{ "schema": "https://saferpage.de/schemas/operator-fix-guide-package.v1", "generated_at": "2026-06-13T11:37:50+00:00", "domain": "verbraucherschule.de", "available": true, "scan": { "id": "b252becd-c661-45f2-918a-b68791ec3d36", "checked_at": "2026-06-10 04:15:42.900413+02" }, "summary": "verbraucherschule.de: 10 priorisierte Betreiber-Guide(s) aus 28 Befund(en).", "metrics": { "issue_count": 28, "guide_count": 10, "high_priority_count": 10, "medium_priority_count": 6, "tracker_task_count": 2, "remediation_ticket_count": 30, "remediation_ticket_fingerprint_count": 30, "remediation_ticket_duplicate_count": 0, "high_ticket_count": 10, "acceptance_count": 30, "source_count": 17, "platform_playbook_count": 1, "platform_playbook_step_count": 4, "platform_playbook_acceptance_count": 3, "platform_playbook_boundary_count": 1, "platform_playbook_evidence_url_count": 1, "quality_review_row_count": 6, "quality_review_acceptance_count": 6, "quality_review_boundary_count": 6, "quality_review_evidence_url_count": 6, "quality_review_guide_url_count": 6, "quality_review_form_count": 2, "quality_review_form_page_count": 1, "evidence_first_measured_count": 4, "evidence_first_operator_context_count": 4, "evidence_first_do_not_claim_count": 4 }, "guide_streams": [ { "guide_slug": "google-dienste-datenschutzfreundlich-einbinden", "guide_url": "https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden", "title": "Google-Dienste datenschutzfreundlich einbinden", "intro": "Google Analytics, Tag Manager, Fonts, Maps, YouTube und reCAPTCHA brauchen im deutschsprachigen Raum eine besonders saubere Prüfung.", "priority": "hoch", "impact_score": 86, "phase": "0-7 Tage", "area": "Google-Dienste", "owner": "Marketing/IT", "effort": "mittel", "issue_count": 3, "issues": [ { "id": "google_consent_mode_missing", "area": "privacy", "title": "Google Consent Mode Default nicht erkannt", "priority": "hoch", "impact_score": 86, "evidence": "", "operator_action": "Vor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "google-dienste-datenschutzfreundlich-einbinden", "guide_url": "https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden", "source": "finding" }, { "id": "module_google_third_parties", "area": "Audit-Modul", "title": "Google-Dienste & Drittanbieter", "priority": "mittel", "impact_score": 42, "evidence": "Google-Tags: ja, 0 Google-nahe Domain(s), Consent-Default: nein, Analytics: nein, Werbung: nein, Fonts: nein.", "operator_action": "Google-Dienste einzeln prüfen, Consent Mode sauber setzen und Fonts möglichst lokal ausliefern.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "google-dienste-datenschutzfreundlich-einbinden", "guide_url": "https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden", "source": "audit_module" }, { "id": "google_consent_gap", "area": "Google Consent Mode und Tags reparieren", "title": "Google-Dienste", "priority": "mittel", "impact_score": 42, "evidence": "Google-Tags und Consent-Mode-Signale wurden aus HTML, Browserkontakten und Tracking-IDs abgeleitet.", "operator_action": "Befund mit Betreiber-Guide beheben und danach erneut scannen.", "owner": "Marketing Ops/Webentwicklung", "guide_slug": "google-dienste-datenschutzfreundlich-einbinden", "guide_url": "https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden", "source": "google_consent" } ], "guide_steps": [ "Blockieren Sie Google Analytics, Google Tag Manager, Ads und vergleichbare Tags bis zur aktiven Einwilligung.", "Setzen Sie Consent Mode defaults vor dem ersten Google-Tag auf denied und feuern Sie config/event erst nach dem passenden Consent.", "Hosten Sie Google Fonts lokal oder entfernen Sie Remote-Font-Requests zu fonts.googleapis.com und fonts.gstatic.com.", "Laden Sie Maps, YouTube und reCAPTCHA erst nach Klick, Einwilligung oder auf klar begründeten Formularseiten.", "Nennen Sie Google-Dienste konkret in Datenschutzerklärung und Consent-Oberfläche, inklusive Zweck, Anbieter und Widerruf." ], "fix_steps": [ { "phase": "Befund reproduzieren", "owner": "Marketing/IT", "action": "SaferPage-Report, betroffene URL, Consent-Zustand und Request-/Cookie-/Header-Evidence sichern.", "evidence": "Scan-ID, Screenshot, Exportzeile, betroffener Guide-Link." }, { "phase": "Ursache beheben", "owner": "Marketing/IT", "action": "Konfiguration, Tag, Inhalt, Anbieter, Header oder Formular gemäß Guide ändern und Änderung versionieren.", "evidence": "Ticket, Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Freigabe." }, { "phase": "Nutzertext aktualisieren", "owner": "Datenschutz/Content", "action": "Datenschutzhinweis, Cookie-Liste, Anbieterregister oder Trust-Dokumentation an die reale Technik anpassen.", "evidence": "Versionierter Text, Änderungsdatum, Verantwortlicher." }, { "phase": "Re-Test und Abschluss", "owner": "Compliance/IT", "action": "Google-Requests vor und nach Consent vergleichen.", "evidence": "Consent-Mode-Defaults, Tag-Manager-Regeln, Anbieterzwecke." } ], "acceptance": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "evidence_exports": [ "JSON/CSV/XLSX-Export für Rohbefunde und Audit-Tabellen", "ZIP-Nachweispaket mit Screenshot, Evidence Manifest und Guide-Verweisen", "Trust Documentation Library für öffentliche, sanitisierte und interne Nachweise" ], "retest": "Google-Requests vor und nach Consent vergleichen.", "sources": [ { "label": "DSK/BfDI: Hinweise zu Google Analytics", "url": "https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DSK/DSKBeschluessePositionspapiere/99DSK_Google-Analytics.pdf?__blob=publicationFile&v=3" }, { "label": "Google Tag Platform: Consent", "url": "https://developers.google.com/tag-platform/security/guides/consent" }, { "label": "Google Consent Mode concepts", "url": "https://developers.google.com/tag-platform/security/concepts/consent-mode" }, { "label": "Google Fonts Privacy FAQ", "url": "https://developers.google.com/fonts/faq/privacy" } ] }, { "guide_slug": "referrer-und-url-leaks-vermeiden", "guide_url": "https://saferpage.de/guides/referrer-und-url-leaks-vermeiden", "title": "Referrer- und URL-Leaks vermeiden", "intro": "Seitenpfade, Suchparameter und Tracking-Parameter können an Drittanbieter gelangen. Für Ihre Besucher ist wichtig, dass Formular-, Such- oder Kontokontexte nicht unnötig in Tags, Referrern oder Logs auftauchen.", "priority": "hoch", "impact_score": 86, "phase": "0-7 Tage", "area": "Referrer & URL Hygiene", "owner": "Webentwicklung/IT", "effort": "klein", "issue_count": 1, "issues": [ { "id": "third_party_page_url_parameter", "area": "privacy", "title": "Seiten-URL wird in Drittanbieter-Requests übertragen", "priority": "hoch", "impact_score": 86, "evidence": "", "operator_action": "Tracking-/Tag-Parameter für Anbieter wie auswertung.verbraucherzentrale.de so konfigurieren, dass keine unnötigen Pfade, Suchparameter oder Formularumfelder gesendet werden.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "referrer-und-url-leaks-vermeiden", "guide_url": "https://saferpage.de/guides/referrer-und-url-leaks-vermeiden", "source": "finding" } ], "guide_steps": [ "Setzen Sie eine Referrer-Policy wie strict-origin-when-cross-origin, origin-when-cross-origin, origin oder no-referrer passend zur Seite.", "Entfernen Sie personenbezogene Werte, Token, Session-IDs und E-Mail-Adressen aus URLs; nutzen Sie POST, serverseitige Zustände oder kurzlebige interne IDs.", "Konfigurieren Sie Analytics-, Ads- und Tag-Manager so, dass keine vollständigen Seiten-URLs mit sensiblen Parametern an Drittanbieter gesendet werden.", "Blockieren Sie Tracking auf Such-, Login-, Kontakt-, Checkout- und Formularseiten bis zur Einwilligung oder verzichten Sie dort ganz darauf.", "Prüfen Sie nach Änderungen Browser-Requests, Referrer, Exportdaten und Serverlogs erneut." ], "fix_steps": [ { "phase": "Befund reproduzieren", "owner": "Webentwicklung/IT", "action": "SaferPage-Report, betroffene URL, Consent-Zustand und Request-/Cookie-/Header-Evidence sichern.", "evidence": "Scan-ID, Screenshot, Exportzeile, betroffener Guide-Link." }, { "phase": "Ursache beheben", "owner": "Webentwicklung/IT", "action": "Konfiguration, Tag, Inhalt, Anbieter, Header oder Formular gemäß Guide ändern und Änderung versionieren.", "evidence": "Ticket, Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Freigabe." }, { "phase": "Nutzertext aktualisieren", "owner": "Datenschutz/Content", "action": "Datenschutzhinweis, Cookie-Liste, Anbieterregister oder Trust-Dokumentation an die reale Technik anpassen.", "evidence": "Versionierter Text, Änderungsdatum, Verantwortlicher." }, { "phase": "Re-Test und Abschluss", "owner": "Compliance/IT", "action": "Referrer-Header und Query-Parameter in Request-Samples kontrollieren.", "evidence": "Referrer-Policy, Tag-Konfiguration, URL-Parameter-Regel." } ], "acceptance": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "evidence_exports": [ "JSON/CSV/XLSX-Export für Rohbefunde und Audit-Tabellen", "ZIP-Nachweispaket mit Screenshot, Evidence Manifest und Guide-Verweisen", "Trust Documentation Library für öffentliche, sanitisierte und interne Nachweise" ], "retest": "Referrer-Header und Query-Parameter in Request-Samples kontrollieren.", "sources": [ { "label": "DSK Orientierungshilfe Digitale Dienste", "url": "https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf" }, { "label": "BfDI: Cookies und Tracking-Technologien", "url": "https://www.bfdi.bund.de/DE/Buerger/Inhalte/Telemedien/Cookies.html" }, { "label": "EDPB Guidelines 2/2023 ePrivacy Art. 5(3)", "url": "https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf" }, { "label": "BSI IT-Grundschutz APP.3.1 Webanwendungen", "url": "https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/06_APP_Anwendungen/APP_3_1_Webanwendungen_und_Webservices_Edition_2023.pdf?