Zuletzt habe ich mich mit der DS-VGO und ihren Auswirkungen auf die Bloggerwelt beschäftigt (viel Panik, viel Unverständnis, viel Unverständnis). Heute werde ich versuchen, an Hand der konkret von mir getroffenen Maßnahmen im Bereich Kommentare, Backups und Jetpack aufzuzeigen, dass es eigentlich gar nicht so schwer ist, mit einem halbwegs guten Gefühl auf den 25. Mai zu warten, an dem die Verordnung ihre Wirkung entfaltet.

Disclaimer: Es handelt sich bei diesem Beitrag nicht um eine Rechtsberatung, zu der ich weder befähigt, noch bemächtigt bin. Es handelt sich um persönliche Sichtweisen und Ansätze, die  keinen Anspruch auf sachliche Richtigkeit oder Vollständigkeit erheben. Fachliche Fragen sollten in jedem Fall mit einem Rechtsanwalt besprochen werden.

Kommentare und Kontakt

Die Kommentarfunktion von WordPress speichert neben der obligatorischen E-Mail-Adresse, dem frei wählbaren Namen und der optionalen URL auch die IP-Adresse des Besuchers. Das ist blöd, da die IP zu den persönlichen Daten zählt und darum nicht ohne weiteres gespeichert werden sollte (mal ganz davon abgesehen, dass sie für uns als Blogger ohnehin nicht wirklich interessant ist). Das kann man aber ganz leicht umgehen. Das Plugin der Wahl nennt sich schlicht Remove IP und entfernt ZUKÜNFTIG die beim kommentieren hinterlassene IP-Adresse. Damit ist man als Seitenbetreiber schon einen guten Schritt weiter. Dummerweise bleiben aber die zum Zeitpunkt der Installation bestehenden Kommentare mitsamt der IP in der Datenbank erhalten. Um also auch die Bestandsdaten zu bereinigen, bleibt uns leider nichts anderes übrig, als in der Datenbank selbst tätig zu werden. Ich würde empfehlen, vor der Bearbeitung in jedem Fall ein Backup anzulegen (man weiß ja nie) und sich dann nach der Anleitung von Steffen Horstmann im Kritzelblock zu richten. Ist nicht schwer, tut nicht weh und befreit uns von einem weiteren Stein, der uns im Zug der Datenschutzrichtlinien im Magen liegt.

Wichtig ist es wohl zukünftig auch, die Benutzer schon vor dem Abgeben des Kommentars darauf hinzuweisen, dass persönliche Daten geloggt werden. Am einfachsten ist das mit einer zusätzlichen Checkbox zu realisieren, die vor dem Kommentieren angehakt werden muss. Auch hier können Plugins verwendet werden, die mühselige Arbeit im Code verhindern. Zum einen kann WP GDPR benutzt werden, welches neben der Checkbox bei den Kommentaren auch gleich ein Ticketsystem für User-Anfragen zum Datenschutz mitbringt und anscheinend auch mit den Jetpack-Kommentaren zurecht kommt.

Daneben bietet sich die Verwendung von WPGDPR Compliance an. Hier wird zwar kein Anfragensystem mitgeliefert und es funktioniert derzeit nur mit den “normalen” WP-Kommentaren ohne Jetpack-Aufsatz, dafür ist es aber in der Lage, auch im beliebten Formular-Plugin Contact Form 7 eine Checkbox einzubauen – für mich perfekt, da ich eben jenes für die Einbindung des Kontaktformulares verwende und auch hier darauf geachtet werden muss, dass der Leser der Übermittlung seiner Daten aktiv zustimmt. Es muss nach der Aktivierung aber gewährleistet sein, dass die Anfrage SSL-verschlüsselt und nicht an einen Drittanbieter wie gmail & Co. geschickt wird. Hier hätten wir nämlich nach oft gehörter Meinung wieder eine Auftragsdatenverarbeitung, die eines Vertrages bedarf. Also am besten eine eigene Adresse für das Formular beim Hoster einrichten und auf der sicheren Seite sein (zumindest, wenn die Übermittlung von Mailserver an Mailclient ebenfalls verschlüsselt ist – was aber eigentlich Standard sein sollte).

