Ein Mangel ohne Preis wird nie behoben

Ein gewöhnlicher Bericht zur Barrierefreiheit liest sich wie eine Inventur: so viele Bilder ohne Beschreibung, so viele Felder ohne Beschriftung. Für einen Entwickler ist das Arbeit, für eine Führungskraft Rauschen. Die Aufgabe wandert als zweitrangig in den Rückstand und lebt dort jahrelang, weil keine einzige Zeile einer solchen Liste die einzige Frage beantwortet, die ein Direktor stellt: Was kostet uns das?

Das Orakel antwortet mit einer Zahl. Es addiert die Höchststrafen über alle gefundenen Schwachstellen und gibt eine einzige Zahl des gesamten finanziellen Risikos aus. Der Artikel gibt ein Beispiel für diese Zeile: Vier kritische Verstöße gegen den ADA und zwei gegen die DSGVO ergeben zusammen ein mögliches Risiko von über dreihundertzwanzigtausend Dollar. Nach einer solchen Zeile ändert sich die Priorität ohne Besprechung.

Drei Preisschilder aus dem Gesetz

Das erste ist ADA Title III: eine zivilrechtliche Bundesstrafe des US-Justizministeriums von bis zu fünfundsiebzigtausend Dollar für einen ersten Verstoß und bis zu hundertfünfzigtausend für weitere. Der Vorbehalt der Quelle wird wörtlich übernommen, weil er die Bedeutung der Zahl verändert: Das ist die Obergrenze, nicht die durchschnittliche Rechnung. Das zweite ist die DSGVO, berechnet aus zwanzig Millionen Euro oder vier Prozent des Jahresumsatzes. Das dritte ist der CCPA: zweieinhalbtausend Dollar für einen unbeabsichtigten Verstoß und bis zu siebeneinhalbtausend für einen vorsätzlichen, gezählt pro betroffenem Nutzer.

Daneben steht der Hintergrund, der diese Summen konkret hält. Auf Barrierefreiheit spezialisierte Kanzleien jagen verwundbare Websites mit automatischen Parsern und reichen Sammelklagen ein, die für eine einzige Sitzung voller Verstöße zwischen fünfzehn- und hundertfünfzigtausend Dollar fordern. Ein Kläger muss nicht auf einen lebenden Beschwerdeführer warten: Eine Maschine, die der Reihe nach Websites abläuft, genügt.

Damit die Summe ehrlich ist, darf sie nicht aus Fehlalarmen zusammengesetzt sein — und genau dort bricht die statische Analyse. Ein Scanner, der mit regulären Ausdrücken und einfachen Selektoren arbeitet, prüft, dass ein Attribut existiert, nicht dass es hilft. Ein Umsatzdiagramm mit der Beschreibung „image“ besteht: Das Attribut ist physisch vorhanden. Für einen blinden Leser ist diese Beschreibung nutzlos und ein grober Verstoß gegen WCAG und ADA — und doch zeigt der Bericht nichts.

Der spiegelbildliche Fehler hat denselben Ursprung: Das Werkzeug kann einen dekorativen Trenner, der vor Hilfstechnik verborgen werden sollte, nicht von einem funktionalen Bild unterscheiden, das beschrieben werden muss. Daher Hunderte Fehlalarme und stille Auslassungen — und die Unmöglichkeit, auf einem solchen Bericht eine Geldschätzung aufzubauen.

Das Overlay, das alles verschlimmert

Der zweite gewohnte Weg ist ein Widget über der Website, das verspricht, die Barrierefreiheit mit einem Klick zu erledigen, indem es Schriften, Kontrast und Sprachausgabe umschaltet. Die Rechtsprechung in den USA zeigt, dass solche Widgets niemanden vor Klagen bewahren und oft umgekehrt wirken, indem sie die Aufmerksamkeit von Klägern anziehen. Schlimmer noch: Overlays stören die eingebauten Bildschirmleser, auf die sich blinde Nutzer verlassen, und machen die Website weniger benutzbar als vorher.

