# Befund- und Fixplan für oeibf.at oeibf.at: 23 konsolidierte Befund(e), davon 3 hoch und 13 mittel priorisiert. Check: 2026-07-01 14:05:36.517411+02 > Konsolidierte Arbeitsliste aus öffentlicher SaferPage-Evidenz. Betreiber müssen Befunde fachlich prüfen, interne Systeme ergänzen und nach Umsetzung erneut scannen. ## CVE-2026-24072: An escalation of privilege bug in various modules in Apache HTTP 2.4.66 and earlier allows local .htaccess authors to read files with the privileges of the httpd user - Priorität: hoch / Impact 95 - Bereich: vulnerability / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: CVE-2026-24072: An escalation of privilege bug in various modules in Apache HTTP 2.4.66 and earlier allows local .htaccess authors to read files with the privileges of the httpd user - Maßnahme: Pruefe die betroffene Version gegen Herstellerhinweise und aktualisiere auf eine nicht betroffene Version. - Hintergrund-Link: https://saferpage.de/guides/sichtbare-versionen-und-cves-beheben ## Security-Header und Browser-Schutz härten - Priorität: hoch / Impact 66 - Bereich: Security / Verantwortlich: IT/Security - Nachweis: 1 von 9 wichtigen Security-Headern vorhanden, 1 korrekt bewertet. Keine Content-Security-Policy gefunden. - Maßnahme: Befund fachlich prüfen, Maßnahme umsetzen und danach erneut scannen. - Hintergrund-Link: https://saferpage.de/guides/security-header-setzen ## Sicherheit, TLS & Header - Priorität: hoch / Impact 66 - Bereich: Audit-Modul / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: 2 Infrastruktur-Hinweis(e), Security-Header: 1/9 vorhanden, 8 fehlen, externe Skript-Hosts: 0. - Maßnahme: HTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren. - Hintergrund-Link: https://saferpage.de/guides/security-header-setzen ## Apache 2.4 wirkt deutlich veraltet - Priorität: mittel / Impact 70 - Bereich: vulnerability / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Apache 2.4 wirkt deutlich veraltet - Maßnahme: Pruefen, ob der sichtbare Apache-Header durch Distribution-Backports abgesichert ist. Falls nicht, auf einen aktuellen 2.4-Patchstand aktualisieren oder ServerTokens reduzieren. - Hintergrund-Link: https://saferpage.de/guides/sichtbare-versionen-und-cves-beheben ## Buttons ohne erkennbaren Namen - Priorität: mittel / Impact 70 - Bereich: accessibility / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Buttons ohne erkennbaren Namen - Maßnahme: Buttons mit sichtbarem Text oder aria-label beschriften. - Hintergrund-Link: https://saferpage.de/guides/barrierefreiheit-cookie-banner-formulare ## Content-Security-Policy fehlt - Priorität: mittel / Impact 70 - Bereich: security_headers / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Content-Security-Policy fehlt - Maßnahme: Header `content-security-policy` setzen und nach Deployment erneut prüfen. - Hintergrund-Link: https://saferpage.de/guides/security-header-setzen ## Datenschutzerklärung deckt zentrale Bausteine nicht vollständig ab - Priorität: mittel / Impact 70 - Bereich: privacy / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Datenschutzerklärung deckt zentrale Bausteine nicht vollständig ab - Maßnahme: Verantwortlicher, Zwecke, Rechtsgrundlagen, Rechte, Speicherfristen, Empfänger, Cookies/Tracking und Widerruf strukturiert ergänzen. - Hintergrund-Link: https://saferpage.de/guides/datenschutzerklaerung-verbessern ## Google Consent Mode Default nicht erkannt - Priorität: mittel / Impact 70 - Bereich: privacy / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Google Consent Mode Default nicht erkannt - Maßnahme: Vor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied. - Hintergrund-Link: https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden ## HSTS fehlt - Priorität: mittel / Impact 70 - Bereich: security_headers / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: HSTS fehlt - Maßnahme: Header `strict-transport-security` setzen und nach Deployment erneut prüfen. - Hintergrund-Link: https://saferpage.de/guides/security-header-setzen ## Ladungsfähige Anschrift im Impressum nicht klar erkannt - Priorität: mittel / Impact 70 - Bereich: privacy / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Ladungsfähige Anschrift im Impressum nicht klar erkannt - Maßnahme: Straße, Hausnummer, Postleitzahl und Ort im Impressum eindeutig aufführen. - Hintergrund-Link: https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog ## TLS-Zertifikat läuft bald ab - Priorität: mittel / Impact 70 - Bereich: tls / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: TLS-Zertifikat läuft bald ab - Maßnahme: Zertifikat rechtzeitig erneuern; bei weniger als 7 Tagen sofort prüfen. - Hintergrund-Link: https://saferpage.de/guides/ssl-zertifikat-reparieren ## X-Content-Type-Options fehlt - Priorität: mittel / Impact 70 - Bereich: security_headers / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: