Priorisierte Korrekturanleitungen

dgzmk.de: Betreiber-Fix-Guides

dgzmk.de: 14 priorisierte Betreiber-Guide(s) aus 36 Befund(en).

Automatisch aus SaferPage-Scan-Evidenz und Betreiber-Guides abgeleitet. Betreiber müssen Umsetzung, Rechtsgrundlagen, interne Systeme und Re-Scan-Nachweise fachlich freigeben.

14 Guides

JSON CSV Playbook MD Tickets JSON Tickets CSV Delivery JSON Delivery CSV Befunde Betreiber-Board Datenschutz-Hub Re-Scan

36Befunde 14Guide-Streams 16hoch 41Tickets 5Tracker-Tasks 1Plattform-Playbooks 6Review-Grenzen 42Abnahmen 18Quellen

Remediation Tickets

Aus Befunden werden umsetzbare Betreiberaufgaben

Tickets exportieren

CVE-2020-11023: Potential XSS vulnerability in jQuery hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Aktualisiere das betroffene Open-Source-Paket auf eine nicht betroffene Version.

Bereich: vulnerability
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Canonical zeigt auf fremde Domain hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Canonical-Tags sollten nur bewusst auf fremde Domains zeigen; sonst kann Traffic/Ranking umgeleitet werden.

Bereich: seo
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Content-Security-Policy fehlt hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Header `content-security-policy` setzen und nach Deployment erneut prüfen.

Bereich: security_headers
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Cookie-Hinweis ohne klare Ablehnen-Option hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Ablehnen sollte genauso leicht auffindbar sein wie Akzeptieren.

Bereich: privacy
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Datenschutz, Cookies & Consent hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Tracking, Werbung und nicht notwendige Cookies vor Zustimmung blockieren und verständlich erklären.

0 Tracking-Script(s), 5 Cookie(s) vor Einwilligung, 0 Tracking-Cookie(s), Ablehnen-Option: nein, Consent-Audit: 42.

Bereich: Audit-Modul
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Formularfelder ohne klare Beschriftung hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Für jedes Eingabefeld ein sichtbares label, aria-label oder aria-labelledby setzen.

Bereich: accessibility
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Google Consent Mode Default nicht erkannt hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Vor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied.

Bereich: privacy
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

HSTS fehlt hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Header `strict-transport-security` setzen und nach Deployment erneut prüfen.

Bereich: security_headers
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Langsame Serverantwort hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Serverantwort, Caching und Backend-Latenz prüfen.

Bereich: performance
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Möglicherweise nicht notwendige Cookies vor Einwilligung hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Prüfen, ob diese Cookies technisch notwendig sind oder erst nach Einwilligung gesetzt werden dürfen.

Bereich: privacy
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

SEO-Integrität & Cloaking hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Versteckte Inhalte, Canonical-Missbrauch und Googlebot-Abweichungen entfernen.

3 SEO-Spam-Hinweis(e), 0 Cloaking-Hinweis(e).

Bereich: Audit-Modul
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Sehr viele externe Links erkannt hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Prüfen, ob die Seite als Linkfarm, Affiliate-Brücke oder Spam-Seite dient.

Bereich: seo
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Fehlalarm- und Grenzen-Review

Automatische Befunde vor Umsetzung richtig einordnen

Betreiber-Review-Playbook gegen typische Fehlalarme: Consent-/Paywall-Grenzen, Google-Consent-Anwendbarkeit, Formular-Coverage, Cookie-Kontext und Score-Wording.

Playbook MD JSON Report-Quality

6Review-Fragen 6Abnahmen 6Grenzen 6Nachweise

Consent-Wall, Paywall oder Overlay einordnen bei Bedarf prüfen

Hat der automatische Lauf ein Overlay, eine PUR-/Abo-Wall, Geoblocking oder eine Login-Grenze gesehen?

Betreiberaktion: Wenn Overlay, Login, PUR-/Abo-Wall oder Geoblocking Inhalte verdeckt, Befunde zu Impressum, Formularen, Cookies und verstecktem Text manuell prüfen. Abnahme: Manuelle Prüfung ist mit Screenshot, Pfad, Entscheidung und Re-Scan-Vermerk dokumentiert. Grenze: Ein verdeckter Footer oder Paywall-Text ist kein automatischer Nachweis für fehlende Betreibertransparenz. Nachweis öffnen · Guide

Google Consent Mode nur bei Google-Evidenz fordern nicht erforderlich

Wurden Google-Tag, Google-Domain oder Google-Tracking-ID wirklich gesehen?

