Eine Fehlermeldung bekommt dabei niemand zu sehen, weder Sie noch der Kunde.

So beheben Sie das:

• Das Formular verschickt über das echte Postfach Ihrer Domain, per SMTP, statt über den Webserver.
• Ein SPF-Eintrag im DNS legt fest, welche Server Mails im Namen Ihrer Domain senden dürfen.
• Eine DKIM-Signatur bestätigt, dass die Mail unterwegs nicht verändert wurde.
• Ein DMARC-Eintrag bestimmt, was mit Mails passiert, die diese Prüfungen nicht bestehen.

Wichtig ist auch das Antwortfeld. Die Adresse des Anfragenden gehört dorthin, nicht in den Absender. So antworten Sie mit einem Klick, und als Absender steht weiterhin Ihre eigene Domain.

Anfragen zusätzlich auf der Website speichern

Selbst ein gut eingerichtetes Formular kann eine Mail verlieren, etwa wenn ein Postfach voll ist. Deshalb lassen wir Anfragen zusätzlich auf der Website speichern. Geht eine Mail verloren, steht die Anfrage trotzdem im Verwaltungsbereich. Das gehört dann in die Datenschutzerklärung, und alte Anfragen werden regelmäßig gelöscht. Wir sind Webdesigner, keine Anwälte. Wie lange Sie Anfragen aufbewahren dürfen, klärt im Zweifel ein Anwalt.

Prüfen Sie auch, an welche Adresse das Formular sendet. Nach einem Personalwechsel landen Anfragen manchmal noch im Postfach von jemandem, der längst nicht mehr im Betrieb arbeitet. Eine allgemeine Adresse wie info@ ist dafür die robustere Wahl.

Was ein gutes Formular sonst noch braucht

Wenige Felder. Name, eine Möglichkeit zur Rückmeldung und ein Feld für die Nachricht reichen für die erste Anfrage. Jedes zusätzliche Pflichtfeld hält Menschen davon ab, das Formular abzuschicken.

Einen klaren Hinweis auf den Datenschutz mit Link zur Datenschutzerklärung. Und eine Bestätigung nach dem Absenden, auf der Seite selbst oder auf einer eigenen Danke-Seite, damit der Besucher weiß, dass seine Nachricht angekommen ist.

Vorsicht mit automatischen Bestätigungsmails an den Absender. Bots können fremde Adressen ins Formular eintragen und Ihre Domain so zum Versand von Werbung missbrauchen. Wer eine solche Bestätigung verschickt, braucht einen besonders guten Schutz gegen Bots.

Einmal im Monat testen

Füllen Sie Ihr Formular regelmäßig selbst aus, von einer Adresse außerhalb Ihres Betriebs, etwa einem privaten Postfach. Kommt die Mail an? Im Posteingang oder im Spam? Stimmen Absender und Antwortadresse? Der Test dauert fünf Minuten und deckt Fehler auf, die sonst niemand bemerkt.

Testen Sie außerdem nach jedem größeren Update und nach einem Umzug der Website. Gerade dann geht erfahrungsgemäß öfter etwas kaputt.

Was Sie jetzt tun können

Machen Sie den Test noch heute. Kommt die Mail nicht an oder landet sie im Spam, liegt es meist am Versandweg und an fehlenden Einträgen im DNS. Welche Prüfungen zu einer laufenden Betreuung gehören, lesen Sie auf unserer Seite zur Website-Wartung. Wenn Sie wissen möchten, ob bei Ihnen alles ankommt, sehen wir uns Ihr Formular im kostenlosen Erstgespräch an.

Häufige Fragen zum Kontaktformular

Jemand sucht Ihre Telefonnummer und scrollt dafür ganz nach unten. Dort steht klein und grau: © 2023. Die Nummer findet er trotzdem. Im Hinterkopf bleibt aber die Frage, ob es den Betrieb noch gibt und ob die Preise noch stimmen.

Was die Zahl rechtlich bedeutet

Wenig. Das Urheberrecht an Ihren Texten und Fotos entsteht in Deutschland automatisch, sobald sie geschaffen sind. Formalitäten gibt es dabei keine, eine Anmeldung ist weder nötig noch möglich. So erklärt es das Deutsche Patent- und Markenamt. Der Vermerk mit dem © ist also keine Voraussetzung für den Schutz. Wir sind Webdesigner, keine Anwälte. Im Zweifel klären Sie das mit einem Anwalt oder Ihrer Kammer.

