Was macht eine gute Website 2026 aus?

Stand: April 2026

Die meisten Unternehmenswebsites sind veraltet. Nicht ein bisschen, sondern grundlegend. Hier sind die 6 Dinge, die heute zählen — erklärt für Unternehmer, nicht für Entwickler.

01 Geschwindigkeit 02 Handy-Tauglichkeit 03 Auffindbarkeit 04 Datenschutz & Recht 05 Sicherheit 06 Vertrauen

⚡ Lieber direkt zum Punkt?

Die 5 Pflichtaufgaben — Top-Priorität für 2026

  1. DNS & Email-SetupSPF/DKIM/DMARC, IPv6, MX. Ohne läuft nichts.
  2. Security HeadersHSTS, CSP, Permissions-Policy.
  3. Strukturierte DatenJSON-LD Schema für Google & KI.
  4. Core Web VitalsLCP < 2,5 s · INP < 200 ms · CLS < 0,1.
  5. Anti-Spam-FormulareHoneypot + Turnstile statt reCAPTCHA.

Geschwindigkeit — Ihre Besucher warten nicht

53 % verlassen Seiten, die länger als 3 Sekunden laden
(Google/SOASTA)

Bei einer langsamen Website ist also jeder zweite Besucher weg, bevor er Ihr Angebot überhaupt sieht. Und Google misst die Ladezeit als Ranking-Faktor — langsam bedeutet: schlechter gefunden werden UND weniger Anfragen.

So lösen wir das bei Blitzsicht: Unsere Websites laden in unter 2 Sekunden. Optimierte Bilder, schnelles Hosting auf Vercel-CDN, kein unnötiges JavaScript. Google gibt unseren Seiten regelmäßig über 95 von 100 Punkten.
Technische Tiefe 4 Layer · 3 Anti-Patterns
18Perf-BudgetsHTML 30 KB · JS 100 KB initial · total < 500 KB · max 30 Requests · 4 3rd-Party. 19Core Web VitalsLCP < 2,5 s · INP < 200 ms · CLS < 0,1. fetchpriority=high auf LCP-Bild. 20Image & VideoAVIF + picture-Fallback, srcset/sizes, width/height, AV1 + h264. 28OperationsCritical CSS < 14 KB, Resource Hints, ISR, eigene 404/500.
  • Hero-Carousel mit 5 Slides — Slide 2–5 sieht niemand. ~1 % CTR.
  • Background-Image für Hero/LCP — Browser deprioritized → LCP-Penalty.
  • loading="lazy" auf Above-the-Fold — LCP-Killer mit Absicht.
Website-Geschwindigkeit — schnell ladende Website auf dem Laptop

Handy-Tauglichkeit — 60 % Ihrer Besucher kommen übers Handy

60 % aller Website-Besuche finden auf dem Smartphone statt

Ihre Kunden suchen unterwegs nach einem Elektriker, Maler oder Installateur — und erwarten, dass sie sofort anrufen oder ein Formular ausfüllen können. Wenn die Schrift zu klein ist, Buttons sich nicht tippen lassen oder die Seite horizontal scrollt, sind die Besucher weg.

So lösen wir das bei Blitzsicht: Jede Website wird zuerst fürs Handy gebaut, nicht nachträglich angepasst. Große Schaltflächen, lesbare Schrift, Anruf per Fingertipp.
Technische Tiefe 3 Layer · 2 Anti-Patterns
11Mobile-Firstsafe-area-insets, inputmode/autocomplete, tel:/sms:/wa.me, Universal Links. 12A11y & BFSGWCAG 2.2 AA, focus-visible, autocomplete. BFSG-Erklärung Pflicht. 06HTML-Skelettlang="de-DE", viewport-fit=cover, theme-color, color-scheme.
  • tel:0941… ohne Ländervorwahl — bei Roaming bricht der Anruf.
  • Accessibility-Overlay-Tools (UserWay, AccessiBe) — verschlechtern oft mehr als sie helfen.
Mobile Website — professionelle Handwerker-Website auf dem Smartphone
Unsicher ob Ihre Website mobil funktioniert? Kostenloser Website-Audit →

Auffindbarkeit — Google, ChatGPT und Co.

