Glossar: Web-Tech und Web-Recht für Kanzleien

Was hier nicht passiert#

Dieses Glossar erklärt Web-Tech und Web-Recht — die Begriffe, die rund um Bau und Betrieb einer Kanzlei-Website fallen. Es ersetzt keine Steuerberatung und keine Rechtsberatung im Einzelfall (vgl. § 2 RDG, § 1 StBerG). Wo Aussagen rechtlich werden, gehört eine anwaltliche Endabnahme dazu — wir bauen die Site, prüfen die Texte aber nicht inhaltlich rechtlich.

Bereiche im Überblick#

• Recht & Berufsrecht: AVV · BFSG · BGH · BORA · DDG · DSE · DSGVO · EuGH · RDG · StBerG · StBVV · TDDDG · UWG · WCAG
• Sicherheit: COEP · COOP · CSP · DDoS · hCaptcha · Honeypot · HSTS · HTTPS · Mixed Content · reCAPTCHA · TLS · Turnstile · WAF
• Performance: AVIF · CLS · Core Web Vitals · INP · LCP · TTL · WebP · WOFF2
• Architektur & Code: ESLint · Hub-and-Spoke · Hydration · ISR · Linter · MDX · SSG · SSR · TypeScript
• KI: AI Act · Embeddings · LLM · MCP · RAG · Vector-DB
• SEO & Sichtbarkeit: GBP · JSON-LD · llms.txt · LocalBusiness · NAP · OG-Image · Schema.org · SEO
• Tools & Infrastruktur: API · CDN · Cloudflare · Next.js · Vercel

Recht & Berufsrecht#

AVV#

Kurz: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — Pflicht zwischen Verantwortlichem und Dienstleister.

Wenn ein Dienstleister (z. B. Mail-Versender, Cloud-Hoster, KI-Anbieter) personenbezogene Daten im Auftrag verarbeitet, ist ein schriftlicher Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Pflicht. Fehlt er, ist die Verarbeitung selbst dann rechtswidrig, wenn der Dienstleister technisch sicher ist.

Verwandt: DSGVO · DSE

BFSG#

Kurz: Barrierefreiheitsstärkungsgesetz — seit 28.06.2025 Pflicht für viele digitale Angebote.

Das BFSG setzt die europäische Barrierefreiheits-Richtlinie um. Seit dem 28. Juni 2025 müssen viele digitale Dienstleistungen — auch Kanzlei-Websites mit Online-Buchung oder Mandanten-Portal — barrierefrei sein nach WCAG 2.1 AA. Mindeststandards: Kontrast 4,5:1, Tastatur-Bedienbarkeit, Alt-Texte, klare Überschriften-Hierarchie.

Verwandt: WCAG

BGH#

Kurz: Bundesgerichtshof — oberstes deutsches Zivilgericht, prägt Auslegung von DSGVO/TDDDG durch Urteile.

Der BGH entscheidet als oberste Zivilgerichtsinstanz in Deutschland. Für Website-Recht relevant sind etwa das „Planet49“-Urteil (I ZR 7/16) zum Cookie-Banner und Folge-Entscheidungen zur Einwilligung. Aktenzeichen folgen dem Schema „I ZR 7/16“.

BORA#

Kurz: Berufsordnung für Rechtsanwälte — regelt u. a. zulässige Werbung (§ 6 BORA).

Die BORA konkretisiert die Berufspflichten der Rechtsanwälte (analog: BOStB für Steuerberater). § 6 BORA erlaubt sachliche Werbung, verbietet aber irreführende, reklamehafte oder vergleichende Werbung. Relevanter Maßstab für Kanzlei-Website-Texte.

Verwandt: StBerG

DDG#

Kurz: Digitale-Dienste-Gesetz — seit 2024 die deutsche Umsetzung des Digital Services Act, ersetzt das TMG.

Das Digitale-Dienste-Gesetz (DDG) hat 2024 das Telemediengesetz (TMG) abgelöst. Für Websites ist vor allem § 5 DDG relevant: die Impressumspflicht. Wer noch „§ 5 TMG“ zitiert, hat die Aktualisierung verschlafen.

Verwandt: TDDDG

DSE#

Kurz: Datenschutzerklärung — die Pflicht-Information für Website-Besucher nach Art. 13 DSGVO.

