Befund-Center / Fixplan

pta-channel.de: priorisierte Befunde

pta-channel.de: 46 konsolidierte Befund(e), davon 7 hoch und 22 mittel priorisiert.

Konsolidierte Arbeitsliste aus öffentlicher SaferPage-Evidenz. Betreiber müssen Befunde fachlich prüfen, interne Systeme ergänzen und nach Umsetzung erneut scannen.

46 Befunde
Report Briefing Betreiber-Board JSON CSV Fixplan MD
46Befunde 7hoch 22mittel 9Quellen 20Hintergrund-Links

Arbeitsliste

Konkrete Fehler und nächste Schritte

Fixplan exportieren
CVE-2026-24072: An escalation of privilege bug in various modules in Apache HTTP 2.4.66 and earlier allows local .htaccess authors to read files with the privileges of the httpd user hoch · vulnerability · Impact 95

Pruefe die betroffene Version gegen Herstellerhinweise und aktualisiere auf eine nicht betroffene Version.

Nachweis: CVE-2026-24072: An escalation of privilege bug in various modules in Apache HTTP 2.4.66 and earlier allows local .htaccess authors to read files with the privileges of the httpd user · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Anbieterakten, AVV/DPA und Transfers prüfen hoch · Anbieter & Transfer · Impact 82

Top-Anbieter nach Risiko priorisieren, Rolle, Vertrag, TOMs, Unterauftragsverarbeiter und Transfergrundlage dokumentieren.

Nachweis: Vendor-Due-Diligence mit 26 Anbieter(n), 1 hohem Risiko, 26 AVV-/DPA-Prüfung(en) und 26 Transfer-/Jurisdiktionsfrage(n). · Quelle: vendor_due_diligence
Verantwortlich
Legal/Vendor-Verantwortung
Hintergrund-Link
öffnen
Browser-Nachweis hoch · Audit-Modul · Impact 74

Unnötige Drittanbieter reduzieren und die verbleibenden Kontakte in Datenschutz und Consent abbilden.

Nachweis: 75 Request(s), 26 Drittanbieter-Domain(s), davon 0 datenschutzrelevant, 3 Browser-Cookie(s), Transfer-Prüfbedarf: 2, Referrer-/URL-Leaks: 1, Fingerprinting-/Replay-Hinweise: 1. · Quelle: audit_module
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Consent-Audit zeigt Handlungsbedarf hoch · Consent & Tracking · Impact 64

Befund fachlich prüfen, Maßnahme umsetzen und danach erneut scannen.

Nachweis: Consent, Tracking oder Drittanbieter wirken im Erstaufruf deutlich nachbesserungsbeduerftig. · Quelle: consent_audit
Verantwortlich
Marketing/IT
Hintergrund-Link
öffnen
Datenschutz, Cookies & Consent hoch · Audit-Modul · Impact 64

Tracking, Werbung und nicht notwendige Cookies vor Zustimmung blockieren und verständlich erklären.

Nachweis: 0 Tracking-Script(s), 3 Cookie(s) vor Einwilligung, 2 Tracking-Cookie(s), Ablehnen-Option: ja, Consent-Audit: 36. · Quelle: audit_module
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Barrierefreiheit & Usability hoch · Audit-Modul · Impact 56

Alt-Texte, Formularlabels, Button-Namen, lang-Attribut und Überschriftenstruktur für Nutzer und Screenreader prüfen.

Nachweis: 21 Bild(er) ohne alt, 2 Formularfeld(er) ohne Beschriftung, 1 Button(s) ohne Namen. · Quelle: audit_module
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Barrierefreiheit und Usability prüfen hoch · Barrierefreiheit · Impact 56

Befund fachlich prüfen, Maßnahme umsetzen und danach erneut scannen.

Nachweis: 30 Bild(er), 4 Formularfeld(er), 8 Button(s) im passiven HTML-Sample auf Basis-Barrierefreiheit geprüft. · Quelle: accessibility
Verantwortlich
UX/IT
Hintergrund-Link
öffnen
Apache 2.4 wirkt deutlich veraltet mittel · vulnerability · Impact 70

Pruefen, ob der sichtbare Apache-Header durch Distribution-Backports abgesichert ist. Falls nicht, auf einen aktuellen 2.4-Patchstand aktualisieren oder ServerTokens reduzieren.

