{
    "schema": "https://saferpage.de/schemas/operator-action-plan.v1",
    "generated_at": "2026-06-21T04:36:20+00:00",
    "domain": "editor.melibo.de",
    "scan": {
        "id": "ba900b50-4799-42cc-b567-d38c607705fa",
        "checked_at": "2026-06-19 20:18:44.558668+02"
    },
    "summary": "editor.melibo.de Betreiber-Board: 8 Nachweisposition(en), 3 sofort, 10 ausgelagerte Hintergrundseite(n). Nach jeder Umsetzung erneut scannen; bei hoher Priorität innerhalb von 7 Tagen.",
    "status": "sofort handeln",
    "score": 44,
    "metrics": {
        "ticket_count": 8,
        "open_count": 8,
        "urgent_count": 3,
        "guide_count": 10,
        "team_count": 4,
        "scan_score": 64,
        "target_score": 80,
        "gap_to_target": 16
    },
    "links": {
        "report": "https://saferpage.de/editor.melibo.de",
        "operator_board": "https://saferpage.de/betreiber/editor.melibo.de",
        "domain_verification": "https://saferpage.de/betreiber/editor.melibo.de/verifizierung",
        "release_gate": "https://saferpage.de/release-gate/editor.melibo.de",
        "audit_response": "https://saferpage.de/audit-response/editor.melibo.de",
        "trust_data_room": "https://saferpage.de/datenraum/editor.melibo.de",
        "json": "https://saferpage.de/betreiber/editor.melibo.de/massnahmen",
        "csv": "https://saferpage.de/betreiber/editor.melibo.de/massnahmen-csv",
        "tickets_markdown": "https://saferpage.de/betreiber/editor.melibo.de/tickets",
        "consent_evidence": "https://saferpage.de/consent/editor.melibo.de/nachweise",
        "vendor_service_cards": "https://saferpage.de/anbieter/editor.melibo.de/servicekarten",
        "trust_center": "https://saferpage.de/trust/editor.melibo.de",
        "guides": "https://saferpage.de/guides",
        "rescan": "https://saferpage.de/"
    },
    "tickets": [
        {
            "ticket_id": "SP-001",
            "title": "Sensible URL-Schlüssel im Drittanbieter-Kontext",
            "area": "PII-Datenleck",
            "owner": "Datenschutz",
            "team": "Legal/Datenschutz",
            "priority": "hoch",
            "priority_score": 82,
            "sla": "7_tage",
            "status": "sofort_starten",
            "next_step": "Sensible URL-Parameter aus Drittanbieter-Requests und Referrern entfernen.",
            "acceptance_criterion": "Drittanbieter ist dokumentiert, rechtlich bewertet und im Scan als erwarteter Dienst nachvollziehbar.",
            "evidence": "Sensible URL-Parameter aus Drittanbieter-Requests und Referrern entfernen.",
            "guide_url": "/guides/referrer-und-url-leaks-vermeiden"
        },
        {
            "ticket_id": "SP-002",
            "title": "Seiten-URL wird in Drittanbieter-Requests übertragen",
            "area": "URL-Datenabfluss",
            "owner": "Website-Betrieb",
            "team": "Developer/Ops",
            "priority": "hoch",
            "priority_score": 82,
            "sla": "7_tage",
            "status": "sofort_starten",
            "next_step": "Tracking-Requests dürfen die aktuelle Seiten-URL nicht unnötig als Parameter übertragen.",
            "acceptance_criterion": "Drittanbieter ist dokumentiert, rechtlich bewertet und im Scan als erwarteter Dienst nachvollziehbar.",
            "evidence": "Tracking-Requests dürfen die aktuelle Seiten-URL nicht unnötig als Parameter übertragen.",
            "guide_url": "/guides/referrer-und-url-leaks-vermeiden"
        },
        {
            "ticket_id": "SP-003",
            "title": "Möglicherweise nicht notwendige Cookies vor Einwilligung",
            "area": "TDDDG/ePrivacy",
            "owner": "Datenschutz/Marketing",
            "team": "GTM/CMP",
            "priority": "hoch",
            "priority_score": 78,
            "sla": "7_tage",
            "status": "sofort_starten",
            "next_step": "Nicht notwendige Cookies vor Einwilligung prüfen und blockieren.",
            "acceptance_criterion": "Wiederholungsscan zeigt keine nicht erforderlichen Cookies/Tags vor Einwilligung oder nach Ablehnung.",
            "evidence": "Nicht notwendige Cookies vor Einwilligung prüfen und blockieren.",
            "guide_url": "/guides/tracking-und-consent-reparieren"
        },
        {
            "ticket_id": "SP-004",
