Priorisierte Korrekturanleitungen

kooperationsstelle-osnabrueck.de: Betreiber-Fix-Guides

kooperationsstelle-osnabrueck.de: 7 priorisierte Betreiber-Guide(s) aus 25 Befund(en).

Automatisch aus SaferPage-Scan-Evidenz und Betreiber-Guides abgeleitet. Betreiber müssen Umsetzung, Rechtsgrundlagen, interne Systeme und Re-Scan-Nachweise fachlich freigeben.

7 Guides

JSON CSV Playbook MD Tickets JSON Tickets CSV Delivery JSON Delivery CSV Befunde Betreiber-Board Datenschutz-Hub Re-Scan

25Befunde 7Guide-Streams 10hoch 26Tickets 1Tracker-Tasks 1Plattform-Playbooks 6Review-Grenzen 21Abnahmen 17Quellen

Remediation Tickets

Aus Befunden werden umsetzbare Betreiberaufgaben

Tickets exportieren

Canonical zeigt auf fremde Domain hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Canonical-Tags sollten nur bewusst auf fremde Domains zeigen; sonst kann Traffic/Ranking umgeleitet werden.

Bereich: seo
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Content-Security-Policy fehlt hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Header `content-security-policy` setzen und nach Deployment erneut prüfen.

Bereich: security_headers
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Cookie-Hinweis ohne klare Ablehnen-Option hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Ablehnen sollte genauso leicht auffindbar sein wie Akzeptieren.

Bereich: privacy
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Datenschutzerklärung deckt zentrale Bausteine nicht vollständig ab hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Verantwortlicher, Zwecke, Rechtsgrundlagen, Rechte, Speicherfristen, Empfänger, Cookies/Tracking und Widerruf strukturiert ergänzen.

Bereich: privacy
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Google Consent Mode Default nicht erkannt hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Vor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied.

Bereich: privacy
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

HSTS fehlt hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Header `strict-transport-security` setzen und nach Deployment erneut prüfen.

Bereich: security_headers
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Security-Header, Referrer-Policy und Browser-Schutz setzen hoch · SLA 7 Tage · IT/Security

Befund mit Betreiber-Guide beheben und danach erneut scannen.

1 von 9 wichtigen Security-Headern vorhanden, 1 korrekt bewertet. Keine Content-Security-Policy gefunden.

Bereich: Security
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Sicherheit, TLS & Header hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

HTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren.

1 Infrastruktur-Hinweis(e), Security-Header: 1/9 vorhanden, 8 fehlen, externe Skript-Hosts: 0.

Bereich: Audit-Modul
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Versteckter Text erkannt hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Prüfen, ob Text absichtlich vor Nutzern verborgen, aber für Suchmaschinen platziert wird.

Bereich: seo
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

X-Frame-Options fehlt hoch · SLA 7 Tage · Website-Betrieb/Datenschutz

Header `x-frame-options` setzen und nach Deployment erneut prüfen.

Bereich: security_headers
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Barrierefreiheit & Usability mittel · SLA 30 Tage · Website-Betrieb/Datenschutz

Alt-Texte, Formularlabels, Button-Namen, lang-Attribut und Überschriftenstruktur für Nutzer und Screenreader prüfen.

15 Bild(er) ohne alt, 0 Formularfeld(er) ohne Beschriftung, 0 Button(s) ohne Namen.

Bereich: Audit-Modul
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Cookie-Banner, Formulare und mobile Nutzung barriereärmer machen mittel · SLA 30 Tage · UX/IT

Befund mit Betreiber-Guide beheben und danach erneut scannen.

22 Bild(er), 0 Formularfeld(er), 0 Button(s) im passiven HTML-Sample auf Basis-Barrierefreiheit geprüft.

Bereich: Barrierefreiheit
Guide: öffnen
Nachweis: öffnen
Re-Scan: öffnen

Fehlalarm- und Grenzen-Review

Automatische Befunde vor Umsetzung richtig einordnen

Betreiber-Review-Playbook gegen typische Fehlalarme: Consent-/Paywall-Grenzen, Google-Consent-Anwendbarkeit, Formular-Coverage, Cookie-Kontext und Score-Wording.

