# Remediation-Tickets fuer be.beteiligung.diplanung.de Umsetzbare Betreiber-Tickets aus SaferPage-Befunden, Guide-Streams, Tracker-Mapping und Re-Scan-Anforderungen. > Automatisch aus SaferPage-Scan-Evidenz und Betreiber-Guides abgeleitet. Betreiber müssen Umsetzung, Rechtsgrundlagen, interne Systeme und Re-Scan-Nachweise fachlich freigeben. ## Anbieterakten, AVV/DPA und Transfers priorisiert schließen - Ticket: remediation_vendor_contract_transfer_fix / Prioritaet: hoch / SLA: 7 Tage - Owner: Legal/Vendor Owner / Bereich: Anbieter & Transfer - Evidenz: Vendor-Due-Diligence mit 1 Anbieter(n), 0 hohem Risiko, 1 AVV-/DPA-Prüfung(en) und 0 Transfer-/Jurisdiktionsfrage(n). - Aktion: Top-Anbieter mit Zweck, Rolle, AVV/DPA, TOMs, Subprozessoren und Transfergrundlage dokumentieren. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/drittanbieter-datenschutz-erklaeren - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## CSP erlaubt eval-nahe Skriptausführung - Ticket: remediation_csp_unsafe_eval / Prioritaet: hoch / SLA: 7 Tage - Owner: Website-Betrieb/Datenschutz / Bereich: security_headers - Evidenz: - Aktion: unsafe-eval vermeiden und betroffene Bibliotheken oder Build-Konfigurationen prüfen. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/security-header-setzen - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## CSP erlaubt unsafe-inline für Skripte - Ticket: remediation_csp_unsafe_inline / Prioritaet: hoch / SLA: 7 Tage - Owner: Website-Betrieb/Datenschutz / Bereich: security_headers - Evidenz: - Aktion: Inline-Skripte über Nonces oder Hashes freigeben und unsafe-inline aus script-src entfernen. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/security-header-setzen - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## Consent wirkt wie Nur-Akzeptieren - Ticket: remediation_consent_accept_only / Prioritaet: hoch / SLA: 7 Tage - Owner: Website-Betrieb/Datenschutz / Bereich: privacy - Evidenz: - Aktion: Cookie-Auswahl und Ablehnen-Option sichtbar anbieten. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/tracking-und-consent-reparieren - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## Cookie-Hinweis ohne klare Ablehnen-Option - Ticket: remediation_consent_no_reject_option / Prioritaet: hoch / SLA: 7 Tage - Owner: Website-Betrieb/Datenschutz / Bereich: privacy - Evidenz: - Aktion: Ablehnen sollte genauso leicht auffindbar sein wie Akzeptieren. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/tracking-und-consent-reparieren - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## Formular-Unterseite ohne klaren Datenschutzkontext - Ticket: remediation_sampled_form_privacy_context_missing / Prioritaet: hoch / SLA: 7 Tage - Owner: Website-Betrieb/Datenschutz / Bereich: crawl - Evidenz: - Aktion: Formularseiten sollten Datenschutzhinweise und Betreiberkontext direkt erreichbar machen. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/formulare-datenschutzkonform-absichern - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## Datenschutz, Cookies & Consent - Ticket: remediation_module_privacy_consent / Prioritaet: mittel / SLA: 30 Tage - Owner: Website-Betrieb/Datenschutz / Bereich: Audit-Modul - Evidenz: 0 Tracking-Script(s), 1 Cookie(s) vor Einwilligung, 0 Tracking-Cookie(s), Ablehnen-Option: nein, Consent-Audit: 68. - Aktion: Tracking, Werbung und nicht notwendige Cookies vor Zustimmung blockieren und verständlich erklären. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/tracking-und-consent-reparieren - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## PHPSESSID - Ticket: mapping_cookie_phpsessid / Prioritaet: mittel / SLA: 30 Tage - Owner: Marketing/IT/Datenschutz / Bereich: Tracker- und Service-Mapping - Evidenz: be.beteiligung.diplanung.de - Aktion: Zweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen. - [ ] Dienst ist einer Servicekarte mit Anbieter, Zweck und Kategorie zugeordnet. - [ ] Consent-Banner, Datenschutzhinweis und Anbieterregister verwenden dieselbe Bezeichnung. - [ ] Re-Scan zeigt keine unbekannte oder ungeklärte Tracking-Auslösung. - Guide: https://saferpage.de/guides/cookie-laufzeiten-und-zwecke-pruefen - Nachweis: https://saferpage.de/cookies/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## Security-Header, Referrer-Policy und Browser-Schutz setzen - Ticket: remediation_security_header_gap / Prioritaet: mittel / SLA: 30 Tage - Owner: IT/Security / Bereich: Security - Evidenz: 9 von 9 wichtigen Security-Headern vorhanden, 9 korrekt bewertet. CSP wirksam mit 12 Direktive(n), 2 Warnung(en), 2 Hinweis(e). - Aktion: Befund mit Betreiber-Guide beheben und danach erneut scannen. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/security-header-setzen - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## Sicherheit, TLS & Header - Ticket: remediation_module_security_tls / Prioritaet: mittel / SLA: 30 Tage - Owner: Website-Betrieb/Datenschutz / Bereich: Audit-Modul - Evidenz: 1 Infrastruktur-Hinweis(e), Security-Header: 9/9 vorhanden, 0 fehlen, externe Skript-Hosts: 0. - Aktion: HTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/security-header-setzen - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## Tracking, Cookies oder Drittanbieter vor Einwilligung reparieren - Ticket: remediation_consent_preconsent_gap / Prioritaet: mittel / SLA: 30 Tage - Owner: Marketing/IT / Bereich: Consent & Tracking - Evidenz: Consent ist teilweise erkennbar, aber einzelne Punkte sollten Betreiber nachpruefen. - Aktion: Befund mit Betreiber-Guide beheben und danach erneut scannen. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/tracking-und-consent-reparieren - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## sgx.geodatenzentrum.de - Ticket: mapping_vendor_sgx.geodatenzentrum.de / Prioritaet: mittel / SLA: 30 Tage - Owner: Marketing/IT/Datenschutz / Bereich: Tracker- und Service-Mapping - Evidenz: Sonstige - Aktion: Zweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen. - [ ] Dienst ist einer Servicekarte mit Anbieter, Zweck und Kategorie zugeordnet. - [ ] Consent-Banner, Datenschutzhinweis und Anbieterregister verwenden dieselbe Bezeichnung. - [ ] Re-Scan zeigt keine unbekannte oder ungeklärte Tracking-Auslösung. - Guide: https://saferpage.de/guides/drittanbieter-datenschutz-erklaeren - Nachweis: https://saferpage.de/anbieter/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## sgx.geodatenzentrum.de - Ticket: mapping_request_sgx.geodatenzentrum.de / Prioritaet: mittel / SLA: 30 Tage - Owner: Marketing/IT/Datenschutz / Bereich: Tracker- und Service-Mapping - Evidenz: other - Aktion: Request einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren. - [ ] Dienst ist einer Servicekarte mit Anbieter, Zweck und Kategorie zugeordnet. - [ ] Consent-Banner, Datenschutzhinweis und Anbieterregister verwenden dieselbe Bezeichnung. - [ ] Re-Scan zeigt keine unbekannte oder ungeklärte Tracking-Auslösung. - Guide: https://saferpage.de/guides/servicekarte-und-anbieterinventar-aufbauen - Nachweis: https://saferpage.de/anbieter/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## CSP erlaubt sehr breite Skriptquellen - Ticket: remediation_csp_permissive_script_sources / Prioritaet: niedrig / SLA: quartalsweise - Owner: Website-Betrieb/Datenschutz / Bereich: security_headers - Evidenz: - Aktion: script-src auf konkrete HTTPS-Hosts, Nonces oder Hashes begrenzen. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/security-header-setzen - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## CSP ohne object-src - Ticket: remediation_csp_missing_object_src / Prioritaet: niedrig / SLA: quartalsweise - Owner: Website-Betrieb/Datenschutz / Bereich: security_headers - Evidenz: - Aktion: object-src 'none' setzen, wenn keine Plugins oder Objekte benötigt werden. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/security-header-setzen - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## Meta-Description fehlt - Ticket: remediation_missing_meta_description / Prioritaet: niedrig / SLA: quartalsweise - Owner: Website-Betrieb/Datenschutz / Bereich: content - Evidenz: - Aktion: Eine kurze Beschreibung setzen, die den Zweck der Seite erklärt. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/externe-skripte-und-sri-absichern - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## Tracking-Pixel oder pixelnahe Requests erkannt - Ticket: remediation_tracking_pixel_detected / Prioritaet: niedrig / SLA: quartalsweise - Owner: Website-Betrieb/Datenschutz / Bereich: privacy - Evidenz: - Aktion: Pixel von sgx.geodatenzentrum.de erst nach Einwilligung laden, Zweck erklären und unnötige Bild-Tracker entfernen. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/tracking-pixel-und-beacons-begrenzen - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## Viele Tastatur-/Eingabe-Listener im Browser erkannt - Ticket: remediation_browser_keystroke_listener_signals / Prioritaet: niedrig / SLA: quartalsweise - Owner: Website-Betrieb/Datenschutz / Bereich: privacy - Evidenz: - Aktion: Prüfen, ob Eingaben für Analytics, Session-Replay oder Debugging erfasst werden; sensible Felder konsequent ausschließen. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/session-replay-und-fingerprinting-pruefen - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de ## Viele potenziell blockierende Assets - Ticket: remediation_too_many_render_blocking_assets / Prioritaet: niedrig / SLA: quartalsweise - Owner: Website-Betrieb/Datenschutz / Bereich: performance - Evidenz: - Aktion: Skripte/CSS bündeln, defer/async nutzen und kritisches CSS priorisieren. - [ ] Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft. - [ ] Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr. - [ ] Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe. - Guide: https://saferpage.de/guides/performance-und-mobile-usability-verbessern - Nachweis: https://saferpage.de/befunde/be.beteiligung.diplanung.de / Re-Scan: https://saferpage.de/scanbetrieb/be.beteiligung.diplanung.de