Wenn Sie ein GAS-Bußgeld oder eine Parkgebühr anfechten, zitiert PVResponse häufig technische Sicherheitsmängel der Behörden-Website, die das Bußgeld ausstellt — Dinge wie „kein HSTS-Header“ oder „Google Tag Manager lädt vor der Einwilligung“. Für viele Nutzer klingen diese Begriffe abstrakt. Diese Seite erklärt konkret, was nicht stimmt, wie ein Angreifer das ausnutzt und warum es Ihre Anfechtung stärkt.

Inhalt
  1. HTTPS und HSTS — warum jeder Verkehr verschlüsselt sein muss
  2. Content-Security-Policy — Barriere gegen Skript-Injektion
  3. Referrer-Policy — Leck von Akten-Daten über URLs
  4. Permissions-Policy — Kontrolle über Kamera, Mikrofon, Standort
  5. X-Frame-Options — Clickjacking
  6. X-Content-Type-Options — Missbrauch des MIME-Sniffings
  7. Drittanbieter-Tracker — Google Analytics, GTM, Facebook Pixel
  8. Schrems II und US-Übermittlungen
  9. Cookie-Einwilligung — Art. 129 GEK / ePrivacy
  10. Auftragsverarbeitungsverträge — Art. 28 DSGVO
  11. Veraltete Software — Drupal 7 ist EOL
  12. Geheimnisse im Browser — API-Tokens im HTML
  13. Wie sich das in Ihrer Anfechtung niederschlägt

1. HTTPS und HSTS — warum jeder Verkehr verschlüsselt sein muss

Wenn Sie ein Einspruchsformular auf einer Gemeinde-Website ausfüllen, wandern Ihre Daten (Kennzeichen, Name, Aktenzeichen) durch dutzende Zwischennetze, bevor sie den Server der Gemeinde erreichen. Ohne HTTPS (TLS-Verschlüsselung) kann jede Zwischenstation — der Café-Hotspot, der Router eines ISP oder ein Angreifer im selben WLAN — die Daten mitlesen oder manipulieren.

HTTPS allein genügt nicht: Ein Angreifer kann die erste Verbindung abfangen und den Nutzer auf http:// zurückzwingen (sog. SSL-Stripping). HSTS (Strict-Transport-Security) löst das: Der Server sagt dem Browser „komm die nächsten 1–2 Jahre nur noch über HTTPS“.

User browser Attacker open Wi-Fi Server gemeente http:// https:// Without HSTS the attacker can strip the HTTPS layer
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
Was kann schiefgehen? Ohne HSTS kann ein Angreifer in einem gemeinsam genutzten WLAN Ihr Kennzeichen, Ihre PV-Referenz und den Einspruchstext abfangen, bevor diese die Gemeinde erreichen.
Für Ihre Anfechtung Artikel 32 DSGVO verpflichtet eine öffentliche Plattform zu „geeigneten technischen Maßnahmen“. Der HSTS-Header existiert seit 2012 (RFC 6797) und ist kostenfrei konfigurierbar. Sein Fehlen ist ein nachweisbarer Verstoß gegen den Stand der Technik.
Rechtsgrundlage: Art. 32

2. Content-Security-Policy — Barriere gegen Skript-Injektion

Eine Content-Security-Policy (CSP) teilt dem Browser mit, welche Skripte, Stylesheets und Bilder aus welchen Quellen geladen werden dürfen. Ohne CSP darf jedes Skript jedes Servers ausgeführt werden — ein Angreifer, der einmal eine Cross-Site-Scripting-Lücke ausnutzt, kann frei Skripte von seinem eigenen Server laden.

Eine gute CSP wendet default-deny an: Alles, was nicht ausdrücklich erlaubt ist, wird blockiert.

Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-RaNd0m'; style-src 'self'; img-src 'self' data:; frame-ancestors 'self'; object-src 'none'; base-uri 'self'
Was kann schiefgehen? Ohne CSP genügt eine einzige Cross-Site-Scripting-Lücke, um das komplette Einspruchsformular zu kompromittieren. Ein Angreifer kann Ihren Einspruchstext vor dem Absenden ändern oder Sie auf eine gefälschte Zahlungsseite umleiten.
Für Ihre Anfechtung Die DSB erwartet von öffentlichen Plattformen, die Einsprüche entgegennehmen, „geeignete technische Maßnahmen“ (Art. 32 DSGVO). CSP ist seit 2012 Webstandard, in jedem modernen Webserver verfügbar und erfordert nur Konfigurationsaufwand.
Rechtsgrundlage: Art. 32

3. Referrer-Policy — Leck von Akten-Daten über URLs

Ihr Browser sendet standardmäßig die vollständige URL der vorherigen Seite als Referer-Header. Problematisch, wenn die URL sensible Daten enthält — PV-Referenz, Token, Kennzeichen. gemeinde.be/einspruch?pv=20241234&kfz=1-ABC-123 wird dann im Klartext an jedes externe Skript übermittelt.

// Only send the domain, never the path or parameters Referrer-Policy: strict-origin-when-cross-origin
Was kann schiefgehen? Mit dem Standardwert no-referrer-when-downgrade werden Ihre PV-Nummer und Ihr Kennzeichen für jeden Drittanbieter auf der Seite sichtbar. Direkte Übermittlung personenbezogener Daten an (meist) US-Verarbeiter.
Für Ihre Anfechtung Dies verletzt sowohl Artikel 5(1)(c) DSGVO (Datenminimierung) als auch Artikel 32 DSGVO (unzureichende technische Maßnahmen).
Rechtsgrundlage: Art. 5(1)(c) + Art. 32

4. Permissions-Policy — Kontrolle über Kamera, Mikrofon, Standort

Der Permissions-Policy-Header (früher Feature-Policy) lässt den Server bestimmen, welche Sensor-Rechte (Kamera, Mikrofon, GPS) die Seite überhaupt anfragen darf. Für ein Einspruchsformular gibt es keinen legitimen Grund.

Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()
Was kann schiefgehen? Wird ein Drittanbieter-Skript kompromittiert, kann es Zugriff auf Kamera oder Mikrofon anfragen, den Nutzer versehentlich gewähren.
Für Ihre Anfechtung Art. 32 DSGVO erfordert eine proaktive Sicherheitshaltung; die explizite Einschränkung des Sensorzugriffs ist seit 2018 Standard.
Rechtsgrundlage: Art. 32

5. X-Frame-Options — Schutz vor Clickjacking

Clickjacking ist eine Angriffstechnik, bei der die legitime Gemeindeseite in einem unsichtbaren Iframe auf einer Angreiferseite geladen wird. Der Nutzer klickt, was nach einem Spiel aussieht, aber der Klick wird an den versteckten Iframe weitergereicht — etwa auf eine Schaltfläche „Meinen Einspruch zurückziehen“.

X-Frame-Options: SAMEORIGIN // modern alternative, inside CSP Content-Security-Policy: frame-ancestors 'self'
Für Ihre Anfechtung Bietet die Gemeinde eine Rückzugs-Schaltfläche ohne Frame-Schutz, kann ein Angreifer via Phishing-Seite Einsprüche zurücknehmen lassen oder unbeabsichtigte Zahlungen auslösen.
Rechtsgrundlage: Art. 32

6. X-Content-Type-Options — Missbrauch des MIME-Sniffings

Browser versuchen manchmal zu „raten“, welchen Typ eine Datei hat. Angreifer nutzen das aus: Sie laden ein scheinbar harmloses Bild hoch, das dann als JavaScript interpretiert wird. Der Einzeiler X-Content-Type-Options: nosniff schaltet das Raten ab.