Nachweis: Apache 2.4 wirkt deutlich veraltet · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Beacon-/Keepalive-Telemetrie erkannt mittel · privacy · Impact 70

navigator.sendBeacon, keepalive-Fetch und vergleichbare Telemetrie auf Consent, Anbieter und Datenminimierung prüfen.

Nachweis: Beacon-/Keepalive-Telemetrie erkannt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Buttons ohne erkennbaren Namen mittel · accessibility · Impact 70

Buttons mit sichtbarem Text oder aria-label beschriften.

Nachweis: Buttons ohne erkennbaren Namen · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Consent-Banner mit Dark-Pattern-/UX-Risiko mittel · privacy · Impact 70

Ablehnen, Einstellungen und Akzeptieren gleichwertig anbieten und Reject technisch wirksam machen.

Nachweis: Consent-Banner mit Dark-Pattern-/UX-Risiko · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Content-Security-Policy fehlt mittel · security_headers · Impact 70

Header `content-security-policy` setzen und nach Deployment erneut prüfen.

Nachweis: Content-Security-Policy fehlt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Drittland-/US-Anbieter im Browseraufruf prüfen mittel · privacy · Impact 70

Für Anbieter wie Google Fonts, Google Fonts Transfergrundlage, AVV, DPF/SCC/TIA und Datenschutzhinweise prüfen.

Nachweis: Drittland-/US-Anbieter im Browseraufruf prüfen · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Erkannte Anbieter fehlen in der Datenschutzerklärung mittel · privacy · Impact 70

Technisch erkannte Dienste in der Datenschutzerklärung konkret mit Anbieter, Zweck, Rechtsgrundlage, Empfänger und Transferhinweis benennen.

Nachweis: Erkannte Anbieter fehlen in der Datenschutzerklärung · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Formularfelder ohne klare Beschriftung mittel · accessibility · Impact 70

Für jedes Eingabefeld ein sichtbares label, aria-label oder aria-labelledby setzen.

Nachweis: Formularfelder ohne klare Beschriftung · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
HSTS fehlt mittel · security_headers · Impact 70

Header `strict-transport-security` setzen und nach Deployment erneut prüfen.

Nachweis: HSTS fehlt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Kein sichtbarer Ablehnen-Button im Banner mittel · privacy · Impact 70

Ablehnen oder nur notwendige Cookies im sichtbaren Banner genauso erreichbar machen wie Akzeptieren.

Nachweis: Kein sichtbarer Ablehnen-Button im Banner · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Langlebige Tracking-/Marketing-Cookies mittel · privacy · Impact 70

Cookies wie _pk_id.1.ea79 auf kurze Laufzeiten begrenzen, erst nach Einwilligung setzen und Speicherdauer konkret erklären.

Nachweis: Langlebige Tracking-/Marketing-Cookies · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Seiten-URL wird in Drittanbieter-Requests übertragen mittel · privacy · Impact 70

Tracking-/Tag-Parameter für Anbieter wie track.adform.net so konfigurieren, dass keine unnötigen Pfade, Suchparameter oder Formularumfelder gesendet werden.

Nachweis: Seiten-URL wird in Drittanbieter-Requests übertragen · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Tracking-Cookies vor Einwilligung gesetzt mittel · privacy · Impact 70

Tracking-Cookies erst nach aktiver Einwilligung setzen.

Nachweis: Tracking-Cookies vor Einwilligung gesetzt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Rechte- und Anfrageprozess schließen mittel · Betroffenenrechte · Impact 62

Auskunft, Löschung, Berichtigung, Widerspruch, Widerruf, Fristen und Antwortweg als Betreiberprozess dokumentieren.

Nachweis: Betroffenenrechte-Readiness: 80/100 Punkte, 2 Lücke(n) oder manuelle Prüfpunkte. Fokus: transparenter Anfrageweg, Datenquellen und sichere Antwortprozesse. · Quelle: rights_readiness
Verantwortlich
Datenschutz/Support
Hintergrund-Link
öffnen
Cookie- und Storage-Inventar bereinigen mittel · Cookies & Storage · Impact 48

Befund fachlich prüfen, Maßnahme umsetzen und danach erneut scannen.

