{
    "schema": "https://saferpage.de/schemas/operator-action-plan.v1",
    "generated_at": "2026-06-08T18:00:30+00:00",
    "domain": "internationaler-bund.de",
    "scan": {
        "id": "5d26c441-335e-487b-b2d8-092e31464ecf",
        "checked_at": "2026-06-08 10:30:41.917511+02"
    },
    "summary": "internationaler-bund.de Betreiber-Board: 8 Ticket(s), 8 sofort, 12 priorisierte Guide(s). Nach jeder Umsetzung erneut scannen; bei hoher Priorität innerhalb von 7 Tagen.",
    "status": "sofort handeln",
    "score": 4,
    "metrics": {
        "ticket_count": 8,
        "open_count": 8,
        "urgent_count": 8,
        "guide_count": 12,
        "team_count": 4,
        "scan_score": 0,
        "target_score": 40,
        "gap_to_target": 40
    },
    "links": {
        "report": "https://saferpage.de/internationaler-bund.de",
        "operator_board": "https://saferpage.de/betreiber/internationaler-bund.de",
        "json": "https://saferpage.de/betreiber/internationaler-bund.de/massnahmen",
        "csv": "https://saferpage.de/betreiber/internationaler-bund.de/massnahmen-csv",
        "tickets_markdown": "https://saferpage.de/betreiber/internationaler-bund.de/tickets",
        "consent_evidence": "https://saferpage.de/consent/internationaler-bund.de/nachweise",
        "vendor_service_cards": "https://saferpage.de/anbieter/internationaler-bund.de/servicekarten",
        "trust_center": "https://saferpage.de/trust/internationaler-bund.de",
        "guides": "https://saferpage.de/guides",
        "rescan": "https://saferpage.de/"
    },
    "tickets": [
        {
            "ticket_id": "SP-001",
            "title": "CSP erlaubt unsafe-inline für Skripte",
            "area": "BSI/Security-Header",
            "owner": "Technik",
            "team": "Developer/Ops",
            "priority": "hoch",
            "priority_score": 82,
            "sla": "7_tage",
            "status": "sofort_starten",
            "next_step": "Inline-Skripte über Nonces oder Hashes statt unsafe-inline freigeben.",
            "acceptance_criterion": "Security-Header/TLS-Check ist im Wiederholungsscan ohne kritischen Befund.",
            "evidence": "Inline-Skripte über Nonces oder Hashes statt unsafe-inline freigeben.",
            "guide_url": "/guides/security-header-setzen"
        },
        {
            "ticket_id": "SP-002",
            "title": "CSP erlaubt eval-nahe Skriptausführung",
            "area": "BSI/Security-Header",
            "owner": "Technik",
            "team": "Developer/Ops",
            "priority": "hoch",
            "priority_score": 82,
            "sla": "7_tage",
            "status": "sofort_starten",
            "next_step": "unsafe-eval aus script-src entfernen oder betroffene Bibliotheken ersetzen.",
            "acceptance_criterion": "Security-Header/TLS-Check ist im Wiederholungsscan ohne kritischen Befund.",
            "evidence": "unsafe-eval aus script-src entfernen oder betroffene Bibliotheken ersetzen.",
            "guide_url": "/guides/security-header-setzen"
        },
        {
            "ticket_id": "SP-003",
            "title": "Formularfelder ohne klare Beschriftung",
            "area": "Barrierefreiheit/Usability",
            "owner": "UX/Content",
            "team": "Content/UX",
            "priority": "hoch",
            "priority_score": 82,
            "sla": "7_tage",
            "status": "sofort_starten",
            "next_step": "Formularfelder müssen für Tastatur und Screenreader verständlich beschriftet sein.",
            "acceptance_criterion": "Betroffener UI-Bereich ist per Tastatur bedienbar und automatisierter Accessibility-Check verbessert.",
            "evidence": "Formularfelder müssen für Tastatur und Screenreader verständlich beschriftet sein.",
            "guide_url": "/guides/barrierefreiheit-cookie-banner-formulare"
        },
        {
            "ticket_id": "SP-004",
            "title": "Dateneingabe ohne klaren Datenschutzkontext",
            "area": "DSGVO/Transparenz",
            "owner": "Datenschutz",
            "team": "Legal/Datenschutz",
            "priority": "hoch",
            "priority_score": 82,
            "sla": "7_tage",
            "status": "sofort_starten",
            "next_step": "Datenschutzhinweise in Formularnähe ergänzen.",