X-Content-Type-Options: nosniff
Für Ihre Anfechtung Fehlt dieser Header auf einer Seite mit Upload-Funktion (Anhänge, Fotos), ist das eine nachweisbare Lücke. Keine Kostenbarriere kann das Fehlen erklären.
Rechtsgrundlage: Art. 32

7. Drittanbieter-Tracker — Google Analytics, GTM, Facebook Pixel

Viele Gemeindewebsites laden — oft ohne das Wissen des Administrators — Skripte großer US-Technologie­unternehmen. Google Tag Manager ist an sich kein Tracker, sondern ein Lader anderer Tracker; einmal aktiv, kann er asynchron Google Analytics, Facebook Pixel, LinkedIn Insight Tag und manchmal Dutzende andere Dinge laden.

Jedes Skript erhält Zugriff auf Ihre IP, Browserversion, OS, URL und Event-Parameter. Mit Facebook Pixel werden Besuche mit Ihrem Facebook-Konto verknüpft, wenn Sie jemals angemeldet waren.

Browser opens page Municipal server serves HTML + scripts HTTP Google Analytics IP, URL, cookie-ID Facebook Pixel + Facebook-ID Google Tag Manager loads more trackers Google Fonts IP + font choice Four different US companies receive your visit before you type anything
Was kann schiefgehen? Ihre IP und Ihr Browser-Fingerabdruck werden damit verknüpft, dass Sie eine Einspruchsseite besucht haben. Über GA und Pixel kann das Werbeprofile anreichern — für Menschen in prekären Situationen ein reales Risiko.
Für Ihre Anfechtung Die DSB urteilt, dass das Laden von GA/GTM/Pixel vor der Einwilligung gegen Art. 129 GEK verstößt. Für Behördenseiten gibt es keine gültige Rechtsgrundlage für Marketing-Analytik.
Rechtsgrundlage: Art. 129 + Art. 6 + Ch. V

8. Schrems II und US-Übermittlungen

Der EuGH hat im Juli 2020 (Urteil Schrems II, C-311/18) das EU-US-Privacy-Shield für ungültig erklärt. US-Nachrichtendienste haben zu weitreichende Befugnisse zur Erfassung von EU-Daten; europäische Bürger haben in den USA keine wirksamen Rechtsmittel.

Jede Übermittlung — via GA, Pixel, Google Fonts, AWS — ist grundsätzlich unrechtmäßig, außer es gibt Zusatzgarantien (SCC, Transfer-Folgenabschätzung, Verschlüsselung).

Für Ihre Anfechtung Eines der stärksten Argumente. Findet das Audit GA/GTM/Pixel/Fonts und nennt die Datenschutzerklärung keine SCC, ist die gesamte Verarbeitungskette unrechtmäßig und die Sanktion kann für nichtig erklärt werden.
Rechtsgrundlage: Ch. V

9. Cookie-Einwilligung — Art. 129 GEK / ePrivacy

Die ePrivacy-Richtlinie (in Belgien über Art. 129 GEK) verlangt eine vorherige und ausdrückliche Einwilligung für jeden nicht notwendigen Tracker. „Vorherig“ bedeutet: bevor der Browser den Tracker lädt. In der Praxis laden viele Seiten GA und Pixel sofort und zeigen erst dann das Cookie-Banner — der Schaden ist schon angerichtet.

Für Ihre Anfechtung Die DSB verlangt eine „Alles ablehnen“-Schaltfläche gleichrangig zu „Alles akzeptieren“. Ein großer grüner „Akzeptieren“-Button mit einem versteckten Einstellungen-Link, wo „Ablehnen“ erst nach drei Klicks erreichbar ist, ist ein Dark Pattern (DSB 56/2026 Dilbeek).
Rechtsgrundlage: Art. 129 + GBA 56/2026

10. Auftragsverarbeitungsverträge — Art. 28 DSGVO

Jeder externe Dienst, den eine Gemeinde nutzt (ANPR-Kameralieferant, Inkassobüro, Hoster), erfordert einen schriftlichen AV-Vertrag vor der ersten Verarbeitung. Die DSB ist streng: Ein rückwirkend unterzeichneter AV kann frühere Verarbeitungen nicht heilen (DSB 56/2026 Dilbeek).

