Befund-Center / Fixplan
gehaltskompass.at: 30 konsolidierte Befund(e), davon 3 hoch und 14 mittel priorisiert.
Konsolidierte Arbeitsliste aus öffentlicher SaferPage-Evidenz. Betreiber müssen Befunde fachlich prüfen, interne Systeme ergänzen und nach Umsetzung erneut scannen.
Arbeitsliste
Top-Anbieter nach Risiko priorisieren, Rolle, Vertrag, TOMs, Unterauftragsverarbeiter und Transfergrundlage dokumentieren.
Nachweis: Vendor-Due-Diligence mit 3 Anbieter(n), 0 hohem Risiko, 3 AVV-/DPA-Prüfung(en) und 0 Transfer-/Jurisdiktionsfrage(n). · Quelle: vendor_due_diligenceUnnötige Drittanbieter reduzieren und die verbleibenden Kontakte in Datenschutz und Consent abbilden.
Nachweis: 116 Request(s), 3 Drittanbieter-Domain(s), davon 0 datenschutzrelevant, 0 Browser-Cookie(s), Transfer-Prüfbedarf: 0, Referrer-/URL-Leaks: 3, Fingerprinting-/Replay-Hinweise: 1. · Quelle: audit_moduleReferrer-Policy härten, sensible Query-Parameter entfernen und Tracking-Parameter ohne volle Seiten-URL konfigurieren.
Nachweis: 3 Drittanbieter-Domain(s) mit Referrer-/URL-Leak-Prüfbedarf, 0 sensible Query-Kontexte. · Quelle: audit_modulenavigator.sendBeacon, keepalive-Fetch und vergleichbare Telemetrie auf Consent, Anbieter und Datenminimierung prüfen.
Nachweis: Beacon-/Keepalive-Telemetrie erkannt · Quelle: findingAblehnen sollte genauso leicht auffindbar sein wie Akzeptieren.
Nachweis: Cookie-Hinweis ohne klare Ablehnen-Option · Quelle: findingReferrer-Policy prüfen und für Anbieter wie karrierekompass.at, cdn.braintrust.at, pstats11.braintrust.at mindestens strict-origin-when-cross-origin oder strenger setzen.
Nachweis: Drittanbieter können vollen Referrer-Kontext erhalten · Quelle: findingPrüfen, ob die Seite als Linkfarm, Affiliate-Brücke oder Spam-Seite dient.
Nachweis: Sehr viele externe Links erkannt · Quelle: findingTracking-/Tag-Parameter für Anbieter wie karrierekompass.at, cdn.braintrust.at, pstats11.braintrust.at so konfigurieren, dass keine unnötigen Pfade, Suchparameter oder Formularumfelder gesendet werden.
Nachweis: Seiten-URL wird in Drittanbieter-Requests übertragen · Quelle: findingZertifikat rechtzeitig erneuern; bei weniger als 7 Tagen sofort prüfen.
Nachweis: TLS-Zertifikat läuft bald ab · Quelle: findingVersteckte interne oder externe Linklisten entfernen; sie wirken wie Doorway-/Link-Spam.
Nachweis: Versteckte Links erkannt · Quelle: findingPrüfen, ob Text absichtlich vor Nutzern verborgen, aber für Suchmaschinen platziert wird.
Nachweis: Versteckter Text erkannt · Quelle: findingAuskunft, Löschung, Berichtigung, Widerspruch, Widerruf, Fristen und Antwortweg als Betreiberprozess dokumentieren.
Nachweis: Betroffenenrechte-Readiness: 80/100 Punkte, 2 Lücke(n) oder manuelle Prüfpunkte. Fokus: transparenter Anfrageweg, Datenquellen und sichere Antwortprozesse. · Quelle: rights_readinessVersteckte Inhalte, Canonical-Missbrauch und Googlebot-Abweichungen entfernen.
Nachweis: 3 SEO-Spam-Hinweis(e), 0 Cloaking-Hinweis(e). · Quelle: audit_moduleTracking, Werbung und nicht notwendige Cookies vor Zustimmung blockieren und verständlich erklären.
Nachweis: 0 Tracking-Script(s), 0 Cookie(s) vor Einwilligung, 0 Tracking-Cookie(s), Ablehnen-Option: nein, Consent-Audit: 78. · Quelle: audit_moduleExterne Skriptquellen reduzieren, statische CDN-Skripte mit SRI versehen und Tracking-/Tag-Skripte an Consent und CSP koppeln.
Nachweis: 11 externe Skript(e) von 2 Host(s), 11 ohne SRI, 0 Tracking-/Tag-nahe Skript(e). · Quelle: audit_moduleHTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren.
Nachweis: 3 Infrastruktur-Hinweis(e), Security-Header: 5/9 vorhanden, 4 fehlen, externe Skript-Hosts: 2. · Quelle: audit_modulePixel, sendBeacon, keepalive-Fetch und Link-Pings auf Consent, Zweck, Anbieter und Datenminimierung prüfen.
Nachweis: 1 Pixel-/Bildtracking-Hinweis(e), 2 Beacon-/Telemetry-Hinweis(e), 0 Link-Ping(s). · Quelle: audit_moduleInhaltliche Bilder mit alt-Text versehen; dekorative Bilder mit leerem alt oder aria-hidden kennzeichnen.
Nachweis: Bilder ohne Alternativtext · Quelle: findingbase-uri 'self' oder 'none' setzen, damit Base-Tag-Manipulation begrenzt wird.
Nachweis: CSP ohne base-uri · Quelle: findingobject-src 'none' setzen, wenn keine Plugins oder Objekte benötigt werden.
Nachweis: CSP ohne object-src · Quelle: findingHeader `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Embedder-Policy fehlt · Quelle: findingHeader `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Opener-Policy fehlt · Quelle: findingHeader `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Resource-Policy fehlt · Quelle: findingBetreiber sollten die Erklärung gegen aktuelle Cookies, Drittanbieter, Consent-Einstellungen und Formulare prüfen.
Nachweis: Datenschutzerklärung wirkt veraltet · Quelle: findingFür statische CDN-Skripte `integrity` und passend `crossorigin` setzen oder Skripte kontrolliert lokal ausliefern.
Nachweis: Externe Skripte ohne Subresource Integrity · Quelle: findingHeader `permissions-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Permissions-Policy fehlt · Quelle: findingRegistergericht und Registernummer im Impressum prüfen, sofern eine registerpflichtige Rechtsform vorliegt.
Nachweis: Registerangaben nicht klar erkannt · Quelle: findingPixel von pstats11.braintrust.at erst nach Einwilligung laden, Zweck erklären und unnötige Bild-Tracker entfernen.
Nachweis: Tracking-Pixel oder pixelnahe Requests erkannt · Quelle: findingPrüfen, ob Eingaben für Analytics, Session-Replay oder Debugging erfasst werden; sensible Felder konsequent ausschließen.
Nachweis: Viele Tastatur-/Eingabe-Listener im Browser erkannt · Quelle: findingSkripte/CSS bündeln, defer/async nutzen und kritisches CSS priorisieren.
Nachweis: Viele potenziell blockierende Assets · Quelle: findingQuellen