Die kurze Antwort
Ja, Updates sind für Website- und Shop-Betreiber eine rechtliche Pflicht, auch wenn das Wort „Update“ in keinem Gesetz steht. Art. 32 der Datenschutz-Grundverordnung verlangt, personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen zu schützen, unter Berücksichtigung des Stands der Technik.
Eine feste Frist in Tagen nennt das Gesetz nicht. Gemessen wird am Risiko: Was angemessen ist, hängt davon ab, welche Daten Sie verarbeiten und wie wahrscheinlich und schwer ein Schaden wäre.
Eine Website, die bekannte Sicherheitslücken über Wochen offen lässt, erfüllt den Maßstab der DSGVO schwer. Zeitnahe, getestete Updates gehören zur Sicherheit, die das Gesetz verlangt.
Für wen das gilt
Art. 32 gilt für jeden, der personenbezogene Daten verarbeitet, unabhängig von der Unternehmensgröße, und für Dienstleister, die das in Ihrem Auftrag tun. Auf einer Website reicht dafür wenig:
Kontaktformular
Name und E-Mail-Adresse genügen.
Online-Shop
Kundenkonten, Bestellungen, Adressen.
Newsletter
Jede Anmeldung ist ein personenbezogenes Datum.
Login
Für Kunden, Mitglieder oder Mitarbeiter.
Das trifft auf die allermeisten Firmenwebsites zu.
Was „Stand der Technik“ praktisch heißt
Art. 32 Abs. 1 DSGVO zählt beispielhaft auf, was zu den Maßnahmen gehört.
- aPseudonymisierung und Verschlüsselung personenbezogener Daten
- bVertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherstellen
- cDaten nach einem Zwischenfall rasch wiederherstellen können
- dEin Verfahren zur regelmäßigen Überprüfung, ob die Maßnahmen wirken
Für eine Website heißt das in der Praxis
- 01
Updates zeitnah und getestet
Sicherheitsupdates für Core, Plugins, Themes und Erweiterungen kommen zügig auf die Website, am besten nach einem Test auf einer Kopie.
- 02
HTTPS
Formulare, Logins und der Checkout laufen verschlüsselt.
- 03
Zugänge und Rechte
Persönliche Konten, starke Passwörter, wo möglich ein zweiter Faktor, Administratorrechte nur für die, die sie brauchen. Alte Konten werden gelöscht.
- 04
Backups
Regelmäßige Sicherungen, getrennt von der Website gespeichert, und eine Wiederherstellung, die tatsächlich funktioniert.
- 05
Regelmäßige Überprüfung
In festen Abständen prüfen, ob Updates eingespielt sind, ob unbekannte Dateien oder Konten auftauchen und ob die Backups vollständig sind, und das festhalten.
Diese Liste ist meine Übersetzung des Gesetzes für Websites, keine abschließende Vorgabe. Ein Shop mit Kundenkonten braucht mehr als eine Visitenkarte mit Kontaktformular.
Was die Aufsichtsbehörden sagen
Am deutlichsten hat es das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) formuliert, in einem Informationsblatt zu seinen Onlineprüfungen von Websites (Februar 2018, kurz bevor die DSGVO galt):
Gesetzliche Anforderung
Patch Management, also das Beschaffen, Testen und Einspielen wichtiger Updates, sei „aus datenschutzrechtlicher Sicht eine gesetzliche Anforderung“.
Auch für Website-Betreiber
Verantwortliche, „d. h. auch Webseitenbetreiber“, müssten ein Verfahren etablieren, um regelmäßig zu überprüfen, ob ihre Maßnahmen wirksam sind.
Zeitnah einspielen
Sicherheitspatches seien zeitnah einzuspielen, denn zwischen dem Bekanntwerden einer Lücke und ihrer Ausnutzung könnten nur wenige Stunden liegen.
Plugins und Themes
Nicht nur das CMS selbst, auch Plugins und Themes brauchen ein ebenso konsequentes Patch Management.
Als Tipps nennt das BayLDA regelmäßige Backups, einen abgesicherten Admin-Bereich, Sicherheitspatches, eingeschränkte Benutzerrechte und einen verschlüsselten Login, gegebenenfalls mit zweitem Faktor.
65.500 Euro für veraltete Shop-Software
Im Tätigkeitsbericht 2020 beschreibt die Landesbeauftragte für den Datenschutz Niedersachsen genau so einen Fall.
Bußgeld wegen eines Verstoßes gegen Art. 32 Abs. 1 DSGVO, festgesetzt von der Datenschutzaufsicht Niedersachsen
LfD Niedersachsen, Tätigkeitsbericht 2020, S. 97 f.- Anlass
- Eine Meldung über eine Datenpanne nach Art. 33 DSGVO. Die Behörde prüfte daraufhin die Website.