Eine Datenschutzerklärung beschreibt für jede Verarbeitung personenbezogener Daten: was wird verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange gespeichert, an welche Dritten weitergegeben. Sie muss vor der ersten Datenerhebung sichtbar verlinkt sein und inhaltlich mit dem realen Stack übereinstimmen.

Verwandt: DSGVO · AVV · DDG

DSGVO#

Kurz: EU-Datenschutz-Grundverordnung — regelt seit 2018 jede Verarbeitung personenbezogener Daten in der EU.

Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) ist seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten unmittelbar geltend. Sie regelt, wann und wie personenbezogene Daten verarbeitet werden dürfen. Für eine Kanzlei-Website betrifft das vor allem Kontaktformular-Daten, Server-Logs, eingebettete Drittanbieter und alle Mandantendaten in Online-Tools.

Verwandt: DSE · AVV · TDDDG

Quelle: DSGVO im Volltext

EuGH#

Kurz: Europäischer Gerichtshof — prägt EU-Datenschutz (Schrems II, Cookie-Urteile).

Der EuGH ist die höchste Instanz für die Auslegung von EU-Recht. „Schrems II“ (C-311/18) hat 2020 das Privacy-Shield-Abkommen mit den USA gekippt. Folge: jeder US-Datentransfer braucht zusätzliche Garantien (Standardvertragsklauseln, DPF-Zertifizierung).

RDG#

Kurz: Rechtsdienstleistungsgesetz — § 2 definiert, was nur Rechtsanwälte (und ausgewählte andere) dürfen.

Das RDG regelt, wer in Deutschland Rechtsdienstleistungen erbringen darf. § 2 RDG definiert „Rechtsdienstleistung“ weit: jede konkrete Tätigkeit in fremder Rechtsangelegenheit, die eine rechtliche Prüfung des Einzelfalls erfordert. Für FA² heißt das: wir bauen Websites, geben aber nie rechtliche Einzelfall-Bewertungen.

Verwandt: StBerG

StBerG#

Kurz: Steuerberatungsgesetz — § 1 begrenzt die geschäftsmäßige Hilfeleistung in Steuersachen auf Steuerberater.

Das Steuerberatungsgesetz regelt, wer geschäftsmäßig in Steuersachen beraten darf — nach § 1 grundsätzlich nur Steuerberater, Rechtsanwälte und einige andere. § 57a StBerG regelt zusätzlich die Werbung von Steuerberatern (sachlich, nicht reklamehaft).

Verwandt: RDG · BORA

StBVV#

Kurz: Steuerberatervergütungsverordnung — bundeseinheitliche Honorar-Grundlage für Steuerberater.

Die StBVV legt fest, wie Steuerberater ihre Leistungen abrechnen — mit Mindest- und Höchstwerten je nach Gegenstandswert. Für Kanzlei-Sites relevant, wenn Kosten-Transparenz im Leistungsbereich kommuniziert wird.

Verwandt: StBerG

TDDDG#

Kurz: Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz — regelt seit 2024 § 25 zur Cookie-Einwilligung.

Das TDDDG (ehemals TTDSG) ist die deutsche Umsetzung der ePrivacy-Richtlinie. § 25 TDDDG verlangt eine ausdrückliche, informierte Einwilligung, bevor irgendetwas im Endgerät des Besuchers gespeichert oder ausgelesen wird, das nicht „unbedingt erforderlich“ ist — die Rechtsgrundlage für Cookie-Banner.

Verwandt: DDG · DSGVO

UWG#

Kurz: Gesetz gegen den unlauteren Wettbewerb — § 7 regelt die unzumutbare Belästigung (Spam, ungewollte Mails).

Das UWG schützt vor unlauterem Wettbewerb. § 7 UWG verbietet unzumutbare Belästigung — insbesondere Werbe-Mails ohne ausdrückliche Einwilligung. Für Newsletter heißt das: Double-Opt-In ist Pflicht. Für Cold-Outreach: in Deutschland nur per Post oder mit vorheriger Einwilligung.

Verwandt: DSGVO

WCAG#

Kurz: Web Content Accessibility Guidelines des W3C — internationaler Barrierefreiheits-Standard.

