70.139 Firmenwebsites in Deutschland 2026

70.139 Firmenwebsites aus zwölf Branchen, vollständig gemessen. Gegen diese Zahl rechnet jede Prozentangabe dieser Seite, wo nicht ausdrücklich eine andere Basis danebensteht.

Angefasst wurden 81.811 eindeutige Domains. 6.136 waren tot, 5.458 nicht erreichbar. Keine von beiden wurde in die Auswertung einbezogen: sie kommen in keiner Zahl dieser Seite vor.

Acht Punkte zeigen, ob eine Website Aufmerksamkeit braucht: Kontakt zu Analyse- oder Werbediensten vor dem ersten Klick, Schriften direkt von Google, kein Link zur Datenschutzerklärung, kein auffindbares Impressum, keine gültige HTTPS-Verbindung, eine WordPress-Version, die WordPress.org als unsicher führt, eine PHP-Version ohne Sicherheitsupdates und ein Copyright-Jahr 2023 oder früher.

Mehr als die Hälfte der Firmenwebsites zeigt mindestens einen davon: 36.668 von 70.139 (52,3 %). Tatsächlich sind es eher mehr: was sich auf einer Seite nicht prüfen liess, gilt dort als unauffällig.

Zwei Arten, es falsch zu machen

Seiten mit Cookie-Banner nehmen doppelt so oft vorab Kontakt auf wie Seiten ohne: 20,1 % gegen 9,7 %. Ein Banner zeigt an, dass Dienste eingebunden sind. Ob sie vor der Einwilligung laden, hängt davon ab, wie der Banner eingerichtet ist.

Seiten, die nur über http erreichbar sind, nehmen dagegen selten Kontakt auf, nämlich 5,2 %. Bei ihnen hakt es nicht am Datenschutz, sondern an Verschlüsselung und Pflege. Es sind zwei verschiedene Probleme, und sie treffen zwei verschiedene Gruppen.

Gemessen wurde der Zustand, bevor ein Besucher irgendetwas anklickt. Je enger man zählt, desto kleiner die Zahl. Deshalb steht hier jede Abgrenzung, von weit bis eng, und nicht nur die auffälligste.

Diese Cookies bleiben lange. Die Hälfte hält mindestens 393 Tage, viele genau 400 - länger lässt der Browser ein Cookie gar nicht zu.

Auf 27.199 von 70.139 (38,8 %) Websites wurde ein Cookie-Banner erkannt, davon 15.595 über eine bekannte Consent-Lösung und 11.604 nur über Merkmale im Seitenquelltext. Nicht jeder Banner gibt sich zu erkennen, tatsächlich sind es also mehr. Wie viele Seiten gar keinen haben, lässt sich daraus nicht ablesen.

Entscheidend ist, was dahinter passiert. Bei 5.465 von 27.199 (20,1 %) Seiten mit Banner lief der Kontakt zu einem Analyse- oder Werbedienst schon, bevor der Banner überhaupt beantwortet war.

42.231 von 70.139 (60,2 %) Websites senden keinen einzigen der sechs üblichen Security-Header. Alle sechs zusammen schaffen 1.646. 7.330 von 70.139 (10,4 %) sind nur unverschlüsselt erreichbar.

Ein Zeichen für Pflege steht ganz unten auf der Seite: das Jahr in der Copyright-Zeile. 26.741 von 70.139 (38,1 %) Startseiten nennen eines. Bei 6.064 von 26.741 (22,7 %) davon ist es 2023 oder älter, das älteste gefundene ist 1981.

Was unter der Haube steckt, steht bei vielen Seiten offen im Quelltext. 18.515 von 26.601 (69,6 %) WordPress-Seiten nennen dort ihre Versionsnummer. Das ist praktisch für diese Erhebung und unpraktisch für die Betreiber: wer eine bekannte Lücke ausnutzen will, muss nicht raten, sondern kann gezielt nach der passenden Version suchen.

Bei denen, die ihre Version zeigen, läuft gut die Hälfte nicht auf der aktuellen Fassung (9.322 von 18.515 (50,3 %)), und 3.887 von 18.515 (21,0 %) auf einer Version, die WordPress.org ausdrücklich als unsicher führt.

Dasselbe Bild bei PHP. 12.205 von 70.139 (17,4 %) Server nennen ihre PHP-Version im HTTP-Header, und davon nutzen 4.483 von 12.205 (36,7 %) eine Version, die laut php.net keine Sicherheitsupdates mehr bekommt. Darunter sind 627 Server auf PHP 4 oder PHP 5: die jüngste davon, PHP 5.6, ist seit Ende 2018 ohne Support.

Beide Anteile gelten nur für die Seiten, die ihre Version überhaupt zeigen. Über alle Seiten gesehen sind es Untergrenzen: wer seine Version verbirgt, kann jede Fassung einsetzen, auch eine alte. Eine sichtbare Version ist ausserdem kein Beleg für eine Lücke, sondern der Anlass, genauer hinzusehen.

