TYPO3 Sicherheits- und Datenschutzaudit

Abmahn- und Hacker-Risiken für Website-Betreiber

Mit den strengen Auflagen der Datenschutzgrundverordnung (DSGVO) und den damit verbundenen möglichen Abmahnungen durch Verbraucherschützer und Datenschutzbehörden wachsen in Organisationen finanzielle und rechtliche Risiken. 

Wichtiger Bestandteil der DSGVO - und leider die Hauptursache für potentiellen Ärger - ist die Zustimmungspflicht ("consent") zur Weitergabe persönlicher Daten von Webseiten-Besucher. Sie umfasst viel mehr als nur Tracking-Cookies von googleAnalytics. Laut DSGVO gehört die IP-Adresse des Webseiten-Besuchers zu den persönlichen Daten. Diese Adresse ist aber zwingend erforderlich, um mit einem anderen System zu kommunizieren. Konkret heißt das:

Jeder Zugriff innerhalb einer Webseite auf einen Server, der nicht dem Webserver entspricht, ist zustimmungspflichtig. 

Das betrifft neben den berüchtigten Tracking-Tools z.B.:

• das Einbinden von Schriftarten von externen Servern
• das Einbinden von externen Karten (z.B. GoogleMaps)
• das Einbinden von externen Videos (auch ohne Cookies!)
• das Einbetten von Social Media Beiträgen (nicht zu verwechseln mit der bloßen Verlinkung)
• das Einbinden von Fremdinhalten über einen iframe ( Wetter, Immobilienangebote, usw.)
• das Lead-Tracking mit Google Ads
• die Nutzung von Content Delivery Networks (CDNs) zur Beschleunigug von Webseiten
• das Einbinden von externen CAPTCHA-Funktionen als SPAM-Schutz
• die Nutzung externer JavaScript- und CSS-Ressourcen (ebenfalls aus Performance-Gründen)
• usw.

Besonders pikant: Für die Nutzung eines externen Cookie-Banner-Tools bedarf nach dieser Definition ebenfalls der vorherigen Zustimmung, womit sich wohl die "Katze in den Schwanz beißt". 

Was viele auch vergessen, ist die Nennung von Namen, Zweck und rechtliche Grundlage von externen Diensten/Ressourcen in der Datenschutzerklärung.

Hiweis zur Maskierung von IP-Adressen

Die vielzitierte Maskierung von IP-Adressen (indem man z.B. in Logfiles die letzten beiden Zahlen "durchixxt": 88.57.x.x) ist genau genommen ein "Scheinschutz" ist. Der Zielserver muss die komplette Adresse kennen. Die Maskierung bzw. komplette Löschung dient lediglich dem späteren Schutz vor Mißbrauch durch Unbefugte. Auf jeden Fall reicht es nicht, wenn der Betreiber eines externen Dienstes zusichert, dass die IP-Adressen maskiert werden.