Nachweis: 3 Cookie(s) inventarisiert: 2 Tracking-/Werbe-Cookie(s), 1 Drittanbieter-Cookie(s), 1 langlebige Cookie(s), 0 sehr lange Laufzeit(en). · Quelle: cookie_inventory
Verantwortlich
Marketing/IT
Hintergrund-Link
öffnen
Cookie-Inventar mittel · Audit-Modul · Impact 48

Cookie-Liste mit Zweck, Anbieter, First-/Third-Party, Secure, SameSite und Speicherdauer gegen Consent-Banner und Datenschutzerklärung abgleichen.

Nachweis: 3 Cookie(s), 2 Tracking-/Werbe-Cookie(s), 1 Drittanbieter-Cookie(s), 1 langlebig, 0 sehr lang. · Quelle: audit_module
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Cookie-Banner und Ablehnen/Widerruf prüfen mittel · Consent UX · Impact 44

Befund fachlich prüfen, Maßnahme umsetzen und danach erneut scannen.

Nachweis: Consent-Banner-UX: 3 auffällige Prüfpunkt(e), davon 2 hoch. Muster: Ablehnen nicht gleichwertig sichtbar, Tracking vor Einwilligung. · Quelle: consent_banner_ux
Verantwortlich
UX/Marketing/Datenschutz
Hintergrund-Link
öffnen
Security-Header und Browser-Schutz härten mittel · Security · Impact 42

Befund fachlich prüfen, Maßnahme umsetzen und danach erneut scannen.

Nachweis: 2 von 9 wichtigen Security-Headern vorhanden, 2 korrekt bewertet. Keine Content-Security-Policy gefunden. · Quelle: security_header
Verantwortlich
IT/Security
Hintergrund-Link
öffnen
Sicherheit, TLS & Header mittel · Audit-Modul · Impact 42

HTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren.

Nachweis: 1 Infrastruktur-Hinweis(e), Security-Header: 2/9 vorhanden, 7 fehlen, externe Skript-Hosts: 3. · Quelle: audit_module
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Externe Skripte & SRI mittel · Audit-Modul · Impact 35

Externe Skriptquellen reduzieren, statische CDN-Skripte mit SRI versehen und Tracking-/Tag-Skripte an Consent und CSP koppeln.

Nachweis: 4 externe Skript(e) von 3 Host(s), 4 ohne SRI, 0 Tracking-/Tag-nahe Skript(e). · Quelle: audit_module
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Google-Dienste & Drittanbieter mittel · Audit-Modul · Impact 35

Google-Dienste einzeln prüfen, Consent Mode sauber setzen und Fonts möglichst lokal ausliefern.

Nachweis: Google-Tags: nein, 2 Google-nahe Domain(s), Consent-Default: nicht nötig, Analytics: nein, Werbung: nein, Fonts: ja. · Quelle: audit_module
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Tracking-Pixel & Beacons mittel · Audit-Modul · Impact 35

Pixel, sendBeacon, keepalive-Fetch und Link-Pings auf Consent, Zweck, Anbieter und Datenminimierung prüfen.

Nachweis: 1 Pixel-/Bildtracking-Hinweis(e), 2 Beacon-/Telemetry-Hinweis(e), 0 Link-Ping(s). · Quelle: audit_module
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Anbieter-Jurisdiktion nicht klar ableitbar niedrig · privacy · Impact 35

Unklare Drittanbieter in Anbieterinventar, AVV-Prozess und Datenschutzerklärung nachrecherchieren.

Nachweis: Anbieter-Jurisdiktion nicht klar ableitbar · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Bilder ohne Alternativtext niedrig · accessibility · Impact 35

Inhaltliche Bilder mit alt-Text versehen; dekorative Bilder mit leerem alt oder aria-hidden kennzeichnen.

Nachweis: Bilder ohne Alternativtext · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Consent-Zustand: GPC mit Tracking-Hinweisen niedrig · privacy · Impact 35

GPC-Aufruf auf Datenschutz-Drittanbieter, Drittanbieter-Cookies und Storage-IDs prüfen.