__blob=publicationFile&v=3" } ] }, { "guide_slug": "seo-spam-und-cloaking-bereinigen", "guide_url": "https://saferpage.de/guides/seo-spam-und-cloaking-bereinigen", "title": "SEO-Spam und Cloaking bereinigen", "intro": "Versteckte Texte, Doorway-Muster oder abweichende Googlebot-Inhalte wirken unseriös und können auf Kompromittierung hinweisen.", "priority": "hoch", "impact_score": 86, "phase": "0-7 Tage", "area": "Trust & Content Integrity", "owner": "Webbetrieb/SEO/Security", "effort": "hoch", "issue_count": 3, "issues": [ { "id": "external_canonical", "area": "seo", "title": "Canonical zeigt auf fremde Domain", "priority": "hoch", "impact_score": 86, "evidence": "", "operator_action": "Canonical-Tags sollten nur bewusst auf fremde Domains zeigen; sonst kann Traffic/Ranking umgeleitet werden.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "seo-spam-und-cloaking-bereinigen", "guide_url": "https://saferpage.de/guides/seo-spam-und-cloaking-bereinigen", "source": "finding" }, { "id": "external_link_spam", "area": "seo", "title": "Sehr viele externe Links erkannt", "priority": "hoch", "impact_score": 86, "evidence": "", "operator_action": "Prüfen, ob die Seite als Linkfarm, Affiliate-Brücke oder Spam-Seite dient.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "seo-spam-und-cloaking-bereinigen", "guide_url": "https://saferpage.de/guides/seo-spam-und-cloaking-bereinigen", "source": "finding" }, { "id": "module_seo_integrity", "area": "Audit-Modul", "title": "SEO-Integrität & Cloaking", "priority": "mittel", "impact_score": 36, "evidence": "2 SEO-Spam-Hinweis(e), 0 Cloaking-Hinweis(e).", "operator_action": "Versteckte Inhalte, Canonical-Missbrauch und Googlebot-Abweichungen entfernen.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "seo-spam-und-cloaking-bereinigen", "guide_url": "https://saferpage.de/guides/seo-spam-und-cloaking-bereinigen", "source": "audit_module" } ], "guide_steps": [ "Entfernen Sie versteckte Linklisten, Keyword-Stuffing und automatisch erzeugte Doorway-Seiten.", "Vergleichen Sie normalen Abruf und Googlebot-Abruf auf Weiterleitungen und sichtbare Inhalte.", "Prüfen Sie CMS, Themes und Plugins auf Schadcode, wenn solche Muster unerwartet auftauchen." ], "fix_steps": [ { "phase": "Befund reproduzieren", "owner": "Webbetrieb/SEO/Security", "action": "SaferPage-Report, betroffene URL, Consent-Zustand und Request-/Cookie-/Header-Evidence sichern.", "evidence": "Scan-ID, Screenshot, Exportzeile, betroffener Guide-Link." }, { "phase": "Ursache beheben", "owner": "Webbetrieb/SEO/Security", "action": "Konfiguration, Tag, Inhalt, Anbieter, Header oder Formular gemäß Guide ändern und Änderung versionieren.", "evidence": "Ticket, Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Freigabe." }, { "phase": "Nutzertext aktualisieren", "owner": "Datenschutz/Content", "action": "Datenschutzhinweis, Cookie-Liste, Anbieterregister oder Trust-Dokumentation an die reale Technik anpassen.", "evidence": "Versionierter Text, Änderungsdatum, Verantwortlicher." }, { "phase": "Re-Test und Abschluss", "owner": "Compliance/IT", "action": "Normaler Browser, SaferPage-Crawler und Suchmaschinenansicht vergleichen.", "evidence": "Bereinigter Code, Malware-/Plugin-Prüfung, Search-Console-Status." } ], "acceptance": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "evidence_exports": [ "JSON/CSV/XLSX-Export für Rohbefunde und Audit-Tabellen", "ZIP-Nachweispaket mit Screenshot, Evidence Manifest und Guide-Verweisen", "Trust Documentation Library für öffentliche, sanitisierte und interne Nachweise" ], "retest": "Normaler Browser, SaferPage-Crawler und Suchmaschinenansicht vergleichen.", "sources": [ { "label": "Google Search Central: Security Issues", "url": "https://developers.google.com/search/docs/monitor-debug/security" }, { "label": "Google Search Central: Page Experience", "url": "https://developers.google.com/search/docs/appearance/page-experience" } ] }, { "guide_slug": "datenschutz-webseiten-pruefkatalog", "guide_url": "https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog", "title": "Datenschutz-Webseiten-Prüfkatalog umsetzen", "intro": "Aus dem Datenschutz-Webseiten-Report abgeleiteter Betreiberplan: erst inventarisieren, dann Consent, Drittanbieter, Sicherheit und Barrierefreiheit dauerhaft prüfen.", "priority": "hoch", "impact_score": 86, "phase": "0-7 Tage", "area": "Programmsteuerung", "owner": "Programm-Owner/Datenschutz", "effort": "hoch", "issue_count": 4, "issues": [ { "id": "important_pages_not_discovered", "area": "crawl", "title": "Wichtige Betreiberseiten nicht vollständig in der Linkstruktur gefunden", "priority": "hoch", "impact_score": 86, "evidence": "", "operator_action": "Datenschutz und Impressum sollten von der Startseite aus klar erreichbar sein.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "datenschutz-webseiten-pruefkatalog", "guide_url": "https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog", "source": "finding" }, { "id": "module_site_coverage", "area": "Audit-Modul", "title": "Seitenabdeckung & Crawl", "priority": "hoch", "impact_score": 50, "evidence": "1 interne Linkziele erkannt, 1 priorisierte Unterseite(n) abgerufen.", "operator_action": "Datenschutz, Impressum, Kontakt, Cookie-Hinweise und kritische Formularseiten klar verlinken und regelmäßig mitprüfen.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "datenschutz-webseiten-pruefkatalog", "guide_url": "https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog", "source": "audit_module" }, { "id": "coverage_gap", "area": "Crawl-Abdeckung", "title": "Wichtige Unterseiten, Datenschutz und Formulare crawlbar verlinken", "priority": "hoch", "impact_score": 50, "evidence": "1 interne Linkziele erkannt (0 aus Sitemap), 1 priorisierte Unterseite(n) zusätzlich abgerufen.", "operator_action": "Befund mit Betreiber-Guide beheben und danach erneut scannen.", "owner": "Webbetrieb/SEO", "guide_slug": "datenschutz-webseiten-pruefkatalog", "guide_url": "https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog", "source": "coverage" }, { "id": "crawl_coverage_limited", "area": "crawl", "title": "Wenig interne Seiten auf der Startseite gefunden", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "Wichtige Seiten wie Datenschutz, Impressum, Kontakt und Cookie-Hinweise klar intern verlinken.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "datenschutz-webseiten-pruefkatalog", "guide_url": "https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog", "source": "finding" } ], "guide_steps": [ "Inventarisieren Sie alle eingebundenen Komponenten: Hosting, CDN, Cookies, Local Storage, Analyse, Tag Manager, Karten, Videos, Fonts, Captchas, Formulare und Newsletter.", "Prüfen Sie Erstaufruf, Ablehnen und Zustimmung getrennt: Netzwerkrequests, Cookies, Storage, Screenshot und DOM-Zustand müssen je Consent-Zustand dokumentiert werden.", "Gleichen Sie Datenschutzerklärung und Consent-Banner gegen die tatsächlich geladenen Dienste und Domains ab.", "Trennen Sie Serverebene und Seitenebene: DNS/TLS/Header/Logs gehören zum Betrieb, Banner/Formulare/Drittinhalte zur Website-Implementierung.", "Halten Sie Sitemap und robots.txt aktuell, damit Datenschutz-, Impressums-, Kontakt-, Formular- und Cookie-Seiten maschinell gefunden und geprüft werden können.", "Ordnen Sie Befunde nach Regelwerksbereich: DSGVO-Transparenz, TDDDG/ePrivacy-Consent, BSI-Sicherheit, BITV/Usability und Google-/Drittanbieter-Spezialthemen.", "Planen Sie Regressionstests quartalsweise oder nach jedem Relaunch, Plugin-Update und Consent-Tool-Wechsel." ], "fix_steps": [ { "phase": "Befund reproduzieren", "owner": "Programm-Owner/Datenschutz", "action": "SaferPage-Report, betroffene URL, Consent-Zustand und Request-/Cookie-/Header-Evidence sichern.", "evidence": "Scan-ID, Screenshot, Exportzeile, betroffener Guide-Link." }, { "phase": "Ursache beheben", "owner": "Programm-Owner/Datenschutz", "action": "Konfiguration, Tag, Inhalt, Anbieter, Header oder Formular gemäß Guide ändern und Änderung versionieren.", "evidence": "Ticket, Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Freigabe." }, { "phase": "Nutzertext aktualisieren", "owner": "Datenschutz/Content", "action": "Datenschutzhinweis, Cookie-Liste, Anbieterregister oder Trust-Dokumentation an die reale Technik anpassen.", "evidence": "Versionierter Text, Änderungsdatum, Verantwortlicher." }, { "phase": "Re-Test und Abschluss", "owner": "Compliance/IT", "action": "Gesamten Scan nach Umsetzung der priorisierten Guides wiederholen.", "evidence": "Prioritätenliste, Owner, Exportpaket, Re-Scan und Freigabe." } ], "acceptance": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "evidence_exports": [ "JSON/CSV/XLSX-Export für Rohbefunde und Audit-Tabellen", "ZIP-Nachweispaket mit Screenshot, Evidence Manifest und Guide-Verweisen", "Trust Documentation Library für öffentliche, sanitisierte und interne Nachweise" ], "retest": "Gesamten Scan nach Umsetzung der priorisierten Guides wiederholen.", "sources": [ { "label": "DSK Orientierungshilfe Digitale Dienste", "url": "https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf" }, { "label": "DSK Orientierungshilfe Telemedien", "url": "https://www.datenschutzkonferenz-online.de/media/oh/20221205_oh_Telemedien_2021_Version_1_1_Vorlage_104_DSK_final.pdf" }, { "label": "BfDI: Cookies und Tracking-Technologien", "url": "https://www.bfdi.bund.de/DE/Buerger/Inhalte/Telemedien/Cookies.html" }, { "label": "BSI IT-Grundschutz APP.3.1 Webanwendungen", "url": "https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/06_APP_Anwendungen/APP_3_1_Webanwendungen_und_Webservices_Edition_2023.pdf?