            "acceptance_criterion": "Befund ist im Wiederholungsscan behoben oder fachlich dokumentiert begründet.",
            "evidence": "Datenschutzhinweise in Formularnähe ergänzen.",
            "guide_url": "/guides/formulare-datenschutzkonform-absichern"
        },
        {
            "ticket_id": "SP-005",
            "title": "Formular-Unterseite ohne klaren Datenschutzkontext",
            "area": "DSGVO/Transparenz",
            "owner": "Datenschutz",
            "team": "Legal/Datenschutz",
            "priority": "hoch",
            "priority_score": 82,
            "sla": "7_tage",
            "status": "sofort_starten",
            "next_step": "Formularseiten brauchen direkt erreichbare Datenschutzinformationen.",
            "acceptance_criterion": "Befund ist im Wiederholungsscan behoben oder fachlich dokumentiert begründet.",
            "evidence": "Formularseiten brauchen direkt erreichbare Datenschutzinformationen.",
            "guide_url": "/guides/formulare-datenschutzkonform-absichern"
        },
        {
            "ticket_id": "SP-006",
            "title": "Drittanbieter können vollen Referrer-Kontext erhalten",
            "area": "Referrer-Datenabfluss",
            "owner": "Website-Betrieb",
            "team": "Developer/Ops",
            "priority": "hoch",
            "priority_score": 82,
            "sla": "7_tage",
            "status": "sofort_starten",
            "next_step": "Referrer-Policy so setzen, dass Drittanbieter keine vollen Pfade oder Suchparameter erhalten.",
            "acceptance_criterion": "Drittanbieter ist dokumentiert, rechtlich bewertet und im Scan als erwarteter Dienst nachvollziehbar.",
            "evidence": "Referrer-Policy so setzen, dass Drittanbieter keine vollen Pfade oder Suchparameter erhalten.",
            "guide_url": "/guides/referrer-und-url-leaks-vermeiden"
        },
        {
            "ticket_id": "SP-007",
            "title": "Consent-Zustand: Ablehnen löst weiterhin Datenschutz-Signale aus",
            "area": "Consent-Nachweis",
            "owner": "Datenschutz/Marketing",
            "team": "GTM/CMP",
            "priority": "hoch",
            "priority_score": 78,
            "sla": "7_tage",
            "status": "sofort_starten",
            "next_step": "Die Zustandsmatrix zeigt Datenschutz-Signale nach Ablehnen.",
            "acceptance_criterion": "Wiederholungsscan zeigt keine nicht erforderlichen Cookies/Tags vor Einwilligung oder nach Ablehnung.",
            "evidence": "Die Zustandsmatrix zeigt Datenschutz-Signale nach Ablehnen.",
            "guide_url": "/guides/tracking-und-consent-reparieren"
        },
        {
            "ticket_id": "SP-008",
            "title": "Google Consent Mode Default nicht erkannt",
            "area": "DSGVO/Google-Dienste",
            "owner": "Datenschutz/Marketing",
            "team": "GTM/CMP",
            "priority": "hoch",
            "priority_score": 78,
            "sla": "7_tage",
            "status": "sofort_starten",
            "next_step": "Google-Tags brauchen vor dem ersten Tag klare Consent-Defaults.",
            "acceptance_criterion": "Wiederholungsscan zeigt keine nicht erforderlichen Cookies/Tags vor Einwilligung oder nach Ablehnung.",
            "evidence": "Google-Tags brauchen vor dem ersten Tag klare Consent-Defaults.",
            "guide_url": "/guides/google-dienste-datenschutzfreundlich-einbinden"
        }
    ],
    "tasks": [
        {
            "id": "",
            "title": "CSP erlaubt unsafe-inline für Skripte",
            "area": "BSI/Security-Header",
            "priority": "hoch",
            "priority_score": 82,
            "owner": "Technik",
            "team_route": "Developer/Ops",
            "deadline": "innerhalb von 7 Tagen",
            "effort": "mittel",
            "status": "offen",
            "action": "Inline-Skripte über Nonces oder Hashes statt unsafe-inline freigeben.",
            "evidence": "",
            "guide_url": "/guides/security-header-setzen"
        },
        {
            "id": "",
            "title": "CSP erlaubt eval-nahe Skriptausführung",
            "area": "BSI/Security-Header",
            "priority": "hoch",
            "priority_score": 82,
            "owner": "Technik",
            "team_route": "Developer/Ops",
            "deadline": "innerhalb von 7 Tagen",
