TREELOGY | PRIVACY AUDIT · TECHNISCHES PRÜFDOSSIER

DATENSCHUTZ · WEB-SICHERHEIT · EVIDENZ

Datenschutz- und
Web-Sicherheitsprüfung

Demo Report GmbH (fiktiv) · www.demo-report.de

https://www.demo-report.de/

Fallreferenz

PA-DEMO-20261011-HELMSTEDT-001

Ziel / Scanzeit

www.demo-report.de · 21.10.2026, 21:39:47 UTC

Status / Vollständigkeit

Technisch fertig · mit Einschränkungen · Teilweise

Technik / Consent

Vollständig · Verifiziert

Profil / Priorität / Schema

Vollständig · 100/100 · v2

Automatisiertes technisches Prüfdossier · keine abschließende Rechtsberatung

GLOSSAR · THEMENINDEX

Hauptpunkte des Berichts

Diese Übersicht führt zu den zentralen Themen des Prüfdossiers. Klicken Sie auf einen Punkt, um im PDF direkt zum entsprechenden Abschnitt zu springen. Die ausführlichen Definitionen stehen im Glossar am Ende des Berichts.

MANAGEMENT SUMMARY

Executive Summary

ALLGEMEINE EINLEITUNG

Der folgende Bericht beginnt mit einer allgemeinen technischen Einordnung. Treelogy PA beobachtet öffentlich erreichbare Browserpfade und beschreibt sichtbare Datenflüsse, Einwilligungszustände, Speicher, Rechtshinweise und Sicherheitsmerkmale. Die Darstellung unterstützt die fachliche Prüfung; sie ersetzt weder Rechtsberatung noch eine vollständige Prüfung nicht erreichbarer oder serverseitiger Verarbeitung.

AUTOMATISCHE SEITENKLASSIFIZIERUNG

Nicht abschließend klassifiziert

Die automatische Klassifizierung ist nicht abschließend: Es lagen keine ausreichenden Klassifizierungssignale vor.

Weitere erkannte Signale: Keine zusätzlichen Kategorien

STATUSNicht abschließend klassifiziert

KONFIDENZ0 %

SEITEN0

Quelle: Kategorie-Modul · Methode: regelbasiertes Ensemble · Die Kategorie ist ein technischer Hinweis und keine Betreiber-, Branchen- oder Rechtsfeststellung.

Getrennte Klassifikationsdimensionen

Betreiber, Branche, technische Plattform und Seitentyp werden getrennt bewertet. Ein CMS-Signal wird nicht als Betreiber- oder Branchenbeweis verwendet.

Dimension	Ergebnis	Status	Konfidenz	Belegbasis
Betreiber	Nicht verifiziert	nicht abschließend	nicht quantifiziert	Keine Basis aufgezeichnet
Branche	Nicht verifiziert	nicht abschließend	nicht quantifiziert	Keine Basis aufgezeichnet
Technologie	Nicht verifiziert	nicht abschließend	nicht quantifiziert	Keine Basis aufgezeichnet
Seitentyp	Nicht verifiziert	nicht abschließend	nicht quantifiziert	Keine Basis aufgezeichnet

PRÜFGEGENSTAND

Demo Report GmbH (fiktiv)

https://www.demo-report.de/

Technisch fertig · mit EinschränkungenFallpriorität Hoher Prüfbedarf

BEFUNDE GESAMT26vollständiger Befundindex

RELEVANTE BEFUNDE10manueller Prüfbedarf

PRÜFPRIORITÄT100 / 100 · Hoher Prüfbedarf

VOLLSTÄNDIGKEITTEILWEISEtechnischer Reportstatus

Wichtigste Befunde – Kurzfassung

DEMO-SYN-001 · Abweichende Verantwortlichenadresse · Erhöht Details im Abschnitt „Hauptbefunde“.
DEMO-SYN-002 · Cookie- und Consent-Verstoß simuliert · Hoch Details im Abschnitt „Hauptbefunde“.
DEMO-SYN-003 · Passwort im Local Storage simuliert · Hoch Details im Abschnitt „Hauptbefunde“.
DEMO-SYN-004 · API-Key im JavaScript simuliert · Hoch Details im Abschnitt „Hauptbefunde“.
DEMO-SYN-014 · Passwortfund im JavaScript simuliert · Hoch Details im Abschnitt „Hauptbefunde“.

Priorität 100 / 100

Hoher Prüfbedarf

Rohsumme 333; Familienkorrelation und unabhängige Gruppen werden separat ausgewiesen; Final vor Begrenzung 156.

Befundverteilung: Kritisch: 1 · Hoch: 5 · Erhöht: 4 · Hinweis: 14 · Niedrig: 2

Score-Kalibrierung: Evidence-Faktoren und Familienkappen wurden angewendet; direkt beobachtete Kritisch-Befunde bleiben im hohen Prüfband.

Prüfpriorität 0-100: Je qualifiziertem Grundbefund werden Schweregrad, Evidence-Qualität und beobachteter Kontext kombiniert. Heuristische oder nicht verifizierte Signale erhalten einen reduzierten Faktor; Risikofamilien und Root-Korrelationen begrenzen Doppelzählung. Der Wert ist kein Geldwert, kein Compliance-Prozentsatz und kein Beweis eines Rechtsverstoßes.

Lesart der Skala

0–19Kein erhöhter automatischer Prüfhinweis. Geringe oder keine qualifizierten Signale; normale fachliche Kontrolle bleibt sinnvoll.

20–49Erhöhter Prüfbedarf. Mindestens ein qualifiziertes Signal sollte manuell reproduziert und eingeordnet werden.

50–100Hoher Prüfbedarf. Mehrere oder besonders gewichtete qualifizierte Signale sollten zuerst geprüft werden.

DEMO-SYN-001+22
Abweichende VerantwortlichenadresseRoh +22; Familie Sonstige; Final +22; Korrelation -0; Evidence-Faktor 1.00Eigenständiger Beitrag zur Prüfpriorität auf Basis von Schweregrad, Evidence und beobachtetem Kontext.Technische Referenz: ROOT-DEMO-DEMO-SYN-001
DEMO-SYN-002+18
Cookie- und Consent-Verstoß simuliertRoh +43; Familie Speicher/Consent; Final +18; Korrelation -25; Evidence-Faktor 1.00Der Beitrag wurde wegen Root-/Familienkorrelation begrenzt, damit dieselbe Beobachtung nicht mehrfach voll gezählt wird.Technische Referenz: ROOT-DEMO-DEMO-SYN-002
DEMO-SYN-003+0
Passwort im Local Storage simuliertRoh +35; Familie Speicher/Consent; Final +0; Korrelation -35; Evidence-Faktor 1.00Kein zusätzlicher Score: Die Risikofamilie ist bereits durch einen stärkeren oder gleichartigen Befund abgedeckt.Technische Referenz: ROOT-DEMO-DEMO-SYN-003
DEMO-SYN-004+10
API-Key im JavaScript simuliertRoh +35; Familie Secrets/Zugangsdaten; Final +10; Korrelation -25; Evidence-Faktor 1.00Der Beitrag wurde wegen Root-/Familienkorrelation begrenzt, damit dieselbe Beobachtung nicht mehrfach voll gezählt wird.Technische Referenz: ROOT-DEMO-DEMO-SYN-004
DEMO-SYN-005+39
Tracking vor Einwilligung an US-Signal simuliertRoh +39; Familie Consent/Tracking; Final +39; Korrelation -0; Evidence-Faktor 1.00Eigenständiger Beitrag zur Prüfpriorität auf Basis von Schweregrad, Evidence und beobachtetem Kontext.Technische Referenz: ROOT-DEMO-DEMO-SYN-005
DEMO-SYN-006+9
Veraltete beziehungsweise kritische jQuery-Version simuliertRoh +22; Familie Sonstige; Final +9; Korrelation -13; Evidence-Faktor 1.00Der Beitrag wurde wegen Root-/Familienkorrelation begrenzt, damit dieselbe Beobachtung nicht mehrfach voll gezählt wird.Technische Referenz: ROOT-DEMO-DEMO-SYN-006
DEMO-SYN-007+4
Widersprüchliche Rechtspassage simuliertRoh +22; Familie Sonstige; Final +4; Korrelation -18; Evidence-Faktor 1.00Der Beitrag wurde wegen Root-/Familienkorrelation begrenzt, damit dieselbe Beobachtung nicht mehrfach voll gezählt wird.Technische Referenz: ROOT-DEMO-DEMO-SYN-007
DEMO-SYN-008+0
Mouseflow im Bewerberbereich simuliertRoh +17; Familie Sonstige; Final +0; Korrelation -17; Evidence-Faktor 1.00Kein zusätzlicher Score: Die Risikofamilie ist bereits durch einen stärkeren oder gleichartigen Befund abgedeckt.Technische Referenz: ROOT-DEMO-DEMO-SYN-008
DEMO-SYN-013+50
Live-Zugangsdaten im Frontend simuliertRoh +50; Familie Secrets/Zugangsdaten; Final +50; Korrelation -0; Evidence-Faktor 1.00Eigenständiger Beitrag zur Prüfpriorität auf Basis von Schweregrad, Evidence und beobachtetem Kontext.Technische Referenz: ROOT-DEMO-DEMO-SYN-013
DEMO-SYN-014+0
Passwortfund im JavaScript simuliertRoh +35; Familie Secrets/Zugangsdaten; Final +0; Korrelation -35; Evidence-Faktor 1.00Kein zusätzlicher Score: Die Risikofamilie ist bereits durch einen stärkeren oder gleichartigen Befund abgedeckt.Technische Referenz: ROOT-DEMO-DEMO-SYN-014
IMP-002+0
Anbieterkennzeichnung nicht eindeutig zuordenbarRoh +8; Familie Sonstige; Final +0; Korrelation -8; Evidence-Faktor 0.85Kein zusätzlicher Score: Die Risikofamilie ist bereits durch einen stärkeren oder gleichartigen Befund abgedeckt.Technische Referenz: ROOT-imprint-availability
PA-F-0007+0
Ablehnen weniger prominentRoh +5; Familie Sonstige; Final +0; Korrelation -5; Evidence-Faktor 0.55Kein zusätzlicher Score: Die Risikofamilie ist bereits durch einen stärkeren oder gleichartigen Befund abgedeckt.Technische Referenz: ROOT-ablehnen-weniger-prominent
Unabhängigkeitsbonus+4
Fachlich getrennte GruppenUnabhängige Fachgruppen +4: Sonstige, Privacy/Consent, SecurityKleine Zusatzwertung für fachlich getrennte Risikogruppen; sie ersetzt keinen eigenen Befund.