Betreiberaktion: Keinen Google-Consent-Mode-Fix verlangen, solange keine Google-Tag-/Domain-/ID-Evidence vorliegt; bei späterem Einbau erneut scannen. Abnahme: Top-Fixes enthalten keinen Google-Consent-Fehlalarm ohne Google-Evidence. Grenze: Diese Bewertung gilt nur für die gespeicherte Scan-Evidence; spätere Tag-Manager-Änderungen brauchen Re-Scan. Nachweis öffnen · Guide

Formular-Coverage gegen Startseiten-Sample abgleichen Crawl-Evidence vorhanden

Gibt es Formulare auf Startseite oder direkt gecrawlten Unterseiten?

Betreiberaktion: Alle 13 Formular(e) auf 4 geprüften Seite(n) mit Zweck, Pflichtfeldern, Datenschutzlink, Tracking und Referrer-Kontext prüfen. Abnahme: Formularzweck, Pflichtfelder, Datenschutzhinweis und Consent-/Tracking-Kontext sind pro Formularseite nachvollziehbar. Grenze: SaferPage sendet keine Formulare ab und kennt keine internen Rechtsgrundlagen oder nachgelagerte Verarbeitung. Nachweis öffnen · Guide

Cookies nach Zweck statt pauschal bewerten klassifizieren

Sind Cookies vor Einwilligung technisch notwendig oder Tracking/Marketing?

Betreiberaktion: Cookie-Liste mit Zweck, Anbieter, Laufzeit, Consent-Kategorie und Auslösezeitpunkt pflegen; Funktionscookies von Tracking-Cookies trennen. Abnahme: Cookie-Erklärung und CMP zeigen dieselben Kategorien; Re-Scan belegt keine ungeklärten Trackingkontakte vor Einwilligung. Grenze: Load-Balancing, Sicherheit und Consent-Speicherung können notwendig sein; die Einordnung braucht Betreiberkontext. Nachweis öffnen · Guide

Score und Warntexte als Priorisierung formulieren immer prüfen

Wird aus dem automatischen Score ein pauschales Seriositäts- oder Rechtsurteil?

Betreiberaktion: Report-Quality-Smoke, Kurzreport und Management-Text prüfen: harte Aussagen wie zertifiziert, rechtssicher oder grundsätzlich gefährlich vermeiden. Abnahme: Bericht trennt Beobachtung, Betreibermaßnahme, Grenze und Re-Scan; keine nicht belegten Zertifikats- oder Rechtsclaims. Grenze: Score ist eine technische Priorisierung und kein abschließendes Urteil über Rechtmäßigkeit, Seriosität oder Sicherheit. Nachweis öffnen · Guide

Aussage-Ampel und Claim-Grenzen übernehmen immer prüfen

Trennt der Report klar zwischen automatisch belegter Evidence, manueller Betreiberprüfung und Aussagen, die nicht behauptet werden dürfen?

Betreiberaktion: Aussage-Ampel im Report prüfen und in internen Tickets übernehmen: automatisch belegt, manuell prüfen und nicht behaupten getrennt dokumentieren. Abnahme: Fix-Tickets, Betreiberfreigabe und Re-Scan-Notiz enthalten keine DSGVO-Freigabe, kein pauschales Seriositätsurteil und keine nicht belegten Sicherheitsclaims. Grenze: Die Aussage-Ampel ist eine Kommunikations- und Abnahmehilfe; sie ersetzt keine Rechtsberatung, keine Betreiberfreigabe und keine vollständige Prüfung hinter Login, Paywall oder Geoblocking. Nachweis öffnen · Guide

Ticket Delivery

Aufgaben an Slack, Teams, Jira oder Webhooks übergeben

Das Delivery-Paket enthält Payload-Vorlagen, Idempotency-Keys, Body-SHA-256, HMAC-Signaturvertrag, Retry-Policy und Links zu Guide, Nachweis und Re-Scan. Es versendet nichts automatisch und enthält keine echten Secrets.

Delivery JSON Delivery CSV

Webhook

Strukturierte Events für interne PrivacyOps-Workflows, Queue-Worker oder Integrationsplattformen.

Slack / Teams

Kompakte Nachrichten mit Priorität, Owner, SLA und Nachweislink für operative Kanäle.

Jira

Ticket-Vorlagen mit Summary, Beschreibung, Labels, Priorität und deduplizierbarer External-ID.

HMAC-Receiver

Empfänger prüfen Signatur, Body-Hash, Event, Schema, Idempotency-Key und erlaubtes Zielsystem vor jeder Verarbeitung.

Test-Fixture

Der JSON-Export enthält ein öffentliches Test-Secret mit erwarteter Signatur für Receiver-Tests ohne produktive Secrets.