__blob=publicationFile&v=3" }, { "label": "Google Search Central: Page Experience", "url": "https://developers.google.com/search/docs/appearance/page-experience" }, { "label": "BITV 2.0", "url": "https://www.gesetze-im-internet.de/bitv_2_0/" } ] }, { "guide_slug": "security-header-setzen", "guide_url": "https://saferpage.de/guides/security-header-setzen", "title": "Security-Header setzen", "intro": "Sicherheitsheader reduzieren typische Browserrisiken und verbessern den technischen Eindruck der Website.", "priority": "hoch", "impact_score": 86, "phase": "0-7 Tage", "area": "Web Security", "owner": "IT/Security", "effort": "mittel", "issue_count": 9, "issues": [ { "id": "missing_hsts", "area": "security_headers", "title": "HSTS fehlt", "priority": "hoch", "impact_score": 86, "evidence": "", "operator_action": "Header `strict-transport-security` setzen und nach Deployment erneut prüfen.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "security-header-setzen", "guide_url": "https://saferpage.de/guides/security-header-setzen", "source": "finding" }, { "id": "missing_csp", "area": "security_headers", "title": "Content-Security-Policy fehlt", "priority": "hoch", "impact_score": 86, "evidence": "", "operator_action": "Header `content-security-policy` setzen und nach Deployment erneut prüfen.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "security-header-setzen", "guide_url": "https://saferpage.de/guides/security-header-setzen", "source": "finding" }, { "id": "module_security_tls", "area": "Audit-Modul", "title": "Sicherheit, TLS & Header", "priority": "mittel", "impact_score": 42, "evidence": "2 Infrastruktur-Hinweis(e), Security-Header: 2/9 vorhanden, 7 fehlen, externe Skript-Hosts: 1.", "operator_action": "HTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "security-header-setzen", "guide_url": "https://saferpage.de/guides/security-header-setzen", "source": "audit_module" }, { "id": "security_header_gap", "area": "Security", "title": "Security-Header, Referrer-Policy und Browser-Schutz setzen", "priority": "mittel", "impact_score": 42, "evidence": "2 von 9 wichtigen Security-Headern vorhanden, 2 korrekt bewertet. Keine Content-Security-Policy gefunden.", "operator_action": "Befund mit Betreiber-Guide beheben und danach erneut scannen.", "owner": "IT/Security", "guide_slug": "security-header-setzen", "guide_url": "https://saferpage.de/guides/security-header-setzen", "source": "security_header" }, { "id": "missing_cross_origin_embedder_policy", "area": "security_headers", "title": "Cross-Origin-Embedder-Policy fehlt", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "Header `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "security-header-setzen", "guide_url": "https://saferpage.de/guides/security-header-setzen", "source": "finding" }, { "id": "missing_cross_origin_opener_policy", "area": "security_headers", "title": "Cross-Origin-Opener-Policy fehlt", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "Header `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "security-header-setzen", "guide_url": "https://saferpage.de/guides/security-header-setzen", "source": "finding" }, { "id": "missing_cross_origin_resource_policy", "area": "security_headers", "title": "Cross-Origin-Resource-Policy fehlt", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "Header `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "security-header-setzen", "guide_url": "https://saferpage.de/guides/security-header-setzen", "source": "finding" }, { "id": "missing_referrer_policy", "area": "security_headers", "title": "Referrer-Policy fehlt", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "Header `referrer-policy` setzen und nach Deployment erneut prüfen.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "security-header-setzen", "guide_url": "https://saferpage.de/guides/security-header-setzen", "source": "finding" }, { "id": "missing_permissions_policy", "area": "security_headers", "title": "Permissions-Policy fehlt", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "Header `permissions-policy` setzen und nach Deployment erneut prüfen.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "security-header-setzen", "guide_url": "https://saferpage.de/guides/security-header-setzen", "source": "finding" } ], "guide_steps": [ "Setzen Sie HSTS nach erfolgreichem HTTPS-Test.", "Nutzen Sie Content-Security-Policy, X-Frame-Options, X-Content-Type-Options und Referrer-Policy.", "Starten Sie mit einer vorsichtigen CSP im Report-Only-Modus und verschärfen Sie sie schrittweise.", "Entfernen Sie unsafe-inline, unsafe-eval, Wildcards und reine http:-Quellen aus script-src, sobald Nonces, Hashes oder konkrete Hosts funktionieren.", "Setzen Sie base-uri und object-src restriktiv, typischerweise base-uri self und object-src none.", "Nutzen Sie frame-ancestors oder X-Frame-Options, damit fremde Seiten die Website nicht ungewollt einbetten." ], "fix_steps": [ { "phase": "Befund reproduzieren", "owner": "IT/Security", "action": "SaferPage-Report, betroffene URL, Consent-Zustand und Request-/Cookie-/Header-Evidence sichern.", "evidence": "Scan-ID, Screenshot, Exportzeile, betroffener Guide-Link." }, { "phase": "Ursache beheben", "owner": "IT/Security", "action": "Konfiguration, Tag, Inhalt, Anbieter, Header oder Formular gemäß Guide ändern und Änderung versionieren.", "evidence": "Ticket, Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Freigabe." }, { "phase": "Nutzertext aktualisieren", "owner": "Datenschutz/Content", "action": "Datenschutzhinweis, Cookie-Liste, Anbieterregister oder Trust-Dokumentation an die reale Technik anpassen.", "evidence": "Versionierter Text, Änderungsdatum, Verantwortlicher." }, { "phase": "Re-Test und Abschluss", "owner": "Compliance/IT", "action": "Header, TLS, CSP und Referrer-Policy nach Deployment erneut scannen.", "evidence": "Nginx/Apache/CDN-Konfiguration, Header-Export, Rollback-Plan." } ], "acceptance": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "evidence_exports": [ "JSON/CSV/XLSX-Export für Rohbefunde und Audit-Tabellen", "ZIP-Nachweispaket mit Screenshot, Evidence Manifest und Guide-Verweisen", "Trust Documentation Library für öffentliche, sanitisierte und interne Nachweise" ], "retest": "Header, TLS, CSP und Referrer-Policy nach Deployment erneut scannen.", "sources": [ { "label": "BSI IT-Grundschutz APP.3.1 Webanwendungen", "url": "https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/06_APP_Anwendungen/APP_3_1_Webanwendungen_und_Webservices_Edition_2023.pdf?__blob=publicationFile&v=3" }, { "label": "BSI IT-Grundschutz APP.3.2 Webserver", "url": "https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/06_APP_Anwendungen/APP_3_2_Webserver_Edition_2023.pdf?__blob=publicationFile&v=3" }, { "label": "MDN: Content Security Policy", "url": "https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP" } ] }, { "guide_slug": "drittanbieter-datenschutz-erklaeren", "guide_url": "https://saferpage.de/guides/drittanbieter-datenschutz-erklaeren", "title": "Drittanbieter im Datenschutz erklären", "intro": "Externe Browserkontakte müssen für Ihre Besucher nachvollziehbar sein, besonders Werbung, Analytics, Tag-Manager, Fonts und Zahlungsanbieter.", "priority": "hoch", "impact_score": 84, "phase": "0-7 Tage", "area": "Drittanbieter", "owner": "Legal/Vendor Owner", "effort": "mittel", "issue_count": 1, "issues": [ { "id": "vendor_contract_transfer_fix", "area": "Anbieter & Transfer", "title": "Anbieterakten, AVV/DPA und Transfers priorisiert schließen", "priority": "hoch", "impact_score": 84, "evidence": "Vendor-Due-Diligence mit 1 Anbieter(n), 0 hohem Risiko, 1 AVV-/DPA-Prüfung(en) und 0 Transfer-/Jurisdiktionsfrage(n).", "operator_action": "Top-Anbieter mit Zweck, Rolle, AVV/DPA, TOMs, Subprozessoren und Transfergrundlage dokumentieren.", "owner": "Legal/Vendor Owner", "guide_slug": "drittanbieter-datenschutz-erklaeren", "guide_url": "https://saferpage.de/guides/drittanbieter-datenschutz-erklaeren", "source": "vendor_due_diligence" } ], "guide_steps": [ "Erstellen Sie eine Liste aller externen Domains, die beim ersten Seitenaufruf geladen werden.", "Ordnen Sie jeden Anbieter einem Zweck zu: Hosting/CDN, Fonts, Consent, Analytics, Werbung, Zahlung oder Support.", "Dokumentieren Sie pro Anbieter Empfängerrolle, Anbieterland, Transfergrundlage, AVV/Vertrag und Widerrufs- oder Opt-out-Möglichkeit.", "Reduzieren Sie unnötige Drittanbieter und erklären Sie die übrigen verständlich in Cookie-Auswahl und Datenschutzhinweisen." ], "fix_steps": [ { "phase": "Befund reproduzieren", "owner": "Legal/Vendor Owner", "action": "SaferPage-Report, betroffene URL, Consent-Zustand und Request-/Cookie-/Header-Evidence sichern.", "evidence": "Scan-ID, Screenshot, Exportzeile, betroffener Guide-Link." }, { "phase": "Ursache beheben", "owner": "Legal/Vendor Owner", "action": "Konfiguration, Tag, Inhalt, Anbieter, Header oder Formular gemäß Guide ändern und Änderung versionieren.", "evidence": "Ticket, Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Freigabe." }, { "phase": "Nutzertext aktualisieren", "owner": "Datenschutz/Content", "action": "Datenschutzhinweis, Cookie-Liste, Anbieterregister oder Trust-Dokumentation an die reale Technik anpassen.", "evidence": "Versionierter Text, Änderungsdatum, Verantwortlicher." }, { "phase": "Re-Test