Zusammenführung gleicher Grundbeobachtungen: Mehrfachdarstellungen derselben Beobachtung werden nur einmal gewertet.

Seitensignale und Scanumfang

Merkmal	Beobachtung
Meta-Description	Nicht aufgezeichnet
CMS / Technologie	Nicht eindeutig erkannt
Frontend-Bibliothekskatalog	frontend-libraries-8.4-1
Native-Klassifikator	native-technology-rules-8.4-1
Finale Ziel-URL	https://www.demo-report.de/
Vorgeschaltete Seiten	0
PDF-Seiten	35

Meta-Description, CMS- und Technologieangaben sind technische Seitensignale. Sie bestätigen weder Betreiberidentität noch eine rechtliche Einordnung.

Vergleich zum letzten Lauf

Kein echter Vorbericht; Varianten werden ausschließlich simuliert.

Art	Signal	Beobachtung
simuliert	Vor Einwilligung	Marketing-Request
simuliert	Nach Ablehnen	Marketing blockiert
simuliert	Nach Akzeptieren	Marketing aktiviert

Prüfstatus

!Gesamtstatus: Teilweise · Teilbereiche separat bewerten.
✓Ablehnung: Nach Ablehnen
✓Akzeptanz: Nach Akzeptieren
✓Verantwortlicher: nicht aufgelöst

Leitplanken der Einordnung

Relevant = mindestens ein Befund der Stufe Erhöht/Hoch oder ein juristisch bzw. inhaltlich relevanter Hinweis mit ausdrücklichem manuellem Prüfbedarf; technische Hinweise sind keine bewiesenen Rechtsverstöße.

Die Skala unterstützt nur die Reihenfolge der manuellen Prüfung. Sie ist kein Compliance-Prozentsatz, kein Geldwert und kein Nachweis eines Rechtsverstoßes.

METHODIK

Prüfmethodik und Grenzen

Technischer Ablauf

Passiver Abruf der Zielseite im gebündelten Chromium-Renderer.
Erfassung von Netzwerk, Cookies, Speicher, Ereignissen, Formularen und Sicherheits-Headern.
Getrennte Consent-Szenarien; keine Anmeldung, kein Versand und keine offensiven Interaktionen.
Zusammenführung der Befunde mit Belegverweisen und Integritätsnachweisen.

Rahmenbedingungen

Merkmal	Aufgezeichneter Wert
Browser	Chromium · nicht ausgeführt, nur simuliert
Scanmodus	Passiver Lauf
Export	Anwaltsbericht · Vollständig
Schema	2
Scanengine	Playwright/Chromium · synthetische Fixture
Rechtsregeln	8.4-demo · nicht live verifiziert
Exporter	8.4-demo
Module	Keine Modulliste aufgezeichnet.
Frische Sitzung pro Zustand	Nicht aufgezeichnet
Technische Handlungshinweise	Deaktiviert
Zeitpunkt	21.10.2026, 21:39:47 UTC

Grenzen der automatischen Einordnung: Dieser Bericht ist eine technische Beobachtung und keine gerichtsfeste Rechtsentscheidung oder abschließende Rechtsberatung. Nicht automatisch geprüft werden insbesondere Rechtsgrundlagen je Verarbeitung, Auftragsverarbeitungsverträge, Vollständigkeit und Richtigkeit der Datenschutzerklärung, Drittlandgarantien, die Erforderlichkeit einzelner Endgerätezugriffe sowie die tatsächliche Empfänger- und Betreiberrolle. Nicht bestätigte Consent-Aktionen werden nicht als ausgeführte Ablehnung oder Akzeptanz ausgegeben. Ein Befund der Stufe „Erhöht“ beschreibt konkreten manuellen Prüfbedarf bzw. ein starkes Indiz; er beweist allein keinen Rechtsverstoß.

Seitenerfassung

StatusAusreichend

Synthetische Fixture mit vollständig vorbereiteten Zuständen; keine Live-Erreichbarkeit.

Auswirkung auf Negativbefunde

Negativbefunde zu nicht auffindbaren Links werden bei unvollständiger Seitenerfassung nicht als belastbare Fehlbefunde gewertet.

Footer-/Navigationsprüfung und Prüfung desselben Hosts werden separat als Abdeckungssignale gespeichert.

QUALITÄTSSICHERUNG

Prüfvollständigkeit

GesamtstatusTeilweise

Die Vollständigkeit trennt technische Beobachtungen von nicht abschließend verifizierten Teilbereichen. Konkrete Befunde bleiben auch bei einem partiellen Scan sichtbar.

Teilbereich	Status	Begründung
Rechtsprüfung	Offen	Mindestens eine aktivierte offizielle aktuelle Rechtsquelle wurde nicht vollständig verifiziert.

Offene Prüfgründe

Mindestens eine aktivierte offizielle aktuelle Rechtsquelle wurde nicht vollständig verifiziert.

VERANTWORTUNG

Verantwortlichkeit und Zuständigkeit

Rolle	Ergebnis	Status
Verantwortlicher	Demo Report GmbH (fiktiv)	Bestätigt
Impressumsanbieter	Demo Report GmbH (fiktiv)	Bestätigt
Technischer Betreiber	Nicht angegeben	Nicht bestätigt
Technische Umsetzung	Nicht angegeben	Nicht angegeben
Datenschutzbeauftragter	Daniela Datenschutz (fiktiv) +49 5351 000000 (fiktiv) daniela.datenschutz@example.invalid	Externer DSB-Dienstleister
Aufsichtsbehörde	Fiktive Datenschutzaufsicht Niedersachsen – Demo	Nicht bestätigt / nicht automatisch bestimmbar

Zuständige Behörde

Fiktive Datenschutzaufsicht Niedersachsen – Demo

Anschrift: Behördenweg 1, 38350 Helmstedt (fiktiv)

E-Mail: aufsicht-niedersachsen@example.invalid

Offizielle Website: https://aufsicht-niedersachsen.example.invalid/

Bei möglicher Datenverletzung: Sachverhalt und Evidence sichern, Verantwortliche und Datenschutzbeauftragte einbeziehen und die Melde- und Informationspflichten nach Art. 33 und 34 DSGVO einschließlich der 72-Stunden-Frist fallbezogen prüfen und dokumentieren.