Warum Besucher trotzdem darauf achten

Eine alte Jahreszahl ist ein kleines Zeichen, aber ein deutliches. Wer sie bemerkt, schließt auf den Rest der Seite. Nicht selten zu Recht: Ist das Jahr seit 2023 stehen geblieben, gilt das manchmal auch für Updates, Preise oder das Teamfoto.

Vier Handgriffe für die Fußzeile

1. Suchen Sie die Stelle, an der der Text gepflegt wird. In WordPress steckt er meist in den Theme-Einstellungen zur Fußzeile, in einem Widget oder in einer Vorlage des Seitenbaukastens.
2. Prüfen Sie, ob Ihr Theme die Jahreszahl automatisch einsetzen kann. Dann stimmt sie jedes Jahr von selbst.
3. Geht das nicht, lassen Sie die Zahl einfach weg. Ein Vermerk nur mit dem Namen Ihres Betriebs sieht nie veraltet aus.
4. Schauen Sie bei der Gelegenheit auf Öffnungszeiten, Preise, Team und den letzten Beitrag. Was alt ist, fällt Ihnen jetzt ohnehin ins Auge.

Wenn mehr dahintersteckt

Manchmal lässt sich die Fußzeile gar nicht ändern, weil niemand mehr die Zugänge hat. Das ist ein Warnsignal. Dasselbe gilt, wenn WordPress und Plugins seit 2023 keine Updates bekommen haben. Was eine regelmäßige Pflege umfasst, beschreibt unsere Seite zur Wartung von Websites. Für einen ersten Blick auf Ihre Seite reicht eine kurze Nachricht.

Vorab: Wir sind eine Werbeagentur und keine Kanzlei. Was hier steht, ist Erfahrung aus der Praxis und ersetzt keine Rechtsberatung. Bei konkreten Fällen hilft ein Anwalt für Urheber- und Medienrecht.

Ein typischer Fall: Ein Betrieb sucht ein schönes Bild für die neue Leistungsseite, findet es in der Bildersuche und baut es ein. Monate später kommt Post von einer Kanzlei, mit einer Forderung für die Nutzung und den Kosten der Abmahnung. Bildagenturen und Fotografen suchen das Netz dafür gezielt mit Programmen ab. Die Forderung liegt meist deutlich über dem, was eine Lizenz gekostet hätte.

Eigene Fotos: meist unproblematisch, mit zwei Ausnahmen

Fotos, die Sie selbst gemacht haben, dürfen Sie verwenden. Aufpassen müssen Sie bei Menschen und bei Werken anderer.

Sind Personen erkennbar, brauchen Sie in der Regel deren Einwilligung, bei Mitarbeitern möglichst schriftlich. Das gilt auch für Kunden, die zufällig im Bild stehen. Eine Einwilligung kann widerrufen werden, dann muss das Foto wieder herunter. Planen Sie das beim Teamfoto gleich mit ein.

Kunstwerke, Plakate, fremde Logos im Vordergrund und Designs anderer können eigene Rechte haben. Gebäude, die dauerhaft an öffentlichen Straßen und Plätzen stehen, dürfen Sie in der Regel zeigen, wenn Sie sie von dort aus fotografiert haben. Bei Innenräumen oder Aufnahmen von einem privaten Grundstück sieht das anders aus.

Beauftragte Fotos: Nutzungsrechte schriftlich festhalten

Wenn ein Fotograf für Sie arbeitet, bleibt er der Urheber. Sie erhalten Nutzungsrechte, und deren Umfang steht im Vertrag: nur Website oder auch Social Media und Drucksachen, zeitlich begrenzt oder unbegrenzt. Halten Sie das schriftlich fest, bevor die Bilder online gehen. Fragen Sie außerdem, ob der Fotograf namentlich genannt werden möchte.

