E-Commerce-Audit für Magento-Shops: Technische und strategische Potenzialanalyse

1. Warum ein E-Commerce-Audit regelmäßig nötig ist

Ein Magento-Shop wird selten an einem einzigen Tag schlecht: Extensions kommen über Jahre hinzu, Kategorien wachsen organisch, und einzelne Performance-Regressionen bleiben unbemerkt, solange kein einzelner Vorfall groß genug ist, um Alarm auszulösen. Das Ergebnis ist ein schleichender Verfall, der sich in sinkender Conversion, steigenden Absprungraten oder stagnierendem organischem Traffic zeigt, ohne dass eine einzelne Ursache klar benennbar wäre.

Ein E-Commerce-Audit unterbricht diesen schleichenden Prozess bewusst, indem es den gesamten Shop zu einem festen Zeitpunkt entlang derselben Kriterien prüft, unabhängig davon, welches Team zuletzt welche Änderung vorgenommen hat. Das macht ein Audit auch dann sinnvoll, wenn kein akutes Problem vorliegt, etwa vor einer geplanten Relaunch-Entscheidung oder nach der Übernahme eines gewachsenen Shops von einer anderen Agentur, dessen technischer Zustand intern nicht vollständig dokumentiert ist.

Ein weiterer, oft unterschätzter Anlass ist der Wechsel verantwortlicher Personen im Unternehmen: Wenn ein internes Team, das den Shop über Jahre betreut hat, durch neue Mitarbeiter ersetzt wird, geht implizites Wissen über gewachsene Sonderlösungen und historische Entscheidungen häufig verloren. Ein Audit macht dieses Wissen an einem Stichtag wieder explizit und dokumentiert nachvollziehbar, statt es weiter nur in den Köpfen einzelner Personen zu belassen.

2. Die vier Prüfbereiche eines E-Commerce-Audits: SEO, Performance, Conversion, Sicherheit

Ein belastbares E-Commerce-Audit deckt vier Bereiche ab, die sich zwar gegenseitig beeinflussen, aber unterschiedliche Werkzeuge und Fachkenntnisse verlangen: technisches SEO, Performance, Conversion und Sicherheit. Wird nur einer dieser Bereiche isoliert betrachtet, entstehen blinde Flecken, etwa wenn eine Performance-Optimierung die Ladezeit verbessert, dabei aber versehentlich strukturierte Daten entfernt, die für die Sichtbarkeit in der Google-Suche wichtig waren.

Die vier Bereiche sollten deshalb im selben Audit-Zyklus, im Idealfall von denselben zwei bis drei Personen, geprüft werden, damit Wechselwirkungen sofort auffallen und nicht erst nach getrennten Einzelberichten zusammengeführt werden müssen. Ein gemeinsames Kickoff-Gespräch mit dem Shop-Betreiber klärt vorab, welcher der vier Bereiche aktuell am meisten schmerzt, ohne die anderen drei komplett auszulassen.

3. Technisches SEO-Audit: Crawling, Indexierung und strukturierte Daten

Der SEO-Teil eines E-Commerce-Audits beginnt mit einem vollständigen Crawl des Shops, der Duplicate-Content durch fehlerhafte Canonical-Tags, blockierte, aber eigentlich wichtige Seiten in der robots.txt und kaputte interne Verlinkung aufdeckt. Ergänzend prüft ein Abgleich mit der Google Search Console, welche Seiten tatsächlich indexiert sind und wo Crawling-Fehler oder manuelle Maßnahmen die Sichtbarkeit einschränken.

Strukturierte Daten, etwa Product- und Offer-Markup nach schema.org, werden häufig einmalig eingerichtet und danach nie wieder validiert, obwohl sich Magentos Attributstruktur über die Zeit ändert und dadurch Pflichtfelder im Markup leer bleiben können. Ein einfaches Skript, das die wichtigsten Kategorie- und Produktseiten stichprobenartig gegen den Google Rich Results Test abgleicht, deckt solche stillen Regressionen zuverlässig auf.

#!/usr/bin/env bash
# Stichprobenpruefung: fehlt strukturiertes Markup auf zufaelligen Produktseiten?
set -euo pipefail

URLS=(
  "https://shop.example.com/produkt-a.html"
  "https://shop.example.com/produkt-b.html"
)

for url in "${URLS[@]}"; do
  echo "Pruefe: $url"
  curl -s "$url" | grep -q '"@type": "Product"' \
    && echo "  Product-Markup gefunden" \
    || echo "  FEHLT: Kein Product-Markup gefunden"
done

4. Performance-Audit: Core Web Vitals und Ladewasserfall

Der Performance-Teil startet mit einer Messung der Core Web Vitals, also Largest Contentful Paint, Interaction to Next Paint und Cumulative Layout Shift, jeweils getrennt für Mobil und Desktop, da beide Geräteklassen typischerweise unterschiedliche Engpässe zeigen. Eine reine Labormessung reicht dabei nicht aus, weil sie die tatsächliche Verteilung realer Nutzergeräte und Netzverbindungen nicht abbildet, weshalb echte Feld-Daten aus dem Chrome User Experience Report ergänzend herangezogen werden sollten.

Ein Ladewasserfall-Diagramm zeigt anschließend, welche einzelnen Ressourcen, etwa render-blockendes JavaScript oder unkomprimierte Bilder, den größten Anteil an der Gesamtladezeit tragen, statt nur eine aggregierte Punktzahl zu liefern. Für Magento-Shops mit Hyvä-Frontend ist dabei besonders relevant, ob Tailwind-Klassen tatsächlich per PurgeCSS reduziert wurden oder ob ungenutztes CSS die Übertragungsgröße unnötig aufbläht.

