Ein Restaurant betreibt eine Website, um Speisekarte, Öffnungszeiten und Kontaktdaten bereitzustellen. Taucht dort unvermittelt ein Link zu einem Glücksspielangebot auf, wirkt das zunächst wie ein inhaltlicher Fehler oder ein Fall von unerwünschter Werbung. Für sich genommen ist ein fremder Link jedoch nicht automatisch ein Datenschutzvorfall. Entscheidend ist, wie er auf die Seite gelangt ist und ob dabei personenbezogene Daten betroffen waren.
Ein verdächtiger Link ist zunächst ein Warnsignal
Ein Link kann aus unterschiedlichen Gründen auf einer Restaurantseite erscheinen: Ein Redaktionskonto wurde missbraucht, ein veraltetes Plug-in ausgenutzt oder eine Funktion zur Veröffentlichung von Inhalten manipuliert. Auch eine legitime, aber schlecht kontrollierte Änderung durch einen Dienstleister ist denkbar. Aus dem sichtbaren Link allein lässt sich die Ursache nicht zuverlässig ableiten.
Taucht in einem ansonsten sachfremden Seiteninhalt plötzlich die Formulierung casino 5 euro einzahlung auf, sollte der Betreiber deshalb den technischen Ursprung prüfen, statt vorschnell von einem Hackerangriff oder einer Datenschutzverletzung zu sprechen. Wichtig sind unter anderem der Zeitpunkt der Änderung, betroffene Seiten, Nutzerkonten und Einträge in den Server- oder CMS-Protokollen.
Wann personenbezogene Daten betroffen sein können
Die Datenschutz-Grundverordnung versteht unter einer Verletzung des Schutzes personenbezogener Daten einen Sicherheitsvorfall, der etwa zur unbefugten Offenlegung, Veränderung oder zum Verlust solcher Daten führt. Personenbezogen sind Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Ein veränderter Textlink erfüllt diese Voraussetzung nicht automatisch: Wurde lediglich ein Link in eine öffentliche Seite eingefügt, ohne dass personenbezogene Daten offengelegt oder beeinträchtigt wurden, kann ein Sicherheitsproblem vorliegen, aber nicht zwingend ein meldepflichtiger Datenschutzvorfall.
Anders kann die Bewertung ausfallen, wenn der Angriff zugleich Zugriff auf Kontaktformulare, Reservierungsdaten, Kundenkonten oder gespeicherte Nachrichten ermöglicht hat. Auch ein kompromittiertes Administratorkonto kann relevant sein, wenn darüber personenbezogene Daten eingesehen oder verändert wurden. Ob tatsächlich ein Vorfall vorliegt, hängt daher von den betroffenen Systemen, Daten und Zugriffsmöglichkeiten ab.
Der Unterschied zwischen Link und Datenübertragung
Ein gewöhnlicher HTML-Link lädt das Ziel üblicherweise erst, wenn jemand darauf klickt. Dann kann der Zielserver technische Informationen erhalten, darunter die IP-Adresse; je nach Browser und Referrer-Einstellungen kann auch die Herkunftsseite übermittelt werden. Anders ist es bei eingebundenen Skripten, Werbeelementen oder Weiterleitungen, die bereits beim Aufruf der Restaurantseite externe Anfragen auslösen können. Solche Mechanismen sollten gesondert geprüft werden.
Auch externe Protokolleinträge sind nicht automatisch ein Datenschutzverstoß. Relevant sind Zweck, Umfang und Rechtsgrundlage der Verarbeitung sowie die Frage, ob ein Unbefugter auf Daten zugreifen konnte. Betreiber sollten deshalb feststellen, ob der Link nur redaktionell eingefügt wurde oder ob im Hintergrund zusätzliche Funktionen, Tracker oder Weiterleitungen aktiv sind.
Prüfen, eindämmen und dokumentieren
Bei einem verdächtigen Fund sollte der Betreiber zunächst Belege sichern: Screenshots, Zeitangaben, CMS- und Serverprotokolle sowie Informationen zu kürzlich vorgenommenen Änderungen. Danach kann der Link entfernt werden, ohne die Untersuchung durch vorschnelles Löschen aller Spuren zu erschweren. Passwörter und Zugangsschlüssel sollten geändert, Mehr-Faktor-Authentifizierung aktiviert und das CMS samt Erweiterungen aktualisiert werden. Bei Anzeichen für eine tiefergehende Kompromittierung ist fachkundige IT-Unterstützung sinnvoll.
Ergibt die Prüfung, dass personenbezogene Daten verletzt wurden, muss der Verantwortliche das Risiko für die betroffenen Personen bewerten und den Vorgang dokumentieren. Eine Meldung an die zuständige Datenschutzaufsichtsbehörde ist nach der DSGVO grundsätzlich innerhalb von 72 Stunden erforderlich, wenn voraussichtlich ein Risiko für die Rechte und Freiheiten von Personen besteht. Bei hohem Risiko müssen unter Umständen auch die betroffenen Personen informiert werden. Die Frist beginnt nicht erst, wenn jede technische Einzelheit geklärt ist; fehlende Informationen können gegebenenfalls nachgereicht werden.
Die Einordnung hängt vom konkreten Befund ab
Ein fremder Glücksspiel-Link auf einer Restaurantseite kann ein Hinweis auf eine Manipulation sein, beweist aber weder einen Zugriff auf Kundendaten noch eine meldepflichtige Datenschutzverletzung. Erst die technische Untersuchung zeigt, ob lediglich Inhalte verändert wurden oder ob personenbezogene Informationen gefährdet waren. Eine nachvollziehbare Dokumentation und eine zügige, verhältnismäßige Reaktion helfen, beide Fälle auseinanderzuhalten.