Stockbilder: Die Lizenz entscheidet

Bei einer Bilddatenbank erwerben Sie eine Lizenz, also ein Nutzungsrecht. Sie regelt, wo und wie Sie das Bild einsetzen dürfen, und manchmal auch, dass der Urheber genannt werden muss. Speichern Sie die Lizenz beim Herunterladen mit ab und legen Sie sie zu den Bildern. Wer nach Jahren einen Nachweis braucht, findet ihn sonst nicht mehr.

Kostenlose Bildportale sind eine Möglichkeit, aber nicht jedes Bild dort wurde vom Urheber selbst hochgeladen. Lizenzen wie Creative Commons haben außerdem Bedingungen, etwa eine Namensnennung in bestimmter Form. Wer die weglässt, nutzt das Bild ohne gültige Lizenz.

Baut eine Agentur Ihre Website, fragen Sie nach, woher die Bilder stammen und auf wen die Lizenzen laufen. Nutzt die Agentur ihr eigenes Abo bei einer Bilddatenbank, sollte geklärt sein, ob Sie die Bilder auch nach dem Ende der Zusammenarbeit weiter verwenden dürfen.

Bilder aus dem Netz, von Herstellern und aus der KI

Bilder von fremden Websites, aus Social Media oder aus der Bildersuche sind geschützt, auch ohne Hinweis darauf. Herstellerfotos, etwa von einem Fenster oder einer Maschine, dürfen Sie nur zeigen, wenn der Hersteller das erlaubt. Viele Hersteller stellen dafür Bilder im Händlerbereich bereit, samt Bedingungen.

Für Bilder aus KI-Programmen gelten die Nutzungsbedingungen des jeweiligen Programms. Ob an solchen Bildern ein Urheberrecht besteht, ist rechtlich noch nicht abschließend geklärt. Zeigen Sie keine KI-Bilder, die echte Personen oder bekannte Marken nachahmen. Und kennzeichnen Sie sie dort, wo man sie für ein echtes Foto aus Ihrem Betrieb halten könnte.

Bildnachweise richtig angeben

Verlangt eine Lizenz die Nennung des Urhebers, muss sie so erfolgen, wie die Lizenz es vorgibt. Viele Websites sammeln die Angaben auf einer eigenen Seite oder im Impressum, manche Lizenzen verlangen die Nennung direkt am Bild. Bei Creative Commons gehören meist der Name des Urhebers, der Titel des Werks, die Quelle und die genaue Lizenz dazu.

Auch ohne Pflicht lohnt sich eine interne Liste mit Dateiname, Herkunft, Lizenz und Datum. Sie ist in wenigen Minuten gepflegt und erspart im Streitfall langes Suchen.

Wie Sie das angehen

Gehen Sie Ihre Website Seite für Seite durch und notieren Sie zu jedem Bild die Herkunft: eigenes Foto, Fotograf mit Vertrag oder Lizenz mit Nachweis. Wo Sie die Herkunft nicht belegen können, tauschen Sie das Bild aus. Wie wir bei einem Neubau mit Bildern und Texten umgehen, steht auf der Seite zum Webdesign. Bei einzelnen Bildern, bei denen Sie unsicher sind, schauen wir im kostenlosen Erstgespräch gemeinsam hin. Die rechtliche Bewertung im Einzelfall bleibt Sache eines Anwalts.

Häufige Fragen zu Bildrechten

Google-Suche in Europa: eigene Blöcke für Portale und für Betriebe

Meldung vom 18. September 2026, Quelle: Google Search Central, Anbieterbereich

Google hat die Suchergebnisse im Europäischen Wirtschaftsraum umgebaut, also auch in Deutschland. Bei bestimmten Suchen zeigt ein Bereich Treffer aus Portalen und Verzeichnissen. Ein zweiter, der Anbieterbereich, zeigt die Anbieter selbst, etwa ein einzelnes Hotel. Am 18. September 2026 hat Google ergänzt, dass beides auch bei Suchen nach Betrieben vor Ort erscheint, zum Beispiel nach einem Sanitärbetrieb.

Was das für Sie heißt: Für den Anbieterbereich müssen Sie sich nirgends anmelden, denn Google nutzt dafür die Angaben, die es auf Ihrer Website findet.

