Methodik: wie WebMeter den Score und die Note A–F berechnet

Was wir messen und woher die Daten stammen

WebMeter bewertet eine Website in 15 Bereichen. Alle außer zweien haben eine eigene Punktzahl von 0 bis 100: Cyberhygiene (NIS2) und Drittanbieter sind Übersichten ohne Punktzahl. Welche Frage jeder Bereich beantwortet, steht auf der Seite Was wir prüfen. Den Ablauf einer Prüfung in drei Schritten beschreibt die Seite So funktioniert es.

Die Messung nutzt ausschließlich öffentlich zugängliche Informationen:

• Die Website selbst. Die Datei robots.txt, die Startseite und ihre HTTP-Header, höchstens 30 weitere öffentliche Seiten aus dem Menü und der Sitemap, höchstens 8 JavaScript-Dateien, die die Startseite lädt, sowie Dateien wie sitemap.xml oder security.txt. Dazu eine TLS-Verbindung, um das Zertifikat und die unterstützten TLS-Versionen zu lesen.
• Ein Browser. Chromium rendert die Startseite einmal, auf einem Server in der EU mit tschechischen Einstellungen (Sprache cs-CZ, Zeitzone Europe/Prague). Auf das Cookie-Banner klickt er nie. In der gerenderten Seite läuft der Barrierefreiheitstest axe-core nach WCAG 2.2, Stufen A und AA.
• DNS. Die öffentlichen Einträge der Domain: SPF, DMARC, übliche DKIM-Selektoren, MX, MTA-STS, DANE, BIMI, CAA, DNSSEC, Nameserver und IPv6. Die Abfragen laufen über DNS over HTTPS von Google, ein fehlerhaftes DNSSEC bestätigt ein zweiter Resolver von Cloudflare. Per DNS-Abfrage werden auch ähnlich klingende Domains geprüft.
• Google PageSpeed Insights. Die Geschwindigkeit auf dem Smartphone aus drei Laborläufen von Lighthouse. Die Website lädt dabei Google aus der eigenen Infrastruktur.
• Öffentliche Register und Dienste. RDAP der Domain-Registry (Ablauf der Registrierung), die öffentlichen Zertifikatslogs crt.sh und ersatzweise Cert Spotter (Subdomains), RIPEstat (RPKI), ARES, das tschechische Unternehmensregister (zur Prüfung einer tschechischen Firmennummer IČO auf der Website), die HSTS-Preload-Liste sowie der Sperrstatus des Zertifikats beim Aussteller.
• In der Anwendung gespeicherte Tabellen. Supportende von Software, der Status von WordPress-Versionen und der CISA-KEV-Katalog ausgenutzter Schwachstellen. Es sind Momentaufnahmen, sie werden während der Messung nicht heruntergeladen.

WebMeter meldet sich nicht an, probiert keine Passwörter oder Schwachstellen aus und füllt keine Formulare aus. Wie er sich auf Ihrer Website verhält, beschreibt die Seite Der Crawler WebMeterBot.

Der Bericht nennt auch Richtwerte für Noten nach den öffentlichen Methodiken von SSL Labs und Mozilla HTTP Observatory. Das sind keine offiziellen Ergebnisse dieser Dienste, und sie fließen nicht in die Punktzahl ein.

Wie die Punktzahl eines Bereichs entsteht

Jeder Bereich beginnt bei 100 Punkten. Für jeden Befund werden Punkte je nach Schweregrad abgezogen:

Ab dem vierten Befund desselben Schweregrads in einem Bereich wird nur noch die Hälfte abgezogen. Viele Kleinigkeiten drücken einen Bereich so nicht auf null. Die Punktzahl eines Bereichs fällt nie unter 0. Das Modell beruht auf der Methodik von Mozilla HTTP Observatory.

Beispiel: Zwei mittlere und ein niedriger Befund ergeben 100 − 8 − 8 − 3 = 81 Punkte. Fünf mittlere Befunde ergeben 100 − 3 × 8 − 2 × 4 = 68 Punkte.

