Komplify BFSG-Compliance-Plattform

Seit Juni 2025 verpflichtet das Barrierefreiheitsstärkungsgesetz viele Unternehmen, die Verbrauchern Dienstleistungen im elektronischen Geschäftsverkehr anbieten, zu barrierefreien Websites und Shops. Technischer Bezugspunkt sind in der Praxis die Erfolgskriterien der WCAG auf den Stufen A und AA.

Die Prevision UG hat Komplify für Unternehmen entwickeln lassen, die diese Anforderungen prüfen müssen, aber keine eigenen Fachleute für Barrierefreiheit haben, vor allem kleine und mittlere Unternehmen. Sie sollen ohne Vorwissen erkennen, wo ihre Website Barrieren hat, wie schwer diese wiegen und was konkret zu tun ist.

Die Oberfläche, alle Befunde und Berichte gibt es auf Deutsch und Englisch. Nutzer melden sich per E-Mail, Google oder Microsoft an, der kostenlose Einstieg funktioniert ganz ohne Konto.

Automatische Tests decken nur einen Teil der WCAG ab. Ob ein Alternativtext sinnvoll ist oder eine Fokusreihenfolge logisch, lässt sich maschinell oft nur teilweise beurteilen. Die Plattform muss deshalb klar trennen, was eindeutig ein Verstoß ist, was ein Mensch prüfen sollte und was sich gar nicht automatisch prüfen lässt. Ein Werkzeug, das Fehlalarme als Verstöße meldet, verliert das Vertrauen seiner Nutzer.

Technisch heißt das, fremde Websites in einem echten Browser zu laden, über viele Unterseiten zu crawlen und auch Tastaturbedienung und Fokusverhalten zu testen. Der Scanner verarbeitet dabei beliebige Adressen aus dem Internet und muss entsprechend abgesichert laufen.

Dazu kamen Produktanforderungen: ein kostenloser Einstieg, Pläne mit unterschiedlichem Prüfumfang, wiederkehrende Scans, Hosting in Frankfurt und ein sparsamer Umgang mit personenbezogenen Daten. Scans sollten nur bei Bedarf Rechenleistung belegen, ohne dauerhaft laufende Scan-Server.

Ohne Konto prüfen Besucher eine einzelne Seite und erhalten einen Score mit den wichtigsten Befunden. Registrierte Nutzer legen Domains an und wählen zwischen drei Scan-Stufen: Light prüft eine Seite mit axe-core, Normal ergänzt eigene Heuristiken und seitenübergreifende Checks, Deep crawlt bis zu 100 Unterseiten und testet zusätzlich Tastaturbedienung, Fokus und KI-gestützte Kriterien.

Jeder Befund nennt das WCAG-Kriterium, die Schwere, die betroffenen Nutzergruppen und eine verständliche Empfehlung mit Codebeispiel. Befunde sind nach Prüfsicherheit getrennt: eindeutige Verstöße, Hinweise zur manuellen Prüfung und KI-gestützte Einschätzungen. Geprüfte Fehlalarme lassen sich mit Begründung ausblenden, Kriterien ohne automatischen Test arbeiten Nutzer in einer WCAG-Checkliste ab.

Komplify besteht aus Website und Dashboard, API und Scanner, verbunden durch ein gemeinsames TypeScript-Paket für WCAG-Metadaten und Bewertungslogik. Das Frontend ist mit Next.js, Tailwind CSS, shadcn/ui und SWR gebaut und wird statisch über S3 und CloudFront ausgeliefert. Die API ist eine Fastify-Anwendung mit Prisma, Zod und PostgreSQL, die als Lambda-Funktion hinter API Gateway läuft. Die Anmeldung übernimmt Amazon Cognito, Tokens liegen in httpOnly-Cookies.

Jeder Scan ist ein Step-Functions-Workflow: initialisieren, crawlen und prüfen, Ergebnisse zusammenführen, Bericht erzeugen, Nutzer benachrichtigen. Der Scanner lädt Seiten mit Puppeteer, führt axe-core mit den Regelsätzen für WCAG 2.2 A und AA aus und ergänzt 18 Heuristiken, 4 seitenübergreifende und 5 Verhaltens-Checks. Im Deep-Scan bewerten 13 KI-Checks über Amazon Bedrock etwa Linkzweck und Überschriften, auch die Korrekturvorschläge laufen über Bedrock in der Region Frankfurt.

Der Scanner prüft Zieladressen vor jedem Aufruf und blockiert Anfragen an interne Netze, jede Seite und jeder Scan hat ein festes Zeitlimit. Alle Daten liegen in Frankfurt, jede Datenbankabfrage ist an den Eigentümer der Daten gebunden, und Logs enthalten keine personenbezogenen Daten. Nutzer können ihre Daten exportieren, beim Löschen eines Kontos werden Datenbankeinträge, Berichte, Login und Stripe-Kunde gemeinsam entfernt. IP-Adressen aus dem Gratis-Check werden nur als Hash gespeichert.

Die Infrastruktur ist mit AWS CDK in zwölf Stacks beschrieben, getrennt nach Entwicklungs- und Produktionsumgebung; in Produktion schützt AWS WAF die API. Zeitgesteuerte Funktionen starten fällige Wiederholungsscans und versenden E-Mails über Amazon SES. Backend und Scanner sind mit Vitest getestet. In GitHub Actions müssen Linting, Typprüfung und Backend-Tests bestehen, bevor Frontend, API, Scanner, Infrastruktur und Datenbankmigrationen ausgerollt werden. Stripe-Webhooks werden per Signatur geprüft und idempotent verarbeitet.

Unternehmen erhalten ohne Fachwissen eine nachvollziehbare Bestandsaufnahme ihrer Website: welche Kriterien verletzt sind, wen das betrifft und wie sich der Fehler beheben lässt. Wiederholungsscans und Benachrichtigungen zeigen, ob eine Änderung neue Barrieren erzeugt hat, und Berichte dokumentieren den jeweiligen Stand.

Komplify ist auf Deutsch und Englisch live und rechnet über Abonnements und Scan-Credits ab. Scans belegen nur während der Prüfung Rechenleistung, und die gesamte Infrastruktur ist als Code versioniert.