CMS-/Shop-Fixes

Plattformspezifische Reparatur-Playbooks

SaferPage leitet aus sichtbaren CMS-, Shop-, Frontend- und Deployment-Signalen konkrete Betreiber-Schritte ab. Wenn keine Plattform sicher erkennbar ist, wird kein CMS behauptet, sondern ein allgemeines Deployment-Playbook gezeigt.

Playbook MD JSON

Allgemeines Website-Deployment Webbetrieb/IT/Datenschutz

Wenn kein eindeutiges CMS sichtbar ist, Release, Consent, Drittanbieter, Security-Header und Nachweise wie bei einem CMS-Update behandeln.

Deployment-Quelle, Hosting/CDN, externe Skripte, Consent-Tool und wichtige Templates inventarisieren.

Alle nicht notwendigen Drittanbieter vor Einwilligung blockieren und Anbieterzwecke dokumentieren.

Security-Header, HTTPS/HSTS, Referrer-Policy, CSP und Cookie-Attribute prüfen.

Nach Änderungen Re-Scan, Screenshot, JSON/CSV und Fix-Guides ablegen.

Passiv abgeleitet: SaferPage behauptet nur sichtbare CMS-/Shop-/Deployment-Signale. Betreiber müssen Plattform, Versionen, Plugins, Apps und interne Deployments bestätigen. Technik-Nachweis · Guide · Re-Scan

Guide-Streams

Welche Korrekturanleitungen zuerst umgesetzt werden sollten

Playbook exportieren

Sichtbare Versionen und CVE-Hinweise beheben hoch · 0-7 Tage · IT/Security · Aufwand mittel

Sichtbare veraltete Versionen können ein Risiko sein und sollten gegen Herstellerhinweise geprüft werden.

2 Befund(e) · Re-Test: Generator-, Header- und Bibliothekssignale erneut prüfen.

Bereich: Vulnerability Hygiene
Guide: öffnen

Manipulative Browsermuster entfernen hoch · 0-7 Tage · UX/Webentwicklung · Aufwand klein

Exit-Blocker, Popup-Druck oder Clipboard-Zugriffe sollten nur mit klarem Nutzerzweck eingesetzt werden.

1 Befund(e) · Re-Test: Erstbesuch, Navigation, Clipboard, Popups und Exit-Verhalten erneut prüfen.

Bereich: Nutzervertrauen
Guide: öffnen

SEO-Spam und Cloaking bereinigen hoch · 0-7 Tage · Webbetrieb/SEO/Security · Aufwand hoch

Versteckte Texte, Doorway-Muster oder abweichende Googlebot-Inhalte wirken unseriös und können auf Kompromittierung hinweisen.

4 Befund(e) · Re-Test: Normaler Browser, SaferPage-Crawler und Suchmaschinenansicht vergleichen.

Bereich: Trust & Content Integrity
Guide: öffnen

Tracking und Consent reparieren hoch · 0-7 Tage · Marketing/IT/Datenschutz · Aufwand mittel

Tracking, Werbung und nicht notwendige Cookies sollten erst nach klarer Einwilligung geladen werden.

4 Befund(e) · Re-Test: Erstaufruf, Ablehnen, Akzeptieren und GPC getrennt scannen.

Bereich: Consent & Tracking
Guide: öffnen

Google-Dienste datenschutzfreundlich einbinden hoch · 0-7 Tage · Marketing/IT · Aufwand mittel

Google Analytics, Tag Manager, Fonts, Maps, YouTube und reCAPTCHA brauchen im deutschsprachigen Raum eine besonders saubere Prüfung.

3 Befund(e) · Re-Test: Google-Requests vor und nach Consent vergleichen.

Bereich: Google-Dienste
Guide: öffnen

Performance und mobile Nutzbarkeit verbessern hoch · 0-7 Tage · Webentwicklung/UX · Aufwand mittel

Langsame oder mobil schlecht nutzbare Seiten wirken für Nutzer weniger vertrauenswürdig.

3 Befund(e) · Re-Test: Mobilansicht, Asset-Größen und Ladeverhalten erneut prüfen.

Bereich: Performance & Mobile
Guide: öffnen

Barrierefreiheit bei Bannern und Formularen prüfen hoch · 0-7 Tage · UX/Content/IT · Aufwand mittel

Der Datenschutz-Webseiten-Report betont, dass Cookie-Banner und Formulare typische Problemstellen für Behörden- und Nutzerfreundlichkeit sind.

4 Befund(e) · Re-Test: Tastatur, Screenreader, Kontrast und Mobilansicht manuell prüfen.

Bereich: Usability & BITV
Guide: öffnen

Security-Header setzen hoch · 0-7 Tage · IT/Security · Aufwand mittel

Sicherheitsheader reduzieren typische Browserrisiken und verbessern den technischen Eindruck der Website.