Wenn Google Ihre Seite nicht versteht, findet Sie niemand. Und seit 2024 suchen Menschen auch über ChatGPT, Perplexity und andere KI-Systeme. Wenn Ihre Inhalte nur in Bildern stecken oder hinter JavaScript versteckt sind, existieren Sie für diese Systeme nicht.

Suchmaschinenoptimierung (SEO) klingt technisch, bedeutet aber einfach: Ihre Website so aufbauen, dass Suchmaschinen verstehen, was Sie anbieten, wo Sie sind und warum man Sie beauftragen sollte.

So lösen wir das bei Blitzsicht: Saubere Seitenstruktur, echte Texte statt Bilder, strukturierte Daten für Google und KI-Systeme. Ihre Leistungen, Ihr Standort und Ihre Kontaktdaten sind maschinenlesbar — und damit auffindbar.
Technische Tiefe 7 Layer · 3 Anti-Patterns
01DNS & EmailA/AAAA, MX, SPF/DKIM/DMARC, CAA, DNSSEC. IPv6 Pflicht 2026. 04URL-Managementlowercase, Bindestriche, max 4 Segmente. Redirect-Map versioniert. 13JSON-LD Schema@graph mit @id-Refs, sameAs zu Wikidata, Article+Person für E-E-A-T. 14AI-Searchllms.txt, robots bot-differenziert, Wikidata-Eintrag, OAI-SearchBot Allow. 15AEO ContentAnswer-First (80–120 Wörter), Listen, Definitionen, FAQ am Ende. 16OG-Image-AutoVercel/Satori, Build-time vs Edge, AI-Hero-Generation. 17International SEOSubdirectory > Subdomain > ccTLD. hreflang-Reciprocity, x-default.
  • Yoast + RankMath + AIO-SEO parallel — doppelte JSON-LD, Conflicts.
  • Trailing Slash mischen — /about ≠ /about/. PageRank halbiert.
  • Auto-Redirect basierend auf IP — Googlebot landet immer falsch.
Auffindbarkeit — Website in Suchmaschinen und KI-Systemen sichtbar

Datenschutz & Recht — Abmahnungen vermeiden

Google Fonts von externen Servern laden ist abmahnfähig — das hat das Landgericht München I bereits 2022 entschieden. Ein falscher Cookie-Banner kann Bußgelder bis zu 300.000 Euro nach sich ziehen (§ 25 TDDDG). Und das Verwaltungsgericht Hannover hat 2025 bestätigt: Google Tag Manager braucht eine Einwilligung.

Die meisten KMU-Websites haben mindestens 2–3 rechtliche Probleme. Impressum, Datenschutzerklärung, externe Dienste — überall lauern Fallstricke.

So lösen wir das bei Blitzsicht: Kein Cookie-Banner nötig. Wir verwenden Plausible Analytics (EU-gehostet, cookie-frei), laden keine externen Schriften und verzichten auf Google-Dienste. Ihre Website ist ab Tag 1 DSGVO-konform — ohne dass Ihre Besucher erst einen Cookie-Banner wegklicken müssen.
Technische Tiefe 3 Layer · 5 Anti-Patterns
02DACH ComplianceImpressum DDG §5, DSGVO/TDDDG-Consent, AVV mit jedem Verarbeiter. 30Analytics DSGVOPlausible/Matomo > GA4 ohne Consent. Buttons gleich groß. Granular pro Zweck. 33Email-DeliverabilitySubdomain-Trennung, Warmup, Postmaster Tools, Gmail/Yahoo Bulk-Rules.
  • Google Fonts hotlinken — LG München 2022: 100 € Schadenersatz pro Aufruf.
  • Google reCAPTCHA — DSGVO-Risiko, Tracking-Skript bei jedem Pageload.
  • "Akzeptieren"-Button visuell betonen — Dark Pattern, abmahnfähig.
  • SPF mit zwei Records — beide werden ignoriert, alles im Spam.
  • p=reject ohne Monitoring-Phase — du killst legitime Sender.
DSGVO-konforme Website — Datenschutz ohne Cookie-Banner
Ist Ihre Website DSGVO-konform? Kostenloser Website-Audit →

Sicherheit — Mehr als nur HTTPS

HTTPS (das Schloss-Symbol im Browser) ist seit Jahren Pflicht. Aber das allein reicht nicht. Moderne Websites brauchen zusätzliche Schutzmaßnahmen: HSTS verhindert, dass Angreifer die Verschlüsselung umgehen. CSP-Header blockieren eingeschleuste Skripte. Und korrekte Berechtigungen verhindern, dass Ihre Website Kamera oder Mikrofon des Besuchers missbrauchen kann.