Die WCAG sind der weltweite Maßstab für barrierefreies Webdesign. Version 2.1 in Stufe AA ist das, was BFSG und EU-Recht praktisch verlangen: ausreichende Kontraste, alternative Bildbeschreibungen, fokussierbare Bedienelemente, semantisches HTML, Tastatur-Vollbedienbarkeit.

Verwandt: BFSG

Quelle: WCAG 2.1 Quick Reference

Sicherheit#

COEP#

Kurz: Cross-Origin-Embedder-Policy — zwingt eingebettete Ressourcen zu expliziter Cross-Origin-Erlaubnis.

COEP verlangt, dass jede eingebettete Cross-Origin-Ressource entweder vom Server explizit erlaubt wird (CORP) oder über CORS angefragt wird. Zusammen mit COOP nötig für Cross-Origin-Isolation und SharedArrayBuffer.

Verwandt: COOP

COOP#

Kurz: Cross-Origin-Opener-Policy — isoliert das Browser-Tab gegenüber anderen Fenstern.

COOP ist ein Header, der verhindert, dass andere Tabs/Fenster auf das eigene Window-Objekt zugreifen. Relevant für Schutz vor Side-Channel-Angriffen wie Spectre.

Verwandt: COEP · CSP

CSP#

Kurz: Content-Security-Policy — HTTP-Header, der dem Browser sagt, welche Ressourcen er laden darf.

Die Content-Security-Policy ist ein Sicherheits-Header, mit dem die Website festlegt, von welchen Quellen Skripte, Bilder, Stile etc. geladen werden dürfen. Eine gut konfigurierte CSP verhindert Cross-Site-Scripting (XSS) strukturell. Ohne CSP kann ein eingeschleustes Script frei nach Hause telefonieren.

Verwandt: HSTS · HTTPS

Quelle: MDN: CSP

DDoS#

Kurz: Distributed Denial of Service — koordinierter Massen-Anfrage-Angriff, der eine Site lahmlegen soll.

Bei einem DDoS-Angriff überfluten viele verteilte Quellen einen Server mit Anfragen, bis er nicht mehr antwortet. Ein vorgeschaltetes CDN (Cloudflare, Vercel-Edge) fängt das auf der Netzwerk-Ebene ab, bevor der Ursprungs-Server überhaupt belastet wird.

Verwandt: WAF · CDN

hCaptcha#

Kurz: Bot-Schutz mit EU-Routing-Option, ohne Werbeprofil-Sammlung wie bei reCAPTCHA.

hCaptcha ist eine reCAPTCHA-Alternative ohne Profilbildung. Anders als Turnstile zeigt es Besuchern manchmal eine sichtbare Aufgabe — DSGVO-seitig dennoch deutlich entspannter als reCAPTCHA, sofern EU-Routing aktiviert ist.

Verwandt: Turnstile · reCAPTCHA

Honeypot#

Kurz: Versteckte Formular-Falle für Bots — leer = Mensch, ausgefüllt = Bot.

Ein Honeypot ist ein im Formular vorhandenes, aber per CSS unsichtbares Feld. Bots füllen reflexhaft jedes Feld aus, Menschen nicht. Wird das Honeypot-Feld ausgefüllt eingereicht, ist das Submit ein Bot — und wird ignoriert. Privacy-by-Design, kostenlos, ohne Drittanbieter.

Verwandt: Turnstile · reCAPTCHA

HSTS#

Kurz: HTTP-Strict-Transport-Security — zwingt den Browser, die Seite nur über HTTPS aufzurufen.

HSTS ist ein Sicherheits-Header, der Browser anweist, eine Domain für die definierte max-age ausschließlich über HTTPS zu kontaktieren — auch wenn ein Link auf HTTP zeigt. BSI empfiehlt mindestens ein Jahr (max-age=31536000).

Verwandt: CSP · HTTPS

HTTPS#

Kurz: HTTP über TLS-verschlüsselte Verbindung — Standard für alle modernen Websites.

HTTPS ist HTTP über eine verschlüsselte TLS-Verbindung. Browser markieren reine HTTP-Seiten seit 2018 als „nicht sicher“. Für eine Kanzlei-Site ist HTTPS Pflicht — sowohl rechtlich (Art. 32 DSGVO) als auch faktisch.