und Abschluss", "owner": "Compliance/IT", "action": "Drittanbieter-Liste gegen neue Requests und Cookies abgleichen.", "evidence": "Anbieterregister, AVV/DPA-Status, Transferbewertung, Datenschutzhinweis." } ], "acceptance": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "evidence_exports": [ "JSON/CSV/XLSX-Export für Rohbefunde und Audit-Tabellen", "ZIP-Nachweispaket mit Screenshot, Evidence Manifest und Guide-Verweisen", "Trust Documentation Library für öffentliche, sanitisierte und interne Nachweise" ], "retest": "Drittanbieter-Liste gegen neue Requests und Cookies abgleichen.", "sources": [ { "label": "DSK Orientierungshilfe Digitale Dienste", "url": "https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf" }, { "label": "BfDI: Cookies und Tracking-Technologien", "url": "https://www.bfdi.bund.de/DE/Buerger/Inhalte/Telemedien/Cookies.html" }, { "label": "Google Tag Platform: Consent", "url": "https://developers.google.com/tag-platform/security/guides/consent" } ] }, { "guide_slug": "externe-skripte-und-sri-absichern", "guide_url": "https://saferpage.de/guides/externe-skripte-und-sri-absichern", "title": "Externe Skripte und SRI absichern", "intro": "Externe JavaScript-Dateien sind eine Lieferkette im Browser. Für Ihre Website zählen Datenschutz, Integrität und klare Kontrolle über Tracking- und Tag-Skripte.", "priority": "mittel", "impact_score": 55, "phase": "7-30 Tage", "area": "Browser Supply Chain", "owner": "IT/Webentwicklung", "effort": "mittel", "issue_count": 2, "issues": [ { "id": "module_script_supply_chain", "area": "Audit-Modul", "title": "Externe Skripte & SRI", "priority": "mittel", "impact_score": 32, "evidence": "23 externe Skript(e) von 1 Host(s), 23 ohne SRI, 0 Tracking-/Tag-nahe Skript(e).", "operator_action": "Externe Skriptquellen reduzieren, statische CDN-Skripte mit SRI versehen und Tracking-/Tag-Skripte an Consent und CSP koppeln.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "externe-skripte-und-sri-absichern", "guide_url": "https://saferpage.de/guides/externe-skripte-und-sri-absichern", "source": "audit_module" }, { "id": "external_script_without_sri", "area": "security_headers", "title": "Externe Skripte ohne Subresource Integrity", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "Für statische CDN-Skripte `integrity` und passend `crossorigin` setzen oder Skripte kontrolliert lokal ausliefern.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "externe-skripte-und-sri-absichern", "guide_url": "https://saferpage.de/guides/externe-skripte-und-sri-absichern", "source": "finding" } ], "guide_steps": [ "Führen Sie ein Skriptinventar mit Host, Anbieter, Zweck, Kategorie, Rechtsgrundlage, Consent-Zustand und Verantwortlichem.", "Hosten Sie stabile Bibliotheken lokal, wenn kein zwingender CDN-Grund besteht.", "Setzen Sie für statische CDN-Skripte Subresource Integrity mit passendem crossorigin-Attribut und aktualisieren Sie Hashes bei Versionswechseln.", "Beschränken Sie erlaubte Skriptquellen über eine Content-Security-Policy und testen Sie Änderungen zuerst im Report-Only-Modus.", "Laden Sie Tracking-, Tag-Manager-, Ads-, Analytics- und Session-Replay-Skripte erst nach passender Einwilligung.", "Prüfen Sie nach jedem Plugin-, Theme-, Consent-Tool- oder Tag-Manager-Update erneut, ob neue externe Skriptquellen hinzugekommen sind." ], "fix_steps": [ { "phase": "Befund reproduzieren", "owner": "IT/Webentwicklung", "action": "SaferPage-Report, betroffene URL, Consent-Zustand und Request-/Cookie-/Header-Evidence sichern.", "evidence": "Scan-ID, Screenshot, Exportzeile, betroffener Guide-Link." }, { "phase": "Ursache beheben", "owner": "IT/Webentwicklung", "action": "Konfiguration, Tag, Inhalt, Anbieter, Header oder Formular gemäß Guide ändern und Änderung versionieren.", "evidence": "Ticket, Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Freigabe." }, { "phase": "Nutzertext aktualisieren", "owner": "Datenschutz/Content", "action": "Datenschutzhinweis, Cookie-Liste, Anbieterregister oder Trust-Dokumentation an die reale Technik anpassen.", "evidence": "Versionierter Text, Änderungsdatum, Verantwortlicher." }, { "phase": "Re-Test und Abschluss", "owner": "Compliance/IT", "action": "Externe Skripte, SRI, CSP und Consent-Auslösung erneut prüfen.", "evidence": "Skriptinventar, SRI-Hashes, CSP-Report-Only-Test." } ], "acceptance": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "evidence_exports": [ "JSON/CSV/XLSX-Export für Rohbefunde und Audit-Tabellen", "ZIP-Nachweispaket mit Screenshot, Evidence Manifest und Guide-Verweisen", "Trust Documentation Library für öffentliche, sanitisierte und interne Nachweise" ], "retest": "Externe Skripte, SRI, CSP und Consent-Auslösung erneut prüfen.", "sources": [ { "label": "BSI IT-Grundschutz APP.3.1 Webanwendungen", "url": "https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/06_APP_Anwendungen/APP_3_1_Webanwendungen_und_Webservices_Edition_2023.pdf?__blob=publicationFile&v=3" }, { "label": "BSI IT-Grundschutz APP.3.2 Webserver", "url": "https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/06_APP_Anwendungen/APP_3_2_Webserver_Edition_2023.pdf?__blob=publicationFile&v=3" }, { "label": "MDN: Subresource Integrity", "url": "https://developer.mozilla.org/en-US/docs/Web/Security/Subresource_Integrity" }, { "label": "DSK Orientierungshilfe Digitale Dienste", "url": "https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf" }, { "label": "BfDI: Cookies und Tracking-Technologien", "url": "https://www.bfdi.bund.de/DE/Buerger/Inhalte/Telemedien/Cookies.html" } ] }, { "guide_slug": "tracking-pixel-und-beacons-begrenzen", "guide_url": "https://saferpage.de/guides/tracking-pixel-und-beacons-begrenzen", "title": "Tracking-Pixel und Beacons begrenzen", "intro": "Unsichtbare Pixel, Link-Pings, sendBeacon und Keepalive-Telemetrie können Seitenaufrufe, Klicks und Kampagnenkontakte übertragen, ohne dass Nutzer sie sehen.", "priority": "niedrig", "impact_score": 55, "phase": "quartalsweise", "area": "Pixel & Beacons", "owner": "Marketing/IT", "effort": "mittel", "issue_count": 1, "issues": [ { "id": "tracking_pixel_detected", "area": "privacy", "title": "Tracking-Pixel oder pixelnahe Requests erkannt", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "Pixel von auswertung.verbraucherzentrale.de erst nach Einwilligung laden, Zweck erklären und unnötige Bild-Tracker entfernen.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "tracking-pixel-und-beacons-begrenzen", "guide_url": "https://saferpage.de/guides/tracking-pixel-und-beacons-begrenzen", "source": "finding" } ], "guide_steps": [ "Inventarisieren Sie alle Pixel- und Beacon-Ziele mit Anbieter, Zweck, Rechtsgrundlage, Consent-Kategorie und Auslösezeitpunkt.", "Laden Sie Werbe-, Analytics-, Conversion- und Retargeting-Pixel erst nach aktiver Einwilligung.", "Entfernen Sie ping-Attribute an Links oder ersetzen Sie sie durch datensparsame interne Messung ohne Drittanbieter.", "Prüfen Sie navigator.sendBeacon und fetch keepalive auf gesendete Parameter; personenbezogene Werte, volle URLs und Formularumfelder dürfen nicht unnötig übertragen werden.", "Dokumentieren Sie Pixel und Telemetrie in Datenschutzerklärung und Consent-Oberfläche mit konkretem Anbieter und Zweck.", "Testen Sie Erstaufruf, Ablehnen, Akzeptieren und GPC separat, weil Pixel oft durch Tag-Manager nachgeladen werden." ], "fix_steps": [ { "phase": "Befund reproduzieren", "owner": "Marketing/IT", "action": "SaferPage-Report, betroffene URL, Consent-Zustand und Request-/Cookie-/Header-Evidence sichern.", "evidence": "Scan-ID, Screenshot, Exportzeile, betroffener Guide-Link." }, { "phase": "Ursache beheben", "owner": "Marketing/IT", "action": "Konfiguration, Tag, Inhalt, Anbieter, Header oder Formular gemäß Guide ändern und Änderung versionieren.", "evidence": "Ticket, Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Freigabe." }, { "phase": "Nutzertext aktualisieren", "owner": "Datenschutz/Content", "action": "Datenschutzhinweis, Cookie-Liste, Anbieterregister oder Trust-Dokumentation an die reale Technik anpassen.", "evidence": "Versionierter Text, Änderungsdatum, Verantwortlicher." }, { "phase": "Re-Test und Abschluss", "owner": "Compliance/IT", "action": "Pixel-, ping-, beacon- und keepalive-Ziele erneut exportieren.", "evidence": "Tag-Manager-Regeln, Zweckliste, Consent-Test, Request-Samples." } ], "acceptance": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "evidence_exports": [ "JSON/CSV/XLSX-Export für Rohbefunde und Audit-Tabellen", "ZIP-Nachweispaket mit Screenshot, Evidence Manifest und Guide-Verweisen", "Trust Documentation Library für öffentliche, sanitisierte und interne Nachweise" ], "retest": "Pixel-, ping-, beacon- und keepalive-Ziele erneut exportieren.", "sources": [ { "label": "DSK Orientierungshilfe Digitale Dienste", "url": "https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf" }, { "label": "BfDI: Cookies und Tracking-Technologien", "url": "https://www.bfdi.bund.de/DE/Buerger/Inhalte/Telemedien/Cookies.html" }, { "label": "EDPB Guidelines 2/2023 ePrivacy Art. 5(3)", "url": "https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf" }, { "label": "Google Tag Platform: Consent", "url": "https://developers.google.com/tag-platform/security/guides/consent" } ] }, { "guide_slug": "session-replay-und-fingerprinting-pruefen", "guide_url": "https://saferpage.de/guides/session-replay-und-fingerprinting-pruefen", "title": "Session-Replay und Fingerprinting prüfen", "intro": "Fingerprinting, Session-Replay und Eingabeaufzeichnung sind besonders erklärungsbedürftig, weil Nutzer sie beim Seitenbesuch kaum erkennen können.", "priority": "niedrig", "impact_score": 55, "phase": "quartalsweise", "area": "Behavior Tracking", "owner": "Marketing/Datenschutz", "effort": "hoch", "issue_count": 1, "issues": [ { "id": "browser_keystroke_listener_signals", "area": "privacy", "title": "Viele Tastatur-/Eingabe-Listener im Browser erkannt", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "Prüfen, ob Eingaben für Analytics, Session-Replay oder Debugging erfasst werden; sensible Felder konsequent ausschließen.