            "effort": "mittel",
            "status": "offen",
            "action": "unsafe-eval aus script-src entfernen oder betroffene Bibliotheken ersetzen.",
            "evidence": "",
            "guide_url": "/guides/security-header-setzen"
        },
        {
            "id": "",
            "title": "Formularfelder ohne klare Beschriftung",
            "area": "Barrierefreiheit/Usability",
            "priority": "hoch",
            "priority_score": 82,
            "owner": "UX/Content",
            "team_route": "Content/UX",
            "deadline": "innerhalb von 7 Tagen",
            "effort": "mittel",
            "status": "offen",
            "action": "Formularfelder müssen für Tastatur und Screenreader verständlich beschriftet sein.",
            "evidence": "",
            "guide_url": "/guides/barrierefreiheit-cookie-banner-formulare"
        },
        {
            "id": "",
            "title": "Dateneingabe ohne klaren Datenschutzkontext",
            "area": "DSGVO/Transparenz",
            "priority": "hoch",
            "priority_score": 82,
            "owner": "Datenschutz",
            "team_route": "Legal/Datenschutz",
            "deadline": "innerhalb von 7 Tagen",
            "effort": "niedrig bis mittel",
            "status": "offen",
            "action": "Datenschutzhinweise in Formularnähe ergänzen.",
            "evidence": "",
            "guide_url": "/guides/formulare-datenschutzkonform-absichern"
        },
        {
            "id": "",
            "title": "Formular-Unterseite ohne klaren Datenschutzkontext",
            "area": "DSGVO/Transparenz",
            "priority": "hoch",
            "priority_score": 82,
            "owner": "Datenschutz",
            "team_route": "Legal/Datenschutz",
            "deadline": "innerhalb von 7 Tagen",
            "effort": "niedrig bis mittel",
            "status": "offen",
            "action": "Formularseiten brauchen direkt erreichbare Datenschutzinformationen.",
            "evidence": "",
            "guide_url": "/guides/formulare-datenschutzkonform-absichern"
        },
        {
            "id": "",
            "title": "Drittanbieter können vollen Referrer-Kontext erhalten",
            "area": "Referrer-Datenabfluss",
            "priority": "hoch",
            "priority_score": 82,
            "owner": "Website-Betrieb",
            "team_route": "Developer/Ops",
            "deadline": "innerhalb von 7 Tagen",
            "effort": "mittel",
            "status": "offen",
            "action": "Referrer-Policy so setzen, dass Drittanbieter keine vollen Pfade oder Suchparameter erhalten.",
            "evidence": "",
            "guide_url": "/guides/referrer-und-url-leaks-vermeiden"
        },
        {
            "id": "",
            "title": "Consent-Zustand: Ablehnen löst weiterhin Datenschutz-Signale aus",
            "area": "Consent-Nachweis",
            "priority": "hoch",
            "priority_score": 78,
            "owner": "Datenschutz/Marketing",
            "team_route": "GTM/CMP",
            "deadline": "innerhalb von 7 Tagen",
            "effort": "mittel bis hoch",
            "status": "offen",
            "action": "Die Zustandsmatrix zeigt Datenschutz-Signale nach Ablehnen.",
            "evidence": "",
            "guide_url": "/guides/tracking-und-consent-reparieren"
        },
        {
            "id": "",
            "title": "Google Consent Mode Default nicht erkannt",
            "area": "DSGVO/Google-Dienste",
            "priority": "hoch",
            "priority_score": 78,
            "owner": "Datenschutz/Marketing",
            "team_route": "GTM/CMP",
            "deadline": "innerhalb von 7 Tagen",
            "effort": "mittel bis hoch",
            "status": "offen",
            "action": "Google-Tags brauchen vor dem ersten Tag klare Consent-Defaults.",
            "evidence": "",
            "guide_url": "/guides/google-dienste-datenschutzfreundlich-einbinden"
        }
    ],
    "guide_playbook": [
        {
            "slug": "formulare-datenschutzkonform-absichern",
            "title": "Formulare Datenschutzkonform Absichern",
            "guide_url": "/guides/formulare-datenschutzkonform-absichern",
            "area": "Formulare",
            "owner": "Webentwicklung/Datenschutz",