Verwandt: TLS · HSTS

Mixed Content#

Kurz: Unsichere HTTP-Ressourcen auf einer HTTPS-Seite — kompromittiert die Verschlüsselung.

Wenn eine HTTPS-Seite Bilder, Skripte oder Iframes über unverschlüsseltes HTTP einbindet, spricht man von Mixed Content. Moderne Browser blocken aktive Mixed Content (Skripte) automatisch und warnen bei passivem (Bilder). Häufig ein Migrationsrest von alten WordPress-Sites.

Verwandt: HTTPS · CSP

reCAPTCHA#

Kurz: Googles Bot-Schutz — funktional, aber DSGVO-kritisch wegen US-Datentransfer und Cookie-Pflicht.

Google reCAPTCHA v2/v3 ist verbreitet, aber datenschutzseitig problematisch: jeder Seiten-Aufruf löst einen Request an Google in den USA aus, ein Cookie wird gesetzt, und ohne Einwilligung des Besuchers ist das ein häufiger Abmahn-Anker. Empfohlene Alternativen: Cloudflare Turnstile, hCaptcha oder Honeypot + Rate-Limit.

Verwandt: Turnstile · Honeypot

TLS#

Kurz: Transport Layer Security — Verschlüsselungs-Protokoll unter HTTPS, Nachfolger von SSL.

TLS ist das Protokoll, das eine HTTPS-Verbindung verschlüsselt. Aktuelle Versionen sind TLS 1.2 und 1.3. TLS-Zertifikate (z. B. von Let's Encrypt) bestätigen, dass die Verbindung wirklich zu der angegebenen Domain führt.

Verwandt: HTTPS

Turnstile#

Kurz: Cloudflares cookieloser reCAPTCHA-Ersatz — Privacy-by-Design, EU-routbar, ohne Tracking.

Cloudflare Turnstile ist eine Bot-Abwehr ohne Cookies und ohne sichtbare Captcha-Aufgabe für legitime Besucher. Im Gegensatz zu Google reCAPTCHA löst Turnstile keine Cookie-Banner-Pflicht aus und sendet keine personenbezogenen Daten in Klartext an US-Server. Seit 2023 unter DPF zertifiziert.

Verwandt: reCAPTCHA · Honeypot · hCaptcha

Vertiefung: Mehr dazu

WAF#

Kurz: Web Application Firewall — filtert verdächtige HTTP-Anfragen, bevor sie den Server erreichen.

Eine WAF analysiert HTTP-Anfragen auf Angriffs-Muster (SQL-Injection, XSS, Bot-Verkehr) und blockt verdächtige, bevor sie die eigentliche Anwendung erreichen. Cloudflare bietet das als Teil seines Edge-Netzwerks an.

Verwandt: CDN · Cloudflare

Performance#

AVIF#

Kurz: Noch effizienteres Bildformat als WebP — 30–50 % kleiner, in Top-Browsern verfügbar.

AVIF ist ein moderner Codec, der bei gleicher Bildqualität noch kleinere Dateien liefert als WebP. Unterstützt von Chrome, Firefox, Safari. Modernes Bildauslieferungs-Setup gibt AVIF zuerst, fällt auf WebP zurück.

Verwandt: WebP

CLS#

Kurz: Cumulative Layout Shift — wie stark Inhalte beim Laden „springen“.

CLS misst, wie sehr sich der Seiteninhalt während des Ladens noch verschiebt — etwa wenn ein nachgeladenes Bild den Text nach unten drückt. Werte über 0,1 wirken unprofessionell und behindern Bedienung.

Verwandt: LCP · Core Web Vitals

Core Web Vitals#

Kurz: Googles drei Schlüssel-Performance-Metriken: LCP, CLS, INP.

Die Core Web Vitals sind seit 2021 Teil der Google-Suchmaschinen-Bewertung. Sie messen die Nutzerwahrnehmung beim Laden (LCP), bei der Stabilität (CLS) und bei der Interaktivität (INP). Bestanden = grüner Bereich in allen dreien.

Verwandt: LCP · CLS · INP

INP#

Kurz: Interaction to Next Paint — wie schnell die Seite auf Eingaben reagiert.

