# Quick-Win-Plan für bda-direkt.de

bda-direkt.de: 20 Quick-Win-Maßnahme(n), 0 innerhalb von 7 Tagen und 19 innerhalb von 30 Tagen.

> Quick-Wins sind automatisch aus öffentlicher SaferPage-Evidenz abgeleitet. Aufwand und Wirkung sind operative Orientierung; Betreiber müssen Umsetzung und Rechtsfreigabe prüfen.

## Security-Header setzen
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 76
- Owner: IT/Security / Bereich: Security
- Maßnahme: Fehlende Security-Header priorisiert setzen, testen und nach Deployment erneut scannen.
- Nachweis: 3 von 9 wichtigen Security-Headern vorhanden, 3 korrekt bewertet. Keine Content-Security-Policy gefunden.
- Guide: https://saferpage.de/guides/security-header-setzen

## HSTS fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 70
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: Header `strict-transport-security` setzen und nach Deployment erneut prüfen.
- Nachweis: HSTS fehlt
- Guide: https://saferpage.de/guides/security-header-setzen

## Content-Security-Policy fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 70
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: Header `content-security-policy` setzen und nach Deployment erneut prüfen.
- Nachweis: Content-Security-Policy fehlt
- Guide: https://saferpage.de/guides/security-header-setzen

## Bilder ohne Alternativtext
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 69
- Owner: UX/Content / Bereich: Barrierefreiheit/Usability
- Maßnahme: Bilder brauchen verständliche Alternativtexte oder dekorative Kennzeichnung.
- Nachweis: 
- Guide: https://saferpage.de/guides/barrierefreiheit-cookie-banner-formulare

## Cookie ohne Secure-Flag
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 69
- Owner: Technik / Bereich: DSGVO/Art. 32 Sicherheit
- Maßnahme: Cookie-Sicherheitsattribute härten.
- Nachweis: 
- Guide: https://saferpage.de/guides/cookies-sicher-konfigurieren

## Incident & Breach Response verbessern
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 66
- Owner: DSB/Legal/IT / Bereich: PrivacyOps-Reifegrad
- Maßnahme: Incident Owner, 72h-Meldeprüfung, Beweissicherung und Kommunikationsvorlagen verbindlich vorbereiten.
- Nachweis: 
- Guide: https://saferpage.de/guides/security-header-setzen

## Google Consent Mode Default nicht erkannt
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 57
- Owner: Datenschutz/Marketing / Bereich: DSGVO/Google-Dienste
- Maßnahme: Google-Tags brauchen vor dem ersten Tag klare Consent-Defaults.
- Nachweis: 
- Guide: https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden

## Privacy Risk Register & Executive Dashboard verbessern
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 57
- Owner: Programm-Owner/Datenschutz / Bereich: PrivacyOps-Reifegrad
- Maßnahme: Top-Risiken mit Owner, SLA, Risikoentscheidung, Restrestrisiko und Nachweisquelle als Managementprozess führen.
- Nachweis: 
- Guide: https://saferpage.de/methodik

## AI Governance & Automated Decisioning verbessern
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 57
- Owner: Datenschutz/Product/Legal / Bereich: PrivacyOps-Reifegrad
- Maßnahme: AI-/Chat-/Profiling-Use-Cases inventarisieren, Transparenz, Rechtsgrundlage, menschliche Prüfung und DPIA-Bezug dokumentieren.
- Nachweis: 
- Guide: https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog

## Google Consent Mode Implementation verbessern
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 57
- Owner: Marketing/IT/Datenschutz / Bereich: PrivacyOps-Reifegrad
- Maßnahme: Consent-Mode-v2-Defaults, CMP-Updates, Tag-Regeln und Validierung als Release-Gate betreiben.
- Nachweis: 
- Guide: https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden

## Sicherheit, TLS & Header
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 50
- Owner: Betreiber/IT/Datenschutz / Bereich: Audit-Modul
- Maßnahme: HTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren.
- Nachweis: 2 Infrastruktur-Hinweis(e), Security-Header: 3/9 vorhanden, 6 fehlen, externe Skript-Hosts: 0.
- Guide: https://saferpage.de/guides/security-header-setzen

## Vendor Risk & Vertragsmanagement verbessern
- Horizont: 0-30 Tage / Aufwand: hoch / Quick-Win-Score: 44
- Owner: Legal/Vendor Owner / Bereich: PrivacyOps-Reifegrad
- Maßnahme: Anbieterakten priorisieren, AVV/DPA/TOMs prüfen und Transfers dokumentieren.
- Nachweis: 
- Guide: https://saferpage.de/guides/drittanbieter-datenschutz-erklaeren

## Vendor Lifecycle & Third-Party Risk verbessern
- Horizont: 0-30 Tage / Aufwand: hoch / Quick-Win-Score: 44
- Owner: Datenschutz/Legal/Procurement / Bereich: PrivacyOps-Reifegrad
- Maßnahme: Vendor Discovery, Privacy Score, AVV/DPA, Transfer, Subprozessoren, Monitoring, Incident und Offboarding als Lifecycle betreiben.
- Nachweis: 
- Guide: https://saferpage.de/guides/drittanbieter-datenschutz-erklaeren

## Google Consent Mode Default nicht erkannt
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 39
- Owner: Website-Betrieb/Datenschutz / Bereich: privacy
- Maßnahme: Vor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied.
- Nachweis: Google Consent Mode Default nicht erkannt
- Guide: https://saferpage.de/guides/google-dienste-datenschutzfreundlich-einbinden

## Cookie ohne Secure-Flag
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 39
- Owner: Website-Betrieb/Datenschutz / Bereich: privacy
- Maßnahme: Cookies über HTTPS mit Secure-Flag setzen.
- Nachweis: Cookie ohne Secure-Flag
- Guide: https://saferpage.de/guides/cookies-sicher-konfigurieren

## Cross-Origin-Embedder-Policy fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 38
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: Header `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.
- Nachweis: Cross-Origin-Embedder-Policy fehlt
- Guide: https://saferpage.de/guides/security-header-setzen

## Cross-Origin-Opener-Policy fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 38
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: Header `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.
- Nachweis: Cross-Origin-Opener-Policy fehlt
- Guide: https://saferpage.de/guides/security-header-setzen

## Cross-Origin-Resource-Policy fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 38
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: Header `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen.
- Nachweis: Cross-Origin-Resource-Policy fehlt
- Guide: https://saferpage.de/guides/security-header-setzen

## Permissions-Policy fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 38
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: Header `permissions-policy` setzen und nach Deployment erneut prüfen.
- Nachweis: Permissions-Policy fehlt
- Guide: https://saferpage.de/guides/security-header-setzen

## HSTS fehlt
- Horizont: 30-90 Tage / Aufwand: mittel / Quick-Win-Score: 35
- Owner: Technik / Bereich: BSI/Security-Header
- Maßnahme: HSTS nach stabilem HTTPS aktivieren.
- Nachweis: 
- Guide: https://saferpage.de/guides/security-header-setzen