DSGVO-Wächter schreibt beim Aufruf einer eigenen Seite mit, welche Drittanbieter kontaktiert werden, welche Cookies und Storage-Einträge entstehen und welche Security-Header fehlen – jeweils mit dem Zeitversatz zum Seitenstart. Gedacht als Regressionstest vor jedem Deploy.
Ein Consent-Banner ist eingebaut, die Datenschutzerklärung steht, das Analytics-Snippet wurde entfernt. Trotzdem lädt beim Seitenaufruf noch etwas nach – ein eingebettetes Video, eine Schriftart vom CDN, ein Skript aus einem alten Theme. Im Quelltext sieht man das nicht zuverlässig, im Netzwerk-Tab geht es zwischen hundert Zeilen unter.
DSGVO-Wächter beantwortet genau eine Frage: Was passiert tatsächlich, wenn jemand die Seite zum ersten Mal aufruft? Der wichtigste Wert im Report ist der Zeitversatz – lädt ein Dienst nach 180 ms, kann keine Einwilligung vorgelegen haben.
Adresse eintragen, Beobachtungsdauer wählen, starten. Den Rest übernimmt die Erweiterung.
Der Tab wird ans DevTools-Protokoll gehängt, HTTP-Cache und Service Worker werden abgeschaltet – sonst beantwortet bei einer PWA der eigene Service Worker alles aus dem Cache.
Auf Wunsch werden die Cookies der Domain vorher gelöscht. Nur wenn du es ankreuzt – sonst bleibt alles, wie es ist.
Die Seite wird geladen und jeder Request mit seinem Zeitversatz zum Seitenstart protokolliert.
Nach der Beobachtungsdauer werden localStorage, sessionStorage, Cookies, Links und Consent-Elemente ausgelesen.
Das Ergebnis öffnet sich als eigene Seite und lässt sich als Markdown kopieren oder speichern. Die letzten 20 Läufe bleiben lokal erhalten.
Fünf Bereiche, die zusammen das Bild ergeben – vom ersten Request bis zur Pflichtangabe im Footer.
Jede kontaktierte Fremd-Domain mit Dienst, Anzahl der Requests, Typ und erstem Kontakt in Millisekunden.
Cookies, localStorage und sessionStorage – inklusive der Einträge, die ohne Cookie-Banner gesetzt werden und trotzdem unter § 25 TDDDG fallen.
Content-Security-Policy, HSTS, X-Content-Type-Options, Referrer-Policy, Clickjacking-Schutz und Permissions-Policy – jeweils mit dem Wert, der fehlt.
Startet ein einwilligungspflichtiger Dienst, ohne dass ein Einwilligungsdialog gefunden wurde, ist das der schwerste Befund im Report.
Prüft, ob Impressum und Datenschutzerklärung von der geprüften Seite aus verlinkt sind.
Das Ergebnis lässt sich als Markdown kopieren oder als Datei speichern – für Tickets, Übergaben oder die eigene Dokumentation.
Jeder Befund bekommt eine Stufe. Die Gesamtbewertung entspricht dem schwersten gefundenen Einzelbefund.
| Stufe | Bedeutung |
|---|---|
| kritisch | Ohne Einwilligung rechtswidrig, oder eine Pflichtangabe fehlt |
| hoch | Rechtlich angreifbar, Umbau nötig |
| mittel | Sollte behoben werden – Security oder Transparenz |
| hinweis | Dokumentationspflicht oder Optimierung |
| ok | Erkannt, unkritisch |
Neue Dienste lassen sich über eine einzelne Datei ergänzen – ein Eintrag pro Dienst mit Muster, Stufe und Hinweistext.
Ein Prüfwerkzeug ist nur brauchbar, wenn klar ist, wo es aufhört. Diese vier Punkte gehören dazu.
Geprüft wird ein einzelner Aufruf. Tracker, die erst nach einem Klick auf „Alle akzeptieren" laden, tauchen bewusst nicht auf – genau das ist der gewünschte Zustand.
Während der Prüfung meldet Chrome „wird von einem Debugger gesteuert". Das ist die Erfassung selbst, kein Fehler.
Die Zuordnung von Host zu Domain nutzt eine gekürzte Public-Suffix-Liste, nicht die vollständige. In Randfällen kann eine Domain falsch gruppiert werden.
Der Report zeigt technische Tatsachen und ordnet sie nach gängiger Praxis ein. Ob ein Befund im konkreten Fall rechtswidrig ist, entscheidet er nicht.
Die Erweiterung läuft vollständig lokal in deinem Browser. Es gibt keinen Server, kein Konto und keine Datenübertragung an uns.
Schreib uns kurz – wir melden uns mit den Details zum DSGVO-Wächter zurück.