Welche Pflichten Webseitenbetreiber und KRITIS-Unternehmen jetzt haben

Kurz nach Bekanntwerden der kritischen Schwachstelle, die in der IT-Community unter dem Namen „php2shell“ diskutiert wird, reagierten die ersten großen Hosting-Anbieter rigoros. Sie nahmen unzählige Webseiten aus Sicherheitsgründen schlichtweg vom Netz. Parallel dazu begannen KRITIS- und NIS-2-verpflichtete Unternehmen hastig, Bestätigungen von all ihren Dienstleistern einzufordern, dass entsprechende Patches erfolgreich eingespielt wurden. Was auf den ersten Blick wie ein rein technisches Administrationsproblem wirkt, entfaltet in der Praxis eine enorme juristische Sprengkraft. Wer hier als verantwortlicher Webseitenbetreiber oder Agentur die Hände in den Schoß legt, riskiert nicht nur den unkontrollierten Ausfall seiner Systeme, sondern auch schwerwiegende rechtliche Konsequenzen. Wir sehen aktuell in der Beratung, dass Datenschutzbehörden und Vertragspartner bei solchen Vorfällen keinerlei Toleranz mehr zeigen.

Ein Praxisbeispiel: Wenn die Webseite plötzlich verschwindet

Wie schnell und unvorhergesehen diese Thematik durchschlägt, zeigt ein Vorfall, der uns in dieser Woche aus unserem direkten Umfeld erreicht hat. Am frühen Mittwochmorgen wurde ein regulärer Newsletter versendet, der unter anderem auf spannende KI-Prompts für die Auswertung von Datenschutz-Tätigkeitsberichten verlinkte. Kurz nach dem Versand ploppte die PHP-Sicherheitslücke in den Medien auf und wurde rasend schnell zum Topthema bei der Tagesschau und einschlägigen IT-Portalen. Am Mittwochnachmittag trudelten dann plötzlich E-Mails von Newsletter-Abonnenten ein, dass die verlinkten Seiten nicht mehr erreichbar seien.

Tatsächlich war die Webseite aus reinen Sicherheitsgründen komplett abgeschaltet worden. Die beteiligten Hosting-Anbieter, bei denen Server und Webspace gemietet waren, hatten extrem schnell und konsequent reagiert. Das Team eines Anbieters, das die betroffene Seite auf einem Managed Server hostet, entschied am frühen Nachmittag, schlichtweg alle Server, auf denen anfällige PHP-Anwendungen laufen, zu sperren. Diese Entscheidung war aus rechtlicher und technischer Sicht absolut richtig und notwendig. Denn noch am selben Tag erreichten den Betreiber der Seite die ersten E-Mails von KRITIS- und NIS-2-verpflichteten Partnerunternehmen. Diese forderten eine verbindliche rechtliche Bestätigung, dass die genutzten Systeme nicht mehr von dem „php2shell“-Problem betroffen sind und ein Patch eingespielt wurde. Da der Server unverzüglich offline genommen und erst nach erfolgreich installiertem Patch wieder ans Netz gelassen wurde, fiel die Antwort rechtlich sauber und geschmeidig aus. Doch nicht jeder Betreiber kommt bei solchen Vorfällen so glimpflich davon.

Deine rechtlichen Pflichten als Webseitenbetreiber

Wenn du eine Webseite, einen Onlineshop oder ein Kundenportal betreibst, bist du nicht nur für den Inhalt verantwortlich. Du trägst auch die volle juristische Verantwortung für die technische Sicherheit der Daten, die über deine Systeme fließen. Die Datenschutzgrundverordnung regelt in Artikel 32 ganz unmissverständlich, dass du als Verantwortlicher geeignete technische und organisatorische Maßnahmen, kurz TOMs, ergreifen musst, um ein angemessenes Schutzniveau zu gewährleisten. Der Gesetzgeber fordert hierbei ausdrücklich die Berücksichtigung des sogenannten „Stands der Technik“.

Das bedeutet in der Praxis: Du kannst eine Webseite nicht einfach einmalig programmieren lassen und sie dann jahrelang ohne Pflege im Netz stehen lassen. Der Stand der Technik entwickelt sich dynamisch weiter. Wenn eine kritische Sicherheitslücke in einer Basis-Technologie wie PHP bekannt wird, für die es bereits einen offiziellen Patch gibt, bist du rechtlich verpflichtet, dieses Update unverzüglich einzuspielen oder einspielen zu lassen. Tust du das nicht, fällst du hinter den gesetzlich geforderten Stand der Technik zurück. Kommt es dann zu einem Datenabfluss, weil Hacker die Lücke ausnutzen, handelst du mindestens fahrlässig. Du kannst dich in einem solchen Fall auch nicht einfach auf deinen Hosting-Anbieter oder deine Web-Agentur ausreden. Im Außenverhältnis zu deinen Nutzern und den Datenschutzbehörden bleibst du der Hauptverantwortliche. Du musst also vertraglich durch Auftragsverarbeitungsverträge und klare Service-Level-Agreements sicherstellen, dass deine Dienstleister solche kritischen Updates sofort umsetzen.

