Bußgeld wegen veralteter Software beim Betrieb eines Webshops

Bußgeld wegen veralteter Software beim Betrieb eines Webshops

Einem Unternehmen aus Niedersachsen wurde kürzlich ein Bußgeld von 65.500 € verhängt, weil dieses einen Web-Shop mit veralteter Software betrieb. Die Sicherheitslücken durch den alten Softwarestand ermöglichte es, Nutzer-Passwörter mit geringem Aufwand zu berechnen.

Der Vorwurf

Die zuständige Aufsichtsbehörde nahm eine Meldung des Unternehmens an die Behörde wegen eines Datenschutzvorfalles zum Anlass, den Webshop des Unternehmens zu überprüfen.

Ergebnisse der Untersuchung

Es stellte sich dabei heraus, dass die Website die Web-Shop-Anwendung xt:Commerce in der Version 3.0.4 SP2.1 verwendete. Diese ist mindestens seit 2004 veraltet und es werden dementsprechend keine Sicherheitsupdates mehr zur Verfügung gestellt. Der Hersteller warnte sogar wegen erheblichen Sicherheitslücken vor der Verwendung dieser Version unter anderem wegen der Möglichkeit von SQL-Injection-Angriffen.

Die Passwörter, die in der Datenbank abgelegt sind, waren zwar mit der kryptographischen Hashfunktion „MD5“ gesichert, jedoch war dieses kryptographische Verfahren nicht mehr Stand der Technik und somit nicht mehr für den Einsatz bei Passwörtern ausgelegt. Ein brechen des alten Verfahrens zur Verschlüsselung von Passwörtern war demnach möglich.

Außerdem wurde kein „Salt“ verwendet, der durch eine Verlängerung des Passwortes die systematische Berechnung um einiges erschwert hätte.

SQL-Injection-Angriffe

Mit Hilfe solcher können Angreifer Zugriff auf Zugangsdaten aller in der Anwendung registrierter Personen und weitere Daten in der Datenbank erlangen. Sicherheitslücken dieser Art entstehen, wenn nicht alle vom Endanwender veränderbaren Eingaben maskiert werden, sodass sie von der Datenbank nicht als Befehl verstanden werden. Fehlt diese Maskierung, wird jeder Befehl von der Datenbank als Befehl mit eigenen Rechten ausgeführt. Folgen sind, dass die ganze Datenbanktabelle ausgegeben, gelöscht oder verändert werden können.

Das Bußgeld

Die Aufsichtsbehörde sah die vom Verantwortlichen verwendeten technischen Maßnahmen als nicht angemessen im Sinne von Art. 25 DSGVO und stellte damit einen Verstoß gegen Art. 32 I DSGVO fest.

Bei der Bemessung des Bußgeldes wurde mildernd berücksichtigt, dass das Unternehmen die betroffenen Personen frühzeitig informiert und das Festlegen eines neuen Passwortes empfohlen hat.

Das Unternehmen akzeptierte das Bußgeld in Höhe von 65.500 €.

Empfehlung

Häufig genügt schon die Verwendung aktueller und gepatchter Software, um Sicherheitslücken zu vermeiden und datenschutzkonform Webanwendungen zu betreiben. Die Verwendung aktueller kryptographischer Verfahren ist dabei unerlässlich und erfordern nur einen geringen Aufwand. Bestehende Sicherheitslücken werden unkompliziert und zeitnah durch Updates des Herstellers beseitigt.

Wir führen ergänzend zu Updates bei all unseren Mandanten regelmäßig Schwachstellenanalysen von außen und innen durch, um auch die letzten technischen Sicherheitslücken und Schwachstellen in den IT Systemen des Mandanten zu finden.

Aktuelle Empfehlungen zur Umsetzung der Absicherung von Passwörtern finden sich auf der Internetseite des Bundesamtes für Sicherheit in der Informationstechnik (BSI) sowie in der entsprechenden technischen Richtlinie „Kryptographische Verfahren: Empfehlungen und Schlüssellängen“ (BSI TR-02102-1).