WordPress 7.1.2 schließt eine kritische Lücke

Meldung vom 22. September 2026, Quelle: WordPress.org

Das WordPress-Projekt stuft die Lücke als kritisch ein. Unter bestimmten Bedingungen konnten Angreifer ohne Anmeldung erreichen, dass WordPress beim Laden einer Seitenvorlage eine PHP-Datei von außerhalb des Theme-Ordners einbindet. Erfüllen Server und Theme bestimmte Voraussetzungen, kann das bis zur Ausführung von Schadcode führen.

Die Korrektur gibt es auch für ältere Versionszweige bis 4.7, aktiv gepflegt wird aber nur die aktuelle Version. Am 17. September 2026 war bereits Version 7.1.1 mit elf Sicherheitskorrekturen erschienen.

Was das für Sie heißt: Steht im Dashboard unter „Aktualisierungen“ noch ein WordPress-Update aus, sollte es nach einer Sicherung zügig eingespielt werden.

Google startet ein Spam-Update

Meldung vom 24. September 2026, Quelle: Google Search Status Dashboard (englisch)

Das Update gilt weltweit und für alle Sprachen, die Einführung kann laut Google bis zu zwei Wochen dauern. Solche Updates treffen Seiten, die gegen die Spam-Richtlinien verstoßen, etwa mit gekauften Links oder verstecktem Text. Für eine normal gepflegte Betriebs-Website ändert sich in der Regel nichts.

Was das für Sie heißt: Sinken Ihre Besucherzahlen aus der Google-Suche seit Ende September deutlich, lohnt die Frage, ob ein früherer Dienstleister Links gekauft oder Text versteckt hat.

Search Console zeigt Suchen mit Fotos

Meldung vom 24. September 2026, Quelle: Google Search Central Blog

Die Leistungsberichte der Search Console haben einen neuen Suchtyp-Filter für die multimodale Suche. Er erfasst Suchen, die mit einem Bild beginnen: Google Lens, „Circle to Search“ auf Android, hochgeladene Fotos und die Bildsuche per Rechtsklick in Chrome. Den Filter gibt es auch im Bericht zu generativen KI-Funktionen. Werte erscheinen nur, wenn eine Website solche Zugriffe hat.

Was das für Sie heißt: Wer Produkte oder fertige Arbeiten mit vielen Fotos zeigt, sieht dort, ob Menschen über ein Bild auf die Website kommen.

Google: KI-Texte vor dem Veröffentlichen von Hand prüfen

Meldung vom 1. Oktober 2026, Quelle: Leitfaden der Google-Suche zu KI-Inhalten (englisch)

Google hat seinen Leitfaden zu KI-erzeugten Inhalten ergänzt. Sprachmodelle rufen laut Google keine Fakten ab, sondern sagen wahrscheinliche Wortfolgen voraus. Ihre Texte können deshalb Fehler enthalten. Neu ist der Satz, es sei entscheidend, alle KI-Inhalte vor dem Veröffentlichen von Hand auf Richtigkeit zu prüfen. Das gilt ausdrücklich auch für Seitentitel, Meta-Beschreibungen, strukturierte Daten und Alternativtexte von Bildern.

Was das für Sie heißt: Wer Website-Texte mit ChatGPT oder einem ähnlichen Werkzeug schreibt, sollte jede Angabe vor dem Hochladen selbst prüfen, gerade Öffnungszeiten und Fachbegriffe.

Welche dieser Meldungen Ihren Betrieb in Essen betrifft, hängt von Technik und Branche ab. Auf unserer SEO-Seite steht, was bei uns zur Suchmaschinenoptimierung gehört. Und wenn Sie bei einer Meldung unsicher sind, schreiben Sie uns.

Verschlüsselung erkennen Sie daran, dass die Adresse mit https beginnt und der Browser keinen Hinweis „Nicht sicher“ zeigt. Dafür braucht die Website ein gültiges Zertifikat.

So haben wir gemessen

Grundlage sind alle Betriebe in Essen, die in OpenStreetMap mit einer Website eingetragen sind. Filialketten mit mehr als zwei Standorten haben wir ausgelassen. Von rund 1.300 Adressen waren 1.096 erreichbar. Ein Prüfprogramm hat jede Startseite ohne www einmal mit https und einmal mit http aufgerufen und festgehalten, ob das Zertifikat gültig ist und ob die unverschlüsselte Adresse weiterleitet. Einzelne Betriebe nennen wir nicht.

