Die 10 Websites prüfen scheitern am häufigsten, aus 142 echten Audits

Zwischen Mai 4 und July 19, 2026 führten wir jedes abgeschlossene Audit in unseren Produktionsdaten durch eine einfache Frage: welche Prüfungen scheitern Websites am häufigsten? Die Antwort überraschte uns, und wir bauten die Engine. Der erste Platz der Rangliste ist keine Katalogisierung, keine JavaScript Darstellung, kein Core Web Vitals. Es sind HTTP Antwort-Header – einzelne Konfigurationszeilen, die die meisten Plattformen standardmäßig nicht setzen. 5 der 7 am häufigsten fehlgeschlagenen Prüfungen sind Sicherheitsheader, und die am häufigsten fehlgeschlagene Prüfung aller, Permissions-Policy, fehlt bei 82% der geprüften Seiten.

Die Rangliste

Methodik: aktueller abgeschlossener Audit-Snapshot pro Domain, Mai 4 – July 19, 2026, anonymisiert. Die Stichprobe ist selbstgewählt — Eigentümer, die einen Audit durchgeführt haben — und neigt zu kleinen und mittelgroßen Seiten, was die Header-Adoption wahrscheinlich unterschätzt (große Plattformen setzen diese am Rand). Behandle das Ranking als richtungsweisend für den langen Schwanz des Webs.

Warum Header häufiger fehlschlagen als alles andere

Header scheitern im großen Maßstab, weil sie unsichtbar sind. Nichts wird anders gerendert, wenn sie fehlen. Kein CMS warnt dich. Sie sitzen unter der Anwendungsschicht — die meisten Website-Besitzer haben noch nie eine Serverkonfiguration bearbeitet, und die Plattformen, die sie hosten (Shared Hosting, Website-Builder, Managed WordPress) setzen selten Sicherheitsheader in ihrem Namen. Diese Unsichtbarkeit macht sie zum reinsten Maß dafür, ob jemand jemals absichtlich eine Website gehärtet hat. Und es wirkt sich beidseitig aus: weil das Versagen in der Konfiguration und nicht in der Technik liegt, wird die Lösung in Minuten gemessen.

Was die Top 5 tatsächlich tun

Permissions-Policy (82% fehlt) entscheidet, welche Browserfunktionen Ihre Seiten nutzen dürfen — Kamera, Mikrofon, Geolokalisierung, Vollbild und 30+ weitere. Ohne sie ist jede Funktion allen Skripten auf Ihrer Seite zugänglich, einschließlich Drittanbieter-Tags, die Sie nicht geschrieben haben. Eine vernünftige Standardeinstellung verweigert, was Sie nicht nutzen:

Permissions-Policy: camera=(), microphone=(), geolocation=()

Referrer-Policy (70% fehlt) steuert, wie viel Ihrer URL an Dritte weitergegeben wird, wenn Benutzer Links anklicken oder Ressourcen laden. Ihre URLs enthalten Kampagnenparameter, Suchanfragen und manchmal Tokens. Dieser Header entscheidet, wer sie sieht:

Referrer-Policy: strict-origin-when-cross-origin

Content-Security-Policy (70% fehlt) ist der Header mit dem höchsten Aufwand auf der Liste und dem höchsten Wert: er begrenzt, von wo Skripte, Styles und Frames geladen werden dürfen, was ein XSS oder ein kompromittierter Tag-Manager enthält. Beginnen Sie im Bericht-Only-Modus, beobachten Sie, was bricht, dann durchsetzen:

Content-Security-Policy-Report-Only: default-src 'self'

Organization schema (63% fehlt) ist das einzige Nicht-Header-Element in den Top 5 — der JSON-LD-Block, der Suchmaschinen und KI-Systemen sagt, wer Sie als Entität sind: Name, Logo, Profile, Kontaktpunkte. Es ist die Grundlage für die Zulässigkeit von Knowledge Panels und dafür, wie KI-Suche Ihre Marke versteht. Wir haben das breitere Muster in was 285 Audits über strukturierte Daten enthüllten behandelt — Präsenz ist nicht das Problem, Präzision ist. X-Frame-Options (62% fehlt) gibt an, ob Ihre Seiten von anderen Websites eingebettet werden dürfen. Ohne sie kann Ihre Website in die Seite eines Angreifers eingebettet werden — das klassische Clickjacking-Setup, bei dem eine transparente Überlagerung Klicks erfasst, die für Sie bestimmt sind:

X-Frame-Options: DENY

Der SEO-Fall für Sicherheitsheader

Diese sind keine direkten SEO-Ranking-Checks — niemand gewinnt Positionen, indem er einen Header hinzufügt. Sie wirken sich auf die Suchleistung durch Vertrauen und Zulässigkeit aus. Browser zeigen den Sicherheitsstatus Nutzern, Safe-Browsing-Systeme markieren kompromittierte Sites, und eine Site, die clickjacked oder mit einem bösartigen Frame injiziert wird, verliert ihre Suchpräsenz auf die harte Art. Header sind auch Teil davon, wie ein Audit — inklusive unseres — eine gepflegte Site von einer verwaisten unterscheidet. KI-Agenten, die Quellen für Antworten bewerten, wenden dieselbe Unterscheidung an: die Konfigurationsschicht ist das sichtbare Beweisstück für operative Disziplin. Die 1 Inhaltsprüfung in den Top 10 funktioniert auf die gleiche Weise — wir haben wie 76% von llms.txt-Dateien Agenten versagen in einem separaten Bericht aufgeschlüsselt.

Die Reihenfolge der Behebung

Nehmen Sie die Rangliste als Checkliste, von oben nach unten, weil das die Aufwand‑zu‑Auswirkung‑Reihenfolge ist. Permissions-Policy, Referrer-Policy, X-Frame-Options und X-Content-Type-Options sind 4 Zeilen, die Sie heute auf Ihrem Server, CDN, oder am Plattformrand hinzufügen können. CSP verdient einen Nachmittag: zuerst report-only, dann durchsetzen. Organisationsschema ist eine Vorlagenänderung. Jedes Audit, das wir durchführen, prüft all diese Punkte und zeigt die genauen Header, die Ihre Antworten gesendet haben; der kostenlose Bericht listet jeden fehlenden mit der Zeile auf, die ihn behebt. Die tiefere Lektion der Rangliste ist, wo das Risiko tatsächlich ansammelt. Teams planen Sprints für Rendering-Pipelines und Leistungsbudgets, während die am häufigsten fehlerhaften Elemente auf der durchschnittlichen Seite 4 Konfigurationszeilen sind. Die Seiten, die diese Prüfungen bestehen, sind nicht besser finanziert. Sie sind die Seiten, auf denen jemand einmal geschaut hat.