INP ist das jüngste Core-Web-Vitals-Maß (seit März 2024) und löst FID ab. Es misst, wie lange es dauert, bis nach einem Klick/Tap die Seite sichtbar reagiert. Google empfiehlt unter 200 ms.

Verwandt: LCP · CLS · Core Web Vitals

LCP#

Kurz: Largest Contentful Paint — wie schnell das größte sichtbare Element gerendert ist.

LCP ist eine der drei Core Web Vitals und misst, nach wie vielen Sekunden das größte Inhalts-Element (Bild, Headline) für den Besucher sichtbar wird. Google-Empfehlung: unter 2,5 Sekunden auf mobilen Geräten.

Verwandt: CLS · INP · Core Web Vitals

TTL#

Kurz: Time-to-Live — Cache-Lebensdauer einer Ressource in Sekunden.

Die TTL definiert, wie lange ein CDN oder Browser eine zwischengespeicherte Ressource für gültig hält, bevor es eine neue Version vom Ursprung anfordert. Niedrige TTL = aktueller Inhalt, höhere Last; hohe TTL = schneller, weniger Last.

Verwandt: CDN

WebP#

Kurz: Modernes Bildformat — 25–35 % kleiner als JPEG bei gleicher Qualität.

WebP ist ein von Google entwickeltes Bildformat, das bei vergleichbarer Qualität deutlich kleinere Dateien liefert als JPEG oder PNG. Wird von allen modernen Browsern unterstützt. Pflicht-Format für performante Kanzlei-Sites.

Verwandt: AVIF

WOFF2#

Kurz: Web-Font-Format — komprimierte Schrift-Dateien für den Browser, 30 % kleiner als WOFF.

WOFF2 (Web Open Font Format 2.0) ist das aktuelle Web-Font-Format. Self-hosted geliefert (statt von Google Fonts) hält es Mandanten-IPs vor US-Servern fern und beschleunigt die erste Schrift-Anzeige.

Architektur & Code#

ESLint#

Kurz: Statischer Code-Analyzer für JavaScript/TypeScript — fängt Style-Brüche und Anti-Patterns.

ESLint prüft JavaScript- und TypeScript-Code gegen konfigurierte Regeln und meldet Verstöße — von toten Importen bis zu Barrierefreiheits-Verstößen (über das jsx-a11y-Plugin). Pre-Commit-Hook im fahoch2-Repo, sodass Verstöße gar nicht erst in die Historie kommen.

Verwandt: TypeScript · Linter

Hub-and-Spoke#

Kurz: SEO-Architektur: eine Pillar-Seite („Hub“) verlinkt auf viele Detail-Insights („Spokes“).

Hub-and-Spoke ist ein SEO-Strukturmuster: eine zentrale, argumentierende Long-Form-Seite (der Hub) verlinkt auf viele tieferliegende Detail-Insights (die Spokes), die das Hub-Thema vertiefen. Google liest die Beziehung an internen Links ab und rankt Hub + Spokes gemeinsam.

Verwandt: SEO · JSON-LD

Vertiefung: Mehr dazu

Hydration#

Kurz: Der Schritt, in dem statisches HTML im Browser interaktiv wird — JavaScript „belebt“ das Markup.

Bei einer SSG-/SSR-Site kommt zuerst fertiges HTML beim Besucher an (= sofort sichtbar). Dann lädt der Browser das JavaScript und „hydratisiert“ das Markup — verbindet Event-Handler, State etc. Lange Hydration-Zeit verzögert Interaktivität (INP-relevant).

Verwandt: SSG · INP

ISR#

Kurz: Incremental Static Regeneration — statisches HTML, das im Hintergrund nach Ablauf neu gebaut wird.

ISR ist ein Hybrid zwischen SSG und SSR. Die Seite wird statisch ausgeliefert, aber nach einer definierten Frist (z. B. 60 s) im Hintergrund neu generiert. Selten nötig für Kanzlei-Sites, gelegentlich für Insight-Listen oder Bewertungs-Widgets.

Verwandt: SSG · SSR

Linter#

Kurz: Automatischer Prüfer für Code, Inhalt oder Konfiguration — fängt Drift, bevor sie produktiv wird.

