Kundendaten nach Website-Hack geklaut – wer haftet rechtlich und vertraglich?

Statt jetzt Schuldige zu suchen, macht sofort folgende drei Dinge: 1) Wenn die 72-Stunden-Frist noch läuft, sofort Erstmeldung an die Datenschutzbehörde raus. 2) Server-Snapshot ziehen lassen und Beweise sichern, bloß nicht voreilig alles neu aufsetzen! 3) Fachanwalt für IT-Recht einschalten.

In den Standardverträgen von Agenturen steht fast immer: „Keine Haftung für Sicherheitslücken durch Drittanbieter-Plugins“. Für schlappe 350 EUR im Monat gibt dir niemand eine lückenlose Garantie gegen Exploits. Die Anwaltskosten fressen einen eventuellen Schadensersatz wahrscheinlich direkt wieder auf.

Wir hatten vor zwei Jahren einen fast identischen Fall. IT-Forensik hat uns 4.800 EUR gekostet, der Fachanwalt nochmal 3.200 EUR. Weil wir alles fristgerecht gemeldet und transparent aufgearbeitet haben, gab es von der Behörde nur eine Verwarnung statt Bußgeld. Die Klage gegen die Agentur zog sich 14 Monate hin und endete in einem lauen Vergleich.

Wichtig ist die juristische Trennung: Im Außenverhältnis (Behörde, betroffene Kunden) haftet ausschließlich ihr. Das Innenverhältnis zur Agentur ist eine rein vertragliche Geschichte. Und ganz wichtig: Liegt überhaupt ein AVV (Auftragsverarbeitungsvertrag) mit der Agentur vor? Wenn nicht, gibt es von der Behörde schon dafür direkt das nächste Bußgeld.

Bei uns meinte die Agentur damals auch: „War ein Brute-Force-Angriff auf den Server, unser Code ist sauber.“ Wir haben das von einem externen Gutachter prüfen lassen – Ende vom Lied: 2FA im Adminbereich war nicht erzwungen und eine bekannte Formular-Schwachstelle lag seit 6 Monaten ungepatcht rum. Mit dem Gutachten auf dem Tisch hat die IT-Haftpflicht der Agentur immerhin die Hälfte des Schadens übernommen.

Stehen im Vertrag konkrete Update-Intervalle? Also sowas wie „kritische Patches werden binnen 48 Stunden eingespielt“? Und ganz entscheidend: Waren die Kundendaten und Passwörter in der Datenbank ordentlich gehasht und gesalzt oder lagen die im Klartext?

das übliche Schwarze-Peter-Spiel: Die Agentur schiebt es auf den Hoster der Hoster auf den Plugin-Entwickler, und den Entwickler gibts nicht mehr dann naja die Rechnung zahlt am Ende immer der Domaininhaber. sucht euch am besten gleich Rechtsbeistand.

Ergänzung: Wurde unten schon gefragt, die Antwort habe ich im zweiten Beitrag geschrieben.

Da stimme ich zu. Das allein zu versuchen, ist der teuerste Weg.

Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus. Wenn deine Situation anders ist, ändert sich das natürlich.

Bleibe dran.

Bei mir war es genau umgekehrt deshalb schreibe ich das. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Das ist meine Meinung, ich behaupte nicht dass es absolut richtig ist.

betrachtet man den Prozess, ändert sich das Bild. scheut euch nicht zu fraegn wer nicht fragt, zahlt am Ende mehr.

wenn ihr das Ergebnis hier postet, hilft es auch anderen.

das wusste ich nicht.

In der Theorie stimmt das, in der Praxis läuft es nicht so. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Kein Prozess ohne Dokumentation verbessert sich weil man nicht weiß was man verbessern soll. Ich hoffe, das hilft dir weiter.

Die Diskussion ist abgeschweift ich fasse mal zusammen. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Ich hoffe, das hilft dir weiter.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Wenn deine Situation anders ist, ändert sich das natürlich.

Danke fürs Schreiben, das ist genau richtig. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Nur als Notiz, könnte nützlich sein.

Ich stimme zu. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Bleibe dran.