So lösen wir das bei Blitzsicht: Jede Website bekommt von Anfang an den vollen Satz an Sicherheitsmaßnahmen: HTTPS, HSTS mit Preload, Content Security Policy, X-Content-Type-Options, Referrer-Policy und Permissions-Policy. Automatisch, ohne Aufpreis.
Technische Tiefe 4 Layer · 4 Anti-Patterns
05Security HeadersHSTS preload, CSP mit nonce, Permissions-Policy, COOP/CORP, Brotli + HTTP/3. 21Security+SRI für CDN, security.txt RFC 9116, Renovate, Cloudflare WAF + Bot-Fight. 24Auth 2026Passkeys (WebAuthn) + Magic Links, OAuth+PKCE, httpOnly-Cookie-Sessions. 27Webhooks & JobsQueue (BullMQ/Trigger.dev), Idempotenz, HMAC-Verify, Retry, DLQ.
  • localStorage für Auth-Tokens — XSS klaut alles. httpOnly-Cookie nutzen.
  • JWT als Session ohne Server-Invalidate — gesperrter User läuft bis Expiry.
  • Webhook ohne Signaturverifikation — jeder fakt Events.
  • Webhook ohne Idempotenz — Stripe retry'd, doppelte Mails.
Website-Sicherheit — HTTPS, HSTS und Security-Header

Vertrauen — Echte Menschen statt Stock-Fotos

Stock-Fotos sind ein Trust-Killer. Wenn ein Besucher das gleiche lächelnde Gesicht schon auf drei anderen Handwerker-Websites gesehen hat, glaubt er Ihnen nichts mehr. Echte Fotos von Ihrem Team, Ihrer Werkstatt und Ihren Projekten überzeugen mehr als jeder Werbetext.

Das gleiche gilt für Bewertungen: Google-Sterne, die direkt auf der Website angezeigt werden — ohne Third-Party-Tracking, ohne Cookies, serverseitig gerendert.

So lösen wir das bei Blitzsicht: Wir helfen Ihnen, echte Fotos und Bewertungen professionell einzubinden. Google-Bewertungen werden datenschutzkonform direkt auf Ihrer Website angezeigt — ohne externe Dienste, ohne Cookies. Siegel nur mit echtem Verifikationslink, keine Bild-Fakes.
Technische Tiefe 2 Layer · 1 Anti-Pattern
22Forms & Anti-SpamHoneypot + Cloudflare Turnstile, autocomplete, server-validate. Kein reCAPTCHA. 23Trust SignalsReviews + Schema, Logo-Wall, tel:/wa.me, Cal.com nach Consent.
  • AI-Bilder mit 6 Fingern auf Kunden-Site — Trust-Killer.
Echte Menschen — Handwerker statt Stock-Fotos

Bedienbar für KI-Agenten — Agentic Browsing

Die nächste Stufe nach der KI-Suche: KI-Agenten, die Websites nicht nur lesen, sondern bedienen — Termin anfragen, Öffnungszeiten prüfen, Formulare ausfüllen. Google misst das seit 2026 mit einer eigenen (noch experimentellen) Lighthouse-Kategorie „Agentic Browsing": Gibt es eine maschinenlesbare Zusammenfassung (llms.txt)? Sind Buttons und Formulare sauber beschriftet? Bleibt das Layout stabil, während ein Agent klickt?

Das Gute daran: Wer technisch sauber baut, erfüllt diese Kriterien fast automatisch. Barrierefreiheit für Menschen ist Barrierefreiheit für Agenten — derselbe Accessibility-Tree, dieselben Labels.