Nachweis: Consent-Zustand: GPC mit Tracking-Hinweisen · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Cross-Origin-Embedder-Policy fehlt niedrig · security_headers · Impact 35

Header `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.

Nachweis: Cross-Origin-Embedder-Policy fehlt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Cross-Origin-Opener-Policy fehlt niedrig · security_headers · Impact 35

Header `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.

Nachweis: Cross-Origin-Opener-Policy fehlt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Cross-Origin-Resource-Policy fehlt niedrig · security_headers · Impact 35

Header `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen.

Nachweis: Cross-Origin-Resource-Policy fehlt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Datenschutzerklärung wirkt veraltet niedrig · privacy · Impact 35

Prüfen Sie die Erklärung gegen aktuelle Cookies, Drittanbieter, Consent-Einstellungen und Formulare.

Nachweis: Datenschutzerklärung wirkt veraltet · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Drittanbieter-Cookies trotz GPC-Signal niedrig · privacy · Impact 35

Bei aktivem Global Privacy Control Drittanbieter-Cookies und Verkauf-/Sharing-Signale technisch prüfen.

Nachweis: Drittanbieter-Cookies trotz GPC-Signal · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Externe Skripte ohne Subresource Integrity niedrig · security_headers · Impact 35

Für statische CDN-Skripte `integrity` und passend `crossorigin` setzen oder Skripte kontrolliert lokal ausliefern.

Nachweis: Externe Skripte ohne Subresource Integrity · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Meta-Description fehlt niedrig · content · Impact 35

Eine kurze Beschreibung setzen, die den Zweck der Seite erklärt.

Nachweis: Meta-Description fehlt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Permissions-Policy fehlt niedrig · security_headers · Impact 35

Header `permissions-policy` setzen und nach Deployment erneut prüfen.

Nachweis: Permissions-Policy fehlt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Referrer-Policy fehlt niedrig · security_headers · Impact 35

Header `referrer-policy` setzen und nach Deployment erneut prüfen.

Nachweis: Referrer-Policy fehlt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Remote-Schriften von Google erkannt niedrig · privacy · Impact 35

Prüfen, ob Google Fonts lokal gehostet oder in der Datenschutzerklärung und Consent-Logik sauber erklärt werden.

Nachweis: Remote-Schriften von Google erkannt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Tracking-Pixel oder pixelnahe Requests erkannt niedrig · privacy · Impact 35

Pixel von track.adform.net erst nach Einwilligung laden, Zweck erklären und unnötige Bild-Tracker entfernen.

Nachweis: Tracking-Pixel oder pixelnahe Requests erkannt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Viele Drittanbieter-Domains beim Laden niedrig · privacy · Impact 35

Viele externe Kontakte erschweren die Datenschutz-Einordnung für Nutzer. Drittanbieter reduzieren oder klar begründen.

Nachweis: Viele Drittanbieter-Domains beim Laden · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Viele Tastatur-/Eingabe-Listener im Browser erkannt niedrig · privacy · Impact 35

Prüfen, ob Eingaben für Analytics, Session-Replay oder Debugging erfasst werden; sensible Felder konsequent ausschließen.

Nachweis: Viele Tastatur-/Eingabe-Listener im Browser erkannt · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen
Viele potenziell blockierende Assets niedrig · performance · Impact 35

Skripte/CSS bündeln, defer/async nutzen und kritisches CSS priorisieren.

Nachweis: Viele potenziell blockierende Assets · Quelle: finding
Verantwortlich
Website-Betrieb/Datenschutz
Hintergrund-Link
öffnen

Quellen

Referenzen für die Berichtsdarstellung

Cookiebot Scan Report · Scanreports listen Cookie-/Tracker-Befunde und Prior-Consent-Probleme einzeln. MDN HTTP Observatory · Security-Scanner sollten detailliertes, handlungsorientiertes Feedback liefern. Google PageSpeed Insights · Berichte trennen Kennzahlen, Diagnosen und konkrete Verbesserungsmöglichkeiten.