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "session-replay-und-fingerprinting-pruefen", "guide_url": "https://saferpage.de/guides/session-replay-und-fingerprinting-pruefen", "source": "finding" } ], "guide_steps": [ "Laden Sie Session-Replay-, Heatmap- und Verhaltenstracking-Skripte erst nach aktiver Einwilligung.", "Maskieren Sie Formularfelder, Suchfelder, Checkout, Login und Freitextbereiche konsequent; sensible Eingaben dürfen nicht in Replay-Daten landen.", "Prüfen Sie Canvas-, WebGL- und AudioContext-Zugriffe: entfernen Sie unnötige Bibliotheken oder dokumentieren Sie den konkreten Zweck.", "Nennen Sie Anbieter, Zwecke, Speicherdauer, Empfänger und Widerruf verständlich in Datenschutzerklärung und Consent-Oberfläche.", "Testen Sie Ablehnen und GPC separat: nach Ablehnung sollten Replay- und Fingerprinting-Skripte nicht neu geladen werden." ], "fix_steps": [ { "phase": "Befund reproduzieren", "owner": "Marketing/Datenschutz", "action": "SaferPage-Report, betroffene URL, Consent-Zustand und Request-/Cookie-/Header-Evidence sichern.", "evidence": "Scan-ID, Screenshot, Exportzeile, betroffener Guide-Link." }, { "phase": "Ursache beheben", "owner": "Marketing/Datenschutz", "action": "Konfiguration, Tag, Inhalt, Anbieter, Header oder Formular gemäß Guide ändern und Änderung versionieren.", "evidence": "Ticket, Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Freigabe." }, { "phase": "Nutzertext aktualisieren", "owner": "Datenschutz/Content", "action": "Datenschutzhinweis, Cookie-Liste, Anbieterregister oder Trust-Dokumentation an die reale Technik anpassen.", "evidence": "Versionierter Text, Änderungsdatum, Verantwortlicher." }, { "phase": "Re-Test und Abschluss", "owner": "Compliance/IT", "action": "Replay-/Fingerprinting-Skripte nach Ablehnen und GPC erneut prüfen.", "evidence": "Maskierungsregeln, Zweck, Consent-Kategorie, Anbieterfreigabe." } ], "acceptance": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "evidence_exports": [ "JSON/CSV/XLSX-Export für Rohbefunde und Audit-Tabellen", "ZIP-Nachweispaket mit Screenshot, Evidence Manifest und Guide-Verweisen", "Trust Documentation Library für öffentliche, sanitisierte und interne Nachweise" ], "retest": "Replay-/Fingerprinting-Skripte nach Ablehnen und GPC erneut prüfen.", "sources": [ { "label": "DSK Orientierungshilfe Digitale Dienste", "url": "https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf" }, { "label": "BfDI: Cookies und Tracking-Technologien", "url": "https://www.bfdi.bund.de/DE/Buerger/Inhalte/Telemedien/Cookies.html" }, { "label": "EDPB Guidelines 05/2020 Consent", "url": "https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_en.pdf" }, { "label": "EDPB Guidelines 2/2023 ePrivacy Art. 5(3)", "url": "https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf" } ] }, { "guide_slug": "performance-und-mobile-usability-verbessern", "guide_url": "https://saferpage.de/guides/performance-und-mobile-usability-verbessern", "title": "Performance und mobile Nutzbarkeit verbessern", "intro": "Langsame oder mobil schlecht nutzbare Seiten wirken für Ihre Besucher weniger vertrauenswürdig.", "priority": "niedrig", "impact_score": 55, "phase": "quartalsweise", "area": "Performance & Mobile", "owner": "Webentwicklung/UX", "effort": "mittel", "issue_count": 3, "issues": [ { "id": "large_html_response", "area": "performance", "title": "HTML-Antwort ist groß", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "HTML reduzieren, kritische Inhalte priorisieren und unnötige Inline-Daten vermeiden.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "performance-und-mobile-usability-verbessern", "guide_url": "https://saferpage.de/guides/performance-und-mobile-usability-verbessern", "source": "finding" }, { "id": "compression_missing", "area": "performance", "title": "Komprimierung nicht erkannt", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "Brotli oder gzip für HTML/CSS/JS aktivieren.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "performance-und-mobile-usability-verbessern", "guide_url": "https://saferpage.de/guides/performance-und-mobile-usability-verbessern", "source": "finding" }, { "id": "too_many_render_blocking_assets", "area": "performance", "title": "Viele potenziell blockierende Assets", "priority": "niedrig", "impact_score": 55, "evidence": "", "operator_action": "Skripte/CSS bündeln, defer/async nutzen und kritisches CSS priorisieren.", "owner": "Website-Betrieb/Datenschutz", "guide_slug": "performance-und-mobile-usability-verbessern", "guide_url": "https://saferpage.de/guides/performance-und-mobile-usability-verbessern", "source": "finding" } ], "guide_steps": [ "Aktivieren Sie Brotli oder gzip für HTML, CSS und JavaScript.", "Reduzieren Sie blockierende Skripte, unnötige Bibliotheken und große Inline-Daten.", "Setzen Sie den Viewport-Meta-Tag und testen Sie wichtige Seiten auf Mobilgeräten." ], "fix_steps": [ { "phase": "Befund reproduzieren", "owner": "Webentwicklung/UX", "action": "SaferPage-Report, betroffene URL, Consent-Zustand und Request-/Cookie-/Header-Evidence sichern.", "evidence": "Scan-ID, Screenshot, Exportzeile, betroffener Guide-Link." }, { "phase": "Ursache beheben", "owner": "Webentwicklung/UX", "action": "Konfiguration, Tag, Inhalt, Anbieter, Header oder Formular gemäß Guide ändern und Änderung versionieren.", "evidence": "Ticket, Konfigurationsdiff, CMS-/Tag-Manager-Änderung, Freigabe." }, { "phase": "Nutzertext aktualisieren", "owner": "Datenschutz/Content", "action": "Datenschutzhinweis, Cookie-Liste, Anbieterregister oder Trust-Dokumentation an die reale Technik anpassen.", "evidence": "Versionierter Text, Änderungsdatum, Verantwortlicher." }, { "phase": "Re-Test und Abschluss", "owner": "Compliance/IT", "action": "Mobilansicht, Asset-Größen und Ladeverhalten erneut prüfen.", "evidence": "Performance-Messung, Asset-Liste, Mobile-Screenshot." } ], "acceptance": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "evidence_exports": [ "JSON/CSV/XLSX-Export für Rohbefunde und Audit-Tabellen", "ZIP-Nachweispaket mit Screenshot, Evidence Manifest und Guide-Verweisen", "Trust Documentation Library für öffentliche, sanitisierte und interne Nachweise" ], "retest": "Mobilansicht, Asset-Größen und Ladeverhalten erneut prüfen.", "sources": [ { "label": "Google Search Central: Page Experience", "url": "https://developers.google.com/search/docs/appearance/page-experience" }, { "label": "Google Search Central: Core Web Vitals", "url": "https://developers.google.com/search/docs/appearance/core-web-vitals" } ] } ], "remediation_tickets": [ { "id": "remediation_vendor_contract_transfer_fix", "type": "befund_fix", "title": "Anbieterakten, AVV/DPA und Transfers priorisiert schließen", "priority": "hoch", "owner": "Legal/Vendor Owner", "area": "Anbieter & Transfer", "evidence": "Vendor-Due-Diligence mit 1 Anbieter(n), 0 hohem Risiko, 1 AVV-/DPA-Prüfung(en) und 0 Transfer-/Jurisdiktionsfrage(n).", "action": "Top-Anbieter mit Zweck, Rolle, AVV/DPA, TOMs, Subprozessoren und Transfergrundlage dokumentieren.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/drittanbieter-datenschutz-erklaeren", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "vendor_due_diligence", "sla": "7 Tage", "fingerprint": "aab3971ddedd212f3af193513e9758d348555fe54ebefc10e9599425e4fe9098", "duplicate_group_count": 1, "deduplicated_duplicate_count": 0 }, { "id": "remediation_external_canonical", "type": "befund_fix", "title": "Canonical zeigt auf fremde Domain", "priority": "hoch", "owner": "Website-Betrieb/Datenschutz", "area": "seo", "evidence": "", "action": "Canonical-Tags sollten nur bewusst auf fremde Domains zeigen; sonst kann Traffic/Ranking umgeleitet werden.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/seo-spam-und-cloaking-bereinigen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "7 Tage", "fingerprint": "a875b89238f4850630895bee7429cad86786114b53790a6ec212f77917b7162f", "duplicate_group_count": 1 }, { "id": "remediation_missing_csp", "type": "befund_fix", "title": "Content-Security-Policy fehlt", "priority": "hoch", "owner": "Website-Betrieb/Datenschutz", "area": "security_headers", "evidence": "", "action": "Header `content-security-policy` setzen und nach Deployment erneut prüfen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/security-header-setzen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "7 Tage", "fingerprint": "26b9534373385506779b7bf81348f3c4f7ed18b999de66aa039091b4f75dc857", "duplicate_group_count": 1 }, { "id": "remediation_google_consent_mode_missing", "type": "befund_fix", "title": "Google Consent Mode Default nicht erkannt", "priority": "hoch", "owner": "Website-Betrieb/Datenschutz", "area": "privacy", "evidence": "", "action": "Vor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "7 Tage", "fingerprint": "ef4d652840c15eaede4fde88f5a31361c353816942714aa2c1f1373ec1804c25", "duplicate_group_count": 1 }, { "id": "remediation_missing_hsts", "type": "befund_fix", "title": "HSTS fehlt", "priority": "hoch", "owner": "Website-Betrieb/Datenschutz", "area": "security_headers", "evidence": "", "action": "Header `strict-transport-security` setzen und nach Deployment erneut prüfen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/security-header-setzen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "7 Tage", "fingerprint": "3fb65abf3efe6897f10e5ae5bf647ff9f352361881d76df2886d2992c43232a1", "duplicate_group_count": 1 }, { "id": "remediation_external_link_spam", "type": "befund_fix", "title": "Sehr viele externe Links erkannt", "priority": "hoch", "owner": "Website-Betrieb/Datenschutz", "area": "seo", "evidence": "", "action": "Prüfen, ob die Seite als Linkfarm, Affiliate-Brücke oder Spam-Seite dient.