            "title": "Content-Security-Policy fehlt",
            "area": "BSI/Security-Header",
            "owner": "Technik",
            "team": "Developer/Ops",
            "priority": "mittel",
            "priority_score": 53,
            "sla": "30_tage",
            "status": "einplanen",
            "next_step": "Content-Security-Policy schrittweise einführen.",
            "acceptance_criterion": "Security-Header/TLS-Check ist im Wiederholungsscan ohne kritischen Befund.",
            "evidence": "Content-Security-Policy schrittweise einführen.",
            "guide_url": "/guides/security-header-setzen"
        },
        {
            "ticket_id": "SP-005",
            "title": "X-Frame-Options fehlt",
            "area": "BSI/Security-Header",
            "owner": "Technik",
            "team": "Developer/Ops",
            "priority": "mittel",
            "priority_score": 53,
            "sla": "30_tage",
            "status": "einplanen",
            "next_step": "Clickjacking-Schutz per Header setzen.",
            "acceptance_criterion": "Security-Header/TLS-Check ist im Wiederholungsscan ohne kritischen Befund.",
            "evidence": "Clickjacking-Schutz per Header setzen.",
            "guide_url": "/guides/security-header-setzen"
        },
        {
            "ticket_id": "SP-006",
            "title": "Kein Impressum-Link erkannt",
            "area": "DDG/Anbieterkennzeichnung",
            "owner": "Recht/Content",
            "team": "Content/UX",
            "priority": "mittel",
            "priority_score": 53,
            "sla": "30_tage",
            "status": "einplanen",
            "next_step": "Impressum beziehungsweise Anbieterkennzeichnung sichtbar verlinken.",
            "acceptance_criterion": "Drittanbieter ist dokumentiert, rechtlich bewertet und im Scan als erwarteter Dienst nachvollziehbar.",
            "evidence": "Impressum beziehungsweise Anbieterkennzeichnung sichtbar verlinken.",
            "guide_url": "/guides/impressum-und-kontakt-sichtbar-machen"
        },
        {
            "ticket_id": "SP-007",
            "title": "Consent-Zustand: GPC mit Tracking-Hinweisen",
            "area": "Consent-Nachweis",
            "owner": "Datenschutz/Marketing",
            "team": "GTM/CMP",
            "priority": "mittel",
            "priority_score": 49,
            "sla": "30_tage",
            "status": "einplanen",
            "next_step": "Die Zustandsmatrix zeigt Datenschutz-Signale im GPC-Aufruf.",
            "acceptance_criterion": "Wiederholungsscan zeigt keine nicht erforderlichen Cookies/Tags vor Einwilligung oder nach Ablehnung.",
            "evidence": "Die Zustandsmatrix zeigt Datenschutz-Signale im GPC-Aufruf.",
            "guide_url": "/guides/tracking-und-consent-reparieren"
        },
        {
            "ticket_id": "SP-008",
            "title": "Langlebige Cookies erkannt",
            "area": "Cookie-Laufzeit",
            "owner": "Datenschutz/Marketing",
            "team": "GTM/CMP",
            "priority": "mittel",
            "priority_score": 49,
            "sla": "30_tage",
            "status": "einplanen",
            "next_step": "Langlebige Cookies auf Zweck, Erforderlichkeit und Speicherdauer prüfen.",
            "acceptance_criterion": "Wiederholungsscan zeigt keine nicht erforderlichen Cookies/Tags vor Einwilligung oder nach Ablehnung.",
            "evidence": "Langlebige Cookies auf Zweck, Erforderlichkeit und Speicherdauer prüfen.",
            "guide_url": "/guides/cookie-laufzeiten-und-zwecke-pruefen"
        }
    ],
    "tasks": [
        {
            "id": "",
            "title": "Sensible URL-Schlüssel im Drittanbieter-Kontext",
            "area": "PII-Datenleck",
            "priority": "hoch",
            "priority_score": 82,
            "owner": "Datenschutz",
            "team_route": "Legal/Datenschutz",
            "deadline": "innerhalb von 7 Tagen",
            "effort": "mittel",
            "status": "offen",
            "action": "Sensible URL-Parameter aus Drittanbieter-Requests und Referrern entfernen.",
            "evidence": "",
            "guide_url": "/guides/referrer-und-url-leaks-vermeiden"
        },
        {
            "id": "",
            "title": "Seiten-URL wird in Drittanbieter-Requests übertragen",
            "area": "URL-Datenabfluss",
