Priorisierte Korrekturanleitungen
aul-hessen.de: 11 priorisierte Betreiber-Guide(s) aus 26 Befund(en).
Automatisch aus SaferPage-Scan-Evidenz und Betreiber-Guides abgeleitet. Betreiber müssen Umsetzung, Rechtsgrundlagen, interne Systeme und Re-Scan-Nachweise fachlich freigeben.
Remediation Tickets
Top-Anbieter mit Zweck, Rolle, AVV/DPA, TOMs, Subprozessoren und Transfergrundlage dokumentieren.
Vendor-Due-Diligence mit 3 Anbieter(n), 0 hohem Risiko, 3 AVV-/DPA-Prüfung(en) und 3 Transfer-/Jurisdiktionsfrage(n).navigator.sendBeacon, keepalive-Fetch und vergleichbare Telemetrie auf Consent, Anbieter und Datenminimierung prüfen.
Header `content-security-policy` setzen und nach Deployment erneut prüfen.
Vor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied.
Header `strict-transport-security` setzen und nach Deployment erneut prüfen.
Befund mit Betreiber-Guide beheben und danach erneut scannen.
0 von 9 wichtigen Security-Headern vorhanden, 0 korrekt bewertet. Keine Content-Security-Policy gefunden.HTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren.
1 Infrastruktur-Hinweis(e), Security-Header: 0/9 vorhanden, 9 fehlen, externe Skript-Hosts: 2.Header `x-content-type-options` setzen und nach Deployment erneut prüfen.
Header `x-frame-options` setzen und nach Deployment erneut prüfen.
Unnötige Drittanbieter reduzieren und die verbleibenden Kontakte in Datenschutz und Consent abbilden.
57 Request(s), 3 Drittanbieter-Domain(s), davon 0 datenschutzrelevant, 1 Browser-Cookie(s), Transfer-Prüfbedarf: 0, Referrer-/URL-Leaks: 0, Fingerprinting-/Replay-Hinweise: 1.Servicekarte je Anbieter anlegen und Datenschutzhinweis, CMP und Anbieterregister synchronisieren.
3 Drittanbieter-Domain(s) im Browserlauf.Befund mit Betreiber-Guide beheben und danach erneut scannen.
Google-Tags und Consent-Mode-Signale wurden aus HTML, Browserkontakten und Tracking-IDs abgeleitet.Fehlalarm- und Grenzen-Review
Betreiber-Review-Playbook gegen typische Fehlalarme: Consent-/Paywall-Grenzen, Google-Consent-Anwendbarkeit, Formular-Coverage, Cookie-Kontext und Score-Wording.
Hat der automatische Lauf ein Overlay, eine PUR-/Abo-Wall, Geoblocking oder eine Login-Grenze gesehen?
Betreiberaktion: Wenn Overlay, Login, PUR-/Abo-Wall oder Geoblocking Inhalte verdeckt, Befunde zu Impressum, Formularen, Cookies und verstecktem Text manuell prüfen. Abnahme: Manuelle Prüfung ist mit Screenshot, Pfad, Entscheidung und Re-Scan-Vermerk dokumentiert. Grenze: Ein verdeckter Footer oder Paywall-Text ist kein automatischer Nachweis für fehlende Betreibertransparenz. Nachweis öffnen · GuideWurden Google-Tag, Google-Domain oder Google-Tracking-ID wirklich gesehen?
Betreiberaktion: Keinen Google-Consent-Mode-Fix verlangen, solange keine Google-Tag-/Domain-/ID-Evidence vorliegt; bei späterem Einbau erneut scannen. Abnahme: Top-Fixes enthalten keinen Google-Consent-Fehlalarm ohne Google-Evidence. Grenze: Diese Bewertung gilt nur für die gespeicherte Scan-Evidence; spätere Tag-Manager-Änderungen brauchen Re-Scan. Nachweis öffnen · GuideGibt es Formulare auf Startseite oder direkt gecrawlten Unterseiten?
Betreiberaktion: Alle 1 Formular(e) auf 1 geprüften Seite(n) mit Zweck, Pflichtfeldern, Datenschutzlink, Tracking und Referrer-Kontext prüfen. Abnahme: Formularzweck, Pflichtfelder, Datenschutzhinweis und Consent-/Tracking-Kontext sind pro Formularseite nachvollziehbar. Grenze: SaferPage sendet keine Formulare ab und kennt keine internen Rechtsgrundlagen oder nachgelagerte Verarbeitung. Nachweis öffnen · GuideSind Cookies vor Einwilligung technisch notwendig oder Tracking/Marketing?
Betreiberaktion: Cookie-Liste mit Zweck, Anbieter, Laufzeit, Consent-Kategorie und Auslösezeitpunkt pflegen; Funktionscookies von Tracking-Cookies trennen. Abnahme: Cookie-Erklärung und CMP zeigen dieselben Kategorien; Re-Scan belegt keine ungeklärten Trackingkontakte vor Einwilligung. Grenze: Load-Balancing, Sicherheit und Consent-Speicherung können notwendig sein; die Einordnung braucht Betreiberkontext. Nachweis öffnen · GuideWird aus dem automatischen Score ein pauschales Seriositäts- oder Rechtsurteil?