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/seo-spam-und-cloaking-bereinigen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "7 Tage", "fingerprint": "4ab86201e9a718e7046ce471bc32f3746d6e9ae699a6b044e58d8298ffed6579", "duplicate_group_count": 1 }, { "id": "remediation_third_party_page_url_parameter", "type": "befund_fix", "title": "Seiten-URL wird in Drittanbieter-Requests übertragen", "priority": "hoch", "owner": "Website-Betrieb/Datenschutz", "area": "privacy", "evidence": "", "action": "Tracking-/Tag-Parameter für Anbieter wie auswertung.verbraucherzentrale.de so konfigurieren, dass keine unnötigen Pfade, Suchparameter oder Formularumfelder gesendet werden.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/referrer-und-url-leaks-vermeiden", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "7 Tage", "fingerprint": "1136445620281e7e4f1dd514fbefd76f4a2f50fd8096d9feed9bca0e98d7c128", "duplicate_group_count": 1 }, { "id": "remediation_module_site_coverage", "type": "befund_fix", "title": "Seitenabdeckung & Crawl", "priority": "hoch", "owner": "Website-Betrieb/Datenschutz", "area": "Audit-Modul", "evidence": "1 interne Linkziele erkannt, 1 priorisierte Unterseite(n) abgerufen.", "action": "Datenschutz, Impressum, Kontakt, Cookie-Hinweise und kritische Formularseiten klar verlinken und regelmäßig mitprüfen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "audit_module", "sla": "7 Tage", "fingerprint": "8f24e3763b45f59a600d4710d7b04c525dc0e1fd90ca44ecde38d3d8de1b8621", "duplicate_group_count": 1 }, { "id": "remediation_important_pages_not_discovered", "type": "befund_fix", "title": "Wichtige Betreiberseiten nicht vollständig in der Linkstruktur gefunden", "priority": "hoch", "owner": "Website-Betrieb/Datenschutz", "area": "crawl", "evidence": "", "action": "Datenschutz und Impressum sollten von der Startseite aus klar erreichbar sein.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "7 Tage", "fingerprint": "5b45d98124326448aeceddf6d3c6bdd34f1a369d605a9d6e5e8022d6eb04a594", "duplicate_group_count": 1 }, { "id": "remediation_coverage_gap", "type": "befund_fix", "title": "Wichtige Unterseiten, Datenschutz und Formulare crawlbar verlinken", "priority": "hoch", "owner": "Webbetrieb/SEO", "area": "Crawl-Abdeckung", "evidence": "1 interne Linkziele erkannt (0 aus Sitemap), 1 priorisierte Unterseite(n) zusätzlich abgerufen.", "action": "Befund mit Betreiber-Guide beheben und danach erneut scannen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "coverage", "sla": "7 Tage", "fingerprint": "1c5e6d03cfc35e3d7c83b083ccd8750c12b2c0e477439e88ac992a2a3c31aab8", "duplicate_group_count": 1 }, { "id": "remediation_module_script_supply_chain", "type": "befund_fix", "title": "Externe Skripte & SRI", "priority": "mittel", "owner": "Website-Betrieb/Datenschutz", "area": "Audit-Modul", "evidence": "23 externe Skript(e) von 1 Host(s), 23 ohne SRI, 0 Tracking-/Tag-nahe Skript(e).", "action": "Externe Skriptquellen reduzieren, statische CDN-Skripte mit SRI versehen und Tracking-/Tag-Skripte an Consent und CSP koppeln.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/externe-skripte-und-sri-absichern", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "audit_module", "sla": "30 Tage", "fingerprint": "89292f420dbbfd59872ffb02545d52267bfc9a245bfc2bf4b3244dac2027e513", "duplicate_group_count": 1 }, { "id": "remediation_google_consent_gap", "type": "befund_fix", "title": "Google-Dienste", "priority": "mittel", "owner": "Marketing Ops/Webentwicklung", "area": "Google Consent Mode und Tags reparieren", "evidence": "Google-Tags und Consent-Mode-Signale wurden aus HTML, Browserkontakten und Tracking-IDs abgeleitet.", "action": "Befund mit Betreiber-Guide beheben und danach erneut scannen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "google_consent", "sla": "30 Tage", "fingerprint": "7b3b50b7fb5dfd1bdff51539d4688cc46061b65b8153e8d9e6fc39803dae5acd", "duplicate_group_count": 1 }, { "id": "remediation_module_google_third_parties", "type": "befund_fix", "title": "Google-Dienste & Drittanbieter", "priority": "mittel", "owner": "Website-Betrieb/Datenschutz", "area": "Audit-Modul", "evidence": "Google-Tags: ja, 0 Google-nahe Domain(s), Consent-Default: nein, Analytics: nein, Werbung: nein, Fonts: nein.", "action": "Google-Dienste einzeln prüfen, Consent Mode sauber setzen und Fonts möglichst lokal ausliefern.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "audit_module", "sla": "30 Tage", "fingerprint": "5a16536c9fbb66eaa2d52e4462d4e725d0578da1c09262e46b224ad81c1f1985", "duplicate_group_count": 1 }, { "id": "remediation_module_seo_integrity", "type": "befund_fix", "title": "SEO-Integrität & Cloaking", "priority": "mittel", "owner": "Website-Betrieb/Datenschutz", "area": "Audit-Modul", "evidence": "2 SEO-Spam-Hinweis(e), 0 Cloaking-Hinweis(e).", "action": "Versteckte Inhalte, Canonical-Missbrauch und Googlebot-Abweichungen entfernen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/seo-spam-und-cloaking-bereinigen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "audit_module", "sla": "30 Tage", "fingerprint": "03ecd83ab4d8e8418f621d5c2edde44a8ce100808c8e10e4af6793fc1004323c", "duplicate_group_count": 1 }, { "id": "remediation_security_header_gap", "type": "befund_fix", "title": "Security-Header, Referrer-Policy und Browser-Schutz setzen", "priority": "mittel", "owner": "IT/Security", "area": "Security", "evidence": "2 von 9 wichtigen Security-Headern vorhanden, 2 korrekt bewertet. Keine Content-Security-Policy gefunden.", "action": "Befund mit Betreiber-Guide beheben und danach erneut scannen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/security-header-setzen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "security_header", "sla": "30 Tage", "fingerprint": "1d6064eac12cf70d9c1dadfe9cfccce5b98040853ec753b52cc8479d0517be88", "duplicate_group_count": 1 }, { "id": "remediation_module_security_tls", "type": "befund_fix", "title": "Sicherheit, TLS & Header", "priority": "mittel", "owner": "Website-Betrieb/Datenschutz", "area": "Audit-Modul", "evidence": "2 Infrastruktur-Hinweis(e), Security-Header: 2/9 vorhanden, 7 fehlen, externe Skript-Hosts: 1.", "action": "HTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/security-header-setzen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "audit_module", "sla": "30 Tage", "fingerprint": "412d98743b01900776a80e0fba672556492f994841721e2d7cfb193ef2dd960c", "duplicate_group_count": 1 }, { "id": "mapping_vendor_auswertung.verbraucherzentrale.de", "type": "service_mapping", "title": "auswertung.verbraucherzentrale.de", "priority": "mittel", "owner": "Marketing/IT/Datenschutz", "area": "Tracker- und Service-Mapping", "evidence": "Sonstige", "action": "Zweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.", "acceptance_criteria": [ "Dienst ist einer Servicekarte mit Anbieter, Zweck und Kategorie zugeordnet.", "Consent-Banner, Datenschutzhinweis und Anbieterregister verwenden dieselbe Bezeichnung.", "Re-Scan zeigt keine unbekannte oder ungeklärte Tracking-Auslösung." ], "guide_url": "https://saferpage.de/guides/drittanbieter-datenschutz-erklaeren", "evidence_url": "https://saferpage.de/anbieter/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "tracker_mapping", "sla": "30 Tage", "fingerprint": "83509109ce3292591e0f0b15da0e7826284b09867af61b1563b98b371e9f3d41", "duplicate_group_count": 1 }, { "id": "mapping_request_auswertung.verbraucherzentrale.de", "type": "service_mapping", "title": "auswertung.verbraucherzentrale.de", "priority": "mittel", "owner": "Marketing/IT/Datenschutz", "area": "Tracker- und Service-Mapping", "evidence": "other", "action": "Request einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.", "acceptance_criteria": [ "Dienst ist einer Servicekarte mit Anbieter, Zweck und Kategorie zugeordnet.", "Consent-Banner, Datenschutzhinweis und Anbieterregister verwenden dieselbe Bezeichnung.", "Re-Scan zeigt keine unbekannte oder ungeklärte Tracking-Auslösung." ], "guide_url": "https://saferpage.de/guides/servicekarte-und-anbieterinventar-aufbauen", "evidence_url": "https://saferpage.de/anbieter/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "tracker_mapping", "sla": "30 Tage", "fingerprint": "6530ca792def007cc63685892b0f0517bfcba1da7d133b21d174fd325025b198", "duplicate_group_count": 1 }, { "id": "remediation_missing_cross_origin_embedder_policy", "type": "befund_fix", "title": "Cross-Origin-Embedder-Policy fehlt", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "security_headers", "evidence": "", "action": "Header `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/security-header-setzen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "c8d36072d81b63f9103982e29875cec130c514c20f982ffe6c35212cdfa0cee0", "duplicate_group_count": 1 }, { "id": "remediation_missing_cross_origin_opener_policy", "type": "befund_fix", "title": "Cross-Origin-Opener-Policy fehlt", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "security_headers", "evidence": "", "action": "Header `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/security-header-setzen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "65a210c101429beda44d9f7dd2dea20bd40109b87783a2562d331f8251ffa332", "duplicate_group_count": 1 }, { "id": "remediation_missing_cross_origin_resource_policy", "type": "befund_fix", "title": "Cross-Origin-Resource-Policy fehlt", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "security_headers", "evidence": "", "action": "Header `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/security-header-setzen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "d51f4623a35c3ae334a5dd59a43e462672f815eac1b654d30d0f2e2a74564176", "duplicate_group_count": 1 }, { "id": "remediation_external_script_without_sri", "type": "befund_fix", "title": "Externe Skripte ohne Subresource Integrity", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "security_headers", "evidence": "", "action": "Für statische CDN-Skripte `integrity` und passend `crossorigin` setzen oder Skripte kontrolliert lokal ausliefern.