            "priority": "hoch",
            "priority_score": 82,
            "owner": "Website-Betrieb",
            "team_route": "Developer/Ops",
            "deadline": "innerhalb von 7 Tagen",
            "effort": "mittel",
            "status": "offen",
            "action": "Tracking-Requests dürfen die aktuelle Seiten-URL nicht unnötig als Parameter übertragen.",
            "evidence": "",
            "guide_url": "/guides/referrer-und-url-leaks-vermeiden"
        },
        {
            "id": "",
            "title": "Möglicherweise nicht notwendige Cookies vor Einwilligung",
            "area": "TDDDG/ePrivacy",
            "priority": "hoch",
            "priority_score": 78,
            "owner": "Datenschutz/Marketing",
            "team_route": "GTM/CMP",
            "deadline": "innerhalb von 7 Tagen",
            "effort": "mittel bis hoch",
            "status": "offen",
            "action": "Nicht notwendige Cookies vor Einwilligung prüfen und blockieren.",
            "evidence": "",
            "guide_url": "/guides/tracking-und-consent-reparieren"
        },
        {
            "id": "",
            "title": "Content-Security-Policy fehlt",
            "area": "BSI/Security-Header",
            "priority": "mittel",
            "priority_score": 53,
            "owner": "Technik",
            "team_route": "Developer/Ops",
            "deadline": "innerhalb von 30 Tagen",
            "effort": "mittel",
            "status": "offen",
            "action": "Content-Security-Policy schrittweise einführen.",
            "evidence": "",
            "guide_url": "/guides/security-header-setzen"
        },
        {
            "id": "",
            "title": "X-Frame-Options fehlt",
            "area": "BSI/Security-Header",
            "priority": "mittel",
            "priority_score": 53,
            "owner": "Technik",
            "team_route": "Developer/Ops",
            "deadline": "innerhalb von 30 Tagen",
            "effort": "mittel",
            "status": "offen",
            "action": "Clickjacking-Schutz per Header setzen.",
            "evidence": "",
            "guide_url": "/guides/security-header-setzen"
        },
        {
            "id": "",
            "title": "Kein Impressum-Link erkannt",
            "area": "DDG/Anbieterkennzeichnung",
            "priority": "mittel",
            "priority_score": 53,
            "owner": "Recht/Content",
            "team_route": "Content/UX",
            "deadline": "innerhalb von 30 Tagen",
            "effort": "niedrig bis mittel",
            "status": "offen",
            "action": "Impressum beziehungsweise Anbieterkennzeichnung sichtbar verlinken.",
            "evidence": "",
            "guide_url": "/guides/impressum-und-kontakt-sichtbar-machen"
        },
        {
            "id": "",
            "title": "Consent-Zustand: GPC mit Tracking-Hinweisen",
            "area": "Consent-Nachweis",
            "priority": "mittel",
            "priority_score": 49,
            "owner": "Datenschutz/Marketing",
            "team_route": "GTM/CMP",
            "deadline": "innerhalb von 30 Tagen",
            "effort": "mittel bis hoch",
            "status": "offen",
            "action": "Die Zustandsmatrix zeigt Datenschutz-Signale im GPC-Aufruf.",
            "evidence": "",
            "guide_url": "/guides/tracking-und-consent-reparieren"
        },
        {
            "id": "",
            "title": "Langlebige Cookies erkannt",
            "area": "Cookie-Laufzeit",
            "priority": "mittel",
            "priority_score": 49,
            "owner": "Datenschutz/Marketing",
            "team_route": "GTM/CMP",
            "deadline": "innerhalb von 30 Tagen",
            "effort": "mittel bis hoch",
            "status": "offen",
            "action": "Langlebige Cookies auf Zweck, Erforderlichkeit und Speicherdauer prüfen.",
            "evidence": "",
            "guide_url": "/guides/cookie-laufzeiten-und-zwecke-pruefen"
        }
    ],
    "guide_playbook": [
        {
            "slug": "tracking-und-consent-reparieren",
            "title": "Tracking Und Consent Reparieren",
            "guide_url": "/guides/tracking-und-consent-reparieren",
            "area": "Consent & Tracking",
            "owner": "Marketing/IT/Datenschutz",
