Fachbeiträge für Webagenturen abonnieren

Datenschutz in Webshops

Als Betreiber eines Shops im Internet konzentriert man sich oft (und natürlich zu recht) auf den Erfolg, sowohl in Besucherzahlen als auch im Umsatz. Dabei wird jedoch oft der Datenschutz der über die Webseite ermittelten Daten vernachlässigt. Im vorliegenden Fachbeitrag wird gezeigt was dahinter steckt und was ein Shop-Betreiber für einen sauberen Datenschutz unternehmen muss.

Was steckt dahinter

Jeder Internetnutzer hinterlässt im Internet spuren. Allein beim Aufruf dieser Webseite hier sind von Ihnen Informationen über den verwendeten Webbrowser, das verwendete Betriebssystem und - über die von Ihnen verwendete IP-Adresse - auch Ihr (nicht ganz exakter) Standort verfügbar. Weiterhin werden auf sehr vielen Webseiten auch Ihr Weg über die Webseite (Klickreihenfolge) sowie die von Ihnen eingegebenen Suchbegriffe in Suchmaschinen erfasst. An Daten wie Ihre genaue Adresse kommt man dank der in Deutschland gültigen Datenschutzgesetze nur per Staatsanwaltschaft heran.

Sobald Sie in einem Shop eine Bestellung vornehmen, kommen zu diesen Daten die von Ihnen eingegebenen Bestelldaten hinzu. Dazu zählen in den meisten Fällen Ihre persönliche Anschrift, eine E-Mail-Adresse, ggfs. sogar Bank-Daten sowie Ihre Telefonnummer. Sie als Inhaber dieser Daten haben nach deutschem Gesetz ein Recht darauf, dass diese Daten nicht jedermann zugänglich sind.

Diese Informationen können jedoch, solange sie nicht verschlüsselt übertragen werden, theoretisch mit genügend technischem Verständnis abgefangen werden. Mehr noch: selbst wenn die Daten im Shop, in dem Sie bestellt haben, gespeichert wurden können Lücken in der Shop- oder Serversoftware dazu führen, dass diese sehr persönlichen Informationen jedermann zugänglich sind.

Studien zum Thema Datenschutz

Das Marktforschungsinstitut Infratest ermittelte Anfang 2009, dass die meisten Internetnutzer zu sorglos mit ihren persönlichen Daten umgehen. Gleichzeitig hielten die meisten Internetnutzer ihr eigenes Wissen über den Datenschutz für gut bis sehr gut. Vor allem junge Menschen gehen dabei recht naiv mit ihren Daten um. Sie geben unbedacht ihre eigene Handynummer in eine Webseite ein die sie nicht mal kennen, lesen nicht mal genau wie diese Daten weiterverarbeitet werden. Man sieht, dass Schutz der eigenen Daten doch noch nicht ganz zu allen Menschen durchgedrungen ist.

Eine andere Studie von Xamit prüft jährlich wie Webseiten- und Shopbetreiber mit den Daten ihrer Besucher und Kunden umgehen und wie sie diese darüber aufklären. Das daraus resultierende Datenschutzbarometer 2008 zeigte auf, dass auch hier immernoch viel zu sorglos mit den Daten umgegangen wird.

Folgen von verfehltem Datenschutz

Welche Folgen derartige Lücken haben, konnte man in den vergangenen Jahren mehrfach beobachten. Die Deutsche Telekom "verlor" z.B. rund 17 Millionen Kundendaten, was für den Konzern weitreichende Folgen hatte. Bonuskarten diverser Unternehmen sammelten bereits vor 5 Jahren mehr Daten als sie eigentlich sollten. Die Community Facebook geriet in negative Schlagzeilen als bekannt wurde, dass dort persönliche Daten gespeichert wurden auch nachdem die dazugehörigen Profile gelöscht wurden.

Rechtliche Grundlagen

Die rechtlichen Grundlagen zum Datenschutz werden in der Bundesrepublik Deutschland über das Grundrecht auf Informelle Selbstbestimmung sowie das Bundesdatenschutzgesetz geregelt. Da beides noch nicht optimal an die Erfordernisse des digitalen Zeitalters angepasst ist, wird momentan von der Bundesregierung an einer Neuregelung gearbeitet (Stand 01.06.2009). Deren bisherige Entwürfe sind jedoch heftig umstritten da sie zu sehr an die Wünsche der Wirtschaft angepasst sind und nicht die Rechte des Einzelnen stärken. Hierauf wird in diesem Fachbeitrag nicht weiter eingegangen.

