Drupal-Site-Audit
Eine unabhängige Prüfung einer produktiven Drupal-Website zum Festpreis: ob die Tests echte Fehler finden, wo der individuelle Code Sie Leistung kostet und was Suchmaschinen und KI-Crawler tatsächlich sehen. Sie erhalten einen nach Schweregrad bewerteten Bericht mit benannten Lösungen, zu einem Preis, der vor Beginn vereinbart wird.
Warum ein unabhängiges Drupal-Audit
Festpreis
Ab £750 + MwSt., mit vorab vereinbartem Preis und Liefertermin. Das Risiko einer Überschreitung trage ich, nicht Ihre Projektmarge.
Unabhängig
Die Prüfung hat gerade deshalb Gewicht, weil ich den Code nicht geschrieben habe. Ihr eigenes Team kann das für sich selbst nicht leisten.
Gemessen, nicht geraten
Blinde Flecken der Tests werden durch Fehlerinjektion nachgewiesen. Leistungsaussagen kommen mit Vorher-Nachher-Zahlen.
Sicherheitsreferenzen
Nennung in einem Advisory des Drupal Security Team und zwei veröffentlichte Zahlungsgateway-Module auf Drupal.org.
Was das Audit abdeckt
Vier Durchgänge über dieselbe Website, von denen jeder eigenständig umsetzbare Ergebnisse liefert. Ein kurzer Auftrag kann eine beliebige Teilmenge umfassen; die meisten Websites profitieren am stärksten von den ersten beiden.
1. Finden Ihre Tests wirklich Fehler?
Das Lesen von Testcode verrät, was er prüfen sollte. Fehlerinjektion verrät, was er wirklich findet. Bekannte Fehler werden einzeln in die eigenen Module und das Theme eingebaut, und die vorhandene Playwright- oder Behat-Suite wird jeweils dagegen ausgeführt. Die Fehler, die sie übersieht, sind Ihre gemessenen blinden Flecken. Bei der letzten Website, auf der ich das durchgeführt habe, blieb die Hälfte der eingeschleusten Fehler unentdeckt, darunter eine defekte global.js, die jedes Drupal-Behavior auf jeder Seite lahmlegte und null Testfehler erzeugte.
2. Individueller Code und Leistung
Ein zeilenweises Lesen jeder eigenen Modul- und Theme-Datei, nicht nur ein Lighthouse-Wert. Die wiederkehrenden Befunde sind Preprocess-Hooks, die max-age auf null setzen und damit den Seitencache websiteweit stillschweigend abschalten, referencedEntities() in Schleifen aufgerufen und Konfigurationsobjekte, die bei jeder Anfrage neu geladen werden. Das sammelt sich über Jahre an und taucht selten als Fehlerbericht auf, weil nichts kaputt ist; die Website ist nur langsam, und niemand kann sagen, warum.
3. Sicherheitslage
Prüfung von Contrib- und eigenen Modulen nach denselben Maßstäben, die ich bei Meldungen an das Drupal Security Team anlege: Zugriffsprüfungen, unbereinigte Ausgaben, unsichere Abfragen, Dateiverarbeitung und veraltete Abhängigkeiten mit bekannten Advisories. Nach Schweregrad bewertet, mit Patches, wo die Behebung im Umfang enthalten ist. Nützlich als Nachweis bei ISO-27001-Überwachungsaudits oder der Cyber-Essentials-Erneuerung.
4. Bereitschaft für Suchmaschinen und KI-Crawler
Was Google und die KI-Crawler tatsächlich sehen, und warum Drupal es so ausgibt. Bei Drupal ist eine leere Meta-Beschreibung meist ein Theme-Template, das das Metatag-Modul überschreibt, kein Inhaltsproblem; die Lösung gehört also in den Code und wirkt auf jeder Seite zugleich. Umfasst strukturierte Daten, Open-Graph- und Twitter-Card-Ausgabe, Canonical-Handling, Sitemap- und Robots-Anweisungen sowie llms.txt und Crawler-Richtlinien für GPTBot, Google-Extended, Claude-Web und PerplexityBot.