Betreiberaktion: Report-Quality-Smoke, Kurzreport und Management-Text prüfen: harte Aussagen wie zertifiziert, rechtssicher oder grundsätzlich gefährlich vermeiden. Abnahme: Bericht trennt Beobachtung, Betreibermaßnahme, Grenze und Re-Scan; keine nicht belegten Zertifikats- oder Rechtsclaims. Grenze: Score ist eine technische Priorisierung und kein abschließendes Urteil über Rechtmäßigkeit, Seriosität oder Sicherheit. Nachweis öffnen · GuideTrennt der Report klar zwischen automatisch belegter Evidence, manueller Betreiberprüfung und Aussagen, die nicht behauptet werden dürfen?
Betreiberaktion: Aussage-Ampel im Report prüfen und in internen Tickets übernehmen: automatisch belegt, manuell prüfen und nicht behaupten getrennt dokumentieren. Abnahme: Fix-Tickets, Betreiberfreigabe und Re-Scan-Notiz enthalten keine DSGVO-Freigabe, kein pauschales Seriositätsurteil und keine nicht belegten Sicherheitsclaims. Grenze: Die Aussage-Ampel ist eine Kommunikations- und Abnahmehilfe; sie ersetzt keine Rechtsberatung, keine Betreiberfreigabe und keine vollständige Prüfung hinter Login, Paywall oder Geoblocking. Nachweis öffnen · GuideTicket Delivery
Das Delivery-Paket enthält Payload-Vorlagen, Idempotency-Keys, Body-SHA-256, HMAC-Signaturvertrag, Retry-Policy und Links zu Guide, Nachweis und Re-Scan. Es versendet nichts automatisch und enthält keine echten Secrets.
Strukturierte Events für interne PrivacyOps-Workflows, Queue-Worker oder Integrationsplattformen.
Kompakte Nachrichten mit Priorität, Owner, SLA und Nachweislink für operative Kanäle.
Ticket-Vorlagen mit Summary, Beschreibung, Labels, Priorität und deduplizierbarer External-ID.
Empfänger prüfen Signatur, Body-Hash, Event, Schema, Idempotency-Key und erlaubtes Zielsystem vor jeder Verarbeitung.
Der JSON-Export enthält ein öffentliches Test-Secret mit erwarteter Signatur für Receiver-Tests ohne produktive Secrets.
CMS-/Shop-Fixes
SaferPage leitet aus sichtbaren CMS-, Shop-, Frontend- und Deployment-Signalen konkrete Betreiber-Schritte ab. Wenn keine Plattform sicher erkennbar ist, wird kein CMS behauptet, sondern ein allgemeines Deployment-Playbook gezeigt.
Core, Theme, Plugins, Consent-Plugin, Tag Manager und Cache gemeinsam prüfen.
WordPress Core, aktive Themes und Plugins in Staging aktualisieren; ungenutzte Plugins entfernen.
Consent-/Cookie-Plugin mit Erstaufruf, Ablehnen, Akzeptieren und GPC gegen SaferPage testen.
Google Fonts, Maps, YouTube, reCAPTCHA, Analytics und Pixel in Theme, Page Builder und Tag Manager suchen und vor Consent blockieren.
Security-Header, HSTS, Referrer-Policy und CSP im Hosting, Webserver oder Security-Plugin setzen und Cache leeren.
Passiv abgeleitet: SaferPage behauptet nur sichtbare CMS-/Shop-/Deployment-Signale. Betreiber müssen Plattform, Versionen, Plugins, Apps und interne Deployments bestätigen. Technik-Nachweis · Guide · Re-ScanGuide-Streams
Google Analytics, Tag Manager, Fonts, Maps, YouTube und reCAPTCHA brauchen im deutschsprachigen Raum eine besonders saubere Prüfung.
3 Befund(e) · Re-Test: Google-Requests vor und nach Consent vergleichen.Unsichtbare Pixel, Link-Pings, sendBeacon und Keepalive-Telemetrie können Seitenaufrufe, Klicks und Kampagnenkontakte übertragen, ohne dass Nutzer sie sehen.
2 Befund(e) · Re-Test: Pixel-, ping-, beacon- und keepalive-Ziele erneut exportieren.Sicherheitsheader reduzieren typische Browserrisiken und verbessern den technischen Eindruck der Website.
11 Befund(e) · Re-Test: Header, TLS, CSP und Referrer-Policy nach Deployment erneut scannen.Externe Browserkontakte müssen für Nutzer nachvollziehbar sein, besonders Werbung, Analytics, Tag-Manager, Fonts und Zahlungsanbieter.
