WordPress-Checkliste für den Livegang einer Website

V or dem Livegang einer WordPress-Website prüfst Du sechs Bereiche. Dazu gehören Indexierung und Domain, Formulare und Links, Inhalte und SEO, Rechtstexte, Ladezeit und Barrierefreiheit sowie Sicherheit und Backups. Die meisten Pannen nach dem Start gehen auf vergessene Einstellungen zurück. Ein gesetztes Häkchen in den Leseeinstellungen hält Google fern, ein Kontaktformular verschickt keine E-Mails oder im Quelltext stehen noch Links auf die Testumgebung. Mit dieser Checkliste findest Du solche Fehler, bevor Besucher sie bemerken.

Wann ist eine WordPress-Website bereit für den Livegang?

Eine WordPress-Website ist bereit, wenn alle Inhalte freigegeben sind, jede Seite auf Smartphone und Desktop geprüft ist und Formulare, Rechtstexte und Cookie-Banner funktionieren. Prüfe das auf der Testumgebung (Staging), solange noch kein Besucher die Seite sieht. Plane die Abnahme als eigenen Schritt mit festem Termin, getrennt vom Livegang. Wer erst am Starttag prüft, hat keine Zeit mehr, Fehler sauber zu beheben.

Die Checkliste vor dem Livegang

1. Indexierung und Domain

Viele Testumgebungen sind für Suchmaschinen gesperrt. Zieht die Website auf die Live-Domain um, wandert diese Sperre oft mit.

• Unter Einstellungen › Lesen ist das Häkchen „Suchmaschinen davon abhalten, diese Website zu indexieren“ entfernt.
• Die robots.txt sperrt keine wichtigen Bereiche, etwa durch eine übrig gebliebene Disallow-Regel für die gesamte Website.
• Unter Einstellungen › Allgemein steht bei WordPress-Adresse und Website-Adresse die finale Domain mit https.
• Die Datenbank enthält keine Verweise auf die Staging-Domain mehr. Ersetze sie mit einem Werkzeug, das serialisierte Daten berücksichtigt, zum Beispiel mit WP-CLI search-replace.
• Die Varianten mit und ohne www sowie http leiten per 301 auf eine einzige Adresse weiter.
• Das SSL-Zertifikat ist aktiv und der Browser meldet keine unsicheren Inhalte (Mixed Content).
• Passwortschutz und Wartungsmodus der Testumgebung sind abgeschaltet.

2. Formulare, E-Mails und Links

Ein Kontaktformular, das eine Erfolgsmeldung zeigt und trotzdem keine E-Mail verschickt, kostet Anfragen, ohne dass es jemand merkt. WordPress versendet E-Mails standardmäßig über die PHP-Funktion mail(). Solche E-Mails sind nicht authentifiziert und landen häufig im Spam oder werden abgelehnt. Richte deshalb den Versand über SMTP ein und teste jedes Formular mit einer echten Anfrage.

• Jedes Formular lässt sich absenden, die Benachrichtigung kommt an und der Absender erhält seine Bestätigung.
• Die Absenderadresse gehört zur eigenen Domain und SPF und DKIM sind im DNS eingetragen.
• Interne Links zeigen auf die Live-Domain und auf keine 404-Seite. Ein Crawler wie Screaming Frog listet defekte Links vollständig auf.
• Telefonnummern und E-Mail-Adressen sind klickbar und korrekt.
• Die 404-Seite ist gestaltet und führt zu den wichtigsten Seiten zurück.
• Bei einem Relaunch leitet jede alte URL per 301 auf ihre neue Entsprechung weiter. Die Einzelheiten stehen in unserer SEO-Checkliste für den Website-Relaunch.
• Google Analytics erfasst Besuche auf der Live-Domain. Prüfe das in der Echtzeitansicht.

3. Inhalte und SEO

Platzhalter überleben erstaunlich oft bis zum Livegang. Lorem ipsum in einem Akkordeon, ein Demo-Beitrag aus dem Theme oder ein Bild mit dem Dateinamen „test-final2.jpg“ wirken unprofessionell und landen im Google-Index.

• Jede Seite hat genau eine H1, darunter folgen H2 und H3 ohne Sprünge.
• Jede Seite hat einen eigenen Title mit höchstens rund 60 Zeichen und eine eigene Meta Description mit rund 150 Zeichen.
• Bilder haben beschreibende Alt-Texte, dekorative Bilder ein leeres Alt-Attribut.
• Demo-Inhalte, Musterseiten und der Beitrag „Hallo Welt!“ sind gelöscht.
• Die Texte sind Korrektur gelesen, Namen, Preise und Öffnungszeiten stimmen.
• Favicon und Vorschaubild für Social Media (Open Graph) sind hinterlegt.
• Bei mehrsprachigen Websites sind alle Sprachversionen übersetzt und per hreflang verknüpft.