Auf einer Webseite die Daten der eigenen Besucher sammelt sollte immer auch eine Datenschutzerklärung hinterlegt sein. In dieser sollte erklärt werden was für Daten erhoben werden und wie diese verwendet werden. Hier gilt es den Besucher aufzuklären und nicht im Unklaren zu lassen. Wie die Infratest-Studie zeigte gehen dennoch die meisten Internetnutzer sorglos mit ihren Daten um, unabhängig davon ob es auf der jeweiligen Seite eine Datenschutz-Erklärung gibt oder nicht. Das heißt gleichzeitig jedoch nicht, dass man als Webseiten- oder Shopbetreiber diesen Abschnitt weglassen könnte - die rechtlichen Konsequenzen könnten, wie die o.g. Löcher im Datenschutz zeigen, gewaltig sein.

Technische Grundlagen

Jeder Aufruf einer Seite wird auf dem dazugehörigen Webserver als Zugriff gespeichert. In diesem Zusammenhang wird meist der Browser, die IP-Adresse, mitunter auch das Betriebssystem des Besucher ermittelt und erfasst. Dieser Vorgang ist technisch durch die meisten Webserver bedingt die diese Informationen teilweise auch für eine korrekte Anzeige der Webseite im Browser des Besuchers benötigen.

PHP aktuell halten

Laut der o.g. Studie von Xamit verwendet die Mehrheit der von dieser Studie untersuchten Internetshops PHP-basierte Shopsysteme. PHP ist eine Webprogrammiersprache die ständig weiterentwickelt und dabei auch von Fehlern befreit wird. Daher müssen Administratoren von Webservern die die Installation von PHP-Software zulassen auch ständig darauf bedacht sein diese Komponenten der Server zu aktualisieren. Laut der Studie ist dies beim Großteil dieser PHP-basierten Shops nicht der Fall - dadurch öffnen sich viele potentielle Sicherheitsrisiken, auch für den Datenschutz. Für den Betrieb des CMS VIO.Matrix muss man jedoch nicht auf die Aktualität dieser Software auf dem Server achten, da es kein PHP zur Darstellung und Verwaltung von Webseiten verwendet.

Webseiten-Software aktuell halten

Auch die Qualität der Programmierung von Shopsystemen spielt eine Rolle. PHP-basierte Shopsysteme wie OSCommerce werden von der eigenen Community beständig weiterentwickelt, so dass viele Augen den Code prüfen und kontrollieren - dadurch können viele Probleme im Vornhinein unterbunden werden, durch Unachtsamkeit kann es aber auch hier zu Datenlecks führen. Als Administrator eines darauf aufbauenden Shops muss man jedoch diese Software ständig aktuell halten - geschieht dies nicht geht man das Risiko ein . Bei VIO.Matrix-basierten Shops ist das einzige Risiko hierbei die Qualität der Programmierung des Shops selbst, man muss die Komponenten der Shopsoftware nicht laufend auf Aktualität prüfen.

Zum Anknabbern

Die meisten Shopsysteme speichern nutzerspezifische Daten in sogenannten Cookies, kleinen Textinformationen die im Browser des Internetnutzers gespeichert werden. Dadurch können diese Daten während des Besuchs einer Seite aufbewahrt und weiterverwendet werden. Die Gefahr hierbei ist, dass ein Shop der einmal so Daten des Benutzers erfasst hat bei einem erneuten Besuch darüber informiert wird, dass der Nutzer schonmal da war - und theoretisch die persönlichen Daten auch sofort abrufen kann. Unbefugte Webseiten könnten diese Informationen durch Lücken im Webbrowser des Nutzers auslesen und so den Datenschutz untergraben. Bei VIO.Matrix-basierten Webseiten werden solche Informationen in einer in der Adresszeile des Browsers sichtbare SitzungsID gespeichert - diese und die darin enthaltenen Informationen kann nicht wie bei Cookie-basierten Systemen ausgelesen werden. Auch verfällt diese SitzungsID innerhalb kurzer Zeit nach dem Besuch, so dass darin gespeicherte persönliche Daten nicht weiterverwendet oder ausgespäht werden können.