            "effort": "mittel",
            "retest": "Erstaufruf, Ablehnen, Akzeptieren und GPC getrennt scannen.",
            "evidence_required": "Consent-Screenshot, Cookie-Tabelle, Request-Liste, CMP-Konfiguration.",
            "affected_count": 8,
            "task_count": 2,
            "ticket_count": 2,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "pre_consent_nonessential_cookies",
                    "title": "Möglicherweise nicht notwendige Cookies vor Einwilligung",
                    "detail": "Prüfen, ob diese Cookies technisch notwendig sind oder erst nach Einwilligung gesetzt werden dürfen.",
                    "source": "finding"
                },
                {
                    "id": "gpc_third_party_cookies",
                    "title": "Drittanbieter-Cookies trotz GPC-Signal",
                    "detail": "Bei aktivem Global Privacy Control Drittanbieter-Cookies und Verkauf-/Sharing-Signale technisch prüfen.",
                    "source": "finding"
                },
                {
                    "id": "consent_state_gpc_evidence_review",
                    "title": "Consent-Zustand: GPC mit Tracking-Hinweisen",
                    "detail": "GPC-Aufruf auf Datenschutz-Drittanbieter, Drittanbieter-Cookies und Storage-IDs prüfen.",
                    "source": "finding"
                },
                {
                    "id": "pre_consent_nonessential_cookies",
                    "title": "Möglicherweise nicht notwendige Cookies vor Einwilligung",
                    "detail": "Nicht notwendige Cookies vor Einwilligung prüfen und blockieren.",
                    "source": "task"
                },
                {
                    "id": "consent_state_gpc_evidence_review",
                    "title": "Consent-Zustand: GPC mit Tracking-Hinweisen",
                    "detail": "Die Zustandsmatrix zeigt Datenschutz-Signale im GPC-Aufruf.",
                    "source": "task"
                }
            ]
        },
        {
            "slug": "referrer-und-url-leaks-vermeiden",
            "title": "Referrer Und Url Leaks Vermeiden",
            "guide_url": "/guides/referrer-und-url-leaks-vermeiden",
            "area": "Referrer & URL Hygiene",
            "owner": "Webentwicklung/IT",
            "effort": "klein",
            "retest": "Referrer-Header und Query-Parameter in Request-Samples kontrollieren.",
            "evidence_required": "Referrer-Policy, Tag-Konfiguration, URL-Parameter-Regel.",
            "affected_count": 7,
            "task_count": 2,
            "ticket_count": 2,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "third_party_sensitive_query_leak",
                    "title": "Sensible URL-Schlüssel im Drittanbieter-Kontext",
                    "detail": "Sensible Parameter wie E-Mail, Name, Token oder Session-IDs aus URLs entfernen und Drittanbieter-Tags auf solchen Seiten blockieren.",
                    "source": "finding"
                },
                {
                    "id": "third_party_page_url_parameter",
                    "title": "Seiten-URL wird in Drittanbieter-Requests übertragen",
                    "detail": "Tracking-/Tag-Parameter für Anbieter wie melibo.eu.auth0.com, eu.i.posthog.com so konfigurieren, dass keine unnötigen Pfade, Suchparameter oder Formularumfelder gesendet werden.",
                    "source": "finding"
                },
                {
                    "id": "third_party_sensitive_query_leak",
                    "title": "Sensible URL-Schlüssel im Drittanbieter-Kontext",
                    "detail": "Sensible URL-Parameter aus Drittanbieter-Requests und Referrern entfernen.",
                    "source": "task"
                },
                {
                    "id": "third_party_page_url_parameter",
                    "title": "Seiten-URL wird in Drittanbieter-Requests übertragen",
                    "detail": "Tracking-Requests dürfen die aktuelle Seiten-URL nicht unnötig als Parameter übertragen.",
                    "source": "task"
                },
                {
                    "id": "SP-001",
                    "title": "Sensible URL-Schlüssel im Drittanbieter-Kontext",
                    "detail": "Sensible URL-Parameter aus Drittanbieter-Requests und Referrern entfernen.",
