Zwei Wege durch denselben Vorfall.
Ohne Doppelgänger
- 1
Monate vorher
Eine Erweiterung im Shop ist veraltet, ihre Lücke öffentlich bekannt.
- 2
Einbruch
Angreifer schleusen ein Skript in die Kassenseite ein, das Zahlungsdaten an einen fremden Server schickt.
- 3
3 bis 6 Wochen
Bei der Bank häufen sich Betrugsfälle mit derselben Gemeinsamkeit: Ihr Shop.
- 4
72 Stunden
Meldung an die Datenschutzaufsicht (Art. 33 DSGVO), Information der Betroffenen (Art. 34), Forensik, Gespräche mit dem Zahlungsanbieter.
- 5
Bußgeldrisiko
Die niedersächsische Datenschutzbehörde verhängte 2020 gegen ein Unternehmen 65.500 €, allein wegen veralteter Shop-Software.
Kunden, die ihre Karte sperren lassen mussten, kaufen selten wieder.
Mit Doppelgänger
- 1
Monatlich
Die Plugin-Inventur erkennt die veraltete Erweiterung, das Update wird monatlich auf der Kopie bis zur Kasse getestet und eingespielt.
- 2
Jede Nacht
Veränderte Dateien fallen beim nächtlichen Dateiabgleich auf. Über die Datenbank eingeschleuste Skripte sind schwerer zu erkennen, deshalb zählt hier vor allem das schnelle Schließen der Lücke.
- 3
Immer
Kundendaten auf der Kopie sind anonymisiert, ein Testsystem wird nie selbst zur Datenquelle.
Für die Datenschutz-Grundverordnung ist eine ungepflegte Website kein Schönheitsfehler. Sie verlangt Sicherheit nach dem Stand der Technik, auch von kleinen Unternehmen.
Was der Vorfall kostet.
Weitere Fallbeispiele
Die volle Festplatte
Zwei Tage lang nahm der Shop keine Bestellungen an. Die Festplatte war voll, gemerkt hat es niemand.
Der Hoster stellt um
Der Hoster hob die PHP-Version an. Drei Tage lang sah die Startseite leer aus.
Die Kasse, die nur manchmal kaputt ist
Im Großkunden-Shop ging drei Wochen lang kein Kauf auf Rechnung durch. Der Hauptshop lief einwandfrei.
Typischer Verlauf, zusammengesetzt aus realen Vorfällen. Zahlen sind Beispielrechnungen mit den genannten Annahmen.