Was Sie erhalten
Ein nach Schweregrad bewerteter Bericht
Jeder Befund mit Nachweis, Auswirkung, Datei und Zeile, in der er steckt, und der Lösung. Geschrieben, um von einer technischen Leitung gelesen und von der Person, die das Budget freigibt, überflogen zu werden.
Vorher-Nachher-Zahlen
Fehlererkennungsrate, PageSpeed- und Core-Web-Vitals-Werte, Abfragezahlen. Aussagen, die sich prüfen lassen, statt bloßer Behauptungen.
Eine priorisierte Maßnahmenliste
Sortiert nach Wirkung im Verhältnis zum Aufwand, sodass der erste Arbeitsnachmittag der wichtigste ist. Die Behebung wird nach Vorliegen der Befunde separat zum Festpreis angeboten, und nichts am Auditpreis hängt davon ab, dass Sie sie beauftragen. Geben Sie die Liste gern an Ihr eigenes Team weiter.
Ein echtes Beispiel
Eine Unternehmenswebsite auf Drupal 11 mit Commerce brauchte vor einer umsatzstarken Zeit eine gründliche Qualitätsprüfung. Die Befunde waren typisch für eine Website, die jahrelang gesund war und sich still verschlechtert hatte:
- Fünf von zehn eingeschleusten Fehlern blieben völlig unentdeckt. Die Suite war blind für jeden JavaScript-Fehler.
- Zwei Preprocess-Hooks auf websiteweiten Blöcken setzten
max-ageauf null und schalteten damit den Internal Page Cache von Drupal auf der gesamten Website ab. - Ein Sponsorenblock führte dieselbe Entity-Abfrage einmal pro Taxonomiebegriff aus; Slider-Seiten machten über zwanzig einzelne Entity-Ladevorgänge für fünf Bilder.
- Sechzehn ungecachte Konfigurationslesevorgänge pro Seitenaufruf, jeder davon ein Datenbankzugriff.
- Eine fest codierte leere Meta-Beschreibung im Basis-Theme überschrieb das Metatag-Modul auf jeder Seite, und nirgends auf der Website gab es strukturierte Daten.
Die Fehlererkennung stieg mit vier neuen Tests und einem Browser-Fehlersammler von 50 % auf 70 %. Die Cache-, Abfrage- und Konfigurationskorrekturen wurden parallel eingespielt. Der vollständige Bericht, einschließlich der Fehlerinjektionstabelle und der gemessenen Ergebnisse, ist hier veröffentlicht: wie das Drupal 11-Qualitätsaudit Schritt für Schritt durchgeführt wurde.
Preise
Ab £750 + MwSt.
Audits haben einen Festpreis, der vor Beginn schriftlich vereinbart wird. Für eine typische Website kosten die ersten beiden Durchgänge, Tests und individueller Code, ab £750 + MwSt.; alle vier Durchgänge ab £1.250 + MwSt. Sehr große oder Multi-Site-Codebasen werden nach Sichtung angeboten. Die Behebung wird nach Vorliegen der Befunde separat angeboten, und nichts am Auditpreis hängt davon ab, dass Sie sie beauftragen.
So läuft es ab
Erzählen Sie mir von der Website
Drupal-Version, ungefähr wie viel individueller Code, ob es eine Testsuite gibt und was Ihnen Sorgen macht. Keine formale Spezifikation nötig. Ich sage Ihnen ehrlich, wenn ein Audit nicht das ist, was Sie brauchen.
Sie erhalten einen Festpreis und einen Termin
Umfang schriftlich benannt, Preis fest, Liefertermin, den Sie einem Kunden zusagen können. Keine Stundenabrechnung und keine Überraschungen durch schleichende Umfangserweiterung.