Playbook MD JSON Report-Quality

6Review-Fragen 6Abnahmen 6Grenzen 6Nachweise

Consent-Wall, Paywall oder Overlay einordnen bei Bedarf prüfen

Hat der automatische Lauf ein Overlay, eine PUR-/Abo-Wall, Geoblocking oder eine Login-Grenze gesehen?

Betreiberaktion: Wenn Overlay, Login, PUR-/Abo-Wall oder Geoblocking Inhalte verdeckt, Befunde zu Impressum, Formularen, Cookies und verstecktem Text manuell prüfen. Abnahme: Manuelle Prüfung ist mit Screenshot, Pfad, Entscheidung und Re-Scan-Vermerk dokumentiert. Grenze: Ein verdeckter Footer oder Paywall-Text ist kein automatischer Nachweis für fehlende Betreibertransparenz. Nachweis öffnen · Guide

Google Consent Mode nur bei Google-Evidenz fordern nicht erforderlich

Wurden Google-Tag, Google-Domain oder Google-Tracking-ID wirklich gesehen?

Betreiberaktion: Keinen Google-Consent-Mode-Fix verlangen, solange keine Google-Tag-/Domain-/ID-Evidence vorliegt; bei späterem Einbau erneut scannen. Abnahme: Top-Fixes enthalten keinen Google-Consent-Fehlalarm ohne Google-Evidence. Grenze: Diese Bewertung gilt nur für die gespeicherte Scan-Evidence; spätere Tag-Manager-Änderungen brauchen Re-Scan. Nachweis öffnen · Guide

Formular-Coverage gegen Startseiten-Sample abgleichen Crawl-Evidence vorhanden

Gibt es Formulare auf Startseite oder direkt gecrawlten Unterseiten?

Betreiberaktion: Alle 1 Formular(e) auf 1 geprüften Seite(n) mit Zweck, Pflichtfeldern, Datenschutzlink, Tracking und Referrer-Kontext prüfen. Abnahme: Formularzweck, Pflichtfelder, Datenschutzhinweis und Consent-/Tracking-Kontext sind pro Formularseite nachvollziehbar. Grenze: SaferPage sendet keine Formulare ab und kennt keine internen Rechtsgrundlagen oder nachgelagerte Verarbeitung. Nachweis öffnen · Guide

Cookies nach Zweck statt pauschal bewerten Baseline dokumentieren

Sind Cookies vor Einwilligung technisch notwendig oder Tracking/Marketing?

Betreiberaktion: Cookie-Liste mit Zweck, Anbieter, Laufzeit, Consent-Kategorie und Auslösezeitpunkt pflegen; Funktionscookies von Tracking-Cookies trennen. Abnahme: Cookie-Erklärung und CMP zeigen dieselben Kategorien; Re-Scan belegt keine ungeklärten Trackingkontakte vor Einwilligung. Grenze: Load-Balancing, Sicherheit und Consent-Speicherung können notwendig sein; die Einordnung braucht Betreiberkontext. Nachweis öffnen · Guide

Score und Warntexte als Priorisierung formulieren immer prüfen

Wird aus dem automatischen Score ein pauschales Seriositäts- oder Rechtsurteil?

Betreiberaktion: Report-Quality-Smoke, Kurzreport und Management-Text prüfen: harte Aussagen wie zertifiziert, rechtssicher oder grundsätzlich gefährlich vermeiden. Abnahme: Bericht trennt Beobachtung, Betreibermaßnahme, Grenze und Re-Scan; keine nicht belegten Zertifikats- oder Rechtsclaims. Grenze: Score ist eine technische Priorisierung und kein abschließendes Urteil über Rechtmäßigkeit, Seriosität oder Sicherheit. Nachweis öffnen · Guide

Aussage-Ampel und Claim-Grenzen übernehmen immer prüfen

Trennt der Report klar zwischen automatisch belegter Evidence, manueller Betreiberprüfung und Aussagen, die nicht behauptet werden dürfen?