Recht, Ladezeit und Sicherheit prüfen

4. Rechtstexte und Datenschutz

Eine geschäftliche Website braucht ab dem ersten Besucher ein vollständiges Impressum nach § 5 Digitale-Dienste-Gesetz (DDG) und eine Datenschutzerklärung, die alle eingesetzten Dienste nennt. Für Cookies und Tracking, die technisch nicht notwendig sind, brauchst Du nach § 25 TDDDG eine vorherige Einwilligung. Diese Checkliste ersetzt keine Rechtsberatung.

• Impressum und Datenschutzerklärung sind von jeder Seite aus mit einem Klick erreichbar, auch auf dem Smartphone.
• Der Cookie-Banner lädt Analyse- und Marketingdienste erst nach der Zustimmung. Prüfe das in den Entwicklertools Deines Browsers im Reiter Netzwerk.
• Google Fonts und andere Schriften liegen auf dem eigenen Server. Das Landgericht München I hat am 20. Januar 2022 einem Besucher Schadensersatz zugesprochen, weil eine Website Google Fonts von Google-Servern lud und dabei seine IP-Adresse übertrug (Az. 3 O 17493/20).
• Eingebettete Videos und Karten laden erst nach einem Klick oder nach der Einwilligung.
• Formulare verlinken auf die Datenschutzerklärung.

5. Ladezeit, Mobilansicht und Barrierefreiheit

Google bewertet die Ladezeit über die Core Web Vitals. Als gut gelten ein Largest Contentful Paint bis 2,5 Sekunden, eine Interaction to Next Paint bis 200 Millisekunden und ein Cumulative Layout Shift bis 0,1. Miss die Werte mit PageSpeed Insights für die Startseite und die wichtigsten Unterseiten, jeweils für Mobilgeräte.

• Bilder sind komprimiert und in passender Größe hochgeladen, am besten als WebP.
• Caching ist aktiv und nach dem Livegang leerst Du den Cache einmal komplett.
• Du hast jede Seite auf einem echten Smartphone geprüft. Die verkleinerte Browseransicht zeigt längst nicht alle Fehler.
• Kontraste sind ausreichend, Buttons eindeutig beschriftet und die Seite lässt sich mit der Tastatur bedienen.

Seit dem 28. Juni 2025 verpflichtet das Barrierefreiheitsstärkungsgesetz (BFSG) viele Anbieter von Online-Shops und anderen digitalen Dienstleistungen für Verbraucher zu barrierefreien Websites. Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens zwei Millionen Euro Jahresumsatz sind bei Dienstleistungen ausgenommen.

6. Sicherheit und Backups

Sicherheit gehört in die Abnahme, weil Bots eine Website ab dem ersten Tag automatisiert auf bekannte Lücken prüfen.

• WordPress, Theme und Plugins sind aktuell, ungenutzte Plugins und Themes gelöscht.
• Kein Benutzer heißt „admin“. Administratoren nutzen starke Passwörter und eine Zwei-Faktor-Anmeldung.
• Testkonten und Zugänge externer Dienstleister sind entfernt oder auf die nötigen Rechte reduziert.
• In der wp-config.php steht WP_DEBUG auf false, damit Besucher keine Fehlermeldungen mit Dateipfaden sehen.
• Ein automatisches Backup läuft täglich auf einen externen Speicher und Du hast die Wiederherstellung einmal getestet.

Welche Checks Deine Installation dauerhaft schützen, zeigt unser Beitrag WordPress-Sicherheit prüfen mit 8 Checks.

Was Du direkt nach dem Livegang erledigst

Diese Schritte erledigst Du am Starttag und in der ersten Woche.

• Die Website in der Google Search Console und in den Bing Webmaster Tools anmelden und die XML-Sitemap einreichen.
• Startseite und wichtigste Unterseiten über die URL-Prüfung der Search Console zur Indexierung einreichen.
• Alle Caches leeren, auch beim Hoster und im CDN, und die Website in einem privaten Browserfenster aufrufen.
• Jedes Formular auf der Live-Domain noch einmal absenden.
• In den ersten Wochen Crawling-Fehler und 404-Seiten in der Search Console verfolgen.

Den Livegang übernehmen wir für jede Website, die wir als WordPress Agentur bauen, mit einer vollständigen Qualitätskontrolle vor dem Start. Bestehende Websites halten wir im WordPress Support technisch auf Stand. Ziehst Du mit Deiner Website zu einem neuen Hoster, begleiten wir den WordPress-Umzug.

Häufige Fragen zum Livegang einer WordPress-Website