Verschlüsselte Datenübertragung

Sobald in einem Shopsystem Daten von Kunden erfasst werden, sollten die Daten der Shops auf verschlüsseltem Weg an den Browser geschickt werden. Hierzu werden sogenannte SSL-Zertifikate mit unterschiedlich hoher Verschlüsselung verwendet. Dadurch wird sichergestellt, dass Informationen die ein Besucher eingibt (etwa Bank- oder Adressdaten) nicht von Unbefugten abgefangen und genutzt werden können. Wenn ein SSL-Zertifikat verwendet wird, müssen jedoch auch gleichzeitig alle Daten der Webseite (also auch Bilder und Scripte) per SSL übertragen werden - hierauf muss man als Webseitenbetreiber achten. Eine einzige nicht per SSL übertragene Datei verursacht bereits ein Datenschutzproblem bei der verschlüsselten Übertragung. Im Browser erkennt man das meist an einem entsprechenden Hinweis, was dann auch jeder Besucher sehen wird.

Externe Inhalte

Ein weiterer technischer Aspekt sind Inhalte externer Anbieter, z.B. Werbung von GoogleAdsense. Diese können theoretisch ebenfalls Daten über die Besucher der Seite sammeln. Hier muss genau geprüft werden, ob es bei dem gewünschten Anbieter auch Datenschutzbestimmungen gibt und wie diese aussehen. Falls der jeweilige Anbieter bereits für Datenschutzverletzungen bekannt ist oder die Datenschutzbestimmungen nicht zufriedenstellend sind, sollte man einen anderen Anbieter wählen.

Was bedeutet das für Sie als Shopbetreiber?

Als Shopbetreiber müssen Sie auf folgendes achten:

ist die Serversoftware aktuell?
ist die Shopsoftware auf dem aktuellsten Stand?
was erfasse ich auf dem Server für Daten?
was erfasse ich im Shop für Daten?
welche Daten werden von externen Anbietern deren Quellcodes in der Webseite eingebaut wurden erfasst?
wo und wie werden Daten, die von Kunden eingegeben werden, gespeichert?
wie werden Daten, die von Kunden eingegeben werden, übertragen?
ist meine Datenschutzerklärung ausreichend?

Viele Antworten auf diese Fragen sollte Ihr Internetdienstleister wie auch Ihr Anwalt liefern können.

Was bedeutet das für Administratoren von Shops?

Als Administrator von Servern auf denen Shopsysteme laufen muss man beständig darauf achten, dass die aktuellste Software, die für den Betrieb notwendig ist, installiert ist. Hier ist der Aufwand bei PHP-basierten Shops durchaus hoch, was auch entsprechende Serverbetreuungskosten mit sich zieht.

Auch muss ständig geprüft werden, ob die Zugriffe auf die Daten nur durch befugte Personen geschieht. Unerlaubte Zugriffe müssen unterbunden werden um eine Datensicherheit zu gewährleisten.

Was bedeutet das für Internetnutzer?

Als Internetnutzer muss man beständig darauf bedacht sein welche persönlichen Daten man wo hinterlässt.

Wird man auf einer bisher unbekannten Seite, ohne es gewollt zu haben, dazu aufgefordert persönliche Daten einzugeben sollten die Alarmglocken angehen.

Bestellt man in einem Shop sollte man darauf achten, dass die dort eingegebenen Daten nur verschlüsselt übertragen werden. Auch sollte man die Datenschutzerklärung des Shops lesen und bei Fragen erst Kontakt mit dem Betreiber aufnehmen bevor man seine Daten eingibt.

Abschließende Bemerkung

Eine Webseite ist natürlich nur so sicher wie der Betreiber und der Internetdienstleister sie machen. Sie muss nicht nur gut aussehen und funktionieren. Die vielfältigen Techniken zum Datenschutz, allen voran ein SSL-Zertifikat und aktuelle Software, sollten verwendet werden.

Als Internetnutzer muss man immer die Augen aufmachen und nicht blind den Aufforderungen von Webseiten folgen. Hinterfragen Sie jede Eingabeaufforderung für persönliche Daten.