                    "source": "ticket"
                }
            ]
        },
        {
            "slug": "impressum-und-kontakt-sichtbar-machen",
            "title": "Impressum Und Kontakt Sichtbar Machen",
            "guide_url": "/guides/impressum-und-kontakt-sichtbar-machen",
            "area": "Betreibertransparenz",
            "owner": "Legal/Content",
            "effort": "klein",
            "retest": "Footer, Kontakt, Impressum und Datenschutzlinks erneut crawlen.",
            "evidence_required": "Impressumsseite, Kontaktweg, Footer-Link, Änderungsdatum.",
            "affected_count": 5,
            "task_count": 1,
            "ticket_count": 1,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "imprint_missing",
                    "title": "Kein Impressum-Link erkannt",
                    "detail": "Für deutsche Seiten sollte ein gut sichtbares Impressum verlinkt sein.",
                    "source": "finding"
                },
                {
                    "id": "operator_contact_missing",
                    "title": "Keine klare Kontaktmöglichkeit erkannt",
                    "detail": "E-Mail, Telefonnummer, Kontaktseite oder Impressum sichtbar verlinken.",
                    "source": "finding"
                },
                {
                    "id": "imprint_missing",
                    "title": "Kein Impressum-Link erkannt",
                    "detail": "Impressum beziehungsweise Anbieterkennzeichnung sichtbar verlinken.",
                    "source": "task"
                },
                {
                    "id": "SP-006",
                    "title": "Kein Impressum-Link erkannt",
                    "detail": "Impressum beziehungsweise Anbieterkennzeichnung sichtbar verlinken.",
                    "source": "ticket"
                },
                {
                    "id": "operator_transparency",
                    "title": "Impressum, Kontakt & Datenschutzerklärung",
                    "detail": "Betreiberangaben, Kontaktweg und Datenschutzhinweise von jeder Seite aus auffindbar machen.",
                    "source": "module"
                }
            ]
        },
        {
            "slug": "cookie-laufzeiten-und-zwecke-pruefen",
            "title": "Cookie Laufzeiten Und Zwecke Pruefen",
            "guide_url": "/guides/cookie-laufzeiten-und-zwecke-pruefen",
            "area": "Cookie Inventory",
            "owner": "Marketing/IT/Datenschutz",
            "effort": "mittel",
            "retest": "Cookie- und Storage-Zustände je Consent-Status exportieren.",
            "evidence_required": "Cookie-Liste mit Zweck, Laufzeit, Kategorie, Consent-Erfordernis.",
            "affected_count": 4,
            "task_count": 1,
            "ticket_count": 1,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "long_lived_cookie",
                    "title": "Langlebige Cookies erkannt",
                    "detail": "Cookies wie ph_phc_bovlNYabru6aCSJU7MAvEIOjr3twBtk0sN2zzWjv7RS_posthog, did, did_compat auf Zweck, Erforderlichkeit und Speicherdauer prüfen und transparent erklären.",
                    "source": "finding"
                },
                {
                    "id": "long_lived_cookie",
                    "title": "Langlebige Cookies erkannt",
                    "detail": "Langlebige Cookies auf Zweck, Erforderlichkeit und Speicherdauer prüfen.",
                    "source": "task"
                },
                {
                    "id": "SP-008",
                    "title": "Langlebige Cookies erkannt",
                    "detail": "Langlebige Cookies auf Zweck, Erforderlichkeit und Speicherdauer prüfen.",
                    "source": "ticket"
                },
                {
                    "id": "cookie_inventory",
                    "title": "Cookie-Inventar",
                    "detail": "Cookie-Liste mit Zweck, Anbieter, First-/Third-Party, Secure, SameSite und Speicherdauer gegen Consent-Banner und Datenschutzerklärung abgleichen.",
                    "source": "module"
                }
            ]
        },
        {
            "slug": "datenschutz-webseiten-pruefkatalog",
            "title": "Datenschutz Webseiten Pruefkatalog",
            "guide_url": "/guides/datenschutz-webseiten-pruefkatalog",
            "area": "Programmsteuerung",
