Was ändert sich mit WCAG 2.2 für das BFSG?

EN 301 549 V4.1.1 hebt die Web-Kapitel der Norm auf WCAG 2.2 Stufe AA, und die Zitierung im Amtsblatt der EU wird zum 23.10.2026 erwartet. Erst mit dieser Zitierung entsteht die Vermutungswirkung, auf die sich das BFSG stützt. Bis dahin bleibt V3.2.1 mit WCAG 2.1 AA der geltende Maßstab. Neu sind sechs Erfolgskriterien der Stufen A und AA, und in unserer eigenen Nachmessung an 372 EU-Onlineshops verletzen 48,1 Prozent mindestens eines davon.

Woran die Geltung hängt

Das BFSG selbst nennt keine WCAG-Version. § 3 Absatz 2 BFSG verweist auf eine Rechtsverordnung, und Anlage 3 Nummer 2 BFSG erlaubt ausdrücklich, harmonisierte Normen ganz oder in Teilen anzuwenden und zu zitieren. Maßgeblich ist damit die Fassung von EN 301 549, die im Amtsblatt zitiert ist. Für Webinhalte ist das Kapitel 9 der Norm, das die WCAG-Erfolgskriterien übernimmt.

Praktisch heißt das: Ein Prüfbericht, dem man nicht ansieht, gegen welche Normfassung er gemessen hat, ist nach dem Stichtag schwer zu verwerten. Fragen Sie bei jedem Angebot nach der Fassung, nicht nur nach der WCAG-Nummer.

Die sechs neuen Kriterien

Weggefallen ist 4.1.1 Parsing. Ein Bericht, der 2026 noch doppelte IDs als eigenen WCAG-Verstoß führt, arbeitet mit einem veralteten Regelsatz.

Was 3.3.8 erlaubt und was nicht

Bei der barrierefreien Authentifizierung wird häufig zu viel verboten. Das Kriterium nennt vier Ausnahmen, und eine davon ist Objekt-Erkennung: Bilder anzuklicken, wie bei reCAPTCHA v2 oder hCaptcha, ist auf Stufe AA ausdrücklich zulässig. Nicht zulässig ist Transkription, also verzerrte Zeichen aus einem Bild abzutippen. Ebenfalls ein Verstoß ist es, das Einfügen aus der Zwischenablage in Passwortfelder zu blockieren, weil das zum Abtippen zwingt.

<!-- Verstoß gegen 3.3.8: zwingt zum Abtippen -->
<input type="password" onpaste="return false">

<!-- richtig: Einfügen erlaubt, Passwortmanager kann füllen -->
<input type="password" autocomplete="current-password">

Eigene Messung: 48,1 Prozent fallen zusätzlich durch

Wir haben die Onlineshops unserer EU-Stichprobe am 01.08.2026 erneut geprüft, diesmal gegen die sechs neuen Kriterien. Von 483 angefassten Shops waren 372 auswertbar, die übrigen antworteten nicht oder sperrten automatisierte Zugriffe. Gemessen wurde mit axe-core 4.12 für 2.5.8 und mit eigenen Prüfungen für 2.4.11, 3.2.6, 2.5.7 und 3.3.8, jeweils im echten Browser auf der fertig dargestellten Startseite.

Bei betroffenen Shops sind im Median drei Fokusstellen verdeckt, der höchste gemessene Wert lag bei 28. Bei den Klickzielen liegt der Median bei vier zu kleinen Zielen, der höchste Wert bei 131.

Wo diese Zahlen aufhören

• 2.4.11 ist eine Untergrenze. Pro Seite werden die ersten 60 fokussierbaren Elemente vorwärts und rückwärts durchtabbt. Auf großen Startseiten sind mehrere Hundert vorhanden, der Rest bleibt ungeprüft.
• Ziehflächen nach 2.5.7 sind nicht in die 48,1 Prozent eingerechnet. Auf 25,5 Prozent der Shops wurden welche erkannt, aber ob ein Weg mit einem einzigen Zeiger existiert, kann keine Maschine entscheiden.
• 3.3.8 ließ sich auf Startseiten fast nie beurteilen: nur fünf der 372 Shops hatten dort ein Anmeldeformular. Das ist als nicht geprüft ausgewiesen, nicht als bestanden.
• 3.3.7 Redundante Eingabe ist ohne Durchlaufen eines mehrschrittigen Ablaufs nicht messbar und deshalb nicht Teil dieser Erhebung.
• Es ist eine Stichprobe, keine Hochrechnung, und sie prüft eine Seite je Shop.

Was verbreitete Prüfwerkzeuge davon finden

Von den sechs neuen Kriterien deckt axe-core 4.12 genau eines mit einer Regel ab: target-size für 2.5.8. Diese Regel ist im Standard abgeschaltet und muss ausdrücklich zugeschaltet werden. Für 2.4.11, 2.5.7, 3.2.6, 3.3.7 und 3.3.8 existiert keine Regel. Wer also ein Werkzeug laufen lässt und ein grünes Ergebnis bekommt, hat zu fünf der sechs neuen Kriterien keine Aussage.

Was jetzt sinnvoll ist

1. Klickziele prüfen: alle Schaltflächen, Symbol-Links und Formularelemente auf mindestens 24 mal 24 Pixel bringen oder ausreichend beabstanden. Betrifft besonders Warenkorb- und Filter-Symbole.
2. Mit der Tastatur durch die eigene Seite tabben, vorwärts und rückwärts. Verschwindet ein fokussiertes Element hinter dem Kopfbereich, scroll-margin-top setzen.
3. Die Hilfe-Angebote im Seitenaufbau vergleichen: Kontaktlink, Telefonnummer und Chat sollten auf jeder Seite in derselben Reihenfolge stehen, üblicherweise über eine gemeinsame Fuß- oder Kopfzeile.
4. Im Anmeldeformular prüfen, ob Einfügen funktioniert und ob autocomplete-Kennungen gesetzt sind.
5. Erst danach neu prüfen lassen, und zwar mit Ausweis der Normfassung.

Ob das BFSG für Sie überhaupt gilt, hängt an der Unternehmensgröße: Wer Dienstleistungen anbietet und weniger als zehn Beschäftigte sowie höchstens zwei Millionen Euro Jahresumsatz oder Bilanzsumme hat, ist nach § 3 Absatz 3 BFSG ausgenommen. Beide Bedingungen müssen zusammen erfüllt sein. Wer eine erste Einschätzung möchte, kann die Startseite kostenlos vorprüfen lassen und sieht dann konkrete Befunde am eigenen Beispiel.

Dieser Beitrag gibt den Stand vom 03.08.2026 wieder und ist keine Rechtsberatung. Die Zitierung von EN 301 549 V4.1.1 im Amtsblatt der EU ist zum genannten Zeitpunkt erwartet, aber noch nicht erfolgt. Automatisierte Prüfung erfasst etwa die Hälfte der Erfolgskriterien; die übrigen erfordern eine manuelle Beurteilung.