SEO: Summe aus sechs Säulen

Der Bereich SEO wird anders berechnet. Die Punktzahl ist die Summe aus sechs Säulen: Indexierung 25 Punkte, Titel und Beschreibungen 25, Inhalt und Struktur 15, strukturierte Daten 15, Teilen 10 und Technik 10. Die Punkte richten sich nach dem Anteil der bewerteten Inhaltsseiten. SEO-Befunde erklären, was fehlt, ziehen aber keine Punkte ab. Einzelheiten stehen im Leitfaden SEO-Check.

Geschwindigkeit: nur Labordaten

Die Punktzahl für Geschwindigkeit beruht auf dem Median aus drei Laborläufen von Lighthouse auf dem Smartphone. Bewertet werden unter anderem LCP, TBT (der Laborersatz für INP), CLS und die Serverantwort. Daten echter Besucher (CrUX) zeigt der Bericht getrennt, sie fließen nicht in die Punktzahl ein. So werden auch Websites gleich gemessen, für die Google solche Daten nicht hat.

Gesamtpunktzahl und Note A–F

Die Gesamtpunktzahl ist der gewichtete Durchschnitt der Bereichspunktzahlen. Die Gewichte ergeben zusammen 100:

Die informativen Bereiche bewertet der Bericht und zeigt ihre Punktzahl. In die Gesamtpunktzahl fließen sie nicht ein.

Rechenbeispiel (vereinfacht, fiktive Website)

Der Beitrag eines Bereichs ist Punktzahl × Gewicht / 100. Liefe das Zertifikat der Website ab (kritischer Befund, −40 Punkte bei HTTPS und Zertifikat), sänke der gewichtete Durchschnitt auf 75,74. Die Obergrenze für einen kritischen Befund senkt ihn dann auf 74, also Note C.

Aus der Punktzahl ergeben sich Note und Farbe:

Die Note E wird nicht verwendet. Die Punktzahl erscheint als ganze Zahl, abgerundet, damit sie immer zur Note passt: 89,6 Punkte werden als 89 mit Note B angezeigt.

Wie Punktzahl, Note und Obergrenzen in einem fertigen Bericht aussehen, zeigt der Beispielbericht.

Obergrenzen: wann eine Punktzahl nicht hoch sein kann

Manche Befunde sind so schwerwiegend, dass ein Durchschnitt sie verdecken würde. Deshalb gelten Obergrenzen. Eine Obergrenze senkt die Punktzahl nur, sie hebt sie nie an. Gelten mehrere Obergrenzen gleichzeitig, zählt die niedrigste. Der Bericht nennt bei einem begrenzten Bereich den Grund.

• Ein kritischer Befund in einem beliebigen Bereich: Die Gesamtpunktzahl beträgt höchstens 74, also höchstens Note C und Gelb. Kritisch sind zum Beispiel eine Website außerhalb des Suchmaschinenindex, ein abgelaufenes, nicht vertrauenswürdiges oder gesperrtes Zertifikat, ein Server nur mit dem veralteten TLS 1.0 oder 1.1, eine Domain nach Ablauf der Registrierung, eine Domain ohne SPF und ohne DMARC oder ein gültiger geheimer Schlüssel eines Zahlungs- oder Cloud-Dienstes im Code der Website.
• CMS und Technologie: Software, die wahrscheinlich keine Sicherheitsupdates mehr erhält, begrenzt den Bereich bei hohem oder kritischem Schweregrad auf 59 Punkte und bei mittlerem auf 74 Punkte.
• SPF, DKIM, DMARC: Fehlt DMARC, ist es doppelt eingetragen oder wird es nicht angewendet, hat der Bereich höchstens 74 Punkte.
• Sicherheitsheader: Fehlen HSTS, eine wirksame CSP und der Schutz vor dem Einbetten in einen Frame gleichzeitig, hat der Bereich höchstens 39 Punkte.
• SEO: Eine Startseite außerhalb des Index (noindex, Sperre für Googlebot oder SeznamBot in robots.txt, Canonical auf eine fremde Domain) bedeutet höchstens 20 Punkte. Fehlen Titel und Beschreibungen auf der Hälfte oder mehr der Inhaltsseiten oder wiederholen sie sich, liegt die Grenze bei 59 Punkten, betrifft es nur Titel oder nur Beschreibungen, bei 74 Punkten. Diese beiden Grenzen gelten erst ab drei bewerteten Inhaltsseiten.
• KI-Suche und Suchmaschinen außer Google: Ein Befund mit hohem oder kritischem Schweregrad begrenzt den Bereich auf 74 Punkte. Die Gesamtpunktzahl ändert das nicht, weil diese Bereiche informativ sind.