WordPress nach Haus telefonieren – Versteckte Stolpersteine

Einige kleine Datenschutzstolpersteine verstecken sich auch an fiesen Stellen im WordPress-Kern, die man so gar nicht wahrnimmt. Zum einen wären da die Emojis. Ja, die Emojis, diese kleinen niedlichen Smileys, die man gern mal unachtsamerweise einbaut. Sie werden von den WordPress-Servern geladen, wofür natürlich eine Verbindung zum Leser hergestellt werden muss. Schwupps, IP übermittelt, Datenschutzziel verfehlt. Schon wieder blöd. Damit diese nervigen niedlichen kleinen Dinger als gar nicht auftauchen und zu einem Risiko werden, deaktivert man sie am besten gleich. Entweder via Plugin oder mit einem Code Snippet in der Functions.php, bei FastWP findet ihr beide Möglichkeiten in gut erklärter Form. Ich selbst nutze Autoptimize, um das Blog ein bisschen in Hinsicht auf die Ladegeschwindigkeit zu optimieren, welches auch die Möglichkeit bietet, den Smileycode zu entfernen. Und ganz nebenbei auch Google Fonts deaktiveren kann, den Grund dafür hatte ich im letzten Beitrag zum Thema schon angerissen.

Wer in den Kommentaren auf Gravatar-Bilder setzt, hat sich ebenfalls einen Tracker ins Fell gesetzt, der gegebenenfalls zum Stolperstein werden kann. Klar, grundsätzlich ist es nett, auf den ersten Blick zu erkennen, wer kommentiert hat. Aber mal ehrlich: Ist es essenziell? Eigentlich ja nicht, denn es sollte ja mehr auf den Inhalt ankommen. Also kurzerhand im Backend unter Einstellungen -> Diskussion die Avatare deaktiviert und schon ist Ruhe.

Das beliebte Jetpack-Plugin bietet übrigens die Möglichkeit, auf der Seite eingebundene Bilder über die WordPress-Server zu laden. Klingt schon nach Datenversand, nicht wahr? Ich denke, dass es sich auch hier um eine problematische Funktion handelt, die a) nicht übermäßig viel Speed bringt, wenn man die Bilder schon vor dem Upload optimiert und b) damit ziemlich unnötig ist. Also, raus damit.

Newsletter – oder: Blog per E-Mail folgen?

Ob die Folgenfunktion tatsächlich mit einem Newsletter gleichzusetzen ist, weiß ich nicht mit Bestimmtheit. Die Vermutung liegt aber nahe, da die Funktionalität weitestgehend identisch ist. Mit der DSGVO müssen auch Newletter-Abonnenten eindeutig über ihre Rechte aufgeklärt werden, ein Double-Opt-In ist erforderlich und ein ADV muss abgeschlossen werden. Bei der Folgen-Funktion haben wir keine Möglichkeit, den Text der automatisch generierten Mail anzupassen und Automattic bietet nicht die Möglichkeit, einen ADV abzuschließen. Nicht nur blöd, sondern sogar ziemlich blöd. Nach meinem Eindruck ist die Funktion damit ab dem 25.05. nicht mehr zu nutzen (und, um ehrlich zu sein, auch heute schon nicht mehr zulässig). Mir würde es jetzt nicht übermäßig wehtun, sie komplett rauszuschmeißen (wird eh nur von einer Handvoll Menschen genutzt), wer aber weiterhin seine Follower halten möchte, wird wohl tatsächlich auf einen Anbieter wie Mailchimp setzen müssen, der zumindest derzeit daran arbeitet, DSGVO-konform zu werden. Allerdings: Die bereits gesammelten Adressen dürfen nicht ohne weiteres migriert werden. Und die User aus dem Blogverteiler per Mail informieren dürfte auch nicht zulässig sein, da die dort gesammelten Adressen ausschließlich für den Zweck, neue Beiträge zu empfangen, gespeichert wurden. Ich schwanke hier noch ein bisschen und warte ab, ob der WP Core mit dem nächsten Update etwas freizügiger mit der Funktion umgeht. Wenn nicht, wird sie ersatzlos gestrichen.

Sicherheit und Backups

Die verbreiteten Security-Tools sind nicht unumstritten. Manche bezweifeln, dass sie überhaupt eine Existenzberechtigung haben, Datenschützern dürften sie in vielen Fällen ohnehin ein Dorn im Auge sein. Das beliebte Akismet-Antispam telefoniert ohne Eingriffsmöglichkeit nach Hause und übermittelt Daten an einen externen Server. Darum wird schon ewig dazu geraten, es nicht zu benutzen. Eine Alternative ist Antispam-Bee, welches bei deaktiviertem Blacklist-Abgleich ohne Probleme datenschutzkonform eingesetzt werden kann.