KRITIS und NIS-2: Strenge Vorgaben für die Lieferkette

Besonders brisant wird die Lage, wenn du als Webseitenbetreiber, Agentur oder IT-Dienstleister in der Lieferkette von kritischen Infrastrukturen oder großen, systemrelevanten Unternehmen stehst. Das Kürzel KRITIS steht für Unternehmen, deren Ausfall dramatische Folgen für die Versorgung der Bevölkerung hätte, wie etwa Stromversorger, Krankenhäuser oder Banken. Mit der neuen europäischen NIS-2-Richtlinie, die aktuell in deutsches Recht umgesetzt wird, weitet der Gesetzgeber diese Pflichten auf tausende weitere Unternehmen aus, die bisher nicht als klassische KRITIS galten.

Ein zentraler Baustein dieser neuen Sicherheitsarchitektur ist die sogenannte Lieferkettensicherheit. Ein Krankenhaus oder ein großer Logistiker muss nicht mehr nur die eigenen Server im Keller absichern. Diese Unternehmen sind gesetzlich gezwungen, die IT-Sicherheit all ihrer Zulieferer und Dienstleister zu überprüfen. Die Logik dahinter ist simpel, aber weitreichend: Hacker greifen oft nicht direkt den stark gesicherten Großkonzern an, sondern suchen sich das schwächste Glied in der Kette. Das kann eine kleine Marketing-Agentur mit einer ungepatchten PHP-Webseite sein, über die sich die Angreifer dann Zugang zu den Systemen des Großkunden verschaffen.

Deshalb müssen KRITIS- und NIS-2-Unternehmen bei Bekanntwerden einer solchen Schwachstelle sofort aktiv werden. Sie müssen dich als Dienstleister zwingend anschreiben und von dir den Nachweis verlangen, dass du deine Hausaufgaben gemacht hast. Wenn du diese Updates nicht machst oder nicht nachweisen kannst, dass deine Systeme sicher sind, gerät dein Auftraggeber in ein massives Compliance-Problem. Die Konsequenz ist dann oft drastisch: Das KRITIS-Unternehmen muss die digitale Verbindung zu dir kappen und im schlimmsten Fall die vertragliche Zusammenarbeit fristlos kündigen, um sich selbst vor horrenden Strafen zu schützen.

Schadenersatz und Bußgelder: Wenn der Patch fehlt

Die finanziellen und rechtlichen Risiken, die mit dem Ignorieren solcher Updates einhergehen, sind immens. Zunächst drohen empfindliche Bußgelder durch die Datenschutzaufsichtsbehörden. Wenn die Behörde bei einem Datenleck feststellt, dass ein bekannter Patch für eine kritische Lücke wie „php2shell“ über Tage oder Wochen nicht eingespielt wurde, sieht sie darin einen klaren Verstoß gegen Artikel 32 der DSGVO. Hier sieht das Gesetz Strafen von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes vor. Auch wenn solche Maximalstrafen meist Großkonzerne treffen, verhängen die Behörden auch gegen mittelständische Unternehmen regelmäßig Bußgelder im fünf- bis sechsstelligen Bereich.

Hinzu kommt das Risiko von Schadenersatzforderungen nach Artikel 82 der DSGVO. Wenn durch die ausgenutzte Sicherheitslücke personenbezogene Daten deiner Kunden, etwa Namen, E-Mail-Adressen oder gar Bankverbindungen, im Darknet landen, steht jedem einzelnen Betroffenen ein immaterieller Schadenersatz zu. Die deutschen Gerichte sprechen hier zunehmend Beträge zwischen wenigen hundert und mehreren tausend Euro pro Person zu. Bei einer großen Kundendatenbank summiert sich das rasend schnell zu existenzbedrohenden Beträgen.

Noch gefährlicher wird es im B2B-Bereich. Wenn über deine ungepatchte Webseite Schadsoftware in das Netzwerk eines KRITIS-Unternehmens eindringt und dort den Betrieb lahmlegt, wird dich dieses Unternehmen auf Basis eurer Verträge und der allgemeinen zivilrechtlichen Haftung für den entstandenen Millionenschaden in Regress nehmen. Bei Geschäftsführern von NIS-2-verpflichteten Unternehmen geht die Haftung künftig sogar noch einen Schritt weiter: Sie können persönlich und mit ihrem Privatvermögen haftbar gemacht werden, wenn sie das Risikomanagement und die Überwachung der Lieferketten grob vernachlässigen. IT-Sicherheit ist damit endgültig keine reine Technikfrage mehr, sondern das wichtigste Compliance-Thema auf dem Schreibtisch der Geschäftsführung.

Rechtliche Unterstützung bei IT-Sicherheitsvorfällen

Wir wissen, wie schnell man als Unternehmer in den Strudel eines IT-Sicherheitsvorfalls geraten kann. Oft stehen dann technische Notmaßnahmen, behördliche Meldepflichten und die Kommunikation mit panischen Kunden gleichzeitig an. In einer solchen Krise ist es essenziell, einen kühlen Kopf zu bewahren und rechtlich sauber zu agieren.

Wir bei WBS.LEGAL stehen dir genau in diesen kritischen Momenten zur Seite. Wir prüfen deine Verträge mit Hosting-Anbietern und IT-Dienstleistern, unterstützen dich bei der rechtssicheren Kommunikation mit Datenschutzbehörden im Falle eines Datenlecks und wehren unberechtigte Schadenersatzforderungen für dich ab. Auch wenn du als Dienstleister für KRITIS-Unternehmen arbeitest und deine Verträge an die neuen NIS-2-Vorgaben anpassen musst, sind wir dein verlässlicher Partner. Melde dich jederzeit bei uns – wir beraten dich pragmatisch, schnell und mit höchster juristischer Expertise, damit du dich wieder auf dein Kerngeschäft konzentrieren kannst.

hekem