- Befund
- Shop-Software xt:Commerce in einer Version, die seit spätestens 2014 keine Sicherheitsupdates mehr bekam, mit Lücken für SQL-Injection. Passwörter ließen sich schnell zurückrechnen.
- Ergebnis
- Verstoß gegen Art. 32 Abs. 1 DSGVO, Bußgeld von 65.500 Euro, vom Unternehmen akzeptiert.
Die Begründung der Behörde lässt sich auf jede Website übertragen: Regelmäßig genüge bereits die Aktualisierung der Software, um bekannte Sicherheitslücken zu schließen, und die Kosten dafür seien grundsätzlich kein unverhältnismäßiger Aufwand.
Zur Einordnung: Veröffentlichte Bußgelder wegen veralteter Website-Software sind selten, und dieser Fall ist einige Jahre alt. Nicht jedes fehlende Update führt zu einem Bußgeld. Er zeigt aber, wie die Aufsicht den Maßstab anlegt, wenn nach einem Vorfall geprüft wird.
Das TDDDG: Sicherheit für digitale Dienste
Neben der DSGVO gibt es eine zweite Vorschrift: § 19 Abs. 4 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, früher TTDSG). Anbieter geschäftsmäßig angebotener digitaler Dienste müssen danach, soweit technisch möglich und wirtschaftlich zumutbar, sicherstellen, dass kein unerlaubter Zugriff auf ihre technischen Einrichtungen möglich ist und diese gegen Störungen gesichert sind, auch gegen äußere Angriffe. Die Vorkehrungen müssen den Stand der Technik berücksichtigen.
Die IHK Regensburg zählt Websites und Webshops zu den digitalen Diensten im Sinne des TDDDG und übersetzt § 19 Abs. 4 für die Praxis vor allem mit HTTPS. Anders als Art. 32 schützt diese Vorschrift die technischen Systeme selbst, nicht nur die personenbezogenen Daten darauf.
Wenn doch etwas passiert: die Meldepflicht
Gilt, wenn bei einem Angriff personenbezogene Daten betroffen sind.
- 72 h
Meldung an die Datenschutzaufsicht, unverzüglich und möglichst binnen 72 Stunden nach Kenntnis, außer ein Risiko für die Betroffenen ist unwahrscheinlich (Art. 33).
- Immer
Jede Verletzung wird dokumentiert, auch wenn keine Meldung nötig ist (Art. 33 Abs. 5).
- Hohes Risiko
Bei voraussichtlich hohem Risiko werden auch die Betroffenen selbst benachrichtigt (Art. 34).
Was in den ersten Stunden zu tun ist, erkläre ich in den Ratgebern WordPress gehackt: Was tun? und Onlineshop gehackt: Was tun?
Welche Vorschrift gilt für Sie?
| Vorschrift | Gilt für Sie? | Worum es geht |
|---|---|---|
| DSGVO, Art. 32 | JaSobald personenbezogene Daten verarbeitet werden | Sicherheit nach dem Stand der Technik, unabhängig von der Größe. |
| TDDDG, § 19 Abs. 4 | JaIn der Regel, wenn Sie die Website geschäftsmäßig anbieten | Schutz der technischen Systeme vor unerlaubtem Zugriff und Angriffen. |
| NIS2 (BSI-Gesetz) | VielleichtNur für bestimmte Unternehmen, oft indirekt über Kunden | Risikomanagement, Registrierung und Meldepflichten. Mehr im Ratgeber NIS2 für kleine Unternehmen. |
| Cyber Resilience Act | NeinEr verpflichtet Hersteller, nicht Betreiber | Pflichten für Anbieter von Software, auch kommerzieller Plugins. Mehr im Ratgeber Cyber Resilience Act. |
Checkliste für Ihre Website
- 01
Übersicht
Welche Software läuft: WordPress oder Shopware, alle Plugins, Themes und Erweiterungen. Was nicht gebraucht wird, wird gelöscht.
- 02
Updates
Sicherheitsupdates innerhalb weniger Tage, vorher auf einer Kopie getestet. Software ohne Sicherheitsupdates wird ersetzt.
- 03
HTTPS
Die ganze Website läuft verschlüsselt, das Zertifikat wird rechtzeitig erneuert.
- 04
Zugänge
Persönliche Konten, starke Passwörter, wo möglich ein zweiter Faktor, Administratorrechte nur für die, die sie brauchen.
- 05
Backups
Regelmäßig, getrennt von der Website gespeichert, und die Wiederherstellung ist mindestens einmal ausprobiert.
- 06
Überprüfung
In festen Abständen prüfen, ob alles aktuell ist und die Maßnahmen wirken, und das festhalten.