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/externe-skripte-und-sri-absichern", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "b40e6f9dbccba57943bce8ddf706c29c57a40efed4d1cd5995fa3c447e795153", "duplicate_group_count": 1 }, { "id": "remediation_large_html_response", "type": "befund_fix", "title": "HTML-Antwort ist groß", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "performance", "evidence": "", "action": "HTML reduzieren, kritische Inhalte priorisieren und unnötige Inline-Daten vermeiden.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/performance-und-mobile-usability-verbessern", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "7ef5f227e6788675713957f369ceb420299cb637bcd455bdcc58b7f8817a9af8", "duplicate_group_count": 1 }, { "id": "remediation_compression_missing", "type": "befund_fix", "title": "Komprimierung nicht erkannt", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "performance", "evidence": "", "action": "Brotli oder gzip für HTML/CSS/JS aktivieren.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/performance-und-mobile-usability-verbessern", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "5c52929504c3ee1ef4abfb74a217c372d580e79d0a97695e2017808caefee05c", "duplicate_group_count": 1 }, { "id": "remediation_missing_permissions_policy", "type": "befund_fix", "title": "Permissions-Policy fehlt", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "security_headers", "evidence": "", "action": "Header `permissions-policy` setzen und nach Deployment erneut prüfen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/security-header-setzen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "801cc01c5ceeafba6584ae88b9416fcb3428613a45932329f1a56f23c62277b5", "duplicate_group_count": 1 }, { "id": "remediation_missing_referrer_policy", "type": "befund_fix", "title": "Referrer-Policy fehlt", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "security_headers", "evidence": "", "action": "Header `referrer-policy` setzen und nach Deployment erneut prüfen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/security-header-setzen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "7ea210c04d4624f285ff9df75bf59e7fee93391b5416651ff18fd63633410aa7", "duplicate_group_count": 1 }, { "id": "remediation_tracking_pixel_detected", "type": "befund_fix", "title": "Tracking-Pixel oder pixelnahe Requests erkannt", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "privacy", "evidence": "", "action": "Pixel von auswertung.verbraucherzentrale.de erst nach Einwilligung laden, Zweck erklären und unnötige Bild-Tracker entfernen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/tracking-pixel-und-beacons-begrenzen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "744ba2cf4af16a0980e9fadefa2e9d5fe9145b422b8d62d153c69f9c53d90546", "duplicate_group_count": 1 }, { "id": "remediation_browser_keystroke_listener_signals", "type": "befund_fix", "title": "Viele Tastatur-/Eingabe-Listener im Browser erkannt", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "privacy", "evidence": "", "action": "Prüfen, ob Eingaben für Analytics, Session-Replay oder Debugging erfasst werden; sensible Felder konsequent ausschließen.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/session-replay-und-fingerprinting-pruefen", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "699c62fca2f30036dc4e3d50445a202304be3eb29fcfa464113eb2e5a0d23006", "duplicate_group_count": 1 }, { "id": "remediation_too_many_render_blocking_assets", "type": "befund_fix", "title": "Viele potenziell blockierende Assets", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "performance", "evidence": "", "action": "Skripte/CSS bündeln, defer/async nutzen und kritisches CSS priorisieren.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/performance-und-mobile-usability-verbessern", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "1cc7bab9b170c330bee3aa0d9ad58aae9824ca337681a8bded8d75c252100d67", "duplicate_group_count": 1 }, { "id": "remediation_crawl_coverage_limited", "type": "befund_fix", "title": "Wenig interne Seiten auf der Startseite gefunden", "priority": "niedrig", "owner": "Website-Betrieb/Datenschutz", "area": "crawl", "evidence": "", "action": "Wichtige Seiten wie Datenschutz, Impressum, Kontakt und Cookie-Hinweise klar intern verlinken.", "acceptance_criteria": [ "Der konkrete SaferPage-Befund ist im Re-Scan behoben oder nachvollziehbar herabgestuft.", "Datenschutzhinweis, Consent-Oberfläche und beobachtete Technik widersprechen sich nicht mehr.", "Exportpaket enthält Scan-ID, Zeitstempel, betroffene Tabellen und Betreiber-Freigabe." ], "guide_url": "https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog", "evidence_url": "https://saferpage.de/befunde/verbraucherschule.de", "rescan_url": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "source": "finding", "sla": "quartalsweise", "fingerprint": "a549b06ad5645a90ced290163644845ccfaf8a88ea012b918e4c9ef285545291", "duplicate_group_count": 1 } ], "tracker_mapping_tasks": [ { "id": "vendor_auswertung.verbraucherzentrale.de", "label": "auswertung.verbraucherzentrale.de", "type": "vendor", "status": "prüfen", "evidence": "Sonstige", "action": "Zweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.", "guide_slug": "drittanbieter-datenschutz-erklaeren", "guide_url": "https://saferpage.de/guides/drittanbieter-datenschutz-erklaeren", "target_url": "https://saferpage.de/anbieter/verbraucherschule.de" }, { "id": "request_auswertung.verbraucherzentrale.de", "label": "auswertung.verbraucherzentrale.de", "type": "browser_request", "status": "prüfen", "evidence": "other", "action": "Request einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.", "guide_slug": "servicekarte-und-anbieterinventar-aufbauen", "guide_url": "https://saferpage.de/guides/servicekarte-und-anbieterinventar-aufbauen", "target_url": "https://saferpage.de/anbieter/verbraucherschule.de" } ], "platform_playbooks": [ { "id": "drupal", "platform": "Drupal", "summary": "Drupal-Module, Theme-Libraries, Consent-Module und Aggregation/Caches können Datenschutzsignale verändern.", "steps": [ "Drupal Core und contrib-Module aktualisieren; Security Advisories und Composer-Lockfile prüfen.", "Libraries, Theme Attachments und Blöcke auf externe Skripte, Fonts, Maps, Videos und Pixel prüfen.", "Consent- und Cookie-Module mit Erstaufruf/Ablehnen/Akzeptieren/GPC gegen SaferPage testen.", "Cache-, CDN- und Reverse-Proxy-Regeln nach Änderungen invalidieren und Header erneut prüfen." ], "acceptance": [ "Keine unsupported/stale Technology-Hinweise.", "Drittanbieter sind im Anbieterregister erklärt.", "Re-Scan und Exportpaket sind abgelegt." ], "owner": "Webbetrieb/IT/Datenschutz", "guide_url": "https://saferpage.de/guides/cms-plugin-patchstand-nachweisen", "technology_evidence_url": "https://saferpage.de/technik/verbraucherschule.de/export", "rescan_url": "https://saferpage.de/?url=verbraucherschule.de", "boundary": "Passiv abgeleitet: SaferPage behauptet nur sichtbare CMS-/Shop-/Deployment-Signale. Betreiber müssen Plattform, Versionen, Plugins, Apps und interne Deployments bestätigen." } ], "quality_review_playbook": { "summary": "Betreiber-Review-Playbook gegen typische Fehlalarme: Consent-/Paywall-Grenzen, Google-Consent-Anwendbarkeit, Formular-Coverage, Cookie-Kontext und Score-Wording.", "rows": [ { "id": "consent_wall_paywall_review", "label": "Consent-Wall, Paywall oder Overlay einordnen", "review_question": "Hat der automatische Lauf ein Overlay, eine PUR-/Abo-Wall, Geoblocking oder eine Login-Grenze gesehen?", "operator_action": "Wenn Overlay, Login, PUR-/Abo-Wall oder Geoblocking Inhalte verdeckt, Befunde zu Impressum, Formularen, Cookies und verstecktem Text manuell prüfen.", "acceptance": "Manuelle Prüfung ist mit Screenshot, Pfad, Entscheidung und Re-Scan-Vermerk dokumentiert.", "boundary": "Ein verdeckter Footer oder Paywall-Text ist kein automatischer Nachweis für fehlende Betreibertransparenz.", "evidence_url": "https://saferpage.de/verbraucherschule.de", "guide_url": "https://saferpage.de/methodik", "status": "bei Bedarf prüfen" }, { "id": "google_consent_applicability_review", "label": "Google Consent Mode nur bei Google-Evidenz fordern", "review_question": "Wurden GTM, gtag, Analytics, Ads oder eine Google-Tracking-ID wirklich gesehen?", "operator_action": "Keinen Google-Consent-Mode-Fix