Ein Linter ist ein Skript, das eine Datei oder einen Datensatz gegen festgelegte Regeln prüft und Verstöße meldet. Im fahoch2-Repo laufen mehrere im Pre-Commit-Hook: Voice-Linter, DSE-Konsistenz, Content-Konsistenz, Insight-Links — jeder fängt einen anderen Drift-Pfad strukturell ab.

Verwandt: ESLint · TypeScript

MDX#

Kurz: Markdown mit React-Komponenten — Schreib-Format für Insights, das interaktive Elemente erlaubt.

MDX (Markdown + JSX) erweitert klassisches Markdown um die Möglichkeit, React-Komponenten direkt im Text einzubinden. Die fahoch2-Insights nutzen reines Markdown plus einen eigenen Renderer; MDX ist die Erweiterung dafür, wenn interaktive Box-Komponenten gebraucht werden.

SSG#

Kurz: Static Site Generation — die Seite wird einmal beim Build gerendert, dann statisch ausgeliefert.

Bei SSG wird jede Seite zur Build-Zeit zu fertigem HTML gerendert und vom CDN ausgeliefert. Besucher bekommen Millisekunden-schnelle Antworten, kein Datenbank-Lookup pro Request, deutlich reduzierte Angriffsfläche. Standard-Modus für moderne Kanzlei-Sites mit Next.js.

Verwandt: SSR · ISR

SSR#

Kurz: Server-Side Rendering — die Seite wird pro Request frisch auf dem Server gerendert.

SSR rendert das HTML bei jedem einzelnen Anfrage neu — gut für hochdynamische Inhalte, schlechter für Performance und Server-Last. Für Kanzlei-Sites mit weitgehend statischem Inhalt fast nie die richtige Wahl.

Verwandt: SSG · ISR

TypeScript#

Kurz: JavaScript mit statischer Typprüfung — fängt Tippfehler und Datenform-Bruch beim Build statt im Produktivbetrieb.

TypeScript ist eine Erweiterung von JavaScript um ein Typ-System. Im strict-Modus blockt der Compiler bei jeder Typ-Inkonsistenz den Build — Refactorings, die etwas vergessen, fallen vor Live-Gang auf, nicht beim Mandanten am Bildschirm.

Verwandt: ESLint

KI#

AI Act#

Kurz: EU-Verordnung 2024/1689 — seit 2025 stufenweise gültig, regelt KI-Pflichten (z. B. Kennzeichnung).

Der EU AI Act (Verordnung 2024/1689) ist seit 02.02.2025 schrittweise in Kraft. Art. 50 verlangt, dass Besucher erkennen müssen, dass sie mit KI sprechen — Chatbots brauchen sichtbaren Hinweis. Hochrisiko-Systeme (z. B. Bewerber-Vorauswahl) bekommen zusätzliche Auflagen.

Verwandt: DSGVO

Embeddings#

Kurz: Numerische Repräsentation von Text — ähnliche Texte haben ähnliche Zahlen-Vektoren.

Ein Embedding-Modell wandelt einen Text in einen Vektor aus Zahlen um. Texte mit ähnlicher Bedeutung bekommen ähnliche Vektoren. Damit kann ein System „semantisch ähnliche“ Dokumente finden, statt nur nach Stichwörtern zu suchen. Basis jeder RAG-Architektur.

Verwandt: RAG · Vector-DB

LLM#

Kurz: Large Language Model — KI-Modell, das auf Sprach-Vorhersage trainiert ist (z. B. Claude, GPT, Llama).

Ein Large Language Model ist ein neuronales Netz mit Milliarden Parametern, trainiert auf riesige Textmengen. Es sagt das wahrscheinlichste nächste Wort vorher — daraus entstehen Antworten, Zusammenfassungen, Übersetzungen. Beispiele: Claude (Anthropic), GPT (OpenAI), Llama (Meta).

Verwandt: RAG · Embeddings

MCP#

Kurz: Model Context Protocol — offener Standard von Anthropic, mit dem LLMs sicher auf externe Tools zugreifen.

MCP ist ein 2024 von Anthropic veröffentlichter offener Standard für die Anbindung von LLMs an externe Datenquellen und Werkzeuge. Statt jede Integration als Custom-Code zu bauen, spricht das Modell ein einheitliches Protokoll — analog zu USB für Hardware.

RAG#

Kurz: Retrieval-Augmented Generation — der Bot antwortet nur aus übergebenen Dokumenten, halluziniert nicht.

