Endziel ist nicht HTTPS
hoch · transport · Impact 95
HTTP dauerhaft auf HTTPS umleiten.
Nachweis: Endziel ist nicht HTTPS · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Befund-Center / Fixplan
painal.com: priorisierte Befunde
painal.com: 37 konsolidierte Befund(e), davon 7 hoch und 18 mittel priorisiert.
Konsolidierte Arbeitsliste aus öffentlicher SaferPage-Evidenz. Betreiber müssen Befunde fachlich prüfen, interne Systeme ergänzen und nach Umsetzung erneut scannen.
37
Befunde
37Befunde
7hoch
18mittel
7Quellen
16Hintergrund-Links
Arbeitsliste
Konkrete Fehler und nächste Schritte
Anbieterakten, AVV/DPA und Transfers prüfen
hoch · Anbieter & Transfer · Impact 82
Top-Anbieter nach Risiko priorisieren, Rolle, Vertrag, TOMs, Unterauftragsverarbeiter und Transfergrundlage dokumentieren.
Nachweis: Vendor-Due-Diligence mit 2 Anbieter(n), 0 hohem Risiko, 2 AVV-/DPA-Prüfung(en) und 2 Transfer-/Jurisdiktionsfrage(n). · Quelle: vendor_due_diligence- Verantwortlich
- Legal/Vendor-Verantwortung
- Hintergrund-Link
- öffnen
Impressum, Kontakt & Datenschutzerklärung
hoch · Audit-Modul · Impact 75
Betreiberangaben, Kontaktweg und Datenschutzhinweise von jeder Seite aus auffindbar machen.
Nachweis: Impressum: nein, Datenschutz: ja, Kontakt: nein. · Quelle: audit_module- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Security-Header und Browser-Schutz härten
hoch · Security · Impact 66
Befund fachlich prüfen, Maßnahme umsetzen und danach erneut scannen.
Nachweis: 1 von 9 wichtigen Security-Headern vorhanden, 1 korrekt bewertet. CSP nur Report-Only mit 4 Direktive(n), 2 Warnung(en), 2 Hinweis(e). · Quelle: security_header- Verantwortlich
- IT/Security
- Hintergrund-Link
- öffnen
Sicherheit, TLS & Header
hoch · Audit-Modul · Impact 66
HTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren.
Nachweis: 2 Infrastruktur-Hinweis(e), Security-Header: 1/9 vorhanden, 8 fehlen, externe Skript-Hosts: 0. · Quelle: audit_module- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Consent-Audit zeigt Handlungsbedarf
hoch · Consent & Tracking · Impact 58
Befund fachlich prüfen, Maßnahme umsetzen und danach erneut scannen.
Nachweis: Consent, Tracking oder Drittanbieter wirken im Erstaufruf deutlich nachbesserungsbeduerftig. · Quelle: consent_audit- Verantwortlich
- Marketing/IT
- Hintergrund-Link
- öffnen
Datenschutz, Cookies & Consent
hoch · Audit-Modul · Impact 58
Tracking, Werbung und nicht notwendige Cookies vor Zustimmung blockieren und verständlich erklären.
Nachweis: 0 Tracking-Script(s), 1 Cookie(s) vor Einwilligung, 0 Tracking-Cookie(s), Ablehnen-Option: nein, Consent-Audit: 42. · Quelle: audit_module- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Beacon-/Keepalive-Telemetrie erkannt
mittel · privacy · Impact 70
navigator.sendBeacon, keepalive-Fetch und vergleichbare Telemetrie auf Consent, Anbieter und Datenminimierung prüfen.
Nachweis: Beacon-/Keepalive-Telemetrie erkannt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
CSP erlaubt eval-nahe Skriptausführung
mittel · security_headers · Impact 70
unsafe-eval vermeiden und betroffene Bibliotheken oder Build-Konfigurationen prüfen.
Nachweis: CSP erlaubt eval-nahe Skriptausführung · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
CSP erlaubt unsafe-inline für Skripte
mittel · security_headers · Impact 70
Inline-Skripte über Nonces oder Hashes freigeben und unsafe-inline aus script-src entfernen.