Ich prüfe eine Kopie, nicht Ihre Produktionswebsite
Die Arbeit erfolgt auf einer Datenbankkopie und einem lokalen Build. Insbesondere die Fehlerinjektion berührt nie etwas, das Ihre Nutzer erreichen können.
Bericht geliefert, Behebung optional
Sie erhalten den Bericht und die priorisierte Liste. Korrekturen werden separat angeboten, und es steht Ihnen frei, den Bericht stattdessen an Ihr eigenes Team zu geben.
Nachprüfbar, nicht nur behauptet. Im Juni 2026 habe ich die Cross-Site-Scripting-Lücke in Drupal Commerce Core gemeldet, die als SA-CONTRIB-2026-041 veröffentlicht wurde. Sie ist auf Drupal.org öffentlich unter meinem Namen einsehbar, neben meinen Contrib-Beiträgen und zwei veröffentlichten CyberSource-Gateway-Modulen.
Häufige Fragen
Welche typischen Probleme decken Teams bei einem Drupal-Site-Audit auf?
Die wiederkehrenden sind Preprocess-Hooks, die max-age auf null setzen und den Seitencache websiteweit stillschweigend abschalten, N+1-Entity-Ladevorgänge in Schleifen, ungecachte Konfigurationslesevorgänge bei jeder Anfrage, eine Testsuite, die JavaScript-Fehler überhaupt nicht sieht, und fest in einem Theme-Template codierte Meta-Ausgaben, die das Metatag-Modul überschreiben. Die meisten davon sammeln sich still über Jahre an und tauchen nie als Fehlerbericht auf.
Wie unterscheidet sich ein Drupal-Site-Audit von einem SEO-Audit?
Ein SEO-Audit betrachtet, was ein Crawler sieht. Ein Drupal-Site-Audit betrachtet auch, warum die Website diese Ausgabe erzeugt: die Theme-Templates, die Modulkonfiguration, die Cache-Metadaten und den individuellen Code. Bei Drupal ist eine leere Meta-Beschreibung meist ein Template-Fehler statt eines Inhaltsproblems, sodass die Korrektur an der Quelle sie auf jeder Seite zugleich behebt.
Woher wissen Sie, ob die vorhandene Testsuite wirklich funktioniert?
Durch Fehlerinjektion. Bekannte Fehler verschiedener Art werden einzeln in die eigenen Module und das Theme eingebaut, und die vorhandene Suite wird jeweils dagegen ausgeführt. Was die Suite nicht bemerkt, ist ein echter, gemessener blinder Fleck statt einer Meinung über Testabdeckung.
Beheben Sie, was Sie finden, oder berichten Sie nur?
Das Audit selbst ist ein Bericht. Die Behebung wird nach Vorliegen der Befunde separat zum Festpreis angeboten, sodass es Ihnen freisteht, den Bericht stattdessen an Ihr eigenes Team zu geben. Nichts am Auditpreis hängt davon ab, dass Sie die Korrekturen beauftragen.
Kann das Audit als White-Label unter dem Namen einer Agentur geliefert werden?
Ja, und Agenturen tun das oft. Unter White-Label-Drupal-Kapazität für Agenturen steht, wie das funktioniert. Eine unabhängige Prüfung hat beim Endkunden auch gerade deshalb mehr Gewicht, weil der Autor den Code nicht geschrieben hat.
Welche Drupal-Versionen prüfen Sie?
Drupal 11 und Drupal 10. Ich prüfe auch Drupal 7- und Drupal 9-Websites, wobei der Bericht dort meist zugleich als Begründung für eine Migration dient; siehe Drupal-Support und Upgrade-Leistungen.
Nicht sicher, was die Website ausbremst?
Nennen Sie mir die Drupal-Version und was Ihnen Sorgen macht. Ich melde mich innerhalb eines Werktags mit einem Festpreis und einem Termin.
Kontakt aufnehmen