Opportunities / Quick-Wins
lets-doit.at: 20 Quick-Win-Maßnahme(n), 9 innerhalb von 7 Tagen und 11 innerhalb von 30 Tagen.
Quick-Wins sind automatisch aus öffentlicher SaferPage-Evidenz abgeleitet. Aufwand und Wirkung sind operative Orientierung; Betreiber müssen Umsetzung und Rechtsfreigabe prüfen.
Plan
Security-Header, Cookie-Attribute, TLS, Formulare und Barrierefreiheit priorisiert verbessern.
Nachweis: · Quelle: maturity_roadmapHTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren.
Nachweis: 1 Infrastruktur-Hinweis(e), Security-Header: 4/9 vorhanden, 5 fehlen, externe Skript-Hosts: 7. · Quelle: audit_moduleFehlende Security-Header priorisiert setzen, testen und nach Deployment erneut scannen.
Nachweis: 4 von 9 wichtigen Security-Headern vorhanden, 4 korrekt bewertet. CSP nur Report-Only mit 15 Direktive(n), 2 Warnung(en), 2 Hinweis(e). · Quelle: derived_signalInline-Skripte über Nonces oder Hashes freigeben und unsafe-inline aus script-src entfernen.
Nachweis: CSP erlaubt unsafe-inline für Skripte · Quelle: findingunsafe-eval vermeiden und betroffene Bibliotheken oder Build-Konfigurationen prüfen.
Nachweis: CSP erlaubt eval-nahe Skriptausführung · Quelle: findingHeader `content-security-policy` setzen und nach Deployment erneut prüfen.
Nachweis: Content-Security-Policy fehlt · Quelle: findingReferrer-Policy härten, sensible Query-Parameter entfernen und Tracking-Parameter ohne volle Seiten-URL konfigurieren.
Nachweis: 2 Drittanbieter-Domain(s) mit Referrer-/URL-Leak-Prüfbedarf, 5 sensible Query-Kontexte. · Quelle: audit_moduleAktualisiere das betroffene Open-Source-Paket auf eine nicht betroffene Version.
Nachweis: CVE-2020-11023: Potential XSS vulnerability in jQuery · Quelle: findingNicht notwendige Tags, Cookies, Pixel und Google-Dienste bis zur Einwilligung blockieren und Ablehnen/GPC erneut testen.
Nachweis: Consent, Tracking oder Drittanbieter wirken im Erstaufruf deutlich nachbesserungsbeduerftig. · Quelle: derived_signalBetroffene Software aktualisieren oder kompensierend absichern.
Nachweis: · Quelle: operator_action_planInline-Skripte über Nonces oder Hashes statt unsafe-inline freigeben.
Nachweis: · Quelle: operator_action_planunsafe-eval aus script-src entfernen oder betroffene Bibliotheken ersetzen.
Nachweis: · Quelle: operator_action_planFormularfelder müssen für Tastatur und Screenreader verständlich beschriftet sein.
Nachweis: · Quelle: operator_action_planSensible URL-Parameter aus Drittanbieter-Requests und Referrern entfernen.
Nachweis: · Quelle: operator_action_planReferrer-Policy so setzen, dass Drittanbieter keine vollen Pfade oder Suchparameter erhalten.
Nachweis: · Quelle: operator_action_planTop-Risiken mit Verantwortlichkeit, Zielzeit, Risikoentscheidung, Restrestrisiko und Nachweisquelle als Managementprozess führen.
Nachweis: · Quelle: maturity_roadmapAI-/Chat-/Profiling-Use-Cases inventarisieren, Transparenz, Rechtsgrundlage, menschliche Prüfung und DPIA-Bezug dokumentieren.
Nachweis: · Quelle: maturity_roadmapNicht notwendige Cookies/Tags vor Einwilligung blockieren und Consent-Zustände testen.
Nachweis: · Quelle: maturity_roadmapUnnötige Drittanbieter reduzieren und die verbleibenden Kontakte in Datenschutz und Consent abbilden.
Nachweis: 115 Request(s), 10 Drittanbieter-Domain(s), davon 0 datenschutzrelevant, 14 Browser-Cookie(s), Transfer-Prüfbedarf: 0, Referrer-/URL-Leaks: 2, Fingerprinting-/Replay-Hinweise: 1. · Quelle: audit_moduleTracking, Werbung und nicht notwendige Cookies vor Zustimmung blockieren und verständlich erklären.
Nachweis: 0 Tracking-Script(s), 14 Cookie(s) vor Einwilligung, 0 Tracking-Cookie(s), Ablehnen-Option: nein, Consent-Audit: 46. · Quelle: audit_module