Nachweis: CSP erlaubt unsafe-inline für Skripte · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Content-Security-Policy fehlt
mittel · security_headers · Impact 70
Header `content-security-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Content-Security-Policy fehlt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Datenschutzhinweis wirkt sehr dünn
mittel · privacy · Impact 70
Datenschutzerklärung sollte Verarbeitung, Rechtsgrundlagen, Cookies/Drittanbieter und Betroffenenrechte nachvollziehbar erklären.
Nachweis: Datenschutzhinweis wirkt sehr dünn · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Drittland-/US-Anbieter im Browseraufruf prüfen
mittel · privacy · Impact 70
Für Anbieter wie Google Static, clients1.google.com Transfergrundlage, AVV, DPF/SCC/TIA und Datenschutzhinweise prüfen.
Nachweis: Drittland-/US-Anbieter im Browseraufruf prüfen · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
HSTS fehlt
mittel · security_headers · Impact 70
Header `strict-transport-security` setzen und nach Deployment erneut prüfen.
Nachweis: HSTS fehlt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Kein Impressum-Link erkannt
mittel · privacy · Impact 70
Für deutsche Seiten sollte ein gut sichtbares Impressum verlinkt sein.
Nachweis: Kein Impressum-Link erkannt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Keine klare Kontaktmöglichkeit erkannt
mittel · privacy · Impact 70
E-Mail, Telefonnummer, Kontaktseite oder Impressum sichtbar verlinken.
Nachweis: Keine klare Kontaktmöglichkeit erkannt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Möglicherweise nicht notwendige Cookies vor Einwilligung
mittel · privacy · Impact 70
Prüfen, ob diese Cookies technisch notwendig sind oder erst nach Einwilligung gesetzt werden dürfen.
Nachweis: Möglicherweise nicht notwendige Cookies vor Einwilligung · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Wichtige Betreiberseiten nicht vollständig in der Linkstruktur gefunden
mittel · crawl · Impact 70
Datenschutz und Impressum sollten von der Startseite aus klar erreichbar sein.
Nachweis: Wichtige Betreiberseiten nicht vollständig in der Linkstruktur gefunden · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
X-Content-Type-Options fehlt
mittel · security_headers · Impact 70
Header `x-content-type-options` setzen und nach Deployment erneut prüfen.
Nachweis: X-Content-Type-Options fehlt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Rechte- und Anfrageprozess schließen
mittel · Betroffenenrechte · Impact 62
Auskunft, Löschung, Berichtigung, Widerspruch, Widerruf, Fristen und Antwortweg als Betreiberprozess dokumentieren.
Nachweis: Betroffenenrechte-Readiness: 40/100 Punkte, 5 Lücke(n) oder manuelle Prüfpunkte. Fokus: transparenter Anfrageweg, Datenquellen und sichere Antwortprozesse. · Quelle: rights_readiness- Verantwortlich
- Datenschutz/Support
- Hintergrund-Link
- öffnen
Seitenabdeckung & Crawl
mittel · Audit-Modul · Impact 50
Datenschutz, Impressum, Kontakt, Cookie-Hinweise und kritische Formularseiten klar verlinken und regelmäßig mitprüfen.
Nachweis: 0 interne Linkziele erkannt, 0 priorisierte Unterseite(n) abgerufen. · Quelle: audit_module- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Wichtige Unterseiten auffindbar machen
mittel · Crawl-Abdeckung · Impact 50
Befund fachlich prüfen, Maßnahme umsetzen und danach erneut scannen.
Nachweis: 0 interne Linkziele erkannt (0 aus Sitemap), 0 priorisierte Unterseite(n) zusätzlich abgerufen. · Quelle: coverage- Verantwortlich
- Webbetrieb/SEO
- Hintergrund-Link
- öffnen
Browser-Nachweis
mittel · Audit-Modul · Impact 35
Unnötige Drittanbieter reduzieren und die verbleibenden Kontakte in Datenschutz und Consent abbilden.