Bei RAG bekommt das LLM nicht nur die Frage des Nutzers, sondern auch relevante Auszüge aus einer Dokumenten-Sammlung (gefunden über Embeddings + Vektor-DB). Das Modell ist Sprach-Engine, nicht Wissensquelle. Pflicht für Kanzlei-Bots: kein Halluzinieren, jede Antwort belegbar.

Verwandt: LLM · Embeddings · Vector-DB

Vertiefung: Mehr dazu · Mehr dazu

Vector-DB#

Kurz: Datenbank für Embedding-Vektoren — findet die ähnlichsten Dokumente in Millisekunden.

Eine Vector-DB (Chroma, Pinecone, pgvector) speichert Embedding-Vektoren und liefert in Millisekunden die top-k ähnlichsten Treffer zu einer Anfrage. Notwendiger Baustein für RAG, wenn die Dokumenten-Sammlung über ein paar Dutzend Einträge hinausgeht.

Verwandt: Embeddings · RAG

SEO & Sichtbarkeit#

GBP#

Kurz: Google Business Profile (früher My Business) — der kostenlose Karten-/Suchen-Eintrag einer Kanzlei.

Das Google Business Profile ist der wichtigste lokale Sichtbarkeits-Hebel für Kanzleien: Karten-Eintrag mit Adresse, Öffnungszeiten, Bildern, Bewertungen. Wer es nicht beansprucht hat, überlässt Google die Kontrolle. Pflicht-Schritt im lokalen SEO.

Verwandt: SEO · NAP

JSON-LD#

Kurz: Strukturierte Daten im Quelltext — maschinenlesbare Zusatz-Infos für Suchmaschinen und KI.

JSON-LD (JSON for Linking Data) wird als <script type="application/ld+json"> in den Quelltext eingebettet und enthält strukturierte Angaben (Adresse, Öffnungszeiten, Leistungen, FAQ). Google nutzt sie für Rich Results, KI-Assistenten für saubere Zitate.

Verwandt: Schema.org · LocalBusiness

llms.txt#

Kurz: Datei im Site-Root, die KI-Crawlern eine kuratierte Inhalts-Übersicht liefert.

Die /llms.txt ist eine an robots.txt angelehnte Konvention von 2024: sie zeigt KI-Crawlern (GPTBot, ClaudeBot, Google-Extended) eine markdown-formatierte Übersicht der wichtigsten Inhalte. Hilft, dass die Kanzlei in KI-Antworten korrekt zitiert wird.

Verwandt: SEO

LocalBusiness#

Kurz: Schema.org-Typ für ortsgebundene Geschäfte — Pflicht-Markup für lokale Suche.

Der LocalBusiness-Schema.org-Typ beschreibt ortsgebundene Geschäfte (Adresse, Geo-Koordinaten, Öffnungszeiten, Telefon, Leistungen). Für eine Kanzlei-Site ist er die wichtigste strukturierte-Daten-Auszeichnung: Google nimmt ihn für lokale Rich Results, KI-Antwort-Dienste für korrekte Zitate.

Verwandt: JSON-LD · Schema.org · NAP · GBP

NAP#

Kurz: Name, Address, Phone — die drei Stammdaten, die in Website, Google-Profil und Verzeichnissen exakt gleich lauten müssen.

NAP-Konsistenz ist ein zentraler Local-SEO-Faktor: Name, Adresse und Telefon einer Kanzlei müssen auf Website, Google-Business-Profil, Branchen-Verzeichnissen und Steuerberaterkammer-Liste exakt gleich lauten. Schon Tippfehler („Strasse“ vs. „Straße“) senken die lokale Auffindbarkeit.

Verwandt: SEO · GBP · LocalBusiness

OG-Image#

Kurz: Open-Graph-Bild — das Vorschaubild beim Teilen eines Links in Messengern oder Sozialen Medien.

Das OG-Image (Open Graph) wird über <meta property="og:image"> definiert und erscheint, wenn jemand den Link auf WhatsApp, LinkedIn oder anderen Plattformen teilt. Fehlt es, wirkt der geteilte Link „nackt“. Best Practice: pro Seite individuell, programmatisch generiert.