Wenn sich etwas nicht messen lässt

Gelegentlich läuft ein Bereich nicht, etwa wenn PageSpeed Insights nicht antwortet. Ein fehlender Bereich wird nicht aus dem Durchschnitt gestrichen, denn das könnte die Punktzahl künstlich erhöhen. Er zählt mit 50 Punkten oder mit dem Durchschnitt der gemessenen Bereiche, wenn dieser niedriger ist.

Ein nur teilweise gemessener Bereich, etwa die Geschwindigkeit aus nur einem Lauf, zählt mit halbem Gewicht. Der Rest seines Gewichts gilt als nicht gemessen. Eine Ausnahme ist der Ausfall eines optionalen fremden Dienstes, zum Beispiel der Zertifikatslogs. Daten der Website fehlen dabei nicht, deshalb verschiebt der Ausfall die Punktzahl nicht, und der Bericht erwähnt ihn nur.

Wurde nicht alles gemessen, ist die Note vorläufig. Der Bericht nennt dann die Spanne der Noten, in die die Punktzahl fallen würde, wenn der nicht gemessene Teil 0 oder 100 Punkte ergäbe. Er zeigt auch die Abdeckung, also den Anteil des gemessenen Gewichts. Ab 90 % ist das Vertrauen in das Ergebnis voll, ab 70 % eingeschränkt, darunter gering.

Was der Schweregrad eines Befunds bedeutet

Den Schweregrad legen feste Regeln für jede Art von Befund fest. Derselbe Zustand einer Website ergibt immer denselben Schweregrad. Der Bericht ordnet die Befunde vom schwerwiegendsten an.

• Kritisch: ein schwerer Mangel, der die ganze Website, die Domain oder die E-Mail betrifft. Zum Beispiel eine Website, die Suchmaschinen nicht anzeigen dürfen, oder ein Zertifikat, dem Browser nicht vertrauen. Zieht 40 Punkte ab, zusätzlich gilt die Obergrenze 74 für die Gesamtpunktzahl.
• Hoch: ein Mangel, der den Missbrauch der Website oder der E-Mail ermöglichen kann oder Besuchern oder der Sichtbarkeit in der Suche deutlich schadet. Zieht 20 Punkte ab.
• Mittel: ein Mangel, den Sie in absehbarer Zeit beheben sollten. Zieht 8 Punkte ab.
• Niedrig: eine Kleinigkeit oder eine Abweichung von empfohlener Praxis. Zieht 3 Punkte ab.
• Info: eine Information ohne Einfluss auf die Punktzahl. Kontext, ein von außen nicht überprüfbarer Zustand oder ein freiwilliger Standard.

Beruht ein Befund nur auf einem indirekten Hinweis, etwa auf einer geschätzten Softwareversion, ist sein Schweregrad bewusst niedriger. Risiken im Bericht sind mögliche Folgen des festgestellten Zustands, kein bestätigter Vorfall.

