Eine professionelle Unternehmenswebsite muss nicht nur gut aussehen und zuverlässig funktionieren. Auch Datenschutz und technische Sicherheit müssen bereits bei der Umsetzung berücksichtigt werden. HTTPS-Verschlüsselung, der Umgang mit personenbezogenen Daten und die korrekte Einbindung externer Dienste gehören dabei zu den zentralen Themen. Dieser Beitrag zeigt, welche technischen Bereiche Websitebetreiber besonders im Blick behalten sollten und wo technische Umsetzung und rechtliche Anforderungen ineinandergreifen.
HTTPS gehört heute zur technischen Grundausstattung
Websites sollten grundsätzlich verschlüsselt über HTTPS ausgeliefert werden. Dafür wird auf dem Webserver ein gültiges TLS-Zertifikat eingerichtet.
Die Verschlüsselung schützt die Datenübertragung zwischen Browser und Server davor, während der Übertragung ohne Weiteres mitgelesen oder verändert zu werden. Besonders wichtig ist das bei Formularen, Login-Bereichen, Bestellprozessen und anderen Funktionen, bei denen personenbezogene oder vertrauliche Informationen übertragen werden.
Eine korrekt eingerichtete HTTPS-Verbindung erkennen Besucher in modernen Browsern an der sicheren Verbindung. Eine Website sollte außerdem vollständig über HTTPS erreichbar sein und keine unsicheren Ressourcen wie Bilder, Skripte oder Stylesheets über unverschlüsselte HTTP-Verbindungen nachladen.
HTTPS ist allerdings nur ein Bestandteil der Website-Sicherheit. Ein TLS-Zertifikat ersetzt weder regelmäßige Updates noch Backups oder andere Sicherheitsmaßnahmen.
Datenschutz beginnt bereits bei der technischen Planung
Bei der Nutzung einer Website können an unterschiedlichen Stellen personenbezogene Daten verarbeitet werden. Dazu gehören beispielsweise IP-Adressen, Angaben aus Kontaktformularen, Benutzerkonten oder Informationen, die durch Analyse- und Marketingdienste erhoben werden.
Deshalb sollte bereits bei der Planung geklärt werden, welche Daten tatsächlich benötigt werden, zu welchem Zweck sie verarbeitet werden und welche externen Dienste eingebunden werden.
Der Grundsatz der Datenminimierung spielt dabei eine wichtige Rolle. Es sollten nur diejenigen personenbezogenen Daten erhoben und verarbeitet werden, die für den jeweiligen Zweck erforderlich sind.
Auch Hosting, Formulare, Statistiklösungen, Newsletter-Systeme, eingebettete Inhalte und andere externe Dienste sollten in diese Betrachtung einbezogen werden.
Cookies benötigen nicht grundsätzlich eine Einwilligung
Bei Cookies wird häufig pauschal davon ausgegangen, dass immer ein Cookie-Banner erforderlich ist. Entscheidend ist jedoch nicht allein, ob eine Website Cookies verwendet.
Nach § 25 TDDDG ist grundsätzlich eine Einwilligung erforderlich, wenn Informationen auf dem Endgerät eines Nutzers gespeichert oder bereits gespeicherte Informationen ausgelesen werden. Das Gesetz sieht jedoch Ausnahmen vor.
Keine Einwilligung nach § 25 TDDDG ist beispielsweise erforderlich, wenn die Speicherung oder der Zugriff unbedingt notwendig ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.
Dazu können je nach Funktion beispielsweise technisch notwendige Session- oder Warenkorb-Funktionen gehören.
Anders sieht es bei vielen Analyse-, Tracking- oder Marketingtechnologien aus. Werden solche Dienste eingesetzt und greift keine gesetzliche Ausnahme, müssen sie grundsätzlich vor ihrer Aktivierung von einer erforderlichen Einwilligung abhängig gemacht werden.
Deshalb sollte zunächst technisch geprüft werden, welche Cookies, Skripte und anderen Technologien eine Website tatsächlich verwendet.
Ein Consent-Banner muss technisch korrekt arbeiten
Wenn für eingesetzte Dienste eine Einwilligung erforderlich ist, reicht es nicht aus, lediglich ein Cookie-Banner sichtbar einzublenden.
Die technische Umsetzung muss sicherstellen, dass einwilligungspflichtige Dienste nicht bereits beim ersten Seitenaufruf ausgeführt werden. Sie dürfen grundsätzlich erst nach der entsprechenden Entscheidung des Nutzers aktiviert werden.
Das betrifft beispielsweise bestimmte Analyse- und Marketingdienste oder externe Inhalte, wenn deren Nutzung eine vorherige Einwilligung voraussetzt.
Ebenso muss eine erteilte Einwilligung wieder widerrufen beziehungsweise die Auswahl nachträglich geändert werden können.
Ein Consent-Management-System erfüllt seinen Zweck deshalb nur dann, wenn nicht nur das Banner korrekt gestaltet ist, sondern auch die dahinterliegende technische Steuerung funktioniert.
Externe Dienste müssen berücksichtigt werden
Viele WordPress-Websites kommunizieren mit externen Anbietern, ohne dass dies für Besucher unmittelbar sichtbar ist.