            "effort": "mittel",
            "retest": "Formularseite, Ziel-URL, Pflichtfelder, Referrer und Tracking erneut prüfen.",
            "evidence_required": "Formularzweck, Rechtsgrundlage, Datensparsamkeit, Log-/Tracking-Prüfung.",
            "affected_count": 7,
            "task_count": 2,
            "ticket_count": 2,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "data_entry_privacy_context_missing",
                    "title": "Dateneingabe ohne klaren Datenschutzkontext",
                    "detail": "Vor Eingabe prüfen, welche Daten erhoben werden, wofür sie genutzt werden und wo die Datenschutzhinweise stehen.",
                    "source": "finding"
                },
                {
                    "id": "sampled_form_privacy_context_missing",
                    "title": "Formular-Unterseite ohne klaren Datenschutzkontext",
                    "detail": "Formularseiten sollten Datenschutzhinweise und Betreiberkontext direkt erreichbar machen.",
                    "source": "finding"
                },
                {
                    "id": "data_entry_privacy_context_missing",
                    "title": "Dateneingabe ohne klaren Datenschutzkontext",
                    "detail": "Datenschutzhinweise in Formularnähe ergänzen.",
                    "source": "task"
                },
                {
                    "id": "sampled_form_privacy_context_missing",
                    "title": "Formular-Unterseite ohne klaren Datenschutzkontext",
                    "detail": "Formularseiten brauchen direkt erreichbare Datenschutzinformationen.",
                    "source": "task"
                },
                {
                    "id": "SP-004",
                    "title": "Dateneingabe ohne klaren Datenschutzkontext",
                    "detail": "Datenschutzhinweise in Formularnähe ergänzen.",
                    "source": "ticket"
                }
            ]
        },
        {
            "slug": "referrer-und-url-leaks-vermeiden",
            "title": "Referrer Und Url Leaks Vermeiden",
            "guide_url": "/guides/referrer-und-url-leaks-vermeiden",
            "area": "Referrer & URL Hygiene",
            "owner": "Webentwicklung/IT",
            "effort": "klein",
            "retest": "Referrer-Header und Query-Parameter in Request-Samples kontrollieren.",
            "evidence_required": "Referrer-Policy, Tag-Konfiguration, URL-Parameter-Regel.",
            "affected_count": 5,
            "task_count": 1,
            "ticket_count": 1,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "third_party_full_referrer_leak",
                    "title": "Drittanbieter können vollen Referrer-Kontext erhalten",
                    "detail": "Referrer-Policy prüfen und für Anbieter wie tca6ce1f1.emailsys1a.net, consent.cookiebot.eu, use.fontawesome.com mindestens strict-origin-when-cross-origin oder strenger setzen.",
                    "source": "finding"
                },
                {
                    "id": "third_party_page_url_parameter",
                    "title": "Seiten-URL wird in Drittanbieter-Requests übertragen",
                    "detail": "Tracking-/Tag-Parameter für Anbieter wie tca6ce1f1.emailsys1a.net, consent.cookiebot.eu, use.fontawesome.com so konfigurieren, dass keine unnötigen Pfade, Suchparameter oder Formularumfelder gesendet werden.",
                    "source": "finding"
                },
                {
                    "id": "third_party_full_referrer_leak",
                    "title": "Drittanbieter können vollen Referrer-Kontext erhalten",
                    "detail": "Referrer-Policy so setzen, dass Drittanbieter keine vollen Pfade oder Suchparameter erhalten.",
                    "source": "task"
                },
                {
                    "id": "SP-006",
                    "title": "Drittanbieter können vollen Referrer-Kontext erhalten",
                    "detail": "Referrer-Policy so setzen, dass Drittanbieter keine vollen Pfade oder Suchparameter erhalten.",
                    "source": "ticket"
                },
                {
                    "id": "referrer_url_leaks",
                    "title": "Referrer & URL-Leaks",
                    "detail": "Referrer-Policy härten, sensible Query-Parameter entfernen und Tracking-Parameter ohne volle Seiten-URL konfigurieren.",