Betreiberaktion: Aussage-Ampel im Report prüfen und in internen Tickets übernehmen: automatisch belegt, manuell prüfen und nicht behaupten getrennt dokumentieren. Abnahme: Fix-Tickets, Betreiberfreigabe und Re-Scan-Notiz enthalten keine DSGVO-Freigabe, kein pauschales Seriositätsurteil und keine nicht belegten Sicherheitsclaims. Grenze: Die Aussage-Ampel ist eine Kommunikations- und Abnahmehilfe; sie ersetzt keine Rechtsberatung, keine Betreiberfreigabe und keine vollständige Prüfung hinter Login, Paywall oder Geoblocking. Nachweis öffnen · Guide

Ticket Delivery

Aufgaben an Slack, Teams, Jira oder Webhooks übergeben

Das Delivery-Paket enthält Payload-Vorlagen, Idempotency-Keys, Body-SHA-256, HMAC-Signaturvertrag, Retry-Policy und Links zu Guide, Nachweis und Re-Scan. Es versendet nichts automatisch und enthält keine echten Secrets.

Delivery JSON Delivery CSV

Webhook

Strukturierte Events für interne PrivacyOps-Workflows, Queue-Worker oder Integrationsplattformen.

Slack / Teams

Kompakte Nachrichten mit Priorität, Owner, SLA und Nachweislink für operative Kanäle.

Jira

Ticket-Vorlagen mit Summary, Beschreibung, Labels, Priorität und deduplizierbarer External-ID.

HMAC-Receiver

Empfänger prüfen Signatur, Body-Hash, Event, Schema, Idempotency-Key und erlaubtes Zielsystem vor jeder Verarbeitung.

Test-Fixture

Der JSON-Export enthält ein öffentliches Test-Secret mit erwarteter Signatur für Receiver-Tests ohne produktive Secrets.

CMS-/Shop-Fixes

Plattformspezifische Reparatur-Playbooks

SaferPage leitet aus sichtbaren CMS-, Shop-, Frontend- und Deployment-Signalen konkrete Betreiber-Schritte ab. Wenn keine Plattform sicher erkennbar ist, wird kein CMS behauptet, sondern ein allgemeines Deployment-Playbook gezeigt.

Playbook MD JSON

TYPO3 Webbetrieb/IT/Datenschutz

TYPO3-Core, Extensions, Sitepackage, Fluid-Templates, Consent-Extension und Caches zusammen prüfen.

TYPO3 Core und Extensions gemäß Wartungsstatus aktualisieren; Composer-/Extension-Lockfile sichern.

Sitepackage und Fluid-Templates nach externen Fonts, Maps, Videos, Analytics und Tag-Manager-Snippets durchsuchen.

Consent-Extension so konfigurieren, dass externe Skripte und Iframes erst nach passender Einwilligung laden.

Security-Header und TLS/HSTS auf Webserver-/Proxy-Ebene testen; TYPO3-Caches nach Änderung leeren.

Passiv abgeleitet: SaferPage behauptet nur sichtbare CMS-/Shop-/Deployment-Signale. Betreiber müssen Plattform, Versionen, Plugins, Apps und interne Deployments bestätigen. Technik-Nachweis · Guide · Re-Scan

Guide-Streams

Welche Korrekturanleitungen zuerst umgesetzt werden sollten

Playbook exportieren

SEO-Spam und Cloaking bereinigen hoch · 0-7 Tage · Webbetrieb/SEO/Security · Aufwand hoch

Versteckte Texte, Doorway-Muster oder abweichende Googlebot-Inhalte wirken unseriös und können auf Kompromittierung hinweisen.