Die Ergebnisse im Einzelnen

• 961 Websites (87,7 Prozent) sind in Ordnung: Das Zertifikat ist gültig, und wer die Adresse ohne https eintippt, landet trotzdem auf der verschlüsselten Seite.
• 58 Websites (5,3 Prozent) haben ein gültiges Zertifikat, leiten die unverschlüsselte Adresse aber nicht um.
• 36 Websites (3,3 Prozent) haben ein Zertifikat, das nicht als gültig erkannt wird, zum Beispiel weil es abgelaufen ist oder nicht zum Namen der Website passt.
• 41 Websites (3,7 Prozent) bauen unter der Adresse ohne www gar keine verschlüsselte Verbindung auf.

Nach Branchen fallen Einzelhandel und Gastronomie auf. Dort hat jeweils etwa jede siebte Website eine der Lücken (14,7 und 15,4 Prozent), bei Büros, Dienstleistern und im Gesundheitsbereich knapp jede zehnte. In Köln und Düsseldorf, zehn Tage später auf dieselbe Weise geprüft, liegen die Anteile fast gleich hoch, bei 12,7 und 13,8 Prozent.

Warum das gerade jetzt zählt

Chrome kennzeichnet unverschlüsselte Seiten seit 2018 als nicht sicher. Mit Version 154, erschienen am 22. September 2026, geht Google einen Schritt weiter: Der Browser fragt nach, bevor er eine öffentliche Seite ohne HTTPS zum ersten Mal öffnet. Für die 77 Essener Websites heißt das: Wer die Adresse ohne www eintippt, sieht in Chrome zuerst eine Warnung und erst danach den Betrieb. Bei elf von ihnen funktioniert laut unserer Nachprüfung vom 30. September wenigstens die Adresse mit www.

Die 58 Seiten ohne Umleitung trifft es in Chrome weniger, weil der Browser selbst die verschlüsselte Adresse versucht. Alte Links und andere Browser landen aber weiter auf der unverschlüsselten Fassung.

So prüfen Sie Ihre eigene Website

1. Tippen Sie Ihre Adresse ohne https in die Adresszeile, also nur ihr-betrieb.de. Steht danach https vor der Adresse und erscheint keine Warnung, passt es.
2. Klicken Sie auf das Symbol links neben der Adresse. Dort zeigt der Browser, ob die Verbindung sicher ist und bis wann das Zertifikat gilt.
3. Fragen Sie Ihren Hoster, ob das Zertifikat automatisch verlängert wird. Viele Hoster richten kostenlose Zertifikate ein, die sich selbst erneuern.

Was hinter den Warnungen steckt, erklären wir im Ratgeber Was ist SSL und warum zeigt mein Browser eine Warnung? Updates, Sicherheitsscan und die Überwachung der Erreichbarkeit übernehmen wir im Rahmen der Website-Wartung. Ob Ihre eigene Adresse betroffen ist, prüfen wir im kostenlosen Website-Check.

Datenbasis: Betriebe mit Website aus OpenStreetMap, © OpenStreetMap-Mitwirkende, Lizenz ODbL. Messstand Essen 15. September 2026, Köln und Düsseldorf 25. September 2026. Geprüft wurde die Startseite, Unterseiten können abweichen.

Auf vielen Betriebs-Websites gibt es einen Bereich namens Blog oder Aktuelles. Der letzte Eintrag ist Jahre alt und kündigt die Sommerpause an. So ein Blog schadet eher, weil er Besuchern zeigt, dass hier niemand mehr hinschaut. Wir schreiben für unsere eigene Website regelmäßig Ratgeber und sehen dabei ziemlich genau, was ein Blog leisten kann und was nicht.

Was ein Blog tatsächlich leistet

Er beantwortet Fragen, die sonst am Telefon gestellt werden. Wie lange dauert eine Badsanierung? Was muss ich zum ersten Termin mitbringen? Wann ist der richtige Zeitpunkt für einen Heizungstausch? Wer diese Antworten einmal gut aufschreibt, spart sich Wiederholungen und schickt im Gespräch einfach den Link.