Identitätskonflikte

Keine Identitätskonflikte aufgezeichnet.

Einordnung: Ein Domainname entscheidet nicht automatisch, welche Stelle rechtlich verantwortlich ist. Widersprechende Quellen werden deshalb getrennt ausgewiesen und nicht stillschweigend zusammengeführt.

Nächster Schritt: Zur Auflösung: Impressum und Datenschutzerklärung im Original öffnen, Betreibername, Anschrift, Kontakt und gegebenenfalls Portal-/Arbeitgeberrolle vergleichen und das Ergebnis manuell bestätigen.

Adress- und Personenabgleich

Die Anreicherung gruppiert nur quellengebundene Kandidaten und Schreibvarianten. Primärquelle, Evidence und menschliche Prüfung bleiben maßgeblich. Keine lokale KI wurde automatisch ausgeführt; es wurden keine Daten an einen externen KI-Dienst gesendet.

Rolle	Name / Organisation	Anschrift	Quelle / Status
Keine quellengebundenen Adress- oder Personenkandidaten ermittelt.

Quellen: 0 · Manuelle Prüfung: nicht erforderlich auf Basis der erfassten Quellen

BEFUNDE

Hauptbefunde

Die folgenden Karten zeigen die Befunde mit konkretem manuellem Prüfbedarf. Jede Karte führt technische Feststellung, rechtlichen Prüfkontext, offene Fragen, Empfehlung und Evidence zusammen.

DEMO-SYN-001 · Synthetischer Demo-Befund

Abweichende Verantwortlichenadresse

Erhöht

FESTSTELLUNG

DEMO / FIKTIVE DATEN – keine Live-Prüfung, keine echte Behörde, keine echte Person und keine echte Meldung. Im fiktiven Anbietertext steht Demoweg 7, 38350 Helmstedt; der ebenfalls fiktive Policy-Text nennt Demoallee 12, 30159 Hannover.

THEMATISCHE EINORDNUNG

Das Thema beschreibt ein technisches Signal aus dem beobachteten Prüfpfad. Für eine belastbare Bewertung sind Originalquelle, Zweck, konkrete Verarbeitung, Abdeckung und – soweit erforderlich – die zuständige Fachstelle gemeinsam zu prüfen.

TECHNISCHE BEDEUTUNG

Dieser Befund ist ausschließlich zur Darstellung einer Berichtsausprägung erfunden.

RECHTLICHER PRÜFKONTEXT

Kernnormen: Keine konkrete Normzuordnung im automatischen Lauf. · Mappingstatus: Keine konkrete Normzuordnung

OFFENE FRAGEN

Zweck, Erforderlichkeit und konkrete Verarbeitung manuell abgleichen.

EMPFEHLUNG

Befund im Originalsystem reproduzieren, Zweck und Rechtsgrundlage dokumentieren und die technische Umsetzung gezielt nachschärfen.

TECHNISCHE BELEGE

nicht separat aufgezeichnet

RECHTSKONTEXT

E-LAW-001

DEMO-SYN-002 · Synthetischer Demo-Befund

Cookie- und Consent-Verstoß simuliert

Hoch

FESTSTELLUNG

DEMO / FIKTIVE DATEN – keine Live-Prüfung, keine echte Behörde, keine echte Person und keine echte Meldung. Vor einer Entscheidung wird im synthetischen Lauf ein Marketing-Cookie gesetzt; Ablehnen und Akzeptieren sind als getrennte Zustände dokumentiert.

THEMATISCHE EINORDNUNG

Das Thema betrifft Zugriffe auf Informationen im Endgerät. Zweck, Erforderlichkeit, Lebensdauer und Einwilligungsabhängigkeit müssen je Eintrag im konkreten Kontext geprüft werden.

TECHNISCHE BEDEUTUNG

Dieser Befund ist ausschließlich zur Darstellung einer Berichtsausprägung erfunden.

RECHTLICHER PRÜFKONTEXT

Kernnormen: Keine konkrete Normzuordnung im automatischen Lauf. · Mappingstatus: Keine konkrete Normzuordnung

OFFENE FRAGEN

Zweck, Erforderlichkeit und konkrete Verarbeitung manuell abgleichen.

EMPFEHLUNG

Befund im Originalsystem reproduzieren, Zweck und Rechtsgrundlage dokumentieren und die technische Umsetzung gezielt nachschärfen.

TECHNISCHE BELEGE

01_vor_einwilligung.har; E-STORAGE-002

RECHTSKONTEXT

E-LAW-002

DEMO-SYN-003 · Synthetischer Demo-Befund

Passwort im Local Storage simuliert

Hoch

FESTSTELLUNG

DEMO / FIKTIVE DATEN – keine Live-Prüfung, keine echte Behörde, keine echte Person und keine echte Meldung. Ein fiktives Formular speichert `demo-passwort-***` unter `localStorage.password`; kein echter Zugang und kein echtes Passwort.

THEMATISCHE EINORDNUNG

Das Thema betrifft Zugriffe auf Informationen im Endgerät. Zweck, Erforderlichkeit, Lebensdauer und Einwilligungsabhängigkeit müssen je Eintrag im konkreten Kontext geprüft werden.

TECHNISCHE BEDEUTUNG

Dieser Befund ist ausschließlich zur Darstellung einer Berichtsausprägung erfunden.

RECHTLICHER PRÜFKONTEXT

Kernnormen: Art. 32 DSGVO · Ergänzend: Art. 5 DSGVO; Art. 25 DSGVO; Art. 33/34 DSGVO (nur bei bestätigter Verletzung) · Mappingstatus: Manuelle Prüfung

OFFENE FRAGEN

Zweck, Erforderlichkeit und konkrete Verarbeitung manuell abgleichen.

EMPFEHLUNG

Befund im Originalsystem reproduzieren, Zweck und Rechtsgrundlage dokumentieren und die technische Umsetzung gezielt nachschärfen.

TECHNISCHE BELEGE

01_vor_einwilligung.har; E-STORAGE-003

RECHTSKONTEXT

E-LAW-003

DEMO-SYN-004 · Synthetischer Demo-Befund

API-Key im JavaScript simuliert

Hoch

FESTSTELLUNG

DEMO / FIKTIVE DATEN – keine Live-Prüfung, keine echte Behörde, keine echte Person und keine echte Meldung. Ein erfundener Schlüssel wird im Demo-Bundle nur gekürzt als `demo-key-***` dargestellt.

THEMATISCHE EINORDNUNG

TECHNISCHE BEDEUTUNG

Dieser Befund ist ausschließlich zur Darstellung einer Berichtsausprägung erfunden.

RECHTLICHER PRÜFKONTEXT

Kernnormen: Art. 32 DSGVO · Ergänzend: Art. 5 DSGVO; Art. 25 DSGVO; Art. 33/34 DSGVO (nur bei bestätigter Verletzung) · Mappingstatus: Manuelle Prüfung

OFFENE FRAGEN

Zweck, Erforderlichkeit und konkrete Verarbeitung manuell abgleichen.

EMPFEHLUNG

Befund im Originalsystem reproduzieren, Zweck und Rechtsgrundlage dokumentieren und die technische Umsetzung gezielt nachschärfen.

TECHNISCHE BELEGE

nicht separat aufgezeichnet

RECHTSKONTEXT

E-LAW-004

DEMO-SYN-014 · Synthetischer Demo-Befund

Passwortfund im JavaScript simuliert

Hoch

FESTSTELLUNG

DEMO / FIKTIVE DATEN – keine Live-Prüfung, keine echte Behörde, keine echte Person und keine echte Meldung. Fundstelle: `/assets/js/demo-checkout.js`, Zeile 118; Bezeichner: `password`; maskierter Wert: `p***`. Der Rohwert wurde nicht gespeichert und ist nicht rekonstruierbar.