- 07
Notfallplan
Wer entscheidet nach einem Vorfall, wer meldet an die Aufsicht, wo liegen Zugangsdaten und Kontakte.
- 08
Verträge
Mit Dienstleistern, die Zugriff auf personenbezogene Daten haben, gibt es einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
Wo der Doppelgänger hilft
Der Doppelgänger ist kein Compliance-Produkt und macht Sie nicht „DSGVO-konform“. Er hilft, die technische Seite von Art. 32 im Alltag praktisch umzusetzen.
Getestete Updates
Jedes Update spiele ich zuerst auf einer exakten Kopie Ihrer Website auf einem eigenen Server in Deutschland ein und teste es. Sicherheitsupdates gehen in der Regel innerhalb von 24 bis 48 Stunden live.
Nächtliche Prüfungen
Inventur aller Plugins und Erweiterungen mit Abgleich gegen bekannte Schwachstellen, Dateivergleich und Inhaltsprüfung der Live-Website.
Verschlüsselte Backups
Jede Nacht eine verschlüsselte Sicherung auf Servern in Deutschland.
Akte und Berichte
Jede Änderung landet in einer Akte, dazu kommen regelmäßige Berichte. Damit belegen Sie, wann was geprüft und eingespielt wurde.
Mehr dazu auf den Seiten für WordPress und Shopware.
Hinweis: Dieser Ratgeber ist keine Rechtsberatung. Welche Maßnahmen für Ihre Website angemessen sind, klären Sie im Zweifel mit Ihrem Datenschutzbeauftragten oder einer Anwältin oder einem Anwalt.
Kurz beantwortet.
Gilt Art. 32 DSGVO auch für kleine Unternehmen?
Ja. Art. 32 kennt keine Größengrenze. Er gilt für jeden, der personenbezogene Daten verarbeitet, also auch für eine kleine Firmenwebsite mit Kontaktformular oder einen Shop mit wenigen Bestellungen. Die Größe spielt nur dabei eine Rolle, welche Maßnahmen angemessen sind: Die DSGVO verlangt ein Schutzniveau, das zum Risiko passt, nicht dasselbe Programm für alle.
Gibt es eine feste Frist, bis wann ich Updates einspielen muss?
Nein. Weder die DSGVO noch die Aufsichtsbehörden nennen eine Frist in Tagen. Das Bayerische Landesamt für Datenschutzaufsicht schreibt, Sicherheitspatches seien im Umfeld von Websites zeitnah einzuspielen, weil zwischen dem Bekanntwerden einer Lücke und ihrer Ausnutzung nur wenige Stunden liegen können. Meine Empfehlung: Sicherheitsupdates innerhalb weniger Tage, vorher getestet.
Bekomme ich ein Bußgeld, wenn ein Plugin veraltet ist?
Nicht automatisch. Bußgelder nach der DSGVO sind möglich, veröffentlichte Fälle wegen veralteter Website-Software sind aber selten. Der bekannteste ist ein Online-Shop, dessen Software seit 2014 keine Sicherheitsupdates mehr bekam; die Datenschutzaufsicht Niedersachsen setzte 65.500 Euro fest. Häufiger wird eine ungepflegte Website zum Problem, wenn nach einem Vorfall die Frage kommt, ob die Sicherheit dem Stand der Technik entsprach.
Reichen automatische Updates, um die Pflicht zu erfüllen?
Automatische Updates schließen Lücken schnell, gehen aber ungetestet live. Das Bayerische Landesamt für Datenschutzaufsicht beschreibt Patch Management ausdrücklich als Beschaffen, Testen und Einspielen. Dazu gehören außerdem Backups, gesicherte Zugänge und eine regelmäßige Überprüfung. Wie Sie Updates sicher einspielen, erkläre ich im Ratgeber WordPress-Updates sicher einspielen.
Macht mich der Doppelgänger DSGVO-konform?
Nein, das kann kein technischer Dienst allein. Zur DSGVO gehören auch Datenschutzerklärung, Verarbeitungsverzeichnis, Verträge und vieles mehr. Der Doppelgänger hilft bei einem Teil von Art. 32: Updates getestet und zügig einspielen, die Live-Website jede Nacht prüfen, verschlüsselte Backups anlegen und jede Änderung in einer Akte dokumentieren.
Was muss ich tun, wenn meine Website gehackt wurde?
Sind personenbezogene Daten betroffen, muss der Vorfall in der Regel unverzüglich und möglichst binnen 72 Stunden der Datenschutzaufsicht gemeldet werden (Art. 33 DSGVO), es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich. Die Schritte im Einzelnen stehen in den Ratgebern WordPress gehackt und Onlineshop gehackt.