Anforderungen an die IT-Sicherheit nach DSGVO

Die DSGVO stellt in Art. 32 klare Anforderungen an die Sicherheit der Verarbeitung personenbezogener Daten. Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dabei sind der Stand der Technik, die Implementierungskosten, die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere des Risikos zu berücksichtigen.

Art. 25 DSGVO ergänzt diese Anforderung durch den Grundsatz „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ (Privacy by Design und Privacy by Default). Dieser Grundsatz verlangt, dass bereits bei der Entwicklung und Auswahl von Systemen der Datenschutz berücksichtigt wird. Die Verwendung einer seit Jahren nicht mehr unterstützten Software widerspricht diesem Grundsatz fundamental.

Warum regelmäßige Updates wichtig sind

Softwareanbieter veröffentlichen regelmäßig Updates und Patches, um bekannte Sicherheitslücken zu schließen. Wenn eine Software das Ende ihres Lebenszyklus (End of Life) erreicht, stellt der Hersteller keine Sicherheitsupdates mehr bereit. Ab diesem Zeitpunkt bleiben neu entdeckte Sicherheitslücken ungeschlossen und können von Angreifern ausgenutzt werden.

Im vorliegenden Fall war die verwendete Software seit mindestens 2004 veraltet. In der Zwischenzeit wurden zahlreiche Sicherheitslücken bekannt, darunter die besonders gefährlichen SQL-Injection-Schwachstellen. Jede dieser Lücken hätte Angreifern potenziell Zugang zu den personenbezogenen Daten der Shopkunden verschaffen können.

SQL-Injection im Detail

SQL-Injection-Angriffe zählen zu den häufigsten und gefährlichsten Angriffsmethoden auf Webanwendungen. Sie nutzen unzureichend gesicherte Eingabefelder aus, um eigene Datenbankbefehle einzuschleusen. Ein Angreifer kann dadurch nicht nur Daten auslesen, sondern auch verändern oder löschen. Im schlimmsten Fall erhält er vollen Zugriff auf die gesamte Datenbank einschließlich aller Kundendaten, Passwörter und Zahlungsinformationen.

Moderne Webanwendungen verwenden vorbereitete Anweisungen (Prepared Statements) und parametrisierte Abfragen, um SQL-Injection-Angriffe zu verhindern. Diese Techniken stellen sicher, dass Benutzereingaben niemals als Datenbankbefehle interpretiert werden. Bei veralteter Software fehlen diese Schutzmechanismen häufig oder sind unzureichend implementiert.

Sichere Passwortspeicherung nach aktuellem Stand der Technik

Die im vorliegenden Fall verwendete MD5-Hashfunktion gilt seit vielen Jahren als unsicher für die Passwortspeicherung. Moderne Systeme verwenden spezialisierte Passwort-Hashfunktionen wie bcrypt, scrypt oder Argon2, die mehrere entscheidende Vorteile bieten: Sie sind bewusst rechenintensiv gestaltet, um Brute-Force-Angriffe zu erschweren, sie verwenden automatisch einen Salt, und sie können an steigende Rechenleistung angepasst werden.

Das Fehlen eines Salt bei der Passwortspeicherung verschärfte das Problem zusätzlich. Ohne Salt können Angreifer vorberechnete Tabellen (Rainbow Tables) verwenden, um Passwort-Hashes in Sekundenschnelle zu entschlüsseln. Mit einem zufälligen Salt für jedes Passwort werden solche Tabellen nutzlos, da für jeden Salt-Wert eine eigene Tabelle berechnet werden müsste.

Konsequenzen für Webshop-Betreiber

Das Bußgeld von 65.500 Euro mag auf den ersten Blick moderat erscheinen, doch die tatsächlichen Kosten eines solchen Vorfalls gehen weit darüber hinaus. Neben dem Bußgeld können Schadensersatzansprüche der betroffenen Kunden nach Art. 82 DSGVO hinzukommen. Auch der Reputationsschaden durch die öffentliche Berichterstattung über den Vorfall kann erhebliche wirtschaftliche Folgen haben.