THEMATISCHE EINORDNUNG

TECHNISCHE BEDEUTUNG

Dieser Befund ist ausschließlich zur Darstellung einer Berichtsausprägung erfunden.

RECHTLICHER PRÜFKONTEXT

Kernnormen: Art. 32 DSGVO · Ergänzend: Art. 5 DSGVO; Art. 25 DSGVO; Art. 33/34 DSGVO (nur bei bestätigter Verletzung) · Mappingstatus: Manuelle Prüfung

OFFENE FRAGEN

Zweck, Erforderlichkeit und konkrete Verarbeitung manuell abgleichen.

EMPFEHLUNG

Befund im Originalsystem reproduzieren, Zweck und Rechtsgrundlage dokumentieren und die technische Umsetzung gezielt nachschärfen.

TECHNISCHE BELEGE

nicht separat aufgezeichnet

RECHTSKONTEXT

E-LAW-005

DEMO-SYN-013 · Synthetischer Demo-Befund

Live-Zugangsdaten im Frontend simuliert

Kritisch

FESTSTELLUNG

DEMO / FIKTIVE DATEN – keine Live-Prüfung, keine echte Behörde, keine echte Person und keine echte Meldung. Ein fiktiver Testzugang wird als kompromittiert markiert; es werden weder Benutzername noch Passwort oder Token im Demo-Material gespeichert.

THEMATISCHE EINORDNUNG

TECHNISCHE BEDEUTUNG

Dieser Befund ist ausschließlich zur Darstellung einer Berichtsausprägung erfunden.

RECHTLICHER PRÜFKONTEXT

Kernnormen: Art. 32 DSGVO · Ergänzend: Art. 5 DSGVO; Art. 25 DSGVO; Art. 33/34 DSGVO (nur bei bestätigter Verletzung) · Mappingstatus: Manuelle Prüfung

OFFENE FRAGEN

Zweck, Erforderlichkeit und konkrete Verarbeitung manuell abgleichen.

EMPFEHLUNG

Befund im Originalsystem reproduzieren, Zweck und Rechtsgrundlage dokumentieren und die technische Umsetzung gezielt nachschärfen.

TECHNISCHE BELEGE

nicht separat aufgezeichnet

RECHTSKONTEXT

E-LAW-006

DEMO-SYN-005 · Synthetischer Demo-Befund

Tracking vor Einwilligung an US-Signal simuliert

Hoch

FESTSTELLUNG

DEMO / FIKTIVE DATEN – keine Live-Prüfung, keine echte Behörde, keine echte Person und keine echte Meldung. Vor Einwilligung wird ein synthetischer Request an `analytics-us.demo-report.example` mit US-Anbieter-Signal dokumentiert.

THEMATISCHE EINORDNUNG

Das Thema betrifft beobachtete Analyse- oder Identifikatorsignale. Hostname und Parametername belegen einen technischen Datenfluss, aber allein weder Personenbezug noch zulässige Rechtsgrundlage.

TECHNISCHE BEDEUTUNG

Dieser Befund ist ausschließlich zur Darstellung einer Berichtsausprägung erfunden.

RECHTLICHER PRÜFKONTEXT

Kernnormen: Art. 12 DSGVO; Art. 13 DSGVO · Ergänzend: Art. 28 DSGVO; Art. 44 ff. DSGVO · Mappingstatus: Manuelle Prüfung

OFFENE FRAGEN

Zweck, Erforderlichkeit und konkrete Verarbeitung manuell abgleichen.

EMPFEHLUNG

Befund im Originalsystem reproduzieren, Zweck und Rechtsgrundlage dokumentieren und die technische Umsetzung gezielt nachschärfen.

TECHNISCHE BELEGE

E-NET-001

RECHTSKONTEXT

E-LAW-007

DEMO-SYN-006 · Synthetischer Demo-Befund

Veraltete beziehungsweise kritische jQuery-Version simuliert

Erhöht

FESTSTELLUNG

DEMO / FIKTIVE DATEN – keine Live-Prüfung, keine echte Behörde, keine echte Person und keine echte Meldung. Das Demo-Frontend lädt synthetisch jQuery 1.11.2 und markiert die Version als veraltet.

THEMATISCHE EINORDNUNG

TECHNISCHE BEDEUTUNG

Dieser Befund ist ausschließlich zur Darstellung einer Berichtsausprägung erfunden.

RECHTLICHER PRÜFKONTEXT

Kernnormen: Keine konkrete Normzuordnung im automatischen Lauf. · Mappingstatus: Keine konkrete Normzuordnung

OFFENE FRAGEN

Zweck, Erforderlichkeit und konkrete Verarbeitung manuell abgleichen.

EMPFEHLUNG

Befund im Originalsystem reproduzieren, Zweck und Rechtsgrundlage dokumentieren und die technische Umsetzung gezielt nachschärfen.

TECHNISCHE BELEGE

nicht separat aufgezeichnet

RECHTSKONTEXT

E-LAW-008

DEMO-SYN-007 · Synthetischer Demo-Befund

Widersprüchliche Rechtspassage simuliert

Erhöht

FESTSTELLUNG

DEMO / FIKTIVE DATEN – keine Live-Prüfung, keine echte Behörde, keine echte Person und keine echte Meldung. Der fiktive Policy-Text nennt für denselben Dienst gleichzeitig Einwilligung und berechtigtes Interesse als alleinige Grundlage.

THEMATISCHE EINORDNUNG

Das Thema betrifft die technische Wirkung einer Einwilligungsentscheidung. Eine angezeigte Schaltfläche und ein API-Aufruf sind erst bei beobachtbarer Zustandsänderung ein belastbarer Nachweis.

TECHNISCHE BEDEUTUNG

Dieser Befund ist ausschließlich zur Darstellung einer Berichtsausprägung erfunden.

RECHTLICHER PRÜFKONTEXT

Kernnormen: Keine konkrete Normzuordnung im automatischen Lauf. · Mappingstatus: Keine konkrete Normzuordnung

OFFENE FRAGEN

Zweck, Erforderlichkeit und konkrete Verarbeitung manuell abgleichen.

EMPFEHLUNG

Befund im Originalsystem reproduzieren, Zweck und Rechtsgrundlage dokumentieren und die technische Umsetzung gezielt nachschärfen.

TECHNISCHE BELEGE

nicht separat aufgezeichnet

RECHTSKONTEXT

E-LAW-009

DEMO-SYN-008 · Synthetischer Demo-Befund

Mouseflow im Bewerberbereich simuliert

Erhöht

FESTSTELLUNG

DEMO / FIKTIVE DATEN – keine Live-Prüfung, keine echte Behörde, keine echte Person und keine echte Meldung. Auf dem fiktiven Karriere- und Bewerberpfad wird ein synthetischer Mouseflow-Aufruf vor einer Consent-Entscheidung geführt.

THEMATISCHE EINORDNUNG

Das Thema betrifft die technische Wirkung einer Einwilligungsentscheidung. Eine angezeigte Schaltfläche und ein API-Aufruf sind erst bei beobachtbarer Zustandsänderung ein belastbarer Nachweis.

TECHNISCHE BEDEUTUNG

Dieser Befund ist ausschließlich zur Darstellung einer Berichtsausprägung erfunden.

RECHTLICHER PRÜFKONTEXT

Kernnormen: Keine konkrete Normzuordnung im automatischen Lauf. · Mappingstatus: Keine konkrete Normzuordnung

OFFENE FRAGEN

Zweck, Erforderlichkeit und konkrete Verarbeitung manuell abgleichen.

EMPFEHLUNG

Befund im Originalsystem reproduzieren, Zweck und Rechtsgrundlage dokumentieren und die technische Umsetzung gezielt nachschärfen.

TECHNISCHE BELEGE

nicht separat aufgezeichnet

RECHTSKONTEXT

E-LAW-010

CONSENT

Consent-Prüfung

Zustandsvergleich

Nur nach Akzeptieren1

Nach Ablehnen0

Akzeptanz bestätigtJa

Ablehnung bestätigtJa

Interpretation

Consent-Diff nur zwischen tatsächlich bestätigten Zuständen belastbar.

