Befund-Center / Fixplan
wartburg.de: 30 konsolidierte Befund(e), davon 1 hoch und 18 mittel priorisiert.
Konsolidierte Arbeitsliste aus öffentlicher SaferPage-Evidenz. Betreiber müssen Befunde fachlich prüfen, interne Systeme ergänzen und nach Umsetzung erneut scannen.
Arbeitsliste
Top-Anbieter nach Risiko priorisieren, Rolle, Vertrag, TOMs, Unterauftragsverarbeiter und Transfergrundlage dokumentieren.
Nachweis: Vendor-Due-Diligence mit 6 Anbieter(n), 0 hohem Risiko, 6 AVV-/DPA-Prüfung(en) und 6 Transfer-/Jurisdiktionsfrage(n). · Quelle: vendor_due_diligenceCanonical-Tags sollten nur bewusst auf fremde Domains zeigen; sonst kann Traffic/Ranking umgeleitet werden.
Nachweis: Canonical zeigt auf fremde Domain · Quelle: findingAblehnen, Einstellungen und Akzeptieren gleichwertig anbieten und Reject technisch wirksam machen.
Nachweis: Consent-Banner mit Dark-Pattern-/UX-Risiko · Quelle: findingHeader `content-security-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Content-Security-Policy fehlt · Quelle: findingReferrer-Policy prüfen und für Anbieter wie translate-pa.googleapis.com, Google Static mindestens strict-origin-when-cross-origin oder strenger setzen.
Nachweis: Drittanbieter können vollen Referrer-Kontext erhalten · Quelle: findingFür Anbieter wie Google Static, translate.googleapis.com, Google Fonts, translate-pa.googleapis.com, translate.google.com Transfergrundlage, AVV, DPF/SCC/TIA und Datenschutzhinweise prüfen.
Nachweis: Drittland-/US-Anbieter im Browseraufruf prüfen · Quelle: findingHeader `strict-transport-security` setzen und nach Deployment erneut prüfen.
Nachweis: HSTS fehlt · Quelle: findingAblehnen oder nur notwendige Cookies im sichtbaren Banner genauso erreichbar machen wie Akzeptieren.
Nachweis: Kein sichtbarer Ablehnen-Button im Banner · Quelle: findingStraße, Hausnummer, Postleitzahl und Ort im Impressum eindeutig aufführen.
Nachweis: Ladungsfähige Anschrift im Impressum nicht klar erkannt · Quelle: findingServerantwort, Caching und Backend-Latenz prüfen.
Nachweis: Langsame Serverantwort · Quelle: findingUpgrade auf PHP 8.4 oder neuer planen; PHP 8.3 ist laut php.net seit 31.12.2025 aus aktivem Support und erhaelt nur noch Security-Fixes bis 31.12.2027.
Nachweis: PHP 8.3 erhaelt nur noch Sicherheitsfixes · Quelle: findingSensible Parameter wie E-Mail, Name, Token oder Session-IDs aus URLs entfernen und Drittanbieter-Tags auf solchen Seiten blockieren.
Nachweis: Sensible URL-Schlüssel im Drittanbieter-Kontext · Quelle: findingAuskunft, Löschung, Berichtigung, Widerspruch, Widerruf, Fristen und Antwortweg als Betreiberprozess dokumentieren.
Nachweis: Betroffenenrechte-Readiness: 90/100 Punkte, 1 Lücke(n) oder manuelle Prüfpunkte. Fokus: transparenter Anfrageweg, Datenquellen und sichere Antwortprozesse. · Quelle: rights_readinessUnnötige Drittanbieter reduzieren und die verbleibenden Kontakte in Datenschutz und Consent abbilden.
Nachweis: 41 Request(s), 6 Drittanbieter-Domain(s), davon 0 datenschutzrelevant, 0 Browser-Cookie(s), Transfer-Prüfbedarf: 5, Referrer-/URL-Leaks: 2, Fingerprinting-/Replay-Hinweise: 0. · Quelle: audit_moduleGoogle-Dienste einzeln prüfen, Consent Mode sauber setzen und Fonts möglichst lokal ausliefern.
Nachweis: Google-Tags: nein, 5 Google-nahe Domain(s), Consent-Default: nicht nötig, Analytics: nein, Werbung: nein, Fonts: ja. · Quelle: audit_moduleBefund fachlich prüfen, Maßnahme umsetzen und danach erneut scannen.
Nachweis: 4 von 9 wichtigen Security-Headern vorhanden, 4 korrekt bewertet. Keine Content-Security-Policy gefunden. · Quelle: security_headerHTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren.
Nachweis: 1 Infrastruktur-Hinweis(e), Security-Header: 4/9 vorhanden, 5 fehlen, externe Skript-Hosts: 2. · Quelle: audit_moduleAlt-Texte, Formularlabels, Button-Namen, lang-Attribut und Überschriftenstruktur für Nutzer und Screenreader prüfen.
Nachweis: 4 Bild(er) ohne alt, 0 Formularfeld(er) ohne Beschriftung, 0 Button(s) ohne Namen. · Quelle: audit_moduleReferrer-Policy härten, sensible Query-Parameter entfernen und Tracking-Parameter ohne volle Seiten-URL konfigurieren.
Nachweis: 2 Drittanbieter-Domain(s) mit Referrer-/URL-Leak-Prüfbedarf, 1 sensible Query-Kontexte. · Quelle: audit_moduleInhaltliche Bilder mit alt-Text versehen; dekorative Bilder mit leerem alt oder aria-hidden kennzeichnen.
Nachweis: Bilder ohne Alternativtext · Quelle: findingHeader `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Embedder-Policy fehlt · Quelle: findingHeader `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Opener-Policy fehlt · Quelle: findingHeader `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Resource-Policy fehlt · Quelle: findingFür statische CDN-Skripte `integrity` und passend `crossorigin` setzen oder Skripte kontrolliert lokal ausliefern.
Nachweis: Externe Skripte ohne Subresource Integrity · Quelle: findingSensible Parameter aus Links entfernen oder durch serverseitige, kurzlebige Zustände ersetzen.
Nachweis: Links mit sensiblen Query-Parametern erkannt · Quelle: findingEine kurze Beschreibung setzen, die den Zweck der Seite erklärt.
Nachweis: Meta-Description fehlt · Quelle: findingPrüfen, ob Google Fonts lokal gehostet oder in der Datenschutzerklärung und Consent-Logik sauber erklärt werden.
Nachweis: Remote-Schriften von Google erkannt · Quelle: findingBetreiber sollten ein gut sichtbares Stand- oder Aktualisierungsdatum ergänzen und die Erklärung nach technischen Änderungen prüfen.
Nachweis: Stand der Datenschutzerklärung nicht klar erkennbar · Quelle: findingPixel von wartburg.de erst nach Einwilligung laden, Zweck erklären und unnötige Bild-Tracker entfernen.
Nachweis: Tracking-Pixel oder pixelnahe Requests erkannt · Quelle: findingSkripte/CSS bündeln, defer/async nutzen und kritisches CSS priorisieren.
Nachweis: Viele potenziell blockierende Assets · Quelle: findingQuellen