Und entscheidend: Ein Widget rührt den Quellcode nicht an. Es bearbeitet das DOM im Browser, während der Scanner einer Kanzlei das HTML liest, das der Server ausliefert, und alles noch an seinem Platz findet. Die dritte Lücke ist die fehlende Verbindung zwischen den Bereichen: Ein Werkzeug prüft den Textkontrast und bemerkt nie, dass dieselbe Seite personenbezogene Daten über ein Tracking-Pixel verschickt, bevor irgendeine Einwilligung gegeben wurde.

Das Orakel teilt die Arbeit in zwei ungleiche Stufen. Zuerst baut das Scraping-Modul einen Bauplan der Seite, aus dem schwere Medien und überflüssiges Markup ausgeschlossen sind. Übrig bleiben Metadaten — Codierung, Sprache, Beschreibung, Viewport-Einstellungen; interaktive Elemente samt ihren Kennungen und ARIA-Attributen; die Überschriftenhierarchie von der ersten bis zur sechsten Ebene; Bilder und der Inhalt ihrer Beschreibungen; Spuren von Analytik, Pixeln und Einwilligungsbannern; und die Sicherheits-Header des Servers — HSTS, CSP, Zertifikatsstatus.

Der Bauplan geht dann an ein Sprachmodell. Das wichtigste ist Grok 4.3, mit automatischem Wechsel zu Gemini 2.5 Flash, wenn das Netz hängt oder Limits erschöpft sind. Das Modell gleicht den Bauplan mit einer Matrix aus zweitausend Prüfungen ab und beurteilt, was ein regulärer Ausdruck nicht sieht: ob „logo“ eine angemessene Beschreibung eines Logos ist, ob ein Knopf mit einem einzigen Symbol überhaupt einen zugänglichen Namen hat.

Was in eine Verstoßkarte kommt

Jeder Befund ist gleich aufgebaut: ein Beleg, der genau sagt, warum das ein Verstoß ist; das fehlerhafte Fragment, aus der Seite herausgeschnitten; eine schrittweise Behebung in der Sprache des Nutzers — Russisch, Englisch, Spanisch oder Chinesisch — und ein fertiger Patch zum Kopieren. Die Regeln sind in sieben Kategorien sortiert, jede mit eigenem Risikogewicht — kritisch, schwer, mittel oder empfehlend —, einem Verweis auf das Dokument der Behörde und der Strafberechnung.

Eine Bewertung hört überall dort auf, Geschmackssache zu sein, wo die Formel genannt wird. Der Kontrast zwischen Text und Hintergrund muss mindestens 4,5 zu 1 betragen, für großen Text ab 18 Punkt oder 14 Punkt fett ist 3 zu 1 zulässig; die relative Leuchtdichte wird als L = 0.2126 · R + 0.7152 · G + 0.0722 · B berechnet und das Verhältnis selbst als (L1 + 0.05) / (L2 + 0.05).

Die Serverseite ist ebenso festgelegt. Der Header für erzwungenes HTTPS muss mindestens hundertachtzig Tage gelten — das sind 15768000 Sekunden — und includeSubDomains zusammen mit preload tragen. Die Content Security Policy muss die Quellen beschränken und unsichere eingebettete Einfügungen ohne Hashes oder Einmal-Token ablehnen. Geprüft werden außerdem der Schutz gegen Einrahmung, das Verbot des Erratens des Inhaltstyps und eine Kontaktdatei für Schwachstellen nach RFC 9116 im Verzeichnis well-known. Gesondert wird das Datum der letzten Aktualisierung der veröffentlichten Richtlinien gelesen: Es darf nicht älter als zwölf Monate sein.

