Hallo Andi,

vorab: möglicherweise passt die Zeilennummer aus dem Beitrag von candleman nicht.

Mit scheint, dass auch das Problem nicht kompatibel ist. Bei candleman fehlte doch offensichtlich der Token. Soweit ich Deine URI sehe

Der Query-String den mein Browser anzeigt:
https://xxx.de/index.php?mode=posting&delete_posting=169462&csrf_token=6432aa163870b5.99373782&back=entry
[...]
dass in der posting.inc.php der $_REQUEST['csrf_token'] scheinbar nicht gesetzt ist.

ist dieser bei Dir vorhanden. Insofern erscheint mir das Problem nicht vergleichbar. Du kannst Dir in der PHP-Datei ja gern eine temporäre Ausgabe machen direkt hinter der if-Bedingung:

var_dump($_REQUEST);
exit;

sodass Du den Inhalt von $_REQUEST prüfen kannst.

Viele Grüße
Micha