                    "source": "module"
                }
            ]
        },
        {
            "slug": "tracking-und-consent-reparieren",
            "title": "Tracking Und Consent Reparieren",
            "guide_url": "/guides/tracking-und-consent-reparieren",
            "area": "Consent & Tracking",
            "owner": "Marketing/IT/Datenschutz",
            "effort": "mittel",
            "retest": "Erstaufruf, Ablehnen, Akzeptieren und GPC getrennt scannen.",
            "evidence_required": "Consent-Screenshot, Cookie-Tabelle, Request-Liste, CMP-Konfiguration.",
            "affected_count": 5,
            "task_count": 1,
            "ticket_count": 1,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "consent_state_reject_evidence_failed",
                    "title": "Consent-Zustand: Ablehnen löst weiterhin Datenschutz-Signale aus",
                    "detail": "Reject-Zustand gegen Cookies, Storage und Drittanbieter prüfen; nicht notwendige Signale nach Ablehnen blockieren.",
                    "source": "finding"
                },
                {
                    "id": "post_reject_new_cookies",
                    "title": "Neue Cookies nach Ablehnen erkannt",
                    "detail": "Nach Ablehnen keine neuen nicht notwendigen Cookies setzen; technisch notwendige Cookies sauber erklären.",
                    "source": "finding"
                },
                {
                    "id": "consent_state_reject_evidence_failed",
                    "title": "Consent-Zustand: Ablehnen löst weiterhin Datenschutz-Signale aus",
                    "detail": "Die Zustandsmatrix zeigt Datenschutz-Signale nach Ablehnen.",
                    "source": "task"
                },
                {
                    "id": "SP-007",
                    "title": "Consent-Zustand: Ablehnen löst weiterhin Datenschutz-Signale aus",
                    "detail": "Die Zustandsmatrix zeigt Datenschutz-Signale nach Ablehnen.",
                    "source": "ticket"
                },
                {
                    "id": "privacy_consent",
                    "title": "Datenschutz, Cookies & Consent",
                    "detail": "Tracking, Werbung und nicht notwendige Cookies vor Zustimmung blockieren und verständlich erklären.",
                    "source": "module"
                }
            ]
        },
        {
            "slug": "google-dienste-datenschutzfreundlich-einbinden",
            "title": "Google Dienste Datenschutzfreundlich Einbinden",
            "guide_url": "/guides/google-dienste-datenschutzfreundlich-einbinden",
            "area": "Google-Dienste",
            "owner": "Marketing/IT",
            "effort": "mittel",
            "retest": "Google-Requests vor und nach Consent vergleichen.",
            "evidence_required": "Consent-Mode-Defaults, Tag-Manager-Regeln, Anbieterzwecke.",
            "affected_count": 4,
            "task_count": 1,
            "ticket_count": 1,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "google_consent_mode_missing",
                    "title": "Google Consent Mode Default nicht erkannt",
                    "detail": "Vor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied.",
                    "source": "finding"
                },
                {
                    "id": "google_consent_mode_missing",
                    "title": "Google Consent Mode Default nicht erkannt",
                    "detail": "Google-Tags brauchen vor dem ersten Tag klare Consent-Defaults.",
                    "source": "task"
                },
                {
                    "id": "SP-008",
                    "title": "Google Consent Mode Default nicht erkannt",
                    "detail": "Google-Tags brauchen vor dem ersten Tag klare Consent-Defaults.",
                    "source": "ticket"
                },
                {
                    "id": "google_third_parties",
                    "title": "Google-Dienste & Drittanbieter",
                    "detail": "Google-Dienste einzeln prüfen, Consent Mode sauber setzen und Fonts möglichst lokal ausliefern.",
                    "source": "module"
                }
            ]
        },
        {
            "slug": "seo-spam-und-cloaking-bereinigen",