Typische Beispiele sind externe Schriftarten, Karten, Videos, Analysewerkzeuge, Captcha-Dienste, Terminbuchungen, Newsletter-Systeme oder eingebundene Social-Media-Inhalte.
Bei jeder solchen Integration sollte geprüft werden, welche Daten übertragen werden, wann die Verbindung zum externen Anbieter aufgebaut wird und ob dafür eine Einwilligung oder eine andere datenschutzrechtliche Grundlage erforderlich ist.
Technisch kann es sinnvoll sein, bestimmte Ressourcen lokal bereitzustellen oder externe Inhalte zunächst zu blockieren und erst nach einer erforderlichen Einwilligung zu laden.
Welche Lösung geeignet ist, hängt vom jeweiligen Dienst und seiner konkreten Einbindung ab.
Formulare müssen datensparsam umgesetzt werden
Kontakt-, Anfrage- und Bestellformulare gehören zu den häufigsten Stellen, an denen Besucher aktiv personenbezogene Daten übermitteln.
Formulare sollten deshalb nur Informationen abfragen, die für den jeweiligen Zweck tatsächlich benötigt werden. Für eine einfache Kontaktanfrage sind umfangreiche persönliche Angaben häufig nicht erforderlich.
Auch die technische Verarbeitung nach dem Absenden muss berücksichtigt werden. Dazu gehört beispielsweise, wo Formulardaten gespeichert werden, wer darauf zugreifen kann und wie lange sie aufbewahrt werden.
Die Übertragung sollte verschlüsselt erfolgen und eingesetzte Formular-Plugins müssen regelmäßig aktualisiert werden.
Datenschutz beginnt damit nicht erst bei der Datenschutzerklärung, sondern bereits bei der technischen Gestaltung des Formulars.
Datenschutzerklärung und technische Umsetzung müssen zusammenpassen
Eine Datenschutzerklärung beschreibt, wie personenbezogene Daten auf einer Website verarbeitet werden. Sie kann deshalb nur dann korrekt sein, wenn bekannt ist, was die Website technisch tatsächlich macht.
Wird beispielsweise ein neuer Analyse-, Karten-, Video- oder Newsletter-Dienst eingebunden, kann sich dadurch auch die Datenverarbeitung verändern.
Plugins zu installieren oder externe Skripte einzufügen, ohne anschließend die datenschutzrechtlichen Auswirkungen zu prüfen, kann deshalb problematisch sein.
Websitebetreiber sollten technische Änderungen regelmäßig daraufhin kontrollieren, ob sich dadurch auch Angaben in der Datenschutzerklärung oder die Einwilligungssteuerung ändern müssen.
WordPress muss regelmäßig technisch gepflegt werden
Datenschutz und technische Sicherheit hängen auch von einer gepflegten WordPress-Installation ab.
WordPress selbst, Plugins und Themes sollten regelmäßig aktualisiert werden. Nicht mehr benötigte Erweiterungen sollten entfernt und Benutzerkonten nur mit den tatsächlich erforderlichen Berechtigungen ausgestattet werden.
Weitere wichtige Maßnahmen sind regelmäßige Backups, sichere Passwörter, eine geeignete Zwei-Faktor-Authentifizierung für relevante Benutzerkonten und ein angemessener Schutz des Login-Bereichs.
Absolute Sicherheit kann keine einzelne Maßnahme gewährleisten. Ziel ist deshalb ein Sicherheitskonzept, bei dem verschiedene Schutzmaßnahmen sinnvoll zusammenspielen.
Regelmäßige technische Kontrollen bleiben notwendig
Eine Website verändert sich im laufenden Betrieb. Plugins werden aktualisiert, neue Funktionen kommen hinzu und externe Dienste können geändert oder ersetzt werden.
Deshalb sollte nicht nur bei der Erstellung geprüft werden, welche Verbindungen, Cookies und Datenverarbeitungen vorhanden sind.
Regelmäßige Kontrollen helfen dabei, unbeabsichtigte externe Verbindungen, neue Cookies, veraltete Komponenten oder fehlerhafte Consent-Einstellungen zu erkennen.
Gerade nach größeren Updates oder der Installation neuer Plugins ist eine erneute Prüfung sinnvoll.
Kurz zusammengefasst
HTTPS, Datenschutz, Cookies und technische Sicherheit sind unterschiedliche Themen, die bei modernen Websites eng zusammenhängen. Eine verschlüsselte Verbindung gehört zur technischen Grundausstattung, während beim Umgang mit Cookies und externen Diensten jeweils geprüft werden muss, ob eine Einwilligung erforderlich ist.
Entscheidend ist, dass Datenschutzerklärung, Consent-Management und die tatsächliche technische Funktionsweise der Website zusammenpassen. Regelmäßige Wartung und Kontrollen sorgen dafür, dass dieser Zustand auch nach Änderungen an der Website erhalten bleibt.
Möchten Sie Ihre WordPress-Website technisch zuverlässig betreiben?
TA-WebDesign unterstützt Unternehmen bei der technischen Betreuung und WordPress-Wartung ihrer Website. Dazu gehören regelmäßige Updates, Backups, Sicherheitsmaßnahmen und die Kontrolle wichtiger technischer Funktionen, damit Ihre WordPress-Website zuverlässig und gepflegt betrieben werden kann.