X-Content-Type-Options fehlt - Maßnahme: Header `x-content-type-options` setzen und nach Deployment erneut prüfen. - Hintergrund-Link: https://saferpage.de/guides/security-header-setzen ## X-Frame-Options fehlt - Priorität: mittel / Impact 70 - Bereich: security_headers / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: X-Frame-Options fehlt - Maßnahme: Header `x-frame-options` setzen und nach Deployment erneut prüfen. - Hintergrund-Link: https://saferpage.de/guides/security-header-setzen ## Rechte- und Anfrageprozess schließen - Priorität: mittel / Impact 62 - Bereich: Betroffenenrechte / Verantwortlich: Datenschutz/Support - Nachweis: Betroffenenrechte-Readiness: 90/100 Punkte, 1 Lücke(n) oder manuelle Prüfpunkte. Fokus: transparenter Anfrageweg, Datenquellen und sichere Antwortprozesse. - Maßnahme: Auskunft, Löschung, Berichtigung, Widerspruch, Widerruf, Fristen und Antwortweg als Betreiberprozess dokumentieren. - Hintergrund-Link: https://saferpage.de/rechte/oeibf.at ## Google-Dienste & Drittanbieter - Priorität: mittel / Impact 42 - Bereich: Audit-Modul / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Google-Tags: ja, 0 Google-nahe Domain(s), Consent-Default: nein, Analytics: nein, Werbung: nein, Fonts: nein. - Maßnahme: Google-Dienste einzeln prüfen, Consent Mode sauber setzen und Fonts möglichst lokal ausliefern. - Hintergrund-Link: https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden ## Google-Tags und Consent Mode prüfen - Priorität: mittel / Impact 42 - Bereich: Google Consent Mode / Verantwortlich: GTM/Webentwicklung - Nachweis: Google-Consent-Mode-Signale wurden aus GTM/Analytics/Ads-Tags, passenden Browserkontakten und Tracking-IDs abgeleitet; reine Google-Service-Kontakte werden separat gezählt. - Maßnahme: Befund fachlich prüfen, Maßnahme umsetzen und danach erneut scannen. - Hintergrund-Link: https://saferpage.de/consent-mode/oeibf.at ## Cross-Origin-Embedder-Policy fehlt - Priorität: niedrig / Impact 35 - Bereich: security_headers / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Cross-Origin-Embedder-Policy fehlt - Maßnahme: Header `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen. - Hintergrund-Link: https://saferpage.de/guides/security-header-setzen ## Cross-Origin-Opener-Policy fehlt - Priorität: niedrig / Impact 35 - Bereich: security_headers / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Cross-Origin-Opener-Policy fehlt - Maßnahme: Header `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen. - Hintergrund-Link: https://saferpage.de/guides/security-header-setzen ## Cross-Origin-Resource-Policy fehlt - Priorität: niedrig / Impact 35 - Bereich: security_headers / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Cross-Origin-Resource-Policy fehlt - Maßnahme: Header `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen. - Hintergrund-Link: https://saferpage.de/guides/security-header-setzen ## Datenschutzerklärung wirkt veraltet - Priorität: niedrig / Impact 35 - Bereich: privacy / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Datenschutzerklärung wirkt veraltet - Maßnahme: Betreiber sollten die Erklärung gegen aktuelle Cookies, Drittanbieter, Consent-Einstellungen und Formulare prüfen. - Hintergrund-Link: https://saferpage.de/guides/datenschutzerklaerung-verbessern ## Datenschutzkontakt oder DPO-Hinweis nicht klar erkannt - Priorität: niedrig / Impact 35 - Bereich: privacy / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Datenschutzkontakt oder DPO-Hinweis nicht klar erkannt - Maßnahme: Betreiber sollten einen Datenschutzkontakt nennen oder nachvollziehbar erklären, wie Datenschutzanfragen gestellt werden können. - Hintergrund-Link: https://saferpage.de/guides/datenschutzerklaerung-verbessern ## Permissions-Policy fehlt - Priorität: niedrig / Impact 35 - Bereich: security_headers / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Permissions-Policy fehlt - Maßnahme: Header `permissions-policy` setzen und nach Deployment erneut prüfen. - Hintergrund-Link: https://saferpage.de/guides/security-header-setzen ## Viele potenziell blockierende Assets - Priorität: niedrig / Impact 35 - Bereich: performance / Verantwortlich: Website-Betrieb/Datenschutz - Nachweis: Viele potenziell blockierende Assets - Maßnahme: Skripte/CSS bündeln, defer/async nutzen und kritisches CSS priorisieren. - Hintergrund-Link: https://saferpage.de/guides/performance-und-mobile-usability-verbessern Links: - findings_center: https://saferpage.de/befunde/oeibf.at - json: https://saferpage.de/befunde/oeibf.at/export - csv: https://saferpage.de/befunde/oeibf.at/export-csv - fixplan_markdown: https://saferpage.de/befunde/oeibf.at/fixplan-md - report: https://saferpage.de/oeibf.at - briefing: https://saferpage.de/briefing/oeibf.at - operator_board: https://saferpage.de/betreiber/oeibf.at - guides: https://saferpage.de/guides