Sicherheitslücken können auch ohne Cyberattacke teuer enden

Damit verstiess der Betreiber nämlich gegen Art. 32 Abs. 1 DSGVO, da sein Online-Shopsystem erhebliche Sicherheitslücken aufwies. Da der Betreiber vor dem Verfahren bereits seine Kunden informiert hatte, dass die Passwörter gewechselt werden müssen, fiel das Bussgeld entsprechend niedriger aus.

Fehlende Updates

Das System wurde nicht auf den aktuellen Stand der Technik gebracht. So wäre es für Angreifer sehr leicht gewesen, auf das System zuzugreifen und entsprechenden Schaden anzurichten. Sie hätten auch problemlos über längere Zeit das System beobachten können ohne aktiv zu werden. Der Hersteller der Webshop-Software hatte bereits seit 2014 keine Sicherheitsupdates mehr zur Verfügung gestellt und davor gewarnt, dass ohne die Aktualisierung der Software Sicherheitslücken entstünden.

Regelmässige Sicherheitsmassnahmen

Nach DSGVO muss sich jeder, der personenbezogene Daten verantwortet oder verarbeitet, mit den technisch-organisatorischen Massnahmen (TOM), auseinandersetzen. So sollen Risiken minimiert werden. Als Nutzer eines Shopsystems, in dem Kundeninformationen verarbeitet werden, hätte sich der Webshop-Betreiber also um einen ausreichenden Schutz der Kundendaten kümmern müssen.

Dieser Schutz und eventuelle Bedrohungen sind regelmässig zu überprüfen.

Für potenzielle Angreifer hat so die Möglichkeit bestanden, eigene Befehle in die Datenbank einzuschleusen, sich die Zugangsdaten zu erschleichen, den Server herunterzufahren, etc. Hinzu kam, dass kein „Salt“ verwendet wurde. Ein solcher verlängert ein Passwort und erschwert so die systematische Berechnung.

Frühzeitig agieren

Hätte der Betreiber das System regelmässig überprüft, so wäre der Aufwand überschaubar gewesen. Häufig reicht es aber nicht einfach den Knopf „Software aktualisieren“ zu drücken. Umso wichtiger ist es diese Thematik bereits bei der Entwicklung eines Webshops zu diskutieren und einzuplanen. Gerade Webshops, die auf Systemen aufbauen, welche viele Plugins aus einer unüberschaubaren Community benötigen (bspw. WordPress), müssen eine entsprechende Architektur vorab definieren und pflegen.

Faktor Mensch