Opportunities / Quick-Wins
gusto.at: 20 Quick-Win-Maßnahme(n), 0 innerhalb von 7 Tagen und 20 innerhalb von 30 Tagen.
Quick-Wins sind automatisch aus öffentlicher SaferPage-Evidenz abgeleitet. Aufwand und Wirkung sind operative Orientierung; Betreiber müssen Umsetzung und Rechtsfreigabe prüfen.
Plan
Incident-Verantwortlichkeit, 72h-Meldeprüfung, Beweissicherung und Kommunikationsvorlagen verbindlich vorbereiten.
Nachweis: · Quelle: maturity_roadmapFehlende Security-Header priorisiert setzen, testen und nach Deployment erneut scannen.
Nachweis: 4 von 9 wichtigen Security-Headern vorhanden, 4 korrekt bewertet. CSP wirksam mit 3 Direktive(n), 0 Warnung(en), 2 Hinweis(e). · Quelle: derived_signalGoogle-Tags brauchen vor dem ersten Tag klare Consent-Defaults.
Nachweis: · Quelle: operator_action_planPixel- und Bild-Tracking vor Einwilligung prüfen und begrenzen.
Nachweis: · Quelle: operator_action_planAI-/Chat-/Profiling-Use-Cases inventarisieren, Transparenz, Rechtsgrundlage, menschliche Prüfung und DPIA-Bezug dokumentieren.
Nachweis: · Quelle: maturity_roadmapTop-Risiken mit Verantwortlichkeit, Zielzeit, Risikoentscheidung, Restrestrisiko und Nachweisquelle als Managementprozess führen.
Nachweis: · Quelle: maturity_roadmapConsent-Mode-v2-Defaults, CMP-Updates, Tag-Regeln und Validierung als Release-Gate betreiben.
Nachweis: · Quelle: maturity_roadmapUS-/Drittlandanbieter, DPF/SCC/TIA und Datenschutzhinweise prüfen.
Nachweis: · Quelle: operator_action_planTracking auf Seiten mit Dateneingabe nur nach Einwilligung und ohne Formulardaten auslösen.
Nachweis: · Quelle: operator_action_planDPIA-Entscheidung dokumentieren und Schutzmaßnahmen mit Produkt-/Release-Prozess verbinden.
Nachweis: · Quelle: maturity_roadmapAnbieterakten priorisieren, AVV/DPA/TOMs prüfen und Transfers dokumentieren.
Nachweis: · Quelle: maturity_roadmapUnnötige Drittanbieter reduzieren und die verbleibenden Kontakte in Datenschutz und Consent abbilden.
Nachweis: 84 Request(s), 5 Drittanbieter-Domain(s), davon 1 datenschutzrelevant, 2 Browser-Cookie(s), Transfer-Prüfbedarf: 1, Referrer-/URL-Leaks: 0, Fingerprinting-/Replay-Hinweise: 1. · Quelle: audit_moduleVor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied.
Nachweis: Google Consent Mode Default nicht erkannt · Quelle: findingPrüfen, ob die Seite als Linkfarm, Affiliate-Brücke oder Spam-Seite dient.
Nachweis: Sehr viele externe Links erkannt · Quelle: findingobject-src 'none' setzen, wenn keine Plugins oder Objekte benötigt werden.
Nachweis: CSP ohne object-src · Quelle: findingbase-uri 'self' oder 'none' setzen, damit Base-Tag-Manipulation begrenzt wird.
Nachweis: CSP ohne base-uri · Quelle: findingHeader `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Embedder-Policy fehlt · Quelle: findingHeader `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Opener-Policy fehlt · Quelle: findingHeader `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Cross-Origin-Resource-Policy fehlt · Quelle: findingHeader `referrer-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Referrer-Policy fehlt · Quelle: finding