3 Befund(e) · Re-Test: Normaler Browser, SaferPage-Crawler und Suchmaschinenansicht vergleichen.

Bereich: Trust & Content Integrity
Guide: öffnen

Tracking und Consent reparieren hoch · 0-7 Tage · Marketing/IT/Datenschutz · Aufwand mittel

Tracking, Werbung und nicht notwendige Cookies sollten erst nach klarer Einwilligung geladen werden.

3 Befund(e) · Re-Test: Erstaufruf, Ablehnen, Akzeptieren und GPC getrennt scannen.

Bereich: Consent & Tracking
Guide: öffnen

Google-Dienste datenschutzfreundlich einbinden hoch · 0-7 Tage · Marketing/IT · Aufwand mittel

Google Analytics, Tag Manager, Fonts, Maps, YouTube und reCAPTCHA brauchen im deutschsprachigen Raum eine besonders saubere Prüfung.

3 Befund(e) · Re-Test: Google-Requests vor und nach Consent vergleichen.

Bereich: Google-Dienste
Guide: öffnen

Datenschutzerklärung verbessern hoch · 0-7 Tage · Datenschutz/Content · Aufwand mittel

Eine gute Datenschutzerklärung erklärt für Nutzer verständlich, welche Daten verarbeitet werden und warum.

2 Befund(e) · Re-Test: Datenschutzhinweis gegen Cookies, Anbieter, Formulare und Zwecke abgleichen.

Bereich: Transparenz
Guide: öffnen

Security-Header setzen hoch · 0-7 Tage · IT/Security · Aufwand mittel

Sicherheitsheader reduzieren typische Browserrisiken und verbessern den technischen Eindruck der Website.

10 Befund(e) · Re-Test: Header, TLS, CSP und Referrer-Policy nach Deployment erneut scannen.

Bereich: Web Security
Guide: öffnen

Barrierefreiheit bei Bannern und Formularen prüfen mittel · 7-30 Tage · UX/Content/IT · Aufwand mittel

Der Datenschutz-Webseiten-Report betont, dass Cookie-Banner und Formulare typische Problemstellen für Behörden- und Nutzerfreundlichkeit sind.

3 Befund(e) · Re-Test: Tastatur, Screenreader, Kontrast und Mobilansicht manuell prüfen.

Bereich: Usability & BITV
Guide: öffnen

Performance und mobile Nutzbarkeit verbessern niedrig · quartalsweise · Webentwicklung/UX · Aufwand mittel

Langsame oder mobil schlecht nutzbare Seiten wirken für Nutzer weniger vertrauenswürdig.

1 Befund(e) · Re-Test: Mobilansicht, Asset-Größen und Ladeverhalten erneut prüfen.

Bereich: Performance & Mobile
Guide: öffnen

Arbeitsphasen

Von Befund zu belegtem Re-Scan

Triage 0-48 Stunden

Hoch priorisierte Befunde reproduzieren, Owner bestätigen, Exportpaket sichern.

Fix umsetzen 0-14 Tage

Consent-, Anbieter-, Notice-, Cookie-, Formular- oder Header-Änderungen umsetzen und versionieren.

Nutzertexte synchronisieren parallel

Datenschutzhinweis, Cookie-Erklärung, Anbieterregister und TrustHub an reale Technik anpassen.

Re-Scan und Freigabe nach Deployment

Erstaufruf, Ablehnen, Akzeptieren, GPC, Mobilansicht und priorisierte Unterseiten erneut prüfen.

Tracker- und Service-Mapping

Scanner-Funde in Dienste, Zwecke und Freigaben überführen

Service- und Tracker-Mapping process · vorbereiten

Nach nächstem Scan Cookies, Requests und Anbieter in Servicekarten überführen.

Keine einzelnen Tracker-Zeilen im gespeicherten Check verfügbar.

Ziel: öffnen
Guide: öffnen

Abnahme und Quellen