Webshop-Betreiber sollten daher regelmäßig prüfen, ob ihre eingesetzte Software noch vom Hersteller unterstützt wird und ob alle verfügbaren Sicherheitsupdates eingespielt sind. Eine regelmäßige DSGVO-Beratung kann helfen, solche Risiken frühzeitig zu erkennen und zu beheben.

Schwachstellenanalyse als präventive Maßnahme

Regelmäßige Schwachstellenanalysen (Vulnerability Assessments) und Penetrationstests sind wirksame Instrumente, um Sicherheitslücken in Webanwendungen aufzudecken, bevor sie von Angreifern ausgenutzt werden. Dabei werden die Systeme systematisch auf bekannte Schwachstellen geprüft und die Ergebnisse in einem Bericht zusammengefasst, der konkrete Handlungsempfehlungen enthält.

Als erfahrene Datenschutzexperten führen wir bei unseren Mandanten regelmäßig solche Analysen durch und unterstützen bei der Umsetzung der erforderlichen technisch-organisatorischen Maßnahmen. So können Sicherheitslücken rechtzeitig erkannt und behoben werden, bevor sie zu einem Datenschutzvorfall und einem teuren Bußgeld führen.

Pflichten des Verantwortlichen bei Datenschutzvorfällen

Wird eine Sicherheitslücke ausgenutzt und gelangen personenbezogene Daten in unbefugte Hände, treffen den Verantwortlichen nach der DSGVO umfangreiche Pflichten. Die Meldepflicht nach Art. 33 DSGVO verlangt eine unverzügliche Benachrichtigung der zuständigen Aufsichtsbehörde, möglichst innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls. Besteht ein hohes Risiko für die betroffenen Personen, sind auch diese nach Art. 34 DSGVO zu benachrichtigen.

Im vorliegenden Fall hat das betroffene Unternehmen vorbildlich gehandelt, indem es die Datenschutzverletzung selbst bei der Aufsichtsbehörde gemeldet und die betroffenen Kunden frühzeitig informiert hat. Dieses kooperative Verhalten wurde bei der Bemessung des Bußgeldes mildernd berücksichtigt. Unternehmen, die einen ähnlichen Vorfall verschweigen oder verspätet melden, müssen mit deutlich höheren Strafen rechnen.

Ein gut vorbereiteter Notfallplan für Datenschutzvorfälle, der in Zusammenarbeit mit einem externen Datenschutzbeauftragten erstellt wird, ermöglicht es Unternehmen, im Ernstfall schnell und rechtskonform zu reagieren und so die Folgen eines Sicherheitsvorfalls zu minimieren.

Rolle des Datenschutzbeauftragten bei der IT-Sicherheit

Der Fall des veralteten Webshops zeigt exemplarisch, wie eng IT-Sicherheit und Datenschutz miteinander verknüpft sind. Ein Datenschutzbeauftragter sollte nicht nur die rechtliche Compliance überwachen, sondern auch die technischen Sicherheitsmaßnahmen regelmäßig überprüfen. Dazu gehört die Kontrolle, ob eingesetzte Software noch vom Hersteller unterstützt wird, ob aktuelle Sicherheitspatches eingespielt sind und ob die verwendeten kryptographischen Verfahren dem Stand der Technik entsprechen. Ein externer Datenschutzbeauftragter bringt dabei den Vorteil mit, dass er Erfahrungen aus verschiedenen Unternehmen und Branchen einbringen kann und Sicherheitslücken oft schneller erkennt als interne Mitarbeiter, die mit den eigenen Systemen bereits vertraut sind.

Zusammenfassend zeigt der Fall des veralteten Webshops, dass die Vernachlässigung grundlegender IT-Sicherheitsmaßnahmen nicht nur ein technisches Risiko darstellt, sondern auch zu empfindlichen rechtlichen und finanziellen Konsequenzen führen kann. Regelmäßige Sicherheitsüberprüfungen, zeitnahe Updates und professionelle Beratung sind der beste Schutz vor solchen Vorfällen.

Im Einzelfall ist eine professionelle Beratung zur passendsten Lösung immer empfehlenswert.