Schema.org#

Kurz: Gemeinsam von Google, Bing & Co. gepflegtes Vokabular für strukturierte Daten.

Schema.org ist das Wörterbuch, mit dem JSON-LD-Einträge ihre Felder benennen (Place, LocalBusiness, FAQPage, etc.). Eine Kanzlei-Site liefert typischerweise LocalBusiness + Organization + ggf. FAQPage als strukturierte Daten.

Verwandt: JSON-LD · LocalBusiness

SEO#

Kurz: Search Engine Optimization — Maßnahmen, damit eine Seite in Suchmaschinen besser gefunden wird.

SEO bündelt alle technischen, inhaltlichen und strukturellen Maßnahmen, mit denen eine Website in Suchmaschinen besser positioniert wird. Für Kanzlei-Sites sind drei Hebel zentral: Local-SEO (Google-Profil + LocalBusiness-Schema), Inhalts-Tiefe (eigene Insights statt Stock-Texte), technische Sauberkeit (Core Web Vitals, sitemap.xml).

Verwandt: JSON-LD · LocalBusiness · NAP · Hub-and-Spoke

Tools & Infrastruktur#

API#

Kurz: Application Programming Interface — Schnittstelle, über die Programme miteinander sprechen.

Eine API ist eine definierte Schnittstelle, über die ein Programm Funktionen oder Daten eines anderen abrufen kann. Für eine Kanzlei-Website relevant: REST-APIs für Kontaktformular-Versand, OpenAI/Anthropic-APIs für KI-Funktionen, DATEV-API für Mandanten-Bereich.

CDN#

Kurz: Content Delivery Network — globales Netzwerk an Edge-Servern, das statische Inhalte ortsnah ausliefert.

Ein CDN spiegelt statische Inhalte (HTML, Bilder, CSS, JS) auf hunderten Servern weltweit. Besucher bekommen die Antwort vom geografisch nächsten Knoten — Millisekunden statt Sekunden. Vercel und Cloudflare betreiben jeweils eigene Edge-Netze.

Verwandt: TTL · Cloudflare

Cloudflare#

Kurz: US-Anbieter für CDN, WAF, DDoS-Schutz und Turnstile — Privacy-by-Design-Ausrichtung.

Cloudflare betreibt eines der größten globalen Edge-Netzwerke und liefert CDN-Auslieferung, Web-Application-Firewall, DDoS-Schutz und cookielose Web-Analytics. Sub-Auftragsverarbeiter mit AVV, EU-Routing möglich.

Verwandt: CDN · WAF · Turnstile

Next.js#

Kurz: React-Framework für SSG/SSR/ISR — der aktuelle Standard für moderne Kanzlei-Sites.

Next.js ist ein React-basiertes Web-Framework mit eingebauter Build-Pipeline (statisches Rendering, Bild-Optimierung, Routing). Standard-Wahl für eine Kanzlei-Site, die schnell, sicher und ohne Datenbank betrieben werden soll.

Verwandt: SSG · Vercel

Vercel#

Kurz: Hosting-Plattform für moderne Web-Apps — Standard-Heimat für Next.js-Sites mit EU-Region.

Vercel hostet statisch gerenderte und serverless Web-Anwendungen mit globalem Edge-CDN. Für deutsche Kanzlei-Sites relevant: EU-Region Frankfurt, AVV verfügbar, automatische HTTPS-Zertifikate, Git-Push-zu-Deploy.

Begriff fehlt?#

Wir pflegen dieses Glossar parallel zu den FA²-Insights. Wenn Sie einen Begriff vermissen, ist das eine kurze E-Mail an kontakt@fahoch2.de — wir nehmen ihn auf und Sie bekommen Bescheid, sobald er live ist.

Quellen#

Eine vollständige Quellen-Liste je Begriff finden Sie in den jeweils verlinkten Detail-Insights. Punktuell verlinkte Primärquellen oben:

• DSGVO: DSGVO im Volltext — abgerufen 2026-06-10
• WCAG: WCAG 2.1 Quick Reference — abgerufen 2026-06-10
• CSP: MDN: CSP — abgerufen 2026-06-10

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung — keine Rechts- oder Steuerberatung. Verbindlich sind ausschließlich die jeweils geltenden Gesetzes-Fassungen und höchstrichterlichen Entscheidungen.