verlangen, solange keine GTM-/Analytics-/Ads-/ID-Evidence vorliegt; bei späterem Einbau erneut scannen.", "acceptance": "Top-Fixes enthalten keinen Google-Consent-Fehlalarm ohne Google-Evidence.", "boundary": "Diese Bewertung gilt nur für die gespeicherte Scan-Evidence; spätere Tag-Manager-Änderungen brauchen Re-Scan.", "evidence_url": "https://saferpage.de/verbraucherschule.de/top-fixes-json", "guide_url": "https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden", "status": "nicht erforderlich" }, { "id": "form_coverage_review", "label": "Formular-Coverage gegen Startseiten-Sample abgleichen", "review_question": "Gibt es Formulare auf Startseite oder direkt gecrawlten Unterseiten?", "operator_action": "Alle 2 Formular(e) auf 1 geprüften Seite(n) mit Zweck, Pflichtfeldern, Datenschutzlink, Tracking und Referrer-Kontext prüfen.", "acceptance": "Formularzweck, Pflichtfelder, Datenschutzhinweis und Consent-/Tracking-Kontext sind pro Formularseite nachvollziehbar.", "boundary": "SaferPage sendet keine Formulare ab und kennt keine internen Rechtsgrundlagen oder nachgelagerte Verarbeitung. Die Zählung basiert auf gespeicherter Crawl- und Formular-Evidence.", "evidence_url": "https://saferpage.de/abdeckung/verbraucherschule.de/export", "guide_url": "https://saferpage.de/guides/formulare-datenschutzkonform-absichern", "status": "Crawl-Evidence vorhanden" }, { "id": "cookie_context_review", "label": "Cookies nach Zweck statt pauschal bewerten", "review_question": "Sind Cookies vor Einwilligung technisch notwendig oder Tracking/Marketing?", "operator_action": "Cookie-Liste mit Zweck, Anbieter, Laufzeit, Consent-Kategorie und Auslösezeitpunkt pflegen; Funktionscookies von Tracking-Cookies trennen.", "acceptance": "Cookie-Erklärung und CMP zeigen dieselben Kategorien; Re-Scan belegt keine ungeklärten Trackingkontakte vor Einwilligung.", "boundary": "Load-Balancing, Sicherheit und Consent-Speicherung können notwendig sein; die Einordnung braucht Betreiberkontext.", "evidence_url": "https://saferpage.de/cookies/verbraucherschule.de", "guide_url": "https://saferpage.de/guides/cookie-laufzeiten-und-zwecke-pruefen", "status": "Baseline dokumentieren" }, { "id": "score_wording_review", "label": "Score und Warntexte als Priorisierung formulieren", "review_question": "Wird aus dem automatischen Score ein pauschales Seriositäts- oder Rechtsurteil?", "operator_action": "Report-Quality-Smoke, Kurzreport und Management-Text prüfen: harte Aussagen wie zertifiziert, rechtssicher oder grundsätzlich gefährlich vermeiden.", "acceptance": "Bericht trennt Beobachtung, Betreibermaßnahme, Grenze und Re-Scan; keine nicht belegten Zertifikats- oder Rechtsclaims.", "boundary": "Score ist eine technische Priorisierung und kein abschließendes Urteil über Rechtmäßigkeit, Seriosität oder Sicherheit.", "evidence_url": "https://saferpage.de/evidence/report-quality-smoke.json", "guide_url": "https://saferpage.de/methodik", "status": "immer prüfen" }, { "id": "statement_boundary_review", "label": "Aussage-Ampel und Claim-Grenzen übernehmen", "review_question": "Trennt der Report klar zwischen automatisch belegter Evidence, manueller Betreiberprüfung und Aussagen, die nicht behauptet werden dürfen?", "operator_action": "Aussage-Ampel im Report prüfen und in internen Tickets übernehmen: automatisch belegt, manuell prüfen und nicht behaupten getrennt dokumentieren.", "acceptance": "Fix-Tickets, Betreiberfreigabe und Re-Scan-Notiz enthalten keine DSGVO-Freigabe, kein pauschales Seriositätsurteil und keine nicht belegten Sicherheitsclaims.", "boundary": "Die Aussage-Ampel ist eine Kommunikations- und Abnahmehilfe; sie ersetzt keine Rechtsberatung, keine Betreiberfreigabe und keine vollständige Prüfung hinter Login, Paywall oder Geoblocking.", "evidence_url": "https://saferpage.de/verbraucherschule.de", "guide_url": "https://saferpage.de/methodik", "status": "immer prüfen" } ], "metrics": { "row_count": 6, "acceptance_count": 6, "boundary_count": 6, "evidence_url_count": 6, "guide_url_count": 6, "privacy_relevant_domain_count": 0, "pre_consent_cookie_count": 0, "form_count": 2, "form_page_count": 1, "google_evidence_count": 0 } }, "evidence_first_boundary": { "available": true, "summary": "Fix-Guides trennen Scan-Evidence, Betreiberkontext und Nicht-behaupten-Grenzen, bevor Betreiber Tickets umsetzen oder externe Aussagen ableiten.", "measured_evidence": [ { "id": "report_scan_facts", "label": "Gespeicherter Kurzreport", "evidence": "Scan-ID, Zeitpunkt, Score, Befunde, Screenshot, HTTP/TLS/Header und direkte Test-URLs.", "url": "https://saferpage.de/verbraucherschule.de" }, { "id": "crawl_form_coverage", "label": "Formular-Coverage", "evidence": "Crawl-Evidence: 2 Formular(e) auf 1 geprüften Seite(n).", "url": "https://saferpage.de/abdeckung/verbraucherschule.de/export" }, { "id": "browser_contacts", "label": "Browserkontakte und Cookies", "evidence": "51 Request(s), 1 Drittanbieter-Domain(s), 0 Cookie(s) vor Einwilligung.", "url": "https://saferpage.de/cookies/verbraucherschule.de" }, { "id": "google_applicability", "label": "Google-Consent-Anwendbarkeit", "evidence": "Keine GTM-/Analytics-/Ads-/ID-Evidence im gespeicherten Lauf; kein Google-Consent-Mode-Fix ohne neue Evidence.", "url": "https://saferpage.de/verbraucherschule.de/top-fixes-json" } ], "operator_context_not_scanned": [ "Rechtsgrundlagen, Zwecke, Pflichtfelder, Löschfristen und Empfänger je Formular.", "Interne Systeme, CRM-/Support-Flüsse, Login-, Checkout-, Paywall- und nachgelagerte Verarbeitung.", "AVV/DPA, TOMs, Transfer Impact Assessments, Anbieterakten und interne Freigaben.", "Spätere CMP-, Tag-Manager-, Release- oder Content-Änderungen nach dem gespeicherten Scan." ], "do_not_claim": [ "Keine DSGVO-Konformität, Rechtsfreigabe oder Zertifizierung behaupten.", "Keinen Google-Consent-Mode-Fehler behaupten, wenn keine Google-Tag-Evidence vorliegt.", "Keine fehlende Betreibertransparenz als Tatsache behaupten, wenn Consent-Wall, Paywall, Login oder Geoblocking den Scan begrenzen.", "Keine Formularübermittlung, Zahlungsprüfung oder Backend-Validierung behaupten; SaferPage sendet keine Formulare ab." ], "metrics": { "measured_evidence_count": 4, "operator_context_count": 4, "do_not_claim_count": 4, "form_count": 2, "form_page_count": 1, "google_consent_required": 0, "scan_limit_present": 0 }, "claim_boundary": "Diese Betreiberseite ist ein Umsetzungs- und Review-Playbook. Konkrete Findings bleiben an Scan-Evidence gebunden; allgemeine Betreiberaufgaben sind Kontext und müssen fachlich freigegeben werden.", "guide_url": "https://saferpage.de/guides/betreiber-datenschutz-checkliste", "report_quality_url": "https://saferpage.de/evidence/report-quality-smoke.json" }, "phases": [ { "id": "triage", "label": "Triage", "timebox": "0-48 Stunden", "action": "Hoch priorisierte Befunde reproduzieren, Owner bestätigen, Exportpaket sichern." }, { "id": "fix", "label": "Fix umsetzen", "timebox": "0-14 Tage", "action": "Consent-, Anbieter-, Notice-, Cookie-, Formular- oder Header-Änderungen umsetzen und versionieren." }, { "id": "content", "label": "Nutzertexte synchronisieren", "timebox": "parallel", "action": "Datenschutzhinweis, Cookie-Erklärung, Anbieterregister und TrustHub an reale Technik anpassen." }, { "id": "rescan", "label": "Re-Scan und Freigabe", "timebox": "nach Deployment", "action": "Erstaufruf, Ablehnen, Akzeptieren, GPC, Mobilansicht und priorisierte Unterseiten erneut prüfen." } ], "links": { "fix_guides": "https://saferpage.de/fix-guides/verbraucherschule.de", "json": "https://saferpage.de/fix-guides/verbraucherschule.de/export", "csv": "https://saferpage.de/fix-guides/verbraucherschule.de/export-csv", "markdown": "https://saferpage.de/fix-guides/verbraucherschule.de/playbook-md", "tickets_html": "https://saferpage.de/fix-guides/verbraucherschule.de/tickets", "tickets_json": "https://saferpage.de/fix-guides/verbraucherschule.de/tickets-json", "tickets_csv": "https://saferpage.de/fix-guides/verbraucherschule.de/tickets-csv", "tickets_markdown": "https://saferpage.de/fix-guides/verbraucherschule.de/tickets-md", "tickets_delivery_json": "https://saferpage.de/fix-guides/verbraucherschule.de/tickets-delivery-json", "tickets_delivery_csv": "https://saferpage.de/fix-guides/verbraucherschule.de/tickets-delivery-csv", "findings": "https://saferpage.de/befunde/verbraucherschule.de", "operator_board": "https://saferpage.de/betreiber/verbraucherschule.de", "privacy_hub": "https://saferpage.de/datenschutz-hub/verbraucherschule.de", "scan_operations": "https://saferpage.de/scanbetrieb/verbraucherschule.de", "guides_index": "https://saferpage.de/guides", "report": "https://saferpage.de/verbraucherschule.de" }, "competitor_references": [ { "title": "Cookiebot Scan Report", "url": "https://support.cookiebot.com/hc/en-us/articles/5007079527580-Understanding-the-scan-report", "note": "Scanreports verbinden Cookie-/Prior-Consent-Befunde mit Betreiberaktionen." }, { "title": "Usercentrics Handling Trackers", "url": "https://support.usercentrics.com/hc/en-us/articles/18579668393372-Handling-trackers", "note": "Tracker-Ergebnisse werden gemappt, blockiert oder bewusst manuell verwaltet." }, { "title": "Osano Compliance Check", "url": "https://www.osano.com/features/compliance-check", "note": "Compliance Checks priorisieren Lücken und geben Hinweise zur schnellen Behebung." } ], "disclaimer": "Automatisch aus SaferPage-Scan-Evidenz und Betreiber-Guides abgeleitet. Betreiber müssen Umsetzung, Rechtsgrundlagen, interne Systeme und Re-Scan-Nachweise fachlich freigeben." }