Was die Messung nicht kann

• Sie ist kein Penetrationstest. Eine Prüfung von außen deckt keine Fehler in der Anwendung, keine schwachen Passwörter und nicht den Zustand des Servers auf. Eine gute Punktzahl belegt daher weder die Sicherheit der Website noch die Einhaltung von Vorschriften.
• Sie misst keine Suchpositionen und keinen PageRank. Auch Backlinks und Besucherzahlen sieht sie nicht. Ihre tatsächlichen Positionen zeigen die Google Search Console oder Seznam Webmaster.
• Sie sieht keine Inhalte hinter einem Login. Auch keine Verwaltung, keinen Kundenbereich und keine Pfade, die robots.txt sperrt.
• Sie sieht nicht, was die Website nach der Cookie-Einwilligung lädt. Der Browser klickt nie auf das Banner. Bewertet wird, was ein Besucher sieht, bevor er etwas auswählt.
• Die Geschwindigkeit stammt aus dem Labor. Lighthouse simuliert ein Smartphone mit gedrosselter Verbindung. Echte Besucher können bessere oder schlechtere Erfahrungen machen. CrUX-Daten hat Google nur für Websites mit ausreichend Besuchern.
• Sie durchsucht nicht die ganze Website. Sie misst die Startseite und eine Auswahl weiterer öffentlicher Seiten.
• Manche Angaben sind Schätzungen. Die Softwareversion wird aus öffentlichen Spuren geschätzt. DKIM mit einem ungewöhnlichen Selektor findet WebMeter möglicherweise nicht und kennzeichnet es deshalb als nicht überprüft, nicht als fehlend.
• Ein automatischer Barrierefreiheitstest deckt nur einen Teil der WCAG ab. Er belegt nicht, dass eine Website barrierefrei ist.
• Sie ist kein Rechtsgutachten. Bei Cookies und Firmenangaben zeigt sie, was von außen sichtbar ist. Die Rechtskonformität bewertet sie nicht.
• Sie ist eine Momentaufnahme. Das Ergebnis gilt für den Zeitpunkt der Messung.

Unabhängigkeit und Version der Methodik

• WebMeter ist kostenlos, ohne Registrierung und ohne Werbung.
• Die Punktzahl berechnet ein Programm nach den Regeln auf dieser Seite, für alle Websites gleich. Dieselben Daten ergeben dieselbe Punktzahl. Eine manuelle Bewertung fließt nicht in die Berechnung ein.
• Der Bericht enthält keine Werbung und kein Angebot von Dienstleistungen. Unter dem Ergebnis auf der Website kann je nach Ergebnis ein Hinweis auf Leistungen des Betreibers erscheinen. Auf die Punktzahl hat das keinen Einfluss.
• Der Bericht bewertet. Zu jedem Befund nennt er kurz, worum es geht und wer ihn üblicherweise behebt. Fertigen Code, Konfigurationen oder Schritt-für-Schritt-Anleitungen enthält er nicht.
• Beim Vergleich mit der Konkurrenz werden alle Websites mit derselben Methodik gemessen, und verglichen werden nur Punktzahlen derselben Hauptversion.

Version der Methodik

Die aktuelle Version ist 3.0.0 (Messung 3.0, Oktober 2026). Jeder Bericht nennt die Version, nach der er entstanden ist. Eine Änderung der Berechnung erhält eine neue Versionsnummer, und wir beschreiben sie auf dieser Seite. Punktzahlen der Versionen 2.x und 3.x vergleichen wir nicht direkt.

• 3.0.0 (Oktober 2026): SEO wird aus sechs Säulen berechnet, Obergrenzen für Bereiche kamen hinzu, und bei einer Reihe von Befunden wurde der Schweregrad präzisiert. Gewichte der Bereiche, Punkte je Schweregrad und Notengrenzen sind unverändert.

Häufige Fragen zur Berechnung der Punktzahl

Wer hinter WebMeter steht

WebMeter ist ein Dienst von ON Consulting & Advisory. Die Methodik entwickelt und pflegt der Betreiber. Sie stützt sich auf öffentliche Standards und Dokumentation, zum Beispiel RFC 9309 für robots.txt, RFC 7208 für SPF, WCAG 2.2, die Core-Web-Vitals-Schwellenwerte von Google und die Dokumentation der Suchmaschinen. Das Abzugsmodell folgt dem Bewertungsschema von Mozilla HTTP Observatory, die Richtnote nach SSL Labs deren SSL Server Rating Guide, und die Tabelle ausgenutzter Schwachstellen stammt aus dem CISA-KEV-Katalog.

Angaben zum Betreiber finden Sie in der Datenschutzerklärung. Fragen zur Methodik oder Hinweise auf einen Messfehler senden Sie bitte an kontakt@webmeter.eu.