            "title": "Seo Spam Und Cloaking Bereinigen",
            "guide_url": "/guides/seo-spam-und-cloaking-bereinigen",
            "area": "Trust & Content Integrity",
            "owner": "Webbetrieb/SEO/Security",
            "effort": "hoch",
            "retest": "Normaler Browser, SaferPage-Crawler und Suchmaschinenansicht vergleichen.",
            "evidence_required": "Bereinigter Code, Malware-/Plugin-Prüfung, Search-Console-Status.",
            "affected_count": 3,
            "task_count": 0,
            "ticket_count": 0,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "external_canonical",
                    "title": "Canonical zeigt auf fremde Domain",
                    "detail": "Canonical-Tags sollten nur bewusst auf fremde Domains zeigen; sonst kann Traffic/Ranking umgeleitet werden.",
                    "source": "finding"
                },
                {
                    "id": "external_link_spam",
                    "title": "Sehr viele externe Links erkannt",
                    "detail": "Prüfen, ob die Seite als Linkfarm, Affiliate-Brücke oder Spam-Seite dient.",
                    "source": "finding"
                },
                {
                    "id": "seo_integrity",
                    "title": "SEO-Integrität & Cloaking",
                    "detail": "Versteckte Inhalte, Canonical-Missbrauch und Googlebot-Abweichungen entfernen.",
                    "source": "module"
                }
            ]
        },
        {
            "slug": "impressum-und-kontakt-sichtbar-machen",
            "title": "Impressum Und Kontakt Sichtbar Machen",
            "guide_url": "/guides/impressum-und-kontakt-sichtbar-machen",
            "area": "Betreibertransparenz",
            "owner": "Legal/Content",
            "effort": "klein",
            "retest": "Footer, Kontakt, Impressum und Datenschutzlinks erneut crawlen.",
            "evidence_required": "Impressumsseite, Kontaktweg, Footer-Link, Änderungsdatum.",
            "affected_count": 2,
            "task_count": 0,
            "ticket_count": 0,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "imprint_missing",
                    "title": "Kein Impressum-Link erkannt",
                    "detail": "Für deutsche Seiten sollte ein gut sichtbares Impressum verlinkt sein.",
                    "source": "finding"
                },
                {
                    "id": "operator_transparency",
                    "title": "Impressum, Kontakt & Datenschutzerklärung",
                    "detail": "Betreiberangaben, Kontaktweg und Datenschutzhinweise von jeder Seite aus auffindbar machen.",
                    "source": "module"
                }
            ]
        },
        {
            "slug": "pii-und-url-datenlecks-vermeiden",
            "title": "Pii Und Url Datenlecks Vermeiden",
            "guide_url": "/guides/pii-und-url-datenlecks-vermeiden",
            "area": "PII Leakage",
            "owner": "Webentwicklung/IT",
            "effort": "mittel",
            "retest": "URLs, Referrer, Logs und Drittanbieter-Requests auf personenbezogene Werte prüfen.",
            "evidence_required": "Parameter-Inventar, Referrer-Policy, Logging-Konfiguration, Re-Scan.",
            "affected_count": 2,
            "task_count": 0,
            "ticket_count": 0,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "pii_sensitive_link_query",
                    "title": "Links mit sensiblen Query-Parametern erkannt",
                    "detail": "Sensible Parameter aus Links entfernen oder durch serverseitige, kurzlebige Zustände ersetzen.",
                    "source": "finding"
                },
                {
                    "id": "pii_exposure",
                    "title": "PII, URL-Parameter & Datenleck-Schutz",
                    "detail": "Personenbezogene Werte nicht in URLs, GET-Formularen, Referrern, Logs oder Tracking-Tags transportieren.",
                    "source": "module"
                }
            ]
        },
        {
            "slug": "tracking-pixel-und-beacons-begrenzen",
            "title": "Tracking Pixel Und Beacons Begrenzen",
            "guide_url": "/guides/tracking-pixel-und-beacons-begrenzen",
            "area": "Pixel & Beacons",
            "owner": "Marketing/IT",
