Website-Scanner im Vergleich: Apexly, Hugo Check und dsgvo.pro
Drei deutsche Anbieter, die Websites auf DSGVO, Technik und Recht prüfen. Was sie können — und was wir gemessen haben.
Transparenz: Wir sind selbst einer der drei Anbieter. Diese Seite ist damit auch Werbung. Deshalb steht weiter unten genau, wie gemessen wurde — damit du es nachrechnen kannst, statt uns glauben zu müssen.
Was ein DSGVO-Scanner überhaupt macht
Ein DSGVO-Scanner ruft eine Website so auf, wie es ein Besucher tut, und protokolliert dabei, was im Hintergrund passiert: Welche fremden Server werden kontaktiert? Werden Cookies gesetzt, bevor jemand zugestimmt hat? Sind Impressum und Datenschutzerklärung erreichbar? Läuft die Verbindung verschlüsselt?
Das Ergebnis ist eine Liste messbarer Abweichungen — keine Rechtsberatung. Ein Scanner stellt fest, dass eine Schriftart aus den USA geladen wird. Ob daraus im Einzelfall ein Verstoß folgt, beurteilen Anwältin oder Anwalt.
Der praktische Nutzen liegt in der Wiederholung: Die meisten Probleme entstehen nicht beim Bau einer Website, sondern später — ein Theme-Update setzt die lokale Schrift zurück auf Google, ein neues Marketingwerkzeug lädt vor der Einwilligung, ein Zertifikat läuft ab. Ein Scanner bemerkt das am selben Tag, ein Mensch meist erst Monate später.
Worauf du beim Vergleich achten solltest
Die Anbieter werben mit sehr unterschiedlichen Zahlen. Bevor du sie vergleichst, lohnt ein Blick auf fünf Punkte, die in keiner Werbeaussage stehen:
| Frage | Warum sie zählt |
|---|---|
| Wird geraten oder gemessen? | Manche Werkzeuge schließen von einer Versionsnummer im Quelltext auf Sicherheitslücken. Das erzeugt Fehlalarme — und schlimmer: falsche Entwarnung, wenn die Nummer verborgen ist. |
| Zählt die Zahl der Prüfungen oder ihr Inhalt? | „80 Checks“ klingt besser als 20, sagt aber nichts. Fünf Prüfungen, die denselben Header aus fünf Blickwinkeln betrachten, sind eine Prüfung. |
| Wird ein Verlauf gespeichert? | Ohne Verlauf weißt du nur, wie es heute aussieht — nicht, was sich verändert hat und wann. Für Agenturen mit Wartungsvertrag ist genau das die Frage. |
| Was steht im Bericht für den Endkunden? | Ein Bericht voller Fachbegriffe erzeugt Rückfragen statt Vertrauen. Prüf, ob du das Ergebnis weiterreichen kannst, ohne es zu übersetzen. |
| Was kostet es je Website? | Pauschalpreise je Paket und Preise je Domain unterscheiden sich bei zwanzig Kundenseiten um ein Vielfaches. |
Ein sechster Punkt, der oft übersehen wird: Wie geht der Anbieter mit fremden Seiten um? Wer beim Prüfen einer Website nach versteckten Dateien sucht, tut das auch bei den Mitbewerbern deiner Kunden — mit deinem Namen im Zugriffsprotokoll.
Was die Anbieter auf der eigenen Website tun
17 rein passive Prüfungen, wie sie ein normaler Besucher auslöst. Gemessen am 6. August 2026.
Momentaufnahme öffentlich sichtbarer Technik, keine Bewertung der Anbieter oder ihrer Leistung. Wir messen neu, sobald sich etwas ändert — die Werte können morgen andere sein.
Und die anderen? Drei Namen, die oft genannt werden
Wer nach einem Website-Check sucht, stößt schnell auf diese drei. Sie stehen weiter unten bewusst nicht in derselben Tabelle — sie lösen eine andere Aufgabe. Wer das weiß, trifft die bessere Wahl, auch wenn sie gegen uns ausfällt.