Cookies: vor Consent 0 · nach Ablehnen 0 · nur nach Akzeptieren 0

ZUSTAND

Vor Einwilligung

2Requests1externer Netzwerk-Request2Cookies0registrierte DOM-Event-Listener

Ausgangszustand vor Consent-Entscheidung.

ZUSTAND

Nach Ablehnen

1Request0externe Netzwerk-Requests1Cookie0registrierte DOM-Event-Listener

Nicht angegeben Beobachtungsfenster nach Aktion: 0 Requests, davon 0 signaturbekannte Tracking-/Analyse-Requests.

ZUSTAND

Nach Akzeptieren

1Request1externer Netzwerk-Request3Cookies0registrierte DOM-Event-Listener

Nicht angegeben Beobachtungsfenster nach Aktion: 0 Requests, davon 0 signaturbekannte Tracking-/Analyse-Requests.

Cookie-/Consent-Banner: Inhaltliche Kurzprüfung

Der sichtbare öffentliche Bannertext wird separat vom technischen Netzwerkvergleich ausgewertet. Die Markierungen sind Heuristiken; sie ersetzen keine rechtliche Prüfung von Zweck, Rechtsgrundlage oder Gestaltung.

Zustand	Sichtbarer Bannertext	Automatische Inhaltsmerkmale
Kein sichtbarer Cookie-/Consent-Bannertext aufgezeichnet.

Consent-Verlauf und Kontextisolierung

Die Prüfung startet je Szenario in einem neuen Browser-Kontext. Aus Cookie-/Storage-Namen und sichtbarer UI wird nur der beobachtbare Vorzustand abgeleitet; Werte und serverseitige Profile werden nicht behauptet. Ein frischer Kontext ist ein Isolationsnachweis, aber kein Beweis für eine vollständig leere serverseitige Historie.

Zustand	Frischer Kontext	Vor-Aktion-Status	Beobachtete Indikatoren	Ableitung
Kein Consent-Verlaufsnachweis im Datensatz vorhanden.

Technische Consent-Oberfläche

Erfasst werden die beobachteten CMP-Globals, Shadow-DOM-Wurzeln und iframe-Controls. Die Spalten „Shadow Roots“ und „iframes / Controls“ zeigen Erfassungstiefe, nicht automatisch einen Rechtsverstoß.

Zustand	CMP-Globals	Shadow Roots / davon geschlossen	iframes / Controls	Aktive API
Vor Einwilligung	keine CMP-Globals	0 / 0	0 / 0	Keine aktive CMP-API bestätigt
Nach Ablehnen	keine CMP-Globals	0 / 0	0 / 0	Keine aktive CMP-API bestätigt
Nach Akzeptieren	keine CMP-Globals	0 / 0	0 / 0	Keine aktive CMP-API bestätigt

Erkannte CMP-Integrationen

System	Aktionsunterstützung	Erkennungsmarker
Keine CMP-Integration im geladenen Quelltext erkannt.

Deklarative Consent- und Tracking-Signale

System/Dienst	Host bzw. Settings-ID	Technischer Status
Keine deklarative Consent-Blockierung im HTML erkannt.

Ein blockiertes Script mit dem MIME-Typ text/plain ist eine Einbindung, kein ausgeführter Netzwerk-Transfer. dataLayer-Werte werden auf dokumentierte, nicht-sensitive Kontextfelder begrenzt.

dataLayer-Events

Event	Sichere Kontextwerte
Keine dataLayer-Events aufgezeichnet.

Tracking-Konfiguration

Zustand	Ausgabesichere Konfiguration
Keine ausgabesichere Tracking-Konfiguration erkannt.

Forensische Zusatzsignale

Diese Signale werden aus der passiven Browserbeobachtung abgeleitet. Sie sind keine automatische Feststellung eines Rechtsverstoßes und kein Nachweis einer wirksamen Einwilligung.

IAB TCF / CMP

Zustand	TCF verfügbar	CMP-ID	Vendor-Einwilligungen	Zweck-Einwilligungen
Vor Einwilligung	Ja	42	1	0

GVL-Abgleich: verifiziert · Keine TCF-Erläuterung aufgezeichnet.

Vendor-Signal	Zustand	Beobachteter Host	Hinweis
Analyse-/Messdienst	Vor Einwilligung	Host nicht verifiziert (Rohwert im Evidence Package)	Signal und Host manuell prüfen.

Fingerprinting-Indizien

API	Aufrufe
Canvas.toDataURL	1

Indizien sind keine Identifizierung.

Consent-Design-Heuristik

Signal	Einordnung
Ablehnen weniger prominent	Visuelle Gewichtung des Dialogs manuell prüfen.

Gestaltung, Sprache, Klicktiefe und Gesamtzusammenhang manuell prüfen.

DATENFLUSS

Datenschutz und Datenfluss

TECHNISCH BEOBACHTETE WEGE

Die Zahl „×“ zählt beobachtete Requests bzw. DOM-Einbindungen über alle aufgeführten Prüfzustände. Jeder Zielhost erscheint einmal; mehrere technische Kanäle werden innerhalb dieser Zeile ausgewiesen. Das ist keine Zahl der betroffenen Personen.

www.demo-report.deHost nicht verifiziert (Rohwert im Evidence Package)Unbekannt, Unbekannt (Bibliotheksabruf 1×, Tracking-Beacon 1×) · Gesamt 2× · Nach Akzeptieren; Vor Einwilligung

Verbindliche Zählskopen

Metrik	Scope	Wert
Tracking-/Analyse-Transfers	Alle erfassten Prüfzustände	1
Tracking-/Analyse-Transfers	Stärkster einzelner Prüfzustand	1
Signaturbekannte Tracking-Hosts	Eindeutig über alle Zustände	1
Externe Netzwerk-Hosts	Eindeutig über alle Zustände	1
Externe Netzwerk-Requests	Summe über alle Zustände	2

Transfers, Requests und eindeutige Hosts sind unterschiedliche Metriken. Wiederholungen in mehreren Consent-Zuständen werden nur in der ausdrücklich als Summe bezeichneten Scope addiert.

Formular- und Eingabeflächen

Zusammenfassung: Nicht angegeben

Die Prüfung erfasst nur sichtbare Formularmerkmale. Es wurden keine Eingaben vorgenommen, ausgelesen oder abgesendet. 'Methode' beschreibt die technische Übertragungsart, 'Zieladresse' das erkannte Formularziel und 'Position' die Stelle im HTML-Dokument.

Übertragungsart	Zieladresse	Position im Formular	Felder und Erläuterung
Keine Formularmetadaten aufgezeichnet.

Datensparsame Browser-Speicherklassifikation

Es werden keine Storage-Werte im Report ausgegeben. Die Einordnung nutzt nur Schlüsselname, Länge und eine grobe Wertform; sie ist ein technisches Signal, keine Inhalts- oder Personenbewertung.

Zustand	Speicher	Schlüssel	Datensparsame Kategorie	Länge	Wertform
Keine localStorage-/sessionStorage-Schlüssel aufgezeichnet.

Einzelne Cookie-Evidence

Die Tabelle nennt ausschließlich Namen, Domain und eine erklärbare technische Klassifikation. Cookie-Werte werden nicht ausgegeben. Zweck, Anbieter und Konfidenz sind technische Hinweise; sie ersetzen keine rechtliche Einzelfallprüfung.

Zustand	Name	Domain	Technische Einordnung	Vermuteter Zweck	Konfidenz	Grundlage
Vor Einwilligung	session	Host nicht verifiziert (Rohwert im Evidence Package)	Technisch erforderlich – technische Einordnung	Session-, Sicherheits- oder technische Funktionsspur; Erforderlichkeit bleibt kontextabhängig.	Niedrig	Technischer Marker im Namen; Funktion nicht verifiziert.
Vor Einwilligung	_analytics	Host nicht verifiziert (Rohwert im Evidence Package)	Zweck aus dem Namen nicht eindeutig ableitbar	Aus dem Namen allein nicht belastbar bestimmbar; manuelle Prüfung erforderlich.	Niedrig	Cookie-Name und Domain liefern keine eindeutige Zwecksignatur.
Nach Ablehnen	session	Host nicht verifiziert (Rohwert im Evidence Package)	Technisch erforderlich – technische Einordnung	Session-, Sicherheits- oder technische Funktionsspur; Erforderlichkeit bleibt kontextabhängig.	Niedrig	Technischer Marker im Namen; Funktion nicht verifiziert.
Nach Akzeptieren	_analytics	Host nicht verifiziert (Rohwert im Evidence Package)	Zweck aus dem Namen nicht eindeutig ableitbar	Aus dem Namen allein nicht belastbar bestimmbar; manuelle Prüfung erforderlich.	Niedrig	Cookie-Name und Domain liefern keine eindeutige Zwecksignatur.