Es gibt auch einen Anhang für russische Rechtsordnungen und die der GUS, die westliche Scanner gewöhnlich überspringen. GOST R 52872-2019 verlangt eine Version für Sehbehinderte mit umschaltbaren Farbschemata und Schriftvergrößerung auf zweihundert Prozent ohne waagerechtes Scrollen. Das Föderale Gesetz 152-FZ verlangt ein nicht vorab angekreuztes Einwilligungskästchen mit einem Link zur Richtlinie selbst. Das Föderale Gesetz 38-FZ verlangt, dass die Einwilligung in Werbung ein eigenes Kästchen ist, nie mit der Einwilligung in die Datenverarbeitung zusammengelegt.

Die Vergleichstabelle ist in dem Teil fair, der zählt: rund zweitausend komplexe Prüfungen gegen etwa fünfzig grundlegende bei Lighthouse und etwa sechzig in der Erweiterung WAVE; ein Durchgang über die Sitemap mit bis zu drei Seiten gegen eine einzige aktuelle Seite bei beiden; und eine Strafberechnung, die keines der aufgeführten Werkzeuge überhaupt bietet.

Dann folgen Zahlen, deren Herkunft offen genannt wird, und das sollte man behalten. Prüftiefe — bis zu dreißigmal mehr Parameter, nach interner Schätzung. Fehlalarme um etwa fünfundachtzig Prozent gesenkt — nach interner Schätzung. Behebungszeit um etwa siebzig Prozent verkürzt — nach eigener Schätzung des Teams. Das sind Schätzungen, keine Messungen Dritter, und der Artikel kennzeichnet sie so.

Das Orakel steht am Eingang eines Trichters für Kaltakquise: Dreißig Domains und neunzig aufgewärmte Postfächer verschicken täglich persönliche Audits, und jeder Brief enthält die tatsächlichen Verstöße des Empfängers und die Höhe des möglichen Bußgelds. Das Angebot ist eines: die kritischen Schwachstellen binnen achtundvierzig Stunden mit KI-Agenten schließen, für einmalig fünfhundert Dollar. Danach zieht der Kunde auf das Hosting von AIfa Works um, wo sich die Prüfung monatlich im Hintergrund wiederholt.

Zahlungen laufen über einen Solana-Smart-Contract mit fester Aufteilung: fünf Prozent an den Gründerfonds, fünf zur Verbrennung, fünfzehn, sieben und drei Prozent an die drei Botschafterebenen, fünfundsechzig Prozent an die Schatzkammer zum Kauf von AR. Die Tokenmenge ist auf zehn Milliarden begrenzt. Partnerauszahlungen werden als Netzvalidierungsgebühr geführt, und wer sich in Token auszahlen lässt, bekommt höhere Sätze von acht, vier und zwei Prozent, wobei die Plattform die nötige Menge am offenen Markt kauft.

Der Fahrplan hat drei Phasen, und keine ist für abgeschlossen erklärt. Das dritte Quartal 2026 ist für eine GitHub Action und ein GitLab-CI-Plugin vorgesehen: Das Audit soll bei jedem Commit laufen, und der Build wird gesperrt, wenn der Code Barrierefreiheit oder Privatsphäre verletzt. Das vierte Quartal gehört Zero-Knowledge-Nachweisen: Eine Website soll einen On-Chain-Nachweis eines bestandenen Audits mit zweitausend von zweitausend Punkten vorlegen können, ohne ihr Backend offenzulegen, und ihn als komprimiertes NFT auf Solana festhalten.

Für die erste Hälfte 2027 ist geplant, die Matrix auf fünftausend Prüfungen zu erweitern, asiatische und nahöstliche Standards hinzuzufügen und das lokale Modell für Anwendungen mit über zehntausend Seiten abzustimmen. Das sind Pläne, und eine Analyse hat kein Recht, sie unter „erledigt“ abzulegen.

Das ist das ganze Manöver. Die Verstöße auf einer Website existieren, ob der Inhaber davon weiß oder nicht; Gesetz und Gerichte haben sie lange vor dem ersten Scan bepreist. Das Orakel fügt dem Risiko nichts hinzu — es macht das Risiko sichtbar und übersetzt es in die Einheit, in der ein Unternehmen bereits zu entscheiden weiß.