            "effort": "mittel",
            "retest": "Pixel-, ping-, beacon- und keepalive-Ziele erneut exportieren.",
            "evidence_required": "Tag-Manager-Regeln, Zweckliste, Consent-Test, Request-Samples.",
            "affected_count": 2,
            "task_count": 0,
            "ticket_count": 0,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "tracking_pixel_detected",
                    "title": "Tracking-Pixel oder pixelnahe Requests erkannt",
                    "detail": "Pixel von internationaler-bund.de erst nach Einwilligung laden, Zweck erklären und unnötige Bild-Tracker entfernen.",
                    "source": "finding"
                },
                {
                    "id": "tracking_pixels_beacons",
                    "title": "Tracking-Pixel & Beacons",
                    "detail": "Pixel, sendBeacon, keepalive-Fetch und Link-Pings auf Consent, Zweck, Anbieter und Datenminimierung prüfen.",
                    "source": "module"
                }
            ]
        },
        {
            "slug": "session-replay-und-fingerprinting-pruefen",
            "title": "Session Replay Und Fingerprinting Pruefen",
            "guide_url": "/guides/session-replay-und-fingerprinting-pruefen",
            "area": "Behavior Tracking",
            "owner": "Marketing/Datenschutz",
            "effort": "hoch",
            "retest": "Replay-/Fingerprinting-Skripte nach Ablehnen und GPC erneut prüfen.",
            "evidence_required": "Maskierungsregeln, Zweck, Consent-Kategorie, Anbieterfreigabe.",
            "affected_count": 1,
            "task_count": 0,
            "ticket_count": 0,
            "priority_score": 100,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "browser_keystroke_listener_signals",
                    "title": "Viele Tastatur-/Eingabe-Listener im Browser erkannt",
                    "detail": "Prüfen, ob Eingaben für Analytics, Session-Replay oder Debugging erfasst werden; sensible Felder konsequent ausschließen.",
                    "source": "finding"
                }
            ]
        },
        {
            "slug": "security-header-setzen",
            "title": "Security Header Setzen",
            "guide_url": "/guides/security-header-setzen",
            "area": "Web Security",
            "owner": "IT/Security",
            "effort": "mittel",
            "retest": "Header, TLS, CSP und Referrer-Policy nach Deployment erneut scannen.",
            "evidence_required": "Nginx/Apache/CDN-Konfiguration, Header-Export, Rollback-Plan.",
            "affected_count": 13,
            "task_count": 2,
            "ticket_count": 2,
            "priority_score": 96,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "csp_unsafe_inline",
                    "title": "CSP erlaubt unsafe-inline für Skripte",
                    "detail": "Inline-Skripte über Nonces oder Hashes freigeben und unsafe-inline aus script-src entfernen.",
                    "source": "finding"
                },
                {
                    "id": "csp_unsafe_eval",
                    "title": "CSP erlaubt eval-nahe Skriptausführung",
                    "detail": "unsafe-eval vermeiden und betroffene Bibliotheken oder Build-Konfigurationen prüfen.",
                    "source": "finding"
                },
                {
                    "id": "csp_permissive_script_sources",
                    "title": "CSP erlaubt sehr breite Skriptquellen",
                    "detail": "script-src auf konkrete HTTPS-Hosts, Nonces oder Hashes begrenzen.",
                    "source": "finding"
                },
                {
                    "id": "missing_cross_origin_embedder_policy",
                    "title": "Cross-Origin-Embedder-Policy fehlt",
                    "detail": "Header `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.",
                    "source": "finding"
                },
                {
                    "id": "missing_cross_origin_opener_policy",
                    "title": "Cross-Origin-Opener-Policy fehlt",
                    "detail": "Header `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.",
                    "source": "finding"
                }
            ]
        },
        {
            "slug": "barrierefreiheit-cookie-banner-formulare",