Storage-Differenz: vor Consent 0 · nach Ablehnen 0 · nur nach Akzeptieren 0. Ein technischer Datenfluss ist noch keine abschließende Aussage über Verantwortlichkeit oder Rechtsgrundlage.

Abgleich mit Datenschutzerklärung / USA-Signal

Nur simulierte Dokumentdaten; kein echter Rechtstexte-Abgleich.

USA-Signal: Vor Einwilligung 0 Anbieter mit US-Jurisdiktionssignal, davon 0 mit Identifier-artigem Query-Signal. Keine konkrete Drittlandübermittlung automatisch bestätigt.

Quelltext-/DOM-Abgleich der Rechtstexte

Bei dynamischen Rechtstexten bleibt der sichtbare DOM-Inhalt die maßgebliche Analysesicht, sofern er nicht leer oder deutlich unvollständig ist. Der Quelltext-Fallback wird deshalb separat ausgewiesen und ist kein eigener Rechtsverstoß.

Dokument	URL	Format	Quelltextzeichen	DOM-Zeichen	Vergleich	Analysesicht
Datenschutz	https://www.demo-report.de/datenschutz	HTML	0	0	Nicht ermittelt	nicht ermittelt
Impressum	https://www.demo-report.de/impressum	HTML	0	0	Nicht ermittelt	nicht ermittelt

Analyse-/Messdienst

Nicht ermittelt

Host: Host nicht verifiziert (Rohwert im Evidence Package) · Anbieter: nicht aufgelöst
Ländersignal: unbekannt · Basis: Nicht ermittelt
Vor Einwilligung: nein · Nicht ermittelt
Request-Evidenz: Nicht ermittelt
Datenschutz-Abgleich: Anbieter nein · Zweck nein · Drittland nein · Transfermechanismus nein

Konkreter Empfänger, tatsächliches Empfängerland, Payload-Inhalt und Personenbezug sind nicht aus dem Hostnamen allein verifiziert. Request-IDs: nicht aufgezeichnet

Ergebnis des Rechtstext-Inhaltsabgleichs

Quellenabdeckung des passiven Laufs

Die Übersicht zeigt nur tatsächlich erfasste Quellen. Ein nicht erreichbarer Pfad wird nicht als vorhandene oder fehlende Rechtsgrundlage behauptet.

Quellfamilie	Status	Erfasste Einträge
Robots / Sitemap	nicht bestätigt	0
Rechtstext-Varianten	nicht bestätigt	0
Karriere / Bewerbung	nicht bestätigt	0
Shop / Commerce	nicht bestätigt	0
Sprachvarianten	nicht bestätigt	0

Consent-Erkennung über mehrere Signalarten

Prüfpunkt	Ergebnis
Gesamtbewertung	nicht ermittelt
Konfidenz	nicht quantifiziert
CMP-/Provider-Signale	keine
Quelle allein	Kontakt-/Rechtstexte werden nicht als Banner gewertet

Getrennte Datenschutzerklärungen

Datenschutzerklärungen verbundener, aber rechtlich getrennt behandelter Gesellschaften werden nicht zu einer gemeinsamen Erklärung zusammengezogen. Die Hauptseite und ein Group-/Karriere-Dokument bleiben als eigene Quellen sichtbar.

Quelle	Host	Herkunft	Zeichen	Textsignale
Keine getrennten Datenschutzerklärungen aufgezeichnet.

Inhaltlicher Rechtstext-Check

Prüfpunkt	Signal
Keine inhaltlichen Rechtstext-Signale aufgezeichnet.

Transparenzsignale

Thema	Signal
Consent Management Platform	erkannt
Drittanbieter erwähnt	nicht erkannt

Aktualität und interne Konsistenz der Rechtsreferenzen

Referenz	Status	Einordnung
Keine datierten oder auffälligen Rechtsreferenzen erkannt.

Dokumentenstatus: Datenschutzerklärung nicht erfasst · Datenschutzhinweis nicht gefunden · AGB/Nutzungsbedingungen nicht gefunden.

Nicht verfolgte externe Rechtstext-Links

Dokument	URL	Grund
Keine externen Rechtstext-Links als nicht verfolgt aufgezeichnet.

TCF-Signal technisch erkannt; keine Aussage über wirksame Einwilligung.

HÄRTUNG

Web-Sicherheit

GesamteinstufungHinweis

Passiver Web-Sicherheitscheck: Es werden nur Header, DOM-Elemente und Netzwerkvorgänge ausgewertet, die beim ohnehin ausgeführten Browseraufruf beobachtet wurden. Keine Exploit-Payloads, kein Fuzzing, kein Portscan und keine zusätzlichen Angriffstests.

Risikobezogener Kontext

HTTPS ist aktuell aktiv, aber HSTS fehlt: relevant für künftige Aufrufe und Downgrade-Schutz, nicht automatisch ein Beweis einer unsicheren aktuellen Verbindung.

Kontrolle	Status	Wert	Einordnung
HTTPS/TLS	OK	HTTPS	Die Zielseite war im passiven Lauf über HTTPS erreichbar.
Content-Security-Policy	Fehlt	Nicht angegeben	Keine erzwingende CSP erkannt.
Strict-Transport-Security	Fehlt	Nicht angegeben	HTTPS vorhanden, aber kein HSTS-Header erkannt.
TLS-Protokoll	Info	nicht verfügbar	Browser lieferte keine TLS-Detailangabe.
Clickjacking-Schutz	Fehlt	Nicht angegeben	Weder frame-ancestors noch X-Frame-Options erkannt.
CSP Frame-Quellen	Info	Nicht angegeben	Keine externen IFrames im Scan beobachtet.
X-Content-Type-Options	Fehlt	Nicht angegeben	Optionale, aber verbreitete Härtung fehlt.
Referrer-Policy	Info	Browser-Standard	Kein Header erkannt; moderne Browser verwenden einen restriktiveren Standard. Kein automatischer Mangel.
Permissions-Policy	Info	Nicht angegeben	Nicht zwingend erforderlich; kann Browser-Funktionen zusätzlich einschränken.
Cross-Origin-Opener-Policy	Info	Nicht angegeben	Optionale Isolation; nicht für jede Anwendung geeignet.
Cross-Origin-Embedder-Policy	Info	Nicht angegeben	Optionale Isolation; kann Drittanbieter-Einbindungen brechen.
Cross-Origin-Resource-Policy	Info	Nicht angegeben	Optionale Ressourcen-Isolation.

Lesart der Header: CSP frame-ancestors und X-Frame-Options verfolgen denselben Schutzzweck, sind aber getrennte Header. Ein positiver CSP-Befund bedeutet daher nicht automatisch, dass X-Frame-Options zusätzlich gesetzt ist. Der HSTS-Wert wird als beobachteter Headerwert und zum Abrufzeitpunkt bewertet.

Security-Befunde

Keine erzwingende Content Security Policy erkannt

Hinweis

Beobachtet: Weder ein Content-Security-Policy-HTTP-Header noch eine Meta-CSP wurde im Ausgangszustand erkannt.

Thema: Das Thema betrifft die technische Absicherung der Auslieferung. Ein einzelner Header ist nur im Zusammenspiel mit HTTPS, Ressourcenpfaden, Browserverhalten und Serverkonfiguration zu bewerten.

Risiko: Das Fehlen einer CSP beweist keine XSS-Lücke. Es fehlt aber eine wichtige zusätzliche Schutzschicht, die nicht autorisierte Script-/Content-Quellen einschränken und die Auswirkungen von Injection-Fehlern reduzieren kann.