Für die Blogsicherheit als solches setze ich auf die Kombination aus iThemes Security und Ninja Firewall. Beide Plugins dürften sicherlich nicht ganz ungefährlich sein, wobei iThemes in erster Linie eine Sammlung von Core-eigenen Funktionen darstellt, die hier mittels einfacher Schalter aktiviert werden können. Allerdings bietet es auch die Möglichkeit eines globalen Blacklistings, wofür die IP-Adressen natürlich an die iThemes-Server übertragen werden müssen. Das ist, wie auch bei Akismet, unzulässig und sollte unbedingt deaktiviert werden. Das Tool bietet auch einen lokalen Bruteforce-Schutz, bei dem die IP-Adressen von Benutzern, die zu viele vergebliche Anmeldeversuche haben, gespeichert und gesperrt werden – das sollte also in jedem Fall in der Datenschutzerklärung auftauchen. Es werden hierbei jedoch keine Daten übermittelt, sodass nach meinem Verständnis keine allzu großen Probleme mit dem Datenschutz auftreten dürften und (auch das rein nach meinem persönlichen Dafürhalten!) ohnehin unter die Einschränkung des “berechtigten Interesses” fallen sollten. Es geht dabei schließlich auch um die Sicherheit der gespeicherten Daten.

Auch die Ninja Firewall loggt IPs – und zwar alle, die die Seite betreten. Klingt gefährlich, und ist vielleicht auch nicht so ganz astrein. Aber auch hier geht es um ein berechtigtes Interesse, zumal ich die Log-Funktion auf einen Zeitraum von 3 Tagen beschränkt habe, nach denen die Aufzeichnungen automatisch gelöscht werden. Das gibt mir genug Zeit, einen eventuellen Angriff zu identifizieren, sorgt aber auch dafür, dass IP-Adressen, die “eine blütenweiße Weste” haben, nicht zu lange auf dem Server gespeichert werden. Zudem habe ich in den Optionen die Anonymisierung der IP-Adresse aktiviert, wodurch sie nicht mehr unmittelbar einem Benutzer zugeordnet werden können. Eine Datenübermittlung an einen Drittserver findet bei deaktiviertem (ist bei mir der Fall, dafür habe ich ja iThemes) Bruteforce-Schutz meines Wissens nach nicht statt.

Backups – versteckte Datenspeicherung

Wer schon einmal einen totalen Datenverlust hatte, weiß die Möglichkeit der automatischen Backups zu schätzen. Allerdings muss man auch hier gewisse Punkte beachten. Das beliebte Plugin Updraft Plus bietet zwar allerhand Einstellmöglichkeiten, es fehlt in der kostenfreien Version aber die Möglichkeit, die Backups SSL-verschlüsselt zu übertragen – was beim Senden persönlicher Daten Pflicht ist. Und persönliche Daten haben wir auch in den Sicherungsdateien in Form von IPs, e-Mail-Adressen und Klartextnamen.

Die bessere Alternative ist BackWPup. Es bietet auch in der Freeversion SSL-Verschlüsselung und die Möglichkeit, die Daten auf dem eigenen FTP zu hinterlegen. Damit ist man unabhängig von Drittanbietern wie Dropbox, die ohnehin mit der DSGVO zu problematischen Speicherquellen für diese Art von Daten werden dürften – zumindest, solange sie ihr Angebot nicht dementsprechend umgestalten.

Schon wieder knapp 1500 Wörter Technikblah, ich glaube, es ist jetzt an der Zeit, einen weiteren Break zu machen. Im dritten und voraussichtlich letzten Teil der Reihe werde ich noch auf SSL-Zertifikate und ADV-Verträge eingehen und meine persönliche Checkliste inklusive dem für die einzelnen Schritte nötigen Zeitaufwand präsentieren – und damit aufzeigen, dass es gar nicht so schwer ist, sich sicher zu fühlen. Und auch nicht so lange dauert, wie es auf den ersten Blick scheint.

Sebastian

Ich bin hier auf dem Blog zuständig für alles, bei dem es ordentlich knallt und bei dem eine Menge Blut fließt. Soll heißen, mein Fokus bei Filmen und Büchern liegt auf Action, Thrillern und Horror. Davon ab bin ich aber auch anderen Genres nicht abgeneigt, SciFi und Fantasy findet sich ebenso wie eher ruhige Titel unter meinen Favoriten.

Letzte Artikel von Sebastian (Alle anzeigen)