            "title": "Barrierefreiheit Cookie Banner Formulare",
            "guide_url": "/guides/barrierefreiheit-cookie-banner-formulare",
            "area": "Usability & BITV",
            "owner": "UX/Content/IT",
            "effort": "mittel",
            "retest": "Tastatur, Screenreader, Kontrast und Mobilansicht manuell prüfen.",
            "evidence_required": "Testprotokoll, Screenshots, bekannte Einschränkungen.",
            "affected_count": 6,
            "task_count": 1,
            "ticket_count": 1,
            "priority_score": 92,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "form_label_missing",
                    "title": "Formularfelder ohne klare Beschriftung",
                    "detail": "Für jedes Eingabefeld ein sichtbares label, aria-label oder aria-labelledby setzen.",
                    "source": "finding"
                },
                {
                    "id": "button_name_missing",
                    "title": "Buttons ohne erkennbaren Namen",
                    "detail": "Buttons mit sichtbarem Text oder aria-label beschriften.",
                    "source": "finding"
                },
                {
                    "id": "image_alt_missing",
                    "title": "Bilder ohne Alternativtext",
                    "detail": "Inhaltliche Bilder mit alt-Text versehen; dekorative Bilder mit leerem alt oder aria-hidden kennzeichnen.",
                    "source": "finding"
                },
                {
                    "id": "form_label_missing",
                    "title": "Formularfelder ohne klare Beschriftung",
                    "detail": "Formularfelder müssen für Tastatur und Screenreader verständlich beschriftet sein.",
                    "source": "task"
                },
                {
                    "id": "SP-003",
                    "title": "Formularfelder ohne klare Beschriftung",
                    "detail": "Formularfelder müssen für Tastatur und Screenreader verständlich beschriftet sein.",
                    "source": "ticket"
                }
            ]
        },
        {
            "slug": "datenschutz-webseiten-pruefkatalog",
            "title": "Datenschutz Webseiten Pruefkatalog",
            "guide_url": "/guides/datenschutz-webseiten-pruefkatalog",
            "area": "Programmsteuerung",
            "owner": "Programm-Owner/Datenschutz",
            "effort": "hoch",
            "retest": "Gesamten Scan nach Umsetzung der priorisierten Guides wiederholen.",
            "evidence_required": "Prioritätenliste, Owner, Exportpaket, Re-Scan und Freigabe.",
            "affected_count": 2,
            "task_count": 0,
            "ticket_count": 0,
            "priority_score": 88,
            "status": "sofort",
            "sample_findings": [
                {
                    "id": "important_pages_not_discovered",
                    "title": "Wichtige Betreiberseiten nicht vollständig in der Linkstruktur gefunden",
                    "detail": "Datenschutz und Impressum sollten von der Startseite aus klar erreichbar sein.",
                    "source": "finding"
                },
                {
                    "id": "site_coverage",
                    "title": "Seitenabdeckung & Crawl",
                    "detail": "Datenschutz, Impressum, Kontakt, Cookie-Hinweise und kritische Formularseiten klar verlinken und regelmäßig mitprüfen.",
                    "source": "module"
                }
            ]
        }
    ],
    "team_routing": {
        "Developer/Ops": 3,
        "Legal/Datenschutz": 2,
        "GTM/CMP": 2,
        "Content/UX": 1
    },
    "retest_workflow": {
        "capture": "Scan-ID, Screenshot, Cookie-/Request-Zeilen und betroffene Guide-Links sichern.",
        "implementation": "Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Anbieterfreigabe oder Textversion dokumentieren.",
        "rescan": "Domain erneut prüfen und Ticket nur schließen, wenn SaferPage-Befund behoben oder begründet ist.",
        "archive": "JSON/CSV/XLSX oder ZIP-Nachweispaket im Trust Center ablegen und intern freigeben."
    },
    "disclaimer": "Automatisch aus SaferPage-Evidenz abgeleiteter Betreiber-Arbeitsplan. Umsetzung, interne Verantwortlichkeiten und rechtliche Freigabe liegen beim Website-Betreiber."
}