Website gehackt · Datenschutz
Website gehackt: Meldepflicht nach DSGVO
Nicht jeder Hack ist eine Datenpanne. Aber sobald personenbezogene Daten betroffen sein könnten, läuft eine Frist von 72 Stunden. Was zu prüfen ist und was in die Meldung gehört.
Die Regel
Wann gemeldet werden muss
Nach Art. 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde gemeldet werden, möglichst binnen 72 Stunden, nachdem sie bekannt wurde. Eine Meldung entfällt nur, wenn die Verletzung voraussichtlich zu keinem Risiko für die betroffenen Personen führt. Besteht ein hohes Risiko, müssen nach Art. 34 DSGVO auch die Betroffenen selbst informiert werden. In Baden-Württemberg ist der Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) zuständig, die Meldung geht online.
Die Frist beginnt nicht erst, wenn alles aufgeklärt ist. Eine Meldung kann in Schritten erfolgen: erst das, was bekannt ist, dann Ergänzungen. Ob eine Meldung nötig ist, und die Begründung, wenn nicht, sollte schriftlich festgehalten werden.
Diese Seite ersetzt keine Rechtsberatung. Bei Unsicherheit binden Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten früh ein.
Prüfen
Wo auf Websites personenbezogene Daten liegen
Kontaktformulare
Viele Formular-Plugins speichern jede Anfrage zusätzlich in der Datenbank, mit Name, E-Mail, Telefon und Nachricht, oft über Jahre.
Kundenkonten und Shop
Adressen, Bestellungen, gegebenenfalls Zahlungsdaten. Eingeschleuste Skripte im Bestellprozess lesen Eingaben direkt mit.
Newsletter und Bewerbungen
Abonnentenlisten, hochgeladene Lebensläufe und Zeugnisse im Upload-Ordner, Bewerbungsformulare.
Benutzer der Website
Redaktions- und Mitgliederkonten mit E-Mail-Adressen und Passwort-Hashes.
Protokolle
Server- und Plugin-Protokolle mit IP-Adressen. Für sich genommen meist geringes Risiko, aber Teil der Bewertung.
E-Mail-Postfächer
Wurden die Zugangsdaten der Domain-Postfächer abgegriffen, sind alle Mails darin betroffen. Deshalb gehören sie zu den ersten Passwörtern, die geändert werden.
Inhalt der Meldung
Was in die Meldung gehört
- Was ist passiert? Art des Vorfalls, Zeitpunkt, wann er bemerkt wurde.
- Welche Daten und wie viele Personen? Kategorien und ungefähre Zahl, auch wenn sie noch geschätzt ist.
- Welche Folgen sind wahrscheinlich? Etwa Spam oder Phishing an die betroffenen Adressen, Missbrauch von Zugangsdaten.
- Was wurde unternommen? Seite offline genommen, Zugänge geändert, Lücke geschlossen, Betroffene informiert.
- Wer ist Ansprechpartner? Name und Kontakt, in der Regel die oder der Datenschutzbeauftragte.
Für die Fragen 1, 2 und 4 brauchen Sie eine technische Analyse: Wann begann der Angriff, worauf hatte der Angreifer Zugriff, was wurde verändert. Diese Unterlagen erstellen wir bei der Bereinigung mit.
Vorbeugen
Weniger Daten, weniger Risiko
Die einfachste Vorsorge ist, auf der Website keine Daten zu speichern, die dort nicht gebraucht werden. Kontaktanfragen müssen nicht in der Website-Datenbank liegen, wenn sie ohnehin per E-Mail ankommen. Websites, die mit Phönix neu aufgebaut sind, haben keine Datenbank: Formulare werden direkt zugestellt und nicht auf dem Webserver gesammelt. Wird eine solche Seite angegriffen, gibt es dort deutlich weniger zu holen.
Soforthilfe
Website gehackt? Wir helfen sofort.
- Erste Einschätzung am Telefon: was jetzt zu tun ist und was warten kann
- Schadcode entfernen, Einfallstor finden und schließen
- Passwörter, Zugänge und Backups prüfen
- Google-Warnung entfernen lassen, Hoster-Sperre aufheben
- Unterlagen für die Datenschutzprüfung, falls Daten betroffen sein könnten
Danach
Aufräumen oder neu aufbauen?
Aufräumen hilft heute. Wenn die Website aber auf einem CMS mit vielen Plugins läuft, bleibt das Risiko beim nächsten verpassten Update dasselbe. Mit Phönix bauen wir die bestehende Website ohne CMS, Datenbank und Plugins neu auf: Inhalte und Adressen bleiben, gepflegt wird per Chat, Pflichtupdates gibt es nicht mehr.
Das macht eine Website nicht unangreifbar, aber die Angriffsfläche wird sehr viel kleiner.
Weiterlesen