5. Conversion-Audit: Checkout-Abbruchpunkte und Formularanalyse

Für den Conversion-Teil liefert ein Trichter-Report in Google Analytics oder einem vergleichbaren Tool die Abbruchraten zwischen Warenkorb, Versand- und Zahlungsschritt sowie Bestellabschluss, oft aufgeschlüsselt nach Gerätetyp und Zahlungsmethode. Auffällig hohe Abbrüche an einem bestimmten Checkout-Schritt sind ein starkes Signal für ein konkretes Problem, etwa eine fehlerhafte Validierung, unerwartete Versandkosten oder eine zu geringe Auswahl an Zahlungsmethoden.

Session-Recordings ergänzen die reinen Zahlen um den tatsächlichen Kontext: Klickt ein Nutzer mehrfach auf ein Feld, ohne dass etwas passiert, deutet das auf ein technisches Formularproblem hin, das in aggregierten Analytics-Daten sonst als reiner Abbruch ohne erkennbaren Grund erscheinen würde. Zehn bis fünfzehn Aufnahmen aus dem betroffenen Schritt reichen in der Praxis meist aus, um wiederkehrende Muster von Einzelfällen zu unterscheiden.

6. Sicherheits-Audit: veraltete Extensions und fehlende Patches

Der Sicherheitsteil beginnt mit einem Abgleich der installierten Magento-Version und aller Third-Party-Extensions gegen bekannte Sicherheitslücken, was sich über einen einfachen Composer-Audit-Befehl weitgehend automatisieren lässt. Extensions, die seit Jahren kein Update erhalten haben, sind dabei nicht automatisch unsicher, verdienen aber eine gesonderte Prüfung, ob der Hersteller überhaupt noch aktiv Support leistet.

Ergänzend gehört eine Prüfung der Admin-Zugriffsrechte dazu: In gewachsenen Teams sammeln sich über Jahre Admin-Konten mit vollen Rechten an, die eigentlich nur einen eingeschränkten Zugriff bräuchten, und ehemalige Mitarbeiter behalten mitunter aktive Zugänge, wenn das Offboarding nicht sauber dokumentiert ist. Ein Audit listet deshalb immer auch alle aktiven Admin-Konten mit ihrem letzten Login-Zeitpunkt auf.

# Composer-Audit gegen bekannte Sicherheitslücken in Abhängigkeiten
composer audit --format=table

# Beispielausgabe (gekürzt):
# +---------------------------+----------+------------------------------+
# | Package                   | Severity | CVE                          |
# +---------------------------+----------+------------------------------+
# | vendor/beispiel-extension | high     | CVE-2025-XXXXX                |
# +---------------------------+----------+------------------------------+

7. Der Audit-Ablauf in der Praxis: Kickoff, Datensammlung, Analyse

Ein realistischer Audit-Ablauf beginnt mit einem einstündigen Kickoff-Gespräch, in dem der Shop-Betreiber bereits bekannte Problemfelder, geplante Marketingaktionen und relevante Kennzahlen aus den letzten Monaten teilt, damit das Audit nicht bei null anfängt. Anschließend folgt eine Phase der Datensammlung, in der Zugriffe auf Analytics, Search Console, Server-Logs und den Magento-Adminbereich eingerichtet werden, üblicherweise über schreibgeschützte, zeitlich befristete Zugänge.

Die eigentliche Analysephase dauert je nach Shopgröße zwischen drei und zehn Arbeitstagen und läuft parallel in allen vier Prüfbereichen, damit am Ende ein gemeinsamer Abschlussbericht statt vier getrennter Teilberichte entsteht. Ein Abschluss-Workshop mit dem Betreiber stellt sicher, dass die Befunde nicht nur schriftlich dokumentiert, sondern auch mündlich eingeordnet und mit den internen Prioritäten des Unternehmens abgeglichen werden.

8. Priorisierungsmatrix: Aufwand gegen erwartete Wirkung

Ein Audit, das ausschließlich eine lange Liste von Befunden liefert, hilft in der Praxis wenig, wenn nicht klar ist, womit begonnen werden sollte. Eine einfache Priorisierungsmatrix, die jeden Befund nach geschätztem Umsetzungsaufwand und erwarteter Wirkung einordnet, macht die Reihenfolge sofort nachvollziehbar, auch für Stakeholder ohne technischen Hintergrund.

Maßnahmen mit geringem Aufwand und hoher Wirkung, etwa fehlende Meta-Descriptions oder ein zu niedriges PHP-OPcache-Limit, sollten dabei immer zuerst umgesetzt werden, unabhängig davon, wie spektakulär ein anderer Befund mit hohem Aufwand klingt. Diese Reihenfolge schafft zudem früh sichtbare Erfolge, die intern die Akzeptanz für die aufwändigeren, aber langfristig wichtigeren Maßnahmen erhöhen.

9. Das Ergebnis eines Audits: strukturierter Maßnahmenkatalog

Die folgende Tabelle zeigt beispielhaft, wie ein Auszug aus einem Maßnahmenkatalog nach Abschluss eines E-Commerce-Audits aussehen kann, mit Prüfbereich, typischem Befund und grober Priorität.

10. Zusammenfassung

11. FAQ: E-Commerce-Audit: Das Wichtigste auf einen Blick