2 Befund(e) · Re-Test: Drittanbieter-Liste gegen neue Requests und Cookies abgleichen.CMPs und Cookie-Scanner arbeiten nicht nur mit Cookie-Namen, sondern mit Diensten. Eine Servicekarte macht sichtbar, welcher Anbieter warum lädt, welche Daten betroffen sind und welcher Consent- oder Vertragsnachweis fehlt.
1 Befund(e) · Re-Test: Anbieter-Radar, Cookie-Inventar und Browserkontakte gegen die Servicekarten abgleichen.Fingerprinting, Session-Replay und Eingabeaufzeichnung sind besonders erklärungsbedürftig, weil Nutzer sie beim Seitenbesuch kaum erkennen können.
1 Befund(e) · Re-Test: Replay-/Fingerprinting-Skripte nach Ablehnen und GPC erneut prüfen.Cookie-Scanner und Audits achten nicht nur auf Namen und Anbieter, sondern auch darauf, ob Speicherdauer, Zweck und Consent-Zustand zusammenpassen.
1 Befund(e) · Re-Test: Cookie- und Storage-Zustände je Consent-Status exportieren.Externe JavaScript-Dateien sind eine Lieferkette im Browser. Für Nutzer zählen Datenschutz, Integrität und klare Kontrolle über Tracking- und Tag-Skripte.
2 Befund(e) · Re-Test: Externe Skripte, SRI, CSP und Consent-Auslösung erneut prüfen.Der Datenschutz-Webseiten-Report betont, dass Cookie-Banner und Formulare typische Problemstellen für Behörden- und Nutzerfreundlichkeit sind.
1 Befund(e) · Re-Test: Tastatur, Screenreader, Kontrast und Mobilansicht manuell prüfen.Langsame oder mobil schlecht nutzbare Seiten wirken für Nutzer weniger vertrauenswürdig.
1 Befund(e) · Re-Test: Mobilansicht, Asset-Größen und Ladeverhalten erneut prüfen.Externe Anbieter können IP-Adresse, Browserdaten, Cookies oder Formularumfeld erhalten. Für EU-/DE-Websites müssen Empfänger, Länder und Transfergrundlagen nachvollziehbar sein.
1 Befund(e) · Re-Test: US-/Drittlandhosts, Anbieterrolle und Transfergrundlage erneut prüfen.Arbeitsphasen
Hoch priorisierte Befunde reproduzieren, Owner bestätigen, Exportpaket sichern.
Consent-, Anbieter-, Notice-, Cookie-, Formular- oder Header-Änderungen umsetzen und versionieren.
Datenschutzhinweis, Cookie-Erklärung, Anbieterregister und TrustHub an reale Technik anpassen.
Erstaufruf, Ablehnen, Akzeptieren, GPC, Mobilansicht und priorisierte Unterseiten erneut prüfen.
Tracker- und Service-Mapping
Zweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
SonstigeZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
SonstigeZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
SonstigeZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
aul-hessen.deRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
otherRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
otherRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
otherAbnahme und Quellen
Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.
Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.
Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe.
DSK/BfDI: Hinweise zu Google Analytics · Google Tag Platform: Consent · Google Consent Mode conceptsDer konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.
Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.
Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe.
DSK Orientierungshilfe Digitale Dienste · BfDI: Cookies und Tracking-Technologien · EDPB Guidelines 2/2023 ePrivacy Art. 5(3)Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.
Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.
Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe.
BSI IT-Grundschutz APP.3.1 Webanwendungen · BSI IT-Grundschutz APP.3.2 Webserver · MDN: Content Security PolicyDer konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.
Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.
Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe.
DSK Orientierungshilfe Digitale Dienste · BfDI: Cookies und Tracking-Technologien · Google Tag Platform: ConsentDer konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.
Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.
Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe.
DSK Orientierungshilfe Digitale Dienste · BfDI: Cookies und Tracking-Technologien · EDPB Guidelines 2/2023 ePrivacy Art. 5(3)Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.
Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.
Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe.
DSK Orientierungshilfe Digitale Dienste · BfDI: Cookies und Tracking-Technologien · EDPB Guidelines 05/2020 ConsentDer konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.
Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.
Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe.
BfDI: Cookies und Tracking-Technologien · DSK Orientierungshilfe Digitale Dienste · EDPB Guidelines 2/2023 ePrivacy Art. 5(3)Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.
Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.
Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe.
BSI IT-Grundschutz APP.3.1 Webanwendungen · BSI IT-Grundschutz APP.3.2 Webserver · MDN: Subresource IntegrityDer konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.
Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.
Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe.
BITV 2.0 · BFIT Bund · Google Search Central: Page ExperienceDer konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.
Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.
Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe.
Google Search Central: Page Experience · Google Search Central: Core Web VitalsDer konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.
Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.
Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe.
DSK Orientierungshilfe Digitale Dienste · EDPB Guidelines 05/2020 Consent · EDPB Guidelines 2/2023 ePrivacy Art. 5(3)