# Quick-Win-Plan für gkv-datenaustausch.de

gkv-datenaustausch.de: 20 Quick-Win-Maßnahme(n), 1 innerhalb von 7 Tagen und 19 innerhalb von 30 Tagen.

> Quick-Wins sind automatisch aus öffentlicher SaferPage-Evidenz abgeleitet. Aufwand und Wirkung sind operative Orientierung; Betreiber müssen Umsetzung und Rechtsfreigabe prüfen.

## Security-Header setzen
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 76
- Owner: IT/Security / Bereich: Security
- Maßnahme: Fehlende Security-Header priorisiert setzen, testen und nach Deployment erneut scannen.
- Nachweis: 4 von 9 wichtigen Security-Headern vorhanden, 4 korrekt bewertet. CSP wirksam mit 1 Direktive(n), 0 Warnung(en), 2 Hinweis(e).
- Guide: https://saferpage.de/guides/security-header-setzen

## Bilder ohne Alternativtext
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 69
- Owner: UX/Content / Bereich: Barrierefreiheit/Usability
- Maßnahme: Bilder brauchen verständliche Alternativtexte oder dekorative Kennzeichnung.
- Nachweis: 
- Guide: https://saferpage.de/guides/barrierefreiheit-cookie-banner-formulare

## Viewport-Meta-Tag fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 69
- Owner: UX/Content / Bereich: Barrierefreiheit/Usability
- Maßnahme: Mobile Basis mit Viewport-Meta-Tag sicherstellen.
- Nachweis: 
- Guide: https://saferpage.de/guides/performance-und-mobile-usability-verbessern

## Incident & Breach Response verbessern
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 66
- Owner: DSB/Legal/IT / Bereich: PrivacyOps-Reifegrad
- Maßnahme: Incident Owner, 72h-Meldeprüfung, Beweissicherung und Kommunikationsvorlagen verbindlich vorbereiten.
- Nachweis: 
- Guide: https://saferpage.de/guides/security-header-setzen

## Datenschutzerklärung deckt zentrale Bausteine nicht vollständig ab
- Horizont: 0-7 Tage / Aufwand: mittel / Quick-Win-Score: 59
- Owner: Datenschutz / Bereich: DSGVO/Art. 13 Transparenz
- Maßnahme: Datenschutzerklärung sollte zentrale Pflichtinformationen vollständig abdecken.
- Nachweis: 
- Guide: https://saferpage.de/guides/datenschutzerklaerung-verbessern

## Möglicherweise nicht notwendige Cookies vor Einwilligung
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 57
- Owner: Datenschutz/Marketing / Bereich: TDDDG/ePrivacy
- Maßnahme: Nicht notwendige Cookies vor Einwilligung prüfen und blockieren.
- Nachweis: 
- Guide: https://saferpage.de/guides/tracking-und-consent-reparieren

## Kein sichtbarer Ablehnen-Button im Banner
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 57
- Owner: Datenschutz/Marketing / Bereich: TDDDG/ePrivacy
- Maßnahme: Ablehnen muss in der Browseransicht gleichwertig erreichbar sein.
- Nachweis: 
- Guide: https://saferpage.de/guides/tracking-und-consent-reparieren

## Tracking-Pixel oder pixelnahe Requests erkannt
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 57
- Owner: Datenschutz/Marketing / Bereich: Tracking-Pixel
- Maßnahme: Pixel- und Bild-Tracking vor Einwilligung prüfen und begrenzen.
- Nachweis: 
- Guide: https://saferpage.de/guides/tracking-pixel-und-beacons-begrenzen

## Privacy Risk Register & Executive Dashboard verbessern
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 57
- Owner: Programm-Owner/Datenschutz / Bereich: PrivacyOps-Reifegrad
- Maßnahme: Top-Risiken mit Owner, SLA, Risikoentscheidung, Restrestrisiko und Nachweisquelle als Managementprozess führen.
- Nachweis: 
- Guide: https://saferpage.de/methodik

## AI Governance & Automated Decisioning verbessern
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 57
- Owner: Datenschutz/Product/Legal / Bereich: PrivacyOps-Reifegrad
- Maßnahme: AI-/Chat-/Profiling-Use-Cases inventarisieren, Transparenz, Rechtsgrundlage, menschliche Prüfung und DPIA-Bezug dokumentieren.
- Nachweis: 
- Guide: https://saferpage.de/guides/datenschutz-webseiten-pruefkatalog

## Möglicherweise nicht notwendige Cookies vor Einwilligung
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 39
- Owner: Website-Betrieb/Datenschutz / Bereich: privacy
- Maßnahme: Prüfen, ob diese Cookies technisch notwendig sind oder erst nach Einwilligung gesetzt werden dürfen.
- Nachweis: Möglicherweise nicht notwendige Cookies vor Einwilligung
- Guide: https://saferpage.de/guides/tracking-und-consent-reparieren

## Kein sichtbarer Ablehnen-Button im Banner
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 39
- Owner: Website-Betrieb/Datenschutz / Bereich: privacy
- Maßnahme: Ablehnen oder nur notwendige Cookies im sichtbaren Banner genauso erreichbar machen wie Akzeptieren.
- Nachweis: Kein sichtbarer Ablehnen-Button im Banner
- Guide: https://saferpage.de/guides/tracking-und-consent-reparieren

## Datenschutzerklärung deckt zentrale Bausteine nicht vollständig ab
- Horizont: 0-30 Tage / Aufwand: mittel / Quick-Win-Score: 39
- Owner: Website-Betrieb/Datenschutz / Bereich: privacy
- Maßnahme: Verantwortlicher, Zwecke, Rechtsgrundlagen, Rechte, Speicherfristen, Empfänger, Cookies/Tracking und Widerruf strukturiert ergänzen.
- Nachweis: Datenschutzerklärung deckt zentrale Bausteine nicht vollständig ab
- Guide: https://saferpage.de/guides/datenschutzerklaerung-verbessern

## CSP ohne object-src
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 38
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: object-src 'none' setzen, wenn keine Plugins oder Objekte benötigt werden.
- Nachweis: CSP ohne object-src
- Guide: https://saferpage.de/guides/security-header-setzen

## CSP ohne base-uri
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 38
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: base-uri 'self' oder 'none' setzen, damit Base-Tag-Manipulation begrenzt wird.
- Nachweis: CSP ohne base-uri
- Guide: https://saferpage.de/guides/security-header-setzen

## Cross-Origin-Embedder-Policy fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 38
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: Header `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.
- Nachweis: Cross-Origin-Embedder-Policy fehlt
- Guide: https://saferpage.de/guides/security-header-setzen

## Cross-Origin-Opener-Policy fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 38
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: Header `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.
- Nachweis: Cross-Origin-Opener-Policy fehlt
- Guide: https://saferpage.de/guides/security-header-setzen

## Cross-Origin-Resource-Policy fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 38
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: Header `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen.
- Nachweis: Cross-Origin-Resource-Policy fehlt
- Guide: https://saferpage.de/guides/security-header-setzen

## Referrer-Policy fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 38
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: Header `referrer-policy` setzen und nach Deployment erneut prüfen.
- Nachweis: Referrer-Policy fehlt
- Guide: https://saferpage.de/guides/security-header-setzen

## Permissions-Policy fehlt
- Horizont: 0-30 Tage / Aufwand: niedrig / Quick-Win-Score: 38
- Owner: Website-Betrieb/Datenschutz / Bereich: security_headers
- Maßnahme: Header `permissions-policy` setzen und nach Deployment erneut prüfen.
- Nachweis: Permissions-Policy fehlt
- Guide: https://saferpage.de/guides/security-header-setzen