So lösen wir das bei Blitzsicht: Unsere Websites erfüllen drei der vier Agentic-Prüfsäulen heute schon messbar — llms.txt wird bei jedem Build automatisch erzeugt und täglich überwacht, Layout-Stabilität (CLS) und Barrierefreiheit messen wir jeden Tag mit Google PageSpeed. Die vierte Säule (WebMCP, noch in der Testphase) ist vorbereitet: Das Kontaktformular meldet sich als Werkzeug für KI-Assistenten an — ausfüllen darf der Assistent, abschicken bleibt beim Menschen.
Technische Tiefe 1 Layer · 2 Anti-Patterns
14AI-Search & Agenticllms.txt (llmstxt.org), bot-differenzierte robots.txt, A11y-Tree als Agent-Datenmodell, CLS-Stabilität.
  • llms.txt einmalig von Hand pflegen — veraltet nach dem ersten Relaunch; gehört in den Build.
  • Agentic-Score als fertigen Standard verkaufen — die Kategorie ist experimentell (Origin Trial); ehrlich bleiben.
Abstrakter KI-Agent bedient eine Website mit grünen Prüf-Häkchen — Agentic Browsing

Bonus · 12 Layer

Was außerdem zählt — Operations & Tooling

Themen, die nicht in eine der 6 Hauptkategorien fallen, aber zu jeder ernsthaften Website 2026 dazugehören. Vom CMS-Stack über Logging bis Sustainability.

03CMS-ArchitekturHeadless · Monolith · Git-based · Visual-Builder. Falsche Wahl = Lock-in. 07Semantic HTMLEine H1, header/main/nav/article, time mit datetime ISO, skip-link. 08Meta-Pflichtsettitle 50–60, desc 150–160, robots max-snippet:-1, canonical, hreflang. 09Open Graphog:type/title/desc/url/image (1200×630), twitter:card. Text-Overlay für AI. 10Icons & PWAfavicon-Set, maskable Icon, manifest mit start_url + UTM. 25Platform FeaturesView Transitions, :has(), Container Queries, Popover API, Cascade Layers. 26Platform SnippetsAstro · Next.js · WordPress — Templates für alle Layer. 29GSC & KeywordsGSC + Bing + BigQuery Bulk Export. Brand vs Non-Brand. AI-Search-Tracking. 31Marketing AutoUTM-Naming, A/B ohne CLS (Edge), Server-Side Tracking (Meta CAPI). 32Loggingpino structured JSON, Sentry, OpenTelemetry, PII-Scrubbing, 30 Tage Retention. 34SustainabilityHetzner + Cloudflare grün, websitecarbon.com A+, Green Web Foundation. 35Doku-SitesAstro Starlight / Mintlify, llms-full.txt, Pagefind/Algolia, Versioning.

✅ Launch-Checklist · vor Go-Live abhaken

→ Volle 35-Layer-Doku im Handbuch
  • Impressum + Datenschutz + Barrierefreiheit live, Footer-Link
  • SSL aktiv, HSTS preload-Header gesetzt
  • SPF + DKIM + DMARC für alle Sender-Domains
  • DNSSEC aktiviert, CAA-Records gesetzt
  • Sitemap.xml + robots.txt + llms.txt live
  • Search Console + Bing Webmaster verifiziert
  • JSON-LD Organization + WebSite + Person-Schema
  • og:image (1200×630) gesetzt, Text-Overlay drauf
  • Lighthouse Performance > 90 mobile
  • Cookie-Consent (Reject genauso einfach wie Accept)
  • Kontaktformular mit Server-Side-Validierung + Anti-Spam
  • 404-Seite custom mit Suche + Hauptlinks
  • 500-Seite custom (kein Stacktrace)
  • Backup-Strategie 3-2-1, einmal Restore getestet
  • Uptime-Monitoring aktiv
  • Error-Tracking (Sentry/PostHog) eingerichtet
  • Wikidata-Eintrag + sameAs zu Profilen
  • Analytics-Tool nach Consent feuernd

Bereit für Ihre neue Website?

Kostenloses Erstgespräch – 30 Minuten, unverbindlich, kein Verkaufsdruck.

Beratung anfragen