9 Befund(e) · Re-Test: Header, TLS, CSP und Referrer-Policy nach Deployment erneut scannen.

Bereich: Web Security
Guide: öffnen

Drittanbieter im Datenschutz erklären mittel · 7-30 Tage · Legal/Vendor Owner · Aufwand mittel

Externe Browserkontakte müssen für Nutzer nachvollziehbar sein, besonders Werbung, Analytics, Tag-Manager, Fonts und Zahlungsanbieter.

1 Befund(e) · Re-Test: Drittanbieter-Liste gegen neue Requests und Cookies abgleichen.

Bereich: Drittanbieter
Guide: öffnen

Session-Replay und Fingerprinting prüfen niedrig · quartalsweise · Marketing/Datenschutz · Aufwand hoch

Fingerprinting, Session-Replay und Eingabeaufzeichnung sind besonders erklärungsbedürftig, weil Nutzer sie beim Seitenbesuch kaum erkennen können.

1 Befund(e) · Re-Test: Replay-/Fingerprinting-Skripte nach Ablehnen und GPC erneut prüfen.

Bereich: Behavior Tracking
Guide: öffnen

PII- und URL-Datenlecks vermeiden niedrig · quartalsweise · Webentwicklung/IT · Aufwand mittel

Personenbezogene Daten, Tokens und Formularwerte sollten nicht in URLs, Referrern, Logs oder Tracking-Tags landen.

1 Befund(e) · Re-Test: URLs, Referrer, Logs und Drittanbieter-Requests auf personenbezogene Werte prüfen.

Bereich: PII Leakage
Guide: öffnen

Cookie-Laufzeiten und Zwecke prüfen niedrig · quartalsweise · Marketing/IT/Datenschutz · Aufwand mittel

Cookie-Scanner und Audits achten nicht nur auf Namen und Anbieter, sondern auch darauf, ob Speicherdauer, Zweck und Consent-Zustand zusammenpassen.

1 Befund(e) · Re-Test: Cookie- und Storage-Zustände je Consent-Status exportieren.

Bereich: Cookie Inventory
Guide: öffnen

Cookies sicher konfigurieren niedrig · quartalsweise · IT/Webbetrieb · Aufwand klein

Cookies sollten technisch sauber gesetzt sein und nicht mehr Daten preisgeben als nötig.

1 Befund(e) · Re-Test: Cookie-Attribute Secure, SameSite und HttpOnly erneut prüfen.

Bereich: Cookie Security
Guide: öffnen

Externe Skripte und SRI absichern niedrig · quartalsweise · IT/Webentwicklung · Aufwand mittel

Externe JavaScript-Dateien sind eine Lieferkette im Browser. Für Nutzer zählen Datenschutz, Integrität und klare Kontrolle über Tracking- und Tag-Skripte.

1 Befund(e) · Re-Test: Externe Skripte, SRI, CSP und Consent-Auslösung erneut prüfen.

Bereich: Browser Supply Chain
Guide: öffnen

Arbeitsphasen

Von Befund zu belegtem Re-Scan

Triage 0-48 Stunden

Hoch priorisierte Befunde reproduzieren, Owner bestätigen, Exportpaket sichern.

Fix umsetzen 0-14 Tage

Consent-, Anbieter-, Notice-, Cookie-, Formular- oder Header-Änderungen umsetzen und versionieren.

Nutzertexte synchronisieren parallel

Datenschutzhinweis, Cookie-Erklärung, Anbieterregister und TrustHub an reale Technik anpassen.

Re-Scan und Freigabe nach Deployment

Erstaufruf, Ablehnen, Akzeptieren, GPC, Mobilansicht und priorisierte Unterseiten erneut prüfen.

Tracker- und Service-Mapping

Scanner-Funde in Dienste, Zwecke und Freigaben überführen

GUEST_LANGUAGE_ID cookie_storage · functional

Zweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.

dgzmk.de

Ziel: öffnen
Guide: öffnen

JSESSIONID cookie_storage · necessary

Zweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.

dgzmk.de

Ziel: öffnen
Guide: öffnen

LFR_SESSION_STATE_10135 cookie_storage · necessary

Zweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.

dgzmk.de

Ziel: öffnen
Guide: öffnen

COOKIE_SHOW_NOTIFICATION cookie_storage · unknown

Zweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.

dgzmk.de

Ziel: öffnen
Guide: öffnen

COOKIE_SUPPORT cookie_storage · unknown

Zweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.

dgzmk.de

Ziel: öffnen
Guide: öffnen

Abnahme und Quellen