29.821 von 70.139 (42,5 %) Websites liefern strukturierte Daten als JSON-LD, 48,5 % irgendeine Form davon. Das ist die Auszeichnung, aus der Suchmaschinen und KI-Systeme Firmenname, Adresse und Leistungen sicher ablesen.

Eine llms.txt haben 7.738 von 69.568 Seiten. Entscheidend ist aber, was drinsteht: nur 1.176 von 69.568 (1,7 %) haben eine Datei, in der wirklich etwas über den Betrieb steht. Der grosse Rest ist vom Baukasten oder einem SEO-Plugin erzeugt und enthält im Kern eine Linkliste.

Woher die Dateien mit Inhalt kommen: am ehesten von Baukästen, 844 von 1.260. Von den 2.074 Dateien, die ein SEO-Plugin erzeugt hat, sind es 3.

Gesperrt wird kaum jemand: 1.974 von 70.139 (2,8 %) Websites sperren mindestens einen KI-Crawler aus. Die weit überwiegende Mehrheit erwähnt sie in ihrer robots.txt gar nicht.

Die Spanne ist erheblich: 21,6 % in der Branche Webdesign gegen 8,4 % bei Elektroinstallation. Das sind 13,2 Prozentpunkte zwischen zwei Gruppen, die beide ganz normale Firmenwebsites betreiben.

Bemerkenswert ist, wer oben steht. Die beiden Branchen mit dem höchsten Anteil sind die, die Websites beruflich bauen: Webdesign mit 21,6 % und Agenturen mit 19,1 %. Die Handwerksbranchen liegen durchweg darunter. Das ist keine Nachlässigkeit, sondern eine Folge davon, was eingebunden wird: wer Analyse, Anzeigen und eingebettete Inhalte beruflich nutzt, hat mehr Dienste auf der Seite, die vor dem ersten Klick starten können.

26.143 der gemessenen Seiten laufen auf WordPress. Das System entscheidet sichtbar mit, was vor dem ersten Klick passiert: fertige Baukästen liefern Analyse und Schriften oft mit, ohne dass der Betreiber etwas dafür tun muss.

Nur Systeme ab 250 gemessenen Websites. „unbekannt/eigen" sammelt alles, was sich nicht sicher zuordnen liess, von der Eigenentwicklung bis zum Baukasten ohne Kennung.

Über die gesamte Laufzeit schwankte dieser Anteil nur zwischen 13,1 % und 14,1 %. Die Messung driftet also nicht, und das Ergebnis hängt nicht daran, wann eine Seite an die Reihe kam.

Gemessen wurde jede einzelne Domain, keine Auswahl daraus. Die Zahlen sind gezählt, nicht hochgerechnet.

• Die Zahl ist eine Untergrenze. Dienste, die sich nicht sicher zuordnen liessen, sind nicht mitgezählt - tatsächlich sind es also mehr.
• Einen Cookie-Banner erkennt die Messung nur, wenn er sich zu erkennen gibt. Wie viele Seiten gar keinen haben, lässt sich daraus nicht sagen.
• Gemessen wurden nur die Startseite und das Impressum, keine weiteren Unterseiten.
• Welche WordPress- und PHP-Version läuft, weiss die Messung nur da, wo die Seite es selbst zeigt. Wer seine Version verbirgt, kann jede einsetzen, auch eine alte.
• Ein altes Copyright-Jahr heisst nicht, dass die Inhalte veraltet sind. Es heisst, dass diese eine Zeile nicht gepflegt wird.
• Die Erhebung ist eine Messung über 70.139 Domains, nicht über alle Betriebe in Deutschland.
• Die gemessenen Rechtsanwälte sitzen überwiegend in Grossstädten, die übrigen Branchen sind über ganz Deutschland verteilt.
• Eine Website kann zu mehreren Branchen gehören. Sie wird einmal gemessen und in jeder davon gezählt, deshalb ergeben die Branchen zusammen mehr als 70.139.

Die Zahlen dürfen frei verwendet werden, mit Angabe der Quelle und immer mit ihrer Basis, also etwa „13,7 % von 70.139 Firmenwebsites". Ein Prozentwert allein sagt nichts. Lizenz: CC BY 4.0.

Die Studie als PDF und alle Zahlen zum Abholen, jede mit ihrer Basis:

• Studie als PDF (14 Seiten)
• daten.json
• daten.csv

Die Liste der geprüften Domains veröffentlichen wir nicht, und aus demselben Grund auch nicht, woher der Domain-Rahmen stammt: beides zusammen mit den Ergebnissen wäre eine Zielliste. Eine namentliche Zuordnung einzelner Befunde zu einzelnen Firmen ist nicht Zweck dieser Erhebung und wird es nicht werden. Jede Kennzahl liegt mit Anzahl, Basis und Definition vollständig offen.