Mal abgesehen davon, dass Sie bestimmt nicht prüfen ob Google seine Scripte ändert und sich die Benutzer-Eingaben (IBAN, Verwendungszweck, TAN, PIN...) in alle Felder zuschicken lässt. Was ohne Probleme mit wenigen Zeilen JavaScript möglich wäre. Und wo wir dabei sind. Das sieht auch nach Google Tag Manager aus. Was wird denn da noch an Fremdcode eingebunden, der vermutlich nicht kontrolliert wird?

Wäre wohl Zeit jetzt mal die Revision und Vorstand zu informieren, dass da ein Risiko signifikant falsch eingepreist wurde.