| Anbieter | Was er löst | Preis | Wann er die bessere Wahl ist |
|---|---|---|---|
| eRecht24 | Erstellt Rechtstexte: Impressum, Datenschutzerklärung, AGB. Dazu ein kostenloser Scanner mit über 30 Kriterien, Abmahnschutz und Anwaltsstunden in den höheren Tarifen. | Scanner kostenlos; Tarife ab 15 € bis 800 € im Monat (Jahreszahlung) | Wenn Sie noch keine Rechtstexte haben. Dafür sind wir das falsche Werkzeug — wir schreiben keine Texte. |
| Siteimprove ähnlich: Silktide |
Barrierefreiheit, SEO und Inhaltsqualität für große Auftritte mit Hunderten Seiten. Datenschutz führt der Anbieter nicht als Produktbereich. | Keine öffentlichen Preise, nur Beratungstermin | Bei sehr großen Websites und wenn Barrierefreiheit in der Tiefe geprüft werden muss. Da kommen wir nicht heran. |
| Kostenlose Header-Prüfer Mozilla Observatory, securityheaders.com, SSL Labs |
Prüfen Schutz-Kopfzeilen und Verschlüsselung — dieselben Werte, die auch bei uns einfließen. | kostenlos | Wenn Sie nur die Kopfzeilen wissen wollen und den Befund selbst einordnen können. Dann brauchen Sie uns nicht. |
Der Unterschied lässt sich in einem Satz sagen: eRecht24 schreibt Ihre Rechtstexte, wir prüfen, ob sie noch stimmen. Ein Generator kennt den Tag, an dem er den Text erzeugt hat — nicht den Tag, an dem Ihre Agentur ein neues Werkzeug eingebaut oder der Gesetzgeber das TMG durch das DDG ersetzt hat.
Ein Punkt in eigener Sache, den wir belegen können: eRecht24 erkennt eingebundene Dienste über eine Stichwortsuche im Quelltext und schreibt in den eigenen häufigen Fragen, dass dabei Fehlalarme entstehen — etwa wenn ein Dienstname nur im Text eines Einwilligungswerkzeugs vorkommt. Wir melden einen fehlenden Dienst erst, wenn er eindeutig erkannt ist und unter keiner seiner üblichen Bezeichnungen im Text auftaucht. Im Zweifel schweigen wir. Ein falsches „Ihre Datenschutzerklärung ist unvollständig" ist teuer: Damit geht der Kunde zum Anwalt.
Funktionen im Vergleich
Gegen Hugo Check — den Anbieter, der uns am nächsten kommt: deutsch, Agenturpaket, White Label.
| Funktion | Apexly | Hugo Check |
|---|---|---|
| Prüfungen je Scan | 53 | rund 33 |
| Fälschungssicheres Änderungsprotokoll | ja | — |
| Erreichbarkeit alle 30 Sekunden | ja | — |
| WordPress-Prüfung ohne Raten | ja | — |
| Barrierefreiheit nach BFSG | ja | — |
| KI-gestützte Analysen | in Arbeit | ja |
| Eigenes Logo, eigene Farben | ja | ja |
Angaben zu Hugo Check aus der öffentlichen Leistungsübersicht des Anbieters, Stand August 2026. Was uns fehlt, steht mit drin.
Die drei Anbieter im Einzelnen
Apexly
Das sind wir. Ausgerichtet auf Agenturen und Dienstleister, die mehrere Kundenwebsites betreuen: Der Preis gilt je Paket, nicht je Domain, und Berichte lassen sich unter eigenem Namen und Logo an Kunden weitergeben.
Die Besonderheit ist das fälschungssichere Änderungsprotokoll — jede Prüfung wird mit einer Prüfsumme an die vorherige gekettet. Damit lässt sich einem Kunden belegen, wann etwas an seiner Website passiert ist und wann gewarnt wurde. Für Wartungsverträge beantwortet das die schwierigste Frage: „Wofür zahle ich eigentlich?“
Was fehlt: KI-gestützte Analysen sind in Arbeit, aber noch nicht verfügbar. Und wir sind neu am Markt — wer Referenzen sehen will, wird bei den anderen fündiger.
Hugo Check
Der Anbieter, der uns am nächsten kommt: deutsch, mit Agenturpaket und White Label. Der Schwerpunkt liegt stärker auf der rechtlichen Seite, ergänzt um KI-gestützte Auswertungen. Wer vor allem Rechtstexte und Einwilligungen im Blick hat und mit einem etablierten Anbieter arbeiten will, ist dort gut aufgehoben.
dsgvo.pro
Ebenfalls auf Datenschutz ausgerichtet, ohne KI-Funktionen. In unserer Messung erreicht die eigene Website die volle Punktzahl — der Anbieter hält sich also an das, was er prüft. Das ist mehr wert, als es klingt.
Für wen was passt: Betreust du eine Website, reicht in vielen Fällen ein kostenloser Scan plus die DSGVO-Checkliste zum Abarbeiten. Betreust du viele Kundenwebsites, entscheidet nicht der Funktionsumfang, sondern ob du die Ergebnisse weiterreichen kannst — unter deinem Namen und ohne Übersetzungsarbeit.