            "owner": "Programm-Owner/Datenschutz",
            "effort": "hoch",
            "retest": "Gesamten Scan nach Umsetzung der priorisierten Guides wiederholen.",
            "evidence_required": "Prioritätenliste, Owner, Exportpaket, Re-Scan und Freigabe.",
            "affected_count": 3,
            "task_count": 0,
            "ticket_count": 0,
            "priority_score": 88,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "important_pages_not_discovered",
                    "title": "Wichtige Betreiberseiten nicht vollständig in der Linkstruktur gefunden",
                    "detail": "Datenschutz und Impressum sollten von der Startseite aus klar erreichbar sein.",
                    "source": "finding"
                },
                {
                    "id": "crawl_coverage_limited",
                    "title": "Wenig interne Seiten auf der Startseite gefunden",
                    "detail": "Wichtige Seiten wie Datenschutz, Impressum, Kontakt und Cookie-Hinweise klar intern verlinken.",
                    "source": "finding"
                },
                {
                    "id": "site_coverage",
                    "title": "Seitenabdeckung & Crawl",
                    "detail": "Datenschutz, Impressum, Kontakt, Cookie-Hinweise und kritische Formularseiten klar verlinken und regelmäßig mitprüfen.",
                    "source": "module"
                }
            ]
        },
        {
            "slug": "externe-skripte-und-sri-absichern",
            "title": "Externe Skripte Und Sri Absichern",
            "guide_url": "/guides/externe-skripte-und-sri-absichern",
            "area": "Browser Supply Chain",
            "owner": "IT/Webentwicklung",
            "effort": "mittel",
            "retest": "Externe Skripte, SRI, CSP und Consent-Auslösung erneut prüfen.",
            "evidence_required": "Skriptinventar, SRI-Hashes, CSP-Report-Only-Test.",
            "affected_count": 1,
            "task_count": 0,
            "ticket_count": 0,
            "priority_score": 84,
            "status": "sprint",
            "sample_findings": [
                {
                    "id": "external_script_without_sri",
                    "title": "Externe Skripte ohne Subresource Integrity",
                    "detail": "Für statische CDN-Skripte `integrity` und passend `crossorigin` setzen oder Skripte kontrolliert lokal ausliefern.",
                    "source": "finding"
                }
            ]
        },
        {
            "slug": "security-header-setzen",
            "title": "Security Header Setzen",
            "guide_url": "/guides/security-header-setzen",
            "area": "Web Security",
            "owner": "IT/Security",
            "effort": "mittel",
            "retest": "Header, TLS, CSP und Referrer-Policy nach Deployment erneut scannen.",
            "evidence_required": "Nginx/Apache/CDN-Konfiguration, Header-Export, Rollback-Plan.",
            "affected_count": 11,
            "task_count": 2,
            "ticket_count": 2,
            "priority_score": 78,
            "status": "sprint",
            "sample_findings": [
                {
                    "id": "missing_csp",
                    "title": "Content-Security-Policy fehlt",
                    "detail": "Header `content-security-policy` setzen und nach Deployment erneut prüfen.",
                    "source": "finding"
                },
                {
                    "id": "missing_x_frame_options",
                    "title": "X-Frame-Options fehlt",
                    "detail": "Header `x-frame-options` setzen und nach Deployment erneut prüfen.",
                    "source": "finding"
                },
                {
                    "id": "missing_cross_origin_embedder_policy",
                    "title": "Cross-Origin-Embedder-Policy fehlt",
                    "detail": "Header `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.",
                    "source": "finding"
                },
                {
                    "id": "missing_cross_origin_opener_policy",
                    "title": "Cross-Origin-Opener-Policy fehlt",
                    "detail": "Header `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.",
                    "source": "finding"