Empfehlung: Eine restriktive, zur Anwendung passende CSP entwickeln. Ausgangsbeispiel (Nonce pro Antwort generieren und Quellen anpassen): Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-<pro-request-nonce>'; frame-ancestors 'self'; form-action 'self'; base-uri 'self'

Kein HSTS-Header

Hinweis

Beobachtet: Die Seite wurde über HTTPS geladen (https://www.demo-report.de/), aber Strict-Transport-Security fehlt.

Risiko: Die aktuelle HTTPS-Verbindung ist dadurch nicht automatisch unsicher. HSTS schützt jedoch zukünftige Aufrufe vor HTTP-Downgrades/SSL-Stripping und verschärft den Umgang mit Zertifikatsfehlern.

Empfehlung: HSTS nach Prüfung aller benötigten Subdomains passend konfigurieren; max-age bewusst wählen.

Kein erkennbarer Clickjacking-Schutz

Hinweis

Beobachtet: Weder CSP frame-ancestors noch X-Frame-Options wurde erkannt.

Risiko: Wenn die Seite von beliebigen fremden Seiten eingebettet werden kann, kann dies Clickjacking begünstigen. Bei bewusst einbettbaren Anwendungen kann eine Freigabe allerdings erforderlich sein.

Empfehlung: Bevorzugt CSP frame-ancestors auf die tatsächlich erlaubten Eltern einschränken; optional X-Frame-Options ergänzen.

Sitzungs-/Auth-Cookie gilt für übergeordnete Domain

Hinweis

Beobachtet: Cookie 'session' gilt für Domain '.demo-report.de', aktuelle Seite ist 'www.demo-report.de'.

Thema: Das Thema betrifft Zugriffe auf Informationen im Endgerät. Zweck, Erforderlichkeit, Lebensdauer und Einwilligungsabhängigkeit müssen je Eintrag im konkreten Kontext geprüft werden.

Risiko: Ein breiter Domain-Scope kann den Cookie für weitere Subdomains verfügbar machen. Das kann funktional nötig sein, vergrößert bei sicherheitsrelevanten Cookies aber die Angriffs-/Fehlkonfigurationsfläche.

Empfehlung: Prüfen, ob der Cookie wirklich subdomainübergreifend benötigt wird; andernfalls Host-only-Cookie bevorzugen.

X-Content-Type-Options fehlt

Hinweis

Beobachtet: Kein X-Content-Type-Options: nosniff erkannt.

Risiko: Ohne nosniff kann MIME-Type-Sniffing in bestimmten Konstellationen unerwünschtes Verhalten begünstigen.

Empfehlung: X-Content-Type-Options: nosniff erwägen.

Zusätzliche technische Security-Signale

Die folgenden Details ergänzen die Befundkarten. Schlüsselwerte und sensible URL-Werte werden nicht ausgegeben; die Tabellen zeigen ausschließlich redigierte technische Signale.

Browser-API-Key-Signale

Anbieter	Parameter	Fundstelle	Beobachtung
Keine öffentlich sichtbaren Browser-API-Key-Signale aufgezeichnet.

Auffällige URL-Parameter

Zustand	URL	Parameternamen	Heuristische Klasse	Drittanbieter
Keine auffälligen URL-Parameternamen aufgezeichnet.

Neue Fenster ohne Opener-Schutz

Element	Ziel	rel	Linktext
Keine target=_blank-Elemente ohne noopener/noreferrer aufgezeichnet.

Secrets, Passwörter und mögliche Zugangsdaten – zeilenweise Fundstellen

Jeder Eintrag wird als eigener Befund mit Bezeichner, Script-Position und Zeile ausgegeben. Bezeichner wie Password / Passwort, Passphrase, Secret / Geheimnis, Token, Bearer-Token, API-Key oder Privater Schlüssel beschreiben das erkannte Feld bzw. Muster. Rohwerte werden aus Sicherheitsgründen weder gespeichert noch ausgegeben; der Wertauszug bleibt maskiert.

Befund-ID	Befund	Bezeichner	Script-Position	Zeile	Wertauszug	Beobachtungen	Zustände
Keine clientseitigen Secret- oder Kontaktadressensignale aufgezeichnet.

Kontextbewertung und Maßnahme

Öffentliche Kontaktadressen, Provider-Search-Keys, Tracking-IDs und tatsächliche Zugangsdaten werden nicht gleich behandelt. Rohwerte bleiben redigiert.

Befund-ID	Kontextklasse	Empfehlung
Keine kontextbezogenen Secret-Signale aufgezeichnet.

llms.txt – maschinenlesbarer Seitenhinweis

Die bekannte Datei wird nur per begrenztem GET auf dem Zielhost geprüft. Ihr Inhalt wird nicht in den Report übernommen; dokumentiert werden ausschließlich Status und technische Metadaten.

Merkmal	Beobachtung
Status	NOT_RECORDED
URL	https://<zielhost>/llms.txt
HTTP-Status	nicht aufgezeichnet
Content-Type	nicht aufgezeichnet
Zeilen / Zeichen	nicht ermittelt / nicht ermittelt

TLS-Verbindungsdaten

Merkmal	Beobachtung
Protokoll	Nicht aufgezeichnet
Zertifikat / Subject	Nicht aufgezeichnet
Aussteller	Nicht aufgezeichnet
Gültig bis	Nicht aufgezeichnet

Barrierefreiheit

GesamtstatusNicht angegeben

Prüfumfang: Automatisierte technische Vorprüfung auf Basis des passiven DOM-Snapshots. · Ziel: https://www.demo-report.de/

Technische Quelle: states[*].security.dom.accessibility

Ergebnis: 0 unauffällig · 0 Hinweis(e) · 22 nicht ermittelbar · 22 Prüfpunkte.

Prüfpunkt	Status	Beobachtung	Technische Referenz
Dokumentsprache	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 3.1.1
Seitentitel	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 2.4.2
Überschriftenstruktur	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 1.3.1, WCAG 2.4.6
Alternativtexte	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 1.1.1
Link-Namen	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 2.4.4
Button-Namen	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 4.1.2
Formularbeschriftungen	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 1.3.1, WCAG 3.3.2
IFrame-Titel	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 4.1.2
Landmarken	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 1.3.1
Tastatur-/Fokusgrundlage	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 2.1.1, WCAG 2.4.7
Farbkontrast	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 1.4.3, WCAG 1.4.11
Eingabezweck	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 1.3.5
Eindeutige IDs	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 1.3.1, WCAG 4.1.2
Sprung zum Inhalt	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 2.4.1
Tab-Reihenfolge	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 2.4.3
ARIA-Zustände	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 4.1.2
Statusmeldungen	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 4.1.3
Medien und Untertitel	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 1.2.2, WCAG 1.2.5, WCAG 1.4.2
Dialoge und Fokus	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 2.1.2, WCAG 4.1.2
Zielgröße	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 2.5.8
Passwort-Eingabe	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 3.3.8
Zoom und Reflow	Nicht ermittelbar	Im passiven DOM-Snapshot nicht aufgezeichnet.	WCAG 1.4.4, WCAG 1.4.10

Manuelle Anschlussprüfung

Kein verwertbarer DOM-Snapshot vorhanden; Seitenerfassung und interaktive Zustände manuell nachprüfen.

Technische und rechtliche Referenzen

W3C – Web Content Accessibility Guidelines (WCAG) 2.2 · Technische Referenz für wahrnehmbare, bedienbare, verständliche und robuste Webinhalte.
Gesetze im Internet – Barrierefreiheitsstärkungsgesetz · Anwendbarkeit hängt insbesondere von Dienst, Anbieter, Ausnahme und Einzelfall ab.
Gesetze im Internet – BITV 2.0 · Besonders für die Zugänglichkeit informationstechnischer Angebote öffentlicher Stellen relevant.
MLBF – Marktüberwachungsstelle der Länder · Gemeinsame Marktüberwachungsstelle für BFSG-relevante Produkte und Dienstleistungen.

Abgrenzung: Keine Konformität festgestellt oder verneint: Die technische Datengrundlage reicht für diese Vorprüfung nicht aus.

SITE COMPLIANCE

Portal und Impressum

Karriere- und Bewerbungsweg

Expliziter Karriere-/Bewerbungspfad erkannt; verlinkte Portal- und Rechtstexte werden getrennt bewertet.