Was kein Scanner leisten kann
Zur Ehrlichkeit gehört auch die Gegenrichtung. Kein Anbieter in diesem Vergleich — wir eingeschlossen — findet:
- Fehler in der Rechtevergabe, etwa wenn ein angemeldeter Kunde die Rechnung eines anderen aufrufen kann
- Logikfehler im Bestell- oder Buchungsablauf
- alles, was hinter einer Anmeldung liegt
- ob ein Verarbeitungsverzeichnis existiert oder Auftragsverarbeitungsverträge vorliegen
Und eine Grenze in der Größe: Apexly prüft die Startseite und bis zu 25 weitere Unterseiten — gedacht für Websites von Betrieben, Praxen, Vereinen und die Kundenseiten von Agenturen. Wer eine Behörden- oder Konzern-Website mit mehreren tausend Seiten betreut, braucht ein Werkzeug, das den kompletten Bestand durchläuft, Aufgaben im Team verteilt und Nachweise für Prüfungen erzeugt. Dafür gibt es Siteimprove und Silktide — deutlich mehr Umfang, allerdings auch ab etwa 5.000 Euro im Jahr statt 39 Euro im Monat. Wir sagen das lieber vorher, als dass jemand das Falsche kauft.
Dafür braucht es einen Menschen. Wo die Grenze genau verläuft, steht im Ratgeber Scan, Pentest oder Audit.
Wie es um deutsche Websites insgesamt steht, haben wir gemessen: Studie 2026 — 352 Websites geprüft.
Wie wir gemessen haben
Zwei Anfragen je Website — die Startseite und ein Aufruf ohne Verschlüsselung, um die Weiterleitung zu prüfen. Dazu öffentliche DNS-Abfragen. Keine Anmeldebereiche, keine Suche nach versteckten Dateien, keine Last für die geprüften Server.
Der Grund ist einfach: Ein Wettbewerber hat uns nicht beauftragt. Bei ihm läuft deshalb nur, was jeder Besucher ohnehin auslöst. Dieselbe Regel gilt im Produkt, wenn eine Agentur die Mitbewerber ihrer Kunden vergleicht.
Bewertet werden nur Prüfungen mit eindeutigem Ergebnis. Was sich von außen nicht beurteilen lässt, fällt aus Zähler und Nenner — sonst gewänne automatisch der Anbieter, bei dem am wenigsten sichtbar ist.
Das sind die 17 Prüfungen: verschlüsselte Verbindung, Weiterleitung von http auf https, gültiges Zertifikat, aktuelle Verschlüsselung, HSTS, Content-Security-Policy, Schutz vor Einbettung in fremde Seiten, Typenschutz, Referrer-Richtlinie, Preisgabe der Serversoftware, Tracker vor der Einwilligung, Cookies vor der Einwilligung, Inhalte aus Drittländern, erreichbares Impressum, SPF, DMARC und die Antwortzeit.
Häufige Fragen
Was macht ein DSGVO-Scanner?
Er ruft eine Website so auf wie ein Besucher und protokolliert, welche fremden Server kontaktiert werden, ob Cookies vor der Einwilligung gesetzt werden, ob Impressum und Datenschutzerklärung erreichbar sind und ob die Verbindung verschlüsselt läuft. Das Ergebnis ist eine Liste messbarer Abweichungen — keine Rechtsberatung.
Worauf sollte ich beim Vergleich von Website-Scannern achten?
Ob geraten oder gemessen wird, ob die Zahl der Prüfungen echten Inhalt hat, ob ein Verlauf gespeichert wird, wie verständlich der Bericht für Endkunden ist und was es je Website kostet. Die Zahl der Checks allein sagt wenig aus — fünf Prüfungen, die denselben Header aus fünf Blickwinkeln betrachten, sind eine Prüfung.
Reicht ein kostenloser Scan?
Für eine einzelne Website oft ja — ein kostenloser Scan zeigt die häufigsten Abweichungen, und eine Checkliste hilft beim Abarbeiten. Wer viele Kundenwebsites betreut, braucht regelmäßige Prüfungen und Berichte, die er weitergeben kann.
Ist dieser Vergleich neutral?
Nein. Apexly ist selbst einer der drei verglichenen Anbieter. Deshalb ist die Messmethode auf dieser Seite vollständig offengelegt, damit die Werte nachgeprüft werden können — und deshalb steht auch drin, was uns fehlt.
Wie wurden die Anbieter gemessen?
Mit 17 rein passiven Prüfungen: zwei Anfragen an die Startseite plus öffentliche DNS-Abfragen. Keine Suche nach versteckten Dateien, keine Anmeldebereiche, keine Last für die geprüften Server.
Kann ich die Werte selbst nachprüfen?
Ja. Der kostenlose Scan auf apexly.de führt dieselben Prüfungen aus, einmal pro Tag, ohne Anmeldung.
Prüf es selbst nach
Ein Scan am Tag ist kostenlos, ohne Anmeldung — auch auf die Anbieter oben. Wenn unsere Zahlen falsch sind, findest du es in dreißig Sekunden heraus.