                },
                {
                    "id": "missing_cross_origin_resource_policy",
                    "title": "Cross-Origin-Resource-Policy fehlt",
                    "detail": "Header `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen.",
                    "source": "finding"
                }
            ]
        },
        {
            "slug": "barrierefreiheit-cookie-banner-formulare",
            "title": "Barrierefreiheit Cookie Banner Formulare",
            "guide_url": "/guides/barrierefreiheit-cookie-banner-formulare",
            "area": "Usability & BITV",
            "owner": "UX/Content/IT",
            "effort": "mittel",
            "retest": "Tastatur, Screenreader, Kontrast und Mobilansicht manuell prüfen.",
            "evidence_required": "Testprotokoll, Screenshots, bekannte Einschränkungen.",
            "affected_count": 1,
            "task_count": 0,
            "ticket_count": 0,
            "priority_score": 74,
            "status": "sprint",
            "sample_findings": [
                {
                    "id": "heading_structure_missing",
                    "title": "Keine Überschriftenstruktur erkannt",
                    "detail": "Eine klare H1 und sinnvolle Zwischenüberschriften erleichtern Orientierung und Screenreader-Nutzung.",
                    "source": "finding"
                }
            ]
        },
        {
            "slug": "drittanbieter-datenschutz-erklaeren",
            "title": "Drittanbieter Datenschutz Erklaeren",
            "guide_url": "/guides/drittanbieter-datenschutz-erklaeren",
            "area": "Drittanbieter",
            "owner": "Legal/Vendor Owner",
            "effort": "mittel",
            "retest": "Drittanbieter-Liste gegen neue Requests und Cookies abgleichen.",
            "evidence_required": "Anbieterregister, AVV/DPA-Status, Transferbewertung, Datenschutzhinweis.",
            "affected_count": 1,
            "task_count": 0,
            "ticket_count": 0,
            "priority_score": 60,
            "status": "einplanen",
            "sample_findings": [
                {
                    "id": "browser_evidence",
                    "title": "Browser-Nachweis",
                    "detail": "Unnötige Drittanbieter reduzieren und die verbleibenden Kontakte in Datenschutz und Consent abbilden.",
                    "source": "module"
                }
            ]
        },
        {
            "slug": "drittlandtransfer-und-anbieter-pruefen",
            "title": "Drittlandtransfer Und Anbieter Pruefen",
            "guide_url": "/guides/drittlandtransfer-und-anbieter-pruefen",
            "area": "Vendor & Transfer",
            "owner": "Legal/Datenschutz",
            "effort": "hoch",
            "retest": "US-/Drittlandhosts, Anbieterrolle und Transfergrundlage erneut prüfen.",
            "evidence_required": "DPA/AVV, SCC/TIA, Subprozessorenliste, TOM-Anlage.",
            "affected_count": 1,
            "task_count": 0,
            "ticket_count": 0,
            "priority_score": 35,
            "status": "backlog",
            "sample_findings": [
                {
                    "id": "unknown_vendor_jurisdiction",
                    "title": "Anbieter-Jurisdiktion nicht klar ableitbar",
                    "detail": "Unklare Drittanbieter in Anbieterinventar, AVV-Prozess und Datenschutzerklärung nachrecherchieren.",
                    "source": "finding"
                }
            ]
        }
    ],
    "team_routing": {
        "Developer/Ops": 3,
        "GTM/CMP": 3,
        "Legal/Datenschutz": 1,
        "Content/UX": 1
    },
    "retest_workflow": {
        "capture": "Scan-ID, Screenshot, Cookie-/Request-Zeilen und betroffene Hintergrundlinks sichern.",
        "implementation": "Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Anbieterfreigabe oder Textversion dokumentieren.",
        "rescan": "Domain erneut prüfen und Position nur abschließen, wenn SaferPage-Befund behoben oder fachlich begründet ist.",
        "archive": "JSON/CSV/XLSX oder ZIP-Nachweispaket im Trust Center ablegen und intern freigeben."
    },
    "disclaimer": "Automatisch aus SaferPage-Evidenz abgeleiteter Betreiber-Arbeitsplan. Umsetzung, interne Verantwortlichkeiten und rechtliche Freigabe liegen beim Website-Betreiber."
}