Nachweis: 11 Request(s), 2 Drittanbieter-Domain(s), davon 0 datenschutzrelevant, 0 Browser-Cookie(s), Transfer-Prüfbedarf: 2, Referrer-/URL-Leaks: 0, Fingerprinting-/Replay-Hinweise: 1. · Quelle: audit_module- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Performance & mobile Nutzbarkeit
mittel · Audit-Modul · Impact 35
Antwortzeit, Komprimierung, Viewport und blockierende Ressourcen optimieren.
Nachweis: Performance-Score 94, Antwortzeit 300 ms. · Quelle: audit_module- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Tracking-Pixel & Beacons
mittel · Audit-Modul · Impact 35
Pixel, sendBeacon, keepalive-Fetch und Link-Pings auf Consent, Zweck, Anbieter und Datenminimierung prüfen.
Nachweis: 0 Pixel-/Bildtracking-Hinweis(e), 2 Beacon-/Telemetry-Hinweis(e), 0 Link-Ping(s). · Quelle: audit_module- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
CSP erlaubt sehr breite Skriptquellen
niedrig · security_headers · Impact 35
script-src auf konkrete HTTPS-Hosts, Nonces oder Hashes begrenzen.
Nachweis: CSP erlaubt sehr breite Skriptquellen · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
CSP nur im Report-Only-Modus
niedrig · security_headers · Impact 35
Report-Only ist gut zum Testen; nach Korrektur der Verstöße sollte eine wirksame Content-Security-Policy gesetzt werden.
Nachweis: CSP nur im Report-Only-Modus · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Cross-Origin-Embedder-Policy fehlt
niedrig · security_headers · Impact 35
Header `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Embedder-Policy fehlt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Cross-Origin-Opener-Policy fehlt
niedrig · security_headers · Impact 35
Header `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Opener-Policy fehlt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Cross-Origin-Resource-Policy fehlt
niedrig · security_headers · Impact 35
Header `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Resource-Policy fehlt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Keine Überschriftenstruktur erkannt
niedrig · accessibility · Impact 35
Eine klare H1 und sinnvolle Zwischenüberschriften erleichtern Orientierung und Screenreader-Nutzung.
Nachweis: Keine Überschriftenstruktur erkannt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Meta-Description fehlt
niedrig · content · Impact 35
Eine kurze Beschreibung setzen, die den Zweck der Seite erklärt.
Nachweis: Meta-Description fehlt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Permissions-Policy fehlt
niedrig · security_headers · Impact 35
Header `permissions-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Permissions-Policy fehlt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Referrer-Policy fehlt
niedrig · security_headers · Impact 35
Header `referrer-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Referrer-Policy fehlt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Viele Tastatur-/Eingabe-Listener im Browser erkannt
niedrig · privacy · Impact 35
Prüfen, ob Eingaben für Analytics, Session-Replay oder Debugging erfasst werden; sensible Felder konsequent ausschließen.
Nachweis: Viele Tastatur-/Eingabe-Listener im Browser erkannt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Viewport-Meta-Tag fehlt
niedrig · performance · Impact 35
Für mobile Darstellung `meta name=viewport` setzen.
Nachweis: Viewport-Meta-Tag fehlt · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Wenig interne Seiten auf der Startseite gefunden
niedrig · crawl · Impact 35
Wichtige Seiten wie Datenschutz, Impressum, Kontakt und Cookie-Hinweise klar intern verlinken.
Nachweis: Wenig interne Seiten auf der Startseite gefunden · Quelle: finding- Verantwortlich
- Website-Betrieb/Datenschutz
- Hintergrund-Link
- öffnen
Quellen
Referenzen für die Berichtsdarstellung
Cookiebot Scan Report · Scanreports listen Cookie-/Tracker-Befunde und Prior-Consent-Probleme einzeln.
MDN HTTP Observatory · Security-Scanner sollten detailliertes, handlungsorientiertes Feedback liefern.
Google PageSpeed Insights · Berichte trennen Kennzahlen, Diagnosen und konkrete Verbesserungsmöglichkeiten.