Außerdem wird er gefunden, wenn jemand genau so sucht. Menschen tippen ganze Fragen in die Google-Suche, und zunehmend auch in KI-Assistenten. Ein Beitrag, der eine solche Frage gut beantwortet, taucht dort auf, auch bei Suchen, für die Ihre Startseite nie gefunden würde.

Und er zeigt, wie Sie arbeiten. Ein Beitrag über typische Fehler beim Verlegen von Fliesen sagt mehr über Ihre Sorgfalt als jeder Satz über Qualität auf der Startseite.

Was ein Blog nicht leistet

Er bringt keine Kunden über Nacht. Neue Beiträge brauchen Wochen, bis Google sie einordnet, und Monate, bis sie regelmäßig Besucher bringen. Wer im nächsten Monat mehr Aufträge braucht, fährt mit Suchanzeigen oder einem gepflegten Unternehmensprofil besser.

Er ersetzt auch keine gute Leistungsseite. Kommt jemand über einen Beitrag auf Ihre Website und findet dann nicht, was Sie anbieten und wie er Sie erreicht, ist der Besuch verschenkt.

Wie viel Zeit ein Blog kostet

Ein brauchbarer Beitrag braucht Zeit für Thema, Text, Bild und Kontrolle. Da kommen schnell einige Stunden zusammen. Wer das nicht regelmäßig leisten kann, schreibt besser seltener, dafür verlässlich. Ein Beitrag im Monat, der zuverlässig kommt, bringt mehr als zehn im ersten Monat und danach Stille.

Die Themen gehen selten aus, wenn Sie eine Liste führen. Jede Frage, die ein Kunde stellt, ist ein möglicher Beitrag. Schreiben Sie zwei Wochen lang jede Frage auf, und Sie haben Stoff für Monate.

Wer selbst nicht gern schreibt, kann Stichpunkte liefern oder ein Gespräch aufnehmen lassen, aus dem jemand anders den Text macht. Wichtig ist nur, dass Wissen und Beispiele von Ihnen kommen.

So ist ein Beitrag aufgebaut, der gelesen wird

Die Frage steht im Titel, so wie Kunden sie stellen würden. Direkt darunter kommt die Antwort in wenigen Sätzen, danach die Einzelheiten. Wer nur die kurze Antwort sucht, hat sie sofort. Wer mehr wissen will, liest weiter.

Konkrete Beispiele aus Ihrem Alltag machen den Unterschied. Ein Satz wie „in Altbauten in Rüttenscheid finden wir oft noch Leitungen aus den Sechzigern“ klingt nach Ihnen und nach niemandem sonst. Am Ende steht ein klarer nächster Schritt, etwa der Link zur passenden Leistung.

Woran Sie merken, ob er wirkt

In der Google Search Console sehen Sie, bei welchen Suchen Ihre Beiträge angezeigt und angeklickt werden. Die Zahlen steigen langsam, erst die Einblendungen in der Suche, später die Klicks. Das ist normal. Noch aufschlussreicher ist eine Frage im Gespräch mit Neukunden: Wie sind Sie auf uns gekommen? Erwähnen Kunden einen Beitrag, hat er seinen Zweck erfüllt.

Geben Sie einem Beitrag ein halbes Jahr, bevor Sie ihn abschreiben. Manche Themen werden nur zu bestimmten Zeiten gesucht, eine Frage zur Heizung eher im Herbst als im Juli.

Wann Sie es lieber lassen

Wenn niemand die Beiträge schreiben kann oder will, lassen Sie es. Ein verwaister Blog wirkt schlechter als keiner. Auch wenn Ihre Website noch keine klaren Leistungsseiten hat, gehört die Zeit zuerst dorthin. Und wer nur schreibt, weil man das eben so macht, produziert austauschbare Texte, die niemand zu Ende liest.

So fangen Sie an

Legen Sie heute eine Liste an und notieren Sie zwei Wochen lang jede Kundenfrage. Danach wissen Sie, ob genug Stoff da ist und welche Frage zuerst drankommt. Wie wir Beiträge planen, schreiben und messen, beschreiben wir auf der Seite zum Content-Marketing. Ob sich ein Blog für Ihren Betrieb lohnt, klären wir gern im kostenlosen Erstgespräch.

Fragen zum Firmenblog