Prüfregel · RSC-PRV-023
Liste von E-Mail-Adressen öffentlich im Markup
Zählt verschiedene E-Mail-Adressen im ausgelieferten HTML der Startseite und der entdeckten Unterseiten und meldet ab zehn — das sieht nach einer öffentlich gerenderten Mitglieder- oder Kundenliste aus.
Warum das zählt
Eine Handvoll Adressen im Impressum oder auf der Kontaktseite ist normal. Zehn und mehr verschiedene Adressen auf einer Seite sind selten Betreiber-Kontakte — meist ist es eine Mitglieder-, Teilnehmer- oder Kundenliste, die eine Anwendung ohne Anmeldung rendert, weil der Zugriffsschutz nur im Menü, nicht auf der Route sitzt.
Jeder Crawler sammelt diese Adressen ein. Für die Betroffenen heißt das Spam und Phishing, für den Betreiber eine Offenlegung personenbezogener Daten ohne erkennbare Rechtsgrundlage — und die Frage, warum die Seite überhaupt öffentlich ist. Rollenadressen des Betreibers (info@, kontakt@) sind unproblematisch; was zählt, ist die Zahl.
Selbst nachprüfen: Die genannte Seite im privaten Fenster öffnen, Quelltext anzeigen und nach `@` suchen. Der Nachweis nennt zwei Beispiele maskiert — der Report darf nicht selbst zur Liste werden.
Prüfstufe
So behebt ihr es
Listen mit Personendaten hinter eine Anmeldung legen oder die Adressen entfernen; wo eine Veröffentlichung gewollt ist, die Einwilligung der Betroffenen dokumentieren.