Typ	Linktext	Ziel	Entdeckt auf	Konfidenz
Karriere-/Bewerbungspfad	Karriere (fiktiv)	https://www.demo-report.de/karriere	nicht angegeben	nicht angegeben
Karriere-/Bewerbungspfad	Bewerbungsportal (fiktiv)	https://bewerbung.demo-report.example/portal	nicht angegeben	nicht angegeben

Sichtbare Arbeitgeberidentität im Bewerbungsweg

Prüfung	Seite	URL	Technische Einbindung	Anbieterhinweis
Keine erreichbare Bewerbungsseite für die Identitätsprüfung erfasst.

Rechtstext-Abdeckung im Karriereweg

Mindestens ein erreichter Karriere-/Bewerbungspfad hat keine vollständige eigene Rechtstextabdeckung.

Bei einem konkreten Stellen- oder Bewerbungsziel werden Impressum und Datenschutz ausschließlich mit den direkt auf diesem Ziel erkannten Links und gelesenen Dokumenten korreliert. Nur Links im selben registrierbaren Root-Domain-Scope erfüllen die eigene Rechtstextabdeckung. Ein externer Anbieterlink, etwa zu Heroes, wird separat ausgewiesen und nicht als Arbeitgeber-Impressum gewertet. Ein Anbieterhinweis wie „Provided by …“ ist nur ein technisches Signal und kein Nachweis des rechtlichen Betreibers.

Prüfbereich	Status	Typ	Seitentitel	Seite	Eigenes Impressum	Datenschutz-Link	Externer Impressumslink	Impressum gelesen	Datenschutz gelesen	Arbeitgeber im Quelltext/DOM	Anbieterhinweis
Karriere-/Portalseite	nicht gefunden	CAREER_PAGE	Fiktives Portal	https://bewerbung.demo-report.example/portal	nein	nein	nein	nein	nein	nicht geprüft	kein Anbieterhinweis

Microsoft Bookings – gezielter Folgelauf

Explizit verlinkte Microsoft-Bookings-Ziele werden separat nachgeladen. Sie zählen weder als Bewerbungsportal noch automatisch als aktiver Tracking-Transfer. Rechtstexte des Zielsystems werden nur als eigene technische Quelle ausgewiesen.

Verlinktes Ziel	Weitergeleitete URL	HTTP	Seitentitel	Textzeichen	Rechtslinks	Ergebnis
Kein explizites Microsoft-Bookings-Ziel erkannt oder erreichbar.

Domain-Abgleich: Zielhost nicht angegeben · Root-Domain-Scope nicht bestimmt · Root-Domain bzw. kein Subdomain-Zusatz.

Externe Bewerbungs-Hosts werden als eigene technische Betreiber-/Dienstleisterquelle ausgewiesen und nicht automatisch der Hauptdomain zugerechnet.

Interne Seitenabdeckung

0 interne HTML-Seite(n) geprüft; Limit 25, fehlgeschlagen: 0. Der Crawl folgt ausschließlich demselben autorisierten Host und ersetzt keine vollständige Webarchivierung.

URL	HTTP	Textzeichen	Interne Links	Rechtslinks	Ergebnis
Keine intern verlinkten HTML-Seiten erfasst.

Eingebettete Bewerberportale

Host	HTTPS	Sensible Formulare	Eigene Rechtsquellen im IFrame	Direkter GET-Aufruf	Haupt-Datenschutz / Verweis	Entdeckt auf	Einordnung
Kein externes IFrame-Portal erkannt.

Prüfhinweise

IMP-002 · Anbieterkennzeichnung nicht eindeutig zuordenbar

Hinweis

Hoststruktur des Impressums weicht ab.

Kernnormen: § 5 DDG · Ergänzend: § 33 DDG · Mappingstatus: Manuelle Prüfung

Eingebettete Dienste

Host	Kategorie	Aktivität	HTTPS	Sensible Formulare	Datenschutztext / Verweis
Host nicht verifiziert (Rohwert im Evidence Package)	Analyse-/Messdienst	Aktiver Tracking-/Analyse-Transfer	Nicht ermittelt	0	nicht erkannt

„Externer Datenschutzverweis“ bedeutet: Der Host selbst wurde nicht mit einem eigenen Rechtstext-Link erkannt, die Seite verweist aber auf eine Datenschutzquelle eines anderen Hosts. Das ist nicht dasselbe wie ein fehlender Datenschutztext.

Aktivität bedeutet hier: Ein aktiver Tracking-/Analyse-Transfer wurde im Netzwerk beobachtet. Ein geladener Dienst, eine Consent-Komponente oder ein blockiertes Script ist dadurch nicht automatisch ein aktiver Tracking-Empfänger.

Zahlungsdienste und Bezahlstrecken

Hinweis: Zahlungsdienste werden im passiven Lauf nur anhand beobachteter externer Hosts oder IFrames technisch eingeordnet. Wenn im passiven Lauf kein Zahlungsdienst beobachtet wurde, bedeutet das nur „nicht beobachtet“ und nicht „nicht vorhanden“. Ein abgeschlossener Zahlungsvorgang und konkrete Zahlungs-Payloads werden nicht geprüft.

Weitere öffentliche Transparenz- und Technologieindizien

Native Erkennung (Primärquelle): CMS-, Framework- und Bibliotheksklassifikation stammt aus den eigenen passiven Treelogy-Regeln. Diese Ergebnisse bleiben für die technische Klassifikation maßgeblich. Wappalyzer-Ergänzung (Kandidaten): Magento 2.4.x, PayPal. Diese Shadow-Treffer werden separat gespeichert, nicht automatisch in die native Klassifikation übernommen und erst nach manueller Gegenprüfung als mögliche Ergänzung bewertet. Frontend-Indizien: Alpine.js (Hoch). CMS-Indizien: Magento (Mittel). Frontend-Bibliotheken: jQuery (1.11.2 · Wartungsprüfung erforderlich). Ein Bibliotheksfund ist ein technischer Hinweis und kein automatischer Sicherheitsverstoß.

Beobachtete externe Verbindungen/Hosts (1; 1 Konzern-/Betreibergruppen; nicht alle sind datenschutzrechtliche Empfänger): Host nicht verifiziert (Rohwert im Evidence Package)

Hostsignal nicht abschließend verifiziert; für die Einordnung wurde der Host der beobachteten URL bevorzugt: Host nicht verifiziert (Rohwert im Evidence Package)

Betreibergruppen-Aufschlüsselung: analytics.demo-report.example: Host nicht verifiziert (Rohwert im Evidence Package)

Analyse-/Messdienst (1): Host nicht verifiziert (Rohwert im Evidence Package)

1 relevanter Tracking-/Analyse-Transfer gegenüber 1 beobachtetem externen Host; Zählung aus dem repräsentativen Einzelzustand, Hosts aus dem Site-Compliance-Modul.

RECHTSCHECK

Rechtskontext

Automatischer RechtscheckHinweis Priorität 100 / 100

DEMO / FIKTIVE DATEN – keine Live-Prüfung, keine echte Behörde, keine echte Person und keine echte Meldung. Keine Rechtsberatung und keine echte Behördenbewertung.

Verifikationsstatus: DEMO_SIMULIERT. Die technische Befundstufe bleibt Hinweis; lediglich die aktuelle Live-Rechtsquelle konnte nicht vollständig verifiziert werden.

Ampel: Sehr hoch · Begründung: Hoher Prüfbedarf; 7 relevante Grundbefunde; 4 Risikofamilien; Familienkorrelation berücksichtigt; Unabhängigkeitsbonus +4 für 3 fachlich getrennte Gruppen; Manueller Prüfbedarf; Unsicherheit nicht als Risikobonus gewertet

DEMO-SYN-001 · Abweichende Verantwortlichenadresse

Erhöht

Thema: Das Thema beschreibt ein technisches Signal aus dem beobachteten Prüfpfad. Für eine belastbare Bewertung sind Originalquelle, Zweck, konkrete Verarbeitung, Abdeckung und – soweit erforderlich – die zuständige Fachstelle gemeinsam zu prüfen.

Rechtskontext: Kernnormen: Keine konkrete Normzuordnung · Mappingstatus: Keine konkrete Normzuordnung

Offener Prüfschritt: Technischen Befund im Original und im konkreten Verarbeitungskontext prüfen.