Ihr Unternehmen verfügt über eine eigene Webseite, zu den Aufgaben des Datenschutzbeauftragten gehört es u.a. diese Webseiten auf datenschutzrechtliche Schwachstellen zu prüfen. Somit werden alle Unternehmen, die eine eigene Webseite betreiben und Kunde sind ein Website-Security-Audit erhalten.
Was ist ein Website-Security-Audit?
Das Audit „Website Security“ prüft verschiedene Aspekte einer Website, die den Datenschutz sowie die Sicherheit (vorrangig der Benutzer) betreffen. Einen vollständigen Pen-Test kann und soll das Audit nicht ersetzen.
Was beinhaltet ein Website-Security-Audit?
Die Prüfpunkte des Website-Security-Audits umfassen die Prüfung der Verschlüsselung der Webseite, sicherheitsrelevante http Respons Header werden geprüft. Eine Prüfung auf Verwendung extern gehosteter Dateien wie z.B. JavaSkript findet statt, es wird auf Webanalytik Software von Drittanbietern wie z.B. Google Analytics getestet. Die Verwendung von Socialmedia Plug-Ins wird geprüft, ebenso ob Ihre Webseite Einträge auf Sperrlisten verzeichnet sind. Und nicht zuletzt, wird überprüft, ob Ihre Email-Adressen schon einmal Opfer bekannter Hackerübergriffe geworden sind.
Warum ist ein Website-Security-Audit notwendig?
Das Website-Security-Audit ist als technisch organisatorische Maßnahme (TOM) Bestandteil der Sicherheit der Verarbeitung im Sinne des Art. 32 DSGVO.
Ihr Unternehmen ist als Verantwortliche Stelle im Sinne der DSGVO anzusehen und hat dafür Sorge zu tragen, dass im Sinne des Art. 25 Abs.1 […] geeignete technische und organisatorische Maßnahmen getroffen werden, um die Datenschutzgrundsätze wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen der DSGVO zu genügen und die Rechte der betroffenen Personen zu schützen.
Wenn die Unternehmenswebseite nicht umfassend genug abgesichert ist, können u.U. von einem nicht autorisierten Dritten Daten der Website-User abgegriffen und missbraucht werden. Falls keine ausreichenden Sicherheitsvorkehrungen im Sinne der TOMs (Art. 32 DSGVO) getroffen wurden, haftet der Seitenbetreiber als verantwortliche Stelle.
Aus Datenschutzsicht ist ein Website-Security-Audit eine effiziente technische Möglichkeit, um eben diese Anforderungen überprüfen zu können.
Zu den Aufgaben des Datenschutzbeauftragten gehört es i.S. des Art. 39 Abs. 1 lit b) die Einhaltung der DSGVO und anderer Datenschutzvorschriften zu überwachen.
Der Datenschutzbeauftragte ist grundsätzlich frei in der Wahl und Ausführung seiner Pflichten und berichtet unmittelbar der höchsten Managementebene des Verantwortlichen. Art. 38 Abs. 3 Satz 1 und 3.
Das Website-Security-Audit dient dem Unternehmensverantwortlichen dazu einen Nachweis über die Prüfung der Sicherheitsaspekte bestehender Webseiten gegenüber den Landesbehörden vorweisen zu können und somit, dass das Unternehmen seiner erweiterten Dokumentationspflicht nachkommt.
Zu beachten ist hierbei, dass die Dokumentationspflicht im Rahmen der DSGVO im Vergleich zum BDSG konkret bußgeldbewehrt ist.
Um den Unternehmensverantwortlichen vor einer bußgeldbewehrten Pflichtverletzung bestmöglich zu schützen, besteht die Notwendigkeit, die technisch organisatorischen Maßnahmen zum Datenschutz i.S. des Art. 32 DSGVO zu gewährleisten und regelmäßig zu überprüfen. Dies geschieht u.a. in Form des Website-Security-Audits.
Zu jedem Audit erhalten Sie ein Ergebnis sowie Handlungsempfehlungen, sofern Maßnahmen erforderlich sind. Diese Empfehlungen können z.B. Ihre Datenschutzerklärung betreffen oder technischer Natur sein.
Das fertige Audit bietet Ihnen eine klare Übersicht über notwendige Maßnahmen und Handlungsempfehlungen, um Ihre Website datenschutzgerecht und sicher aufzustellen.
Wenn Sie Fragen haben, sprechen Sie uns gerne an.