Für Ihre Anfechtung Fordern Sie ausdrücklich den AV-Vertrag mit jedem Auftragsverarbeiter. Bei vielen Gemeinden fehlt mindestens einer. Ohne AV ist die Verarbeitung unrechtmäßig, unabhängig von der sachlichen Richtigkeit des Bußgelds.
Rechtsgrundlage: Art. 28(3) + GBA 56/2026

11. Veraltete Software — Drupal 7 ist EOL

Drupal 7 hat am 5. Januar 2025 sein End-of-Life erreicht. Keine Sicherheitsupdates mehr. Jede nach diesem Datum veröffentlichte Sicherheitslücke bleibt dauerhaft offen. Mehrere belgische Behördenseiten laufen (April 2026) noch auf Drupal 7.

Für Ihre Anfechtung Fordern Sie den Nachweis, dass die Seite auf einem unterstützten CMS läuft (Art. 32 DSGVO). Eine schriftliche DSFA sollte dies dokumentieren; fehlt sie, kommt ein Verstoß gegen Art. 35 DSGVO hinzu.
Rechtsgrundlage: Art. 32 + Art. 35

12. Geheimnisse im Browser — API-Tokens im HTML

Manchmal entdeckt unser Audit ein API-Token direkt im HTML (Mapbox, Google Maps, CRM-Schlüssel). Alles im HTML ist für jeden Seitenbesucher sichtbar. Ein Angreifer kann das Token übernehmen und das Konto der Gemeinde belasten.

Für Ihre Anfechtung Zeigt größere Sorglosigkeit: Kann die Gemeinde ihre eigenen Tokens nicht schützen, gibt es wenig Grund zu glauben, dass sie Ihre Daten besser schützt.
Rechtsgrundlage: Art. 32

13. Wie sich das in Ihrer Anfechtung niederschlägt

Jede der obigen Feststellungen ist ein Datenpunkt. Wir kombinieren sie zu vier zusammenhängenden Argumentationslinien:

a. Unrechtmäßige Beweiserhebung

Hat die Gemeinde Ihre Daten über ungeeignete Mittel verarbeitet, ist die zugrundeliegende Beweiskette rechtlich fehlerhaft. Dass Sie das Bußgeld erhalten haben, ändert nichts an der Unrechtmäßigkeit der Erhebung.

b. Fehlen einer Rechtsgrundlage

Für Marketing-Analytik auf einer Behördenseite gibt es keine Rechtsgrundlage. Ohne gültige Grundlage ist die Verarbeitung unrechtmäßig und die Sanktion nichtig.

c. Verstöße gegen Kapitel V (US-Übermittlungen)

Jede GA-/Pixel-/Fonts-Integration ohne Transfer-Folgenabschätzung ist ein Verstoß gegen Art. 44–49 DSGVO. Ausreichend für eine Beschwerde bei der DSB.

d. Fehlende Sicherheitsmaßnahmen

Eine Häufung kleiner Mängel zeigt, dass die Gemeinde keinen systematischen Sicherheitsansatz hat. Stärkt die Argumente (a) und (c).

Was tun wir für Sie? Wenn Sie via PVResponse Ihre Anfechtung erstellen, fügen wir automatisch eine Auswahl dieser Argumente hinzu, zugeschnitten auf Ihre spezifische Gemeinde. Die Audit-Daten sind öffentlich und via DevTools Ihres Browsers prüfbar.

Fragen oder Feedback?

Kontaktieren Sie uns über unsere Kontaktseite. Für die juristischen Verweise siehe unsere DSB & DSGVO-Seite.