Eine Website aufzubauen ist der schöne Teil: Man bastelt, gestaltet, und am Ende steht etwas Eigenes im Netz. Wie das mit kleinem Budget geht, habe ich im Beitrag Eigene Website für Kreative (funeralhomefilms.de) gezeigt. Sobald die Website online ist, beginnt aber der Teil mit der Verantwortung und es wird einiges an Due-Diligence notwendig.
Impressum, Datenschutz, Absicherung, Backups – genau darum geht es in diesem Beitrag. Klingt trocken, entscheidet aber darüber, ob deine digitale Bastion ein Rückzugsort bleibt oder zur offenen Flanke wird.
Kurz zu mir
Ich studiere Informatik im dualen Studium, arbeite hauptberuflich im DevOps-Bereich und pflege privat seit einigen Jahren meine Websites. Nebenbei bin ich bei funeralhomefilms im Produktions- und Tonstab plus allgemeiner Verwaltung tätig – als Technik-Experte sorge ich dafür, dass unsere Kurzfilme aus Hamburg reibungslos umgesetzt werden, von Arbeit am Set bis zur Verwertung nach Release.
Datenschutz & Rechtliches
Sobald du einen digitalen Dienst betreibst, brauchst du ein Impressum. Da „digitaler Dienst“ sehr weit gefasst ist, gilt: hab immer ein Impressum. Seit Mai 2024 regelt das Digitale-Dienste-Gesetz (DDG) (ehemals TMG) die Pflichtangaben. Was genau rein muss, schlägst du am besten aktuell nach – deine lokale IHK hat meist einen guten Beitrag dazu.
Sobald du Daten erfasst, brauchst du außerdem eine Datenschutzerklärung. Bereits der Betrieb eines Webservers erfasst die IP-Adressen von Besuchern, welche als personenbezogene Daten zählen. Die temporäre Speicherung ist als berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) ohne explizite Einwilligung erlaubt. Du hast aber eine Informationspflicht: Deine Datenschutzerklärung muss erklären, welche Daten erfasst werden und warum.
Erst wenn deine Site Cookies setzt, personalisierte Analyseprofile anlegt oder Login-Bereiche hat, brauchst du zusätzlich ein aktives Einwilligungssystem (Cookie-Banner). Dann reicht die statische Datenschutzerklärung alleine nicht mehr.
Selbst deine digitale Lieferkette musst du beachten. Betreibst du deinen Webserver bei einem Hosting-Anbieter, musst du mit ihm einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abschließen. Viele Hoster bieten diesen direkt im Kundenportal an.
Um sich gegen das Risiko einer Abmahnung abzusichern, sollte man sich anwaltlichen Rat einholen. Daraus wird spätestens ein „Muss“, wenn du ein Abmahnschreiben erhältst. Häufig werden darin unverhältnismäßige Forderungen gestellt oder diese Schreiben sind selbst nicht rechtens. Ein Anwalt spart dir hierbei dann einiges an Kosten.
Übrigens gelten rechtliche Vorgaben auch für Referral-Links wie unseren dogado-Link im Setup-Beitrag (funeralhomefilms.de): Empfehlungen, an denen man verdient, sind kommerzielle Kommunikation und müssen als solche erkennbar sein. Deshalb steht dort der Transparenz-Hinweis direkt daneben – Schleichwerbung ist nicht nur unehrlich, sondern auch abmahnfähig.
Tipps in WordPress
Nutzt man ein CMS – insbesondere WordPress – ist es meist nicht auf die aktuelle europäische Rechtslage zugeschnitten und muss angepasst werden. Daher will ich dir für WordPress ein paar Tipps mitgeben:
- Über Plugins und Themes holst du dir schnell Google-Fonts auf deine Website. Vor einigen Jahren gab es eine große Abmahnwelle deswegen – welche sich übrigens im Nachhinein als nicht rechtens herausstellte. Wenn ein Besucher auf deine Website geht, dann wird automatisch eine Anfrage an Google gesendet, um die Schriftart herunterzuladen. Es ist besser, Google-Fonts zu vermeiden oder hinter ein aktives Einwilligungssystem zu stellen. Am elegantesten geht die Einbindung von Google-Fonts, indem die Schriftarten auf deinem eigenen Server hinterlegt werden, dann wird die ganze Problematik mit externen Anfragen umgangen.
- WordPress bindet automatisch einen Emoji-Service ein, welcher für alte Browser Emojis mit äquivalenten Grafiken austauscht. Heutzutage löst dies kein Problem, jeder aktuelle Browser unterstützt Emojis. Diese externe Anfrage ist also zu unterbinden.
- Für ein aktives Einwilligungssystem und die Verwaltung von Impressum und Datenschutzerklärung gibt es eine Vielzahl von Plugins. Große Unterschiede zwischen diesen gibt es selten und alle Plugins wollen ab einem bestimmten Punkt bezahlt werden. Ich persönlich habe gute Erfahrungen mit DSGVO-All-in-One gemacht, bereits in der kostenlosen Version löst es kompetent einige Probleme. In der bezahlten Version kommen einige wünschenswerte Features hinzu. Neben Google-Fonts kann es dann auch die Thumbnails von YouTube-Videos auf deinen Server laden, sodass Besucher ohne Einwilligung keine Anfragen an Google senden, und deine Website in der gewollten Form einsehbar ist. Für die lebenslange Nutzung dieses Plugins zahlt man einen fairen Preis, nur für Updates kann man jährlich erneut zahlen. Auch wenn es sich um ein bezahltes Plugin handelt, verlinke ich es. Dieser Link ist kein Referral-Link und es gibt keine Absprache, welche dafür sorgen würde, dass der Link hier platziert wurde:
dsgvo-for-wp.com - Beobachte das tatsächliche Verhalten deiner Website für einen Besucher, welcher noch keine Einwilligungen gegeben hat. Hier sind Private Fenster und die Entwicklerkonsole deines Browsers dein Freund, lerne mit ihnen umzugehen. In der Rubrik Netzwerk der Entwicklerkonsole kannst du nachschauen, wohin dein Besuch alles Anfragen sendet. Wenn dort neben deiner Domain auch fremde Domains auftauchen, solltest du nachforschen, weshalb dies passiert und dein WordPress so konfigurieren, dass es unterlassen wird. Taucht ein altes Problem wieder auf oder wird es vom zuständigen Plugin nicht gelöst, dann liegt es oft an einem Konflikt zwischen mehreren Plugins. Häufig sind Minify- und Optimierungs-Plugins schuldig und müssen entsprechend angepasst werden.
Basic Analytics
Wenn du wissen willst, ob jemand deine Website besucht und Zeit dort verbringt, ist der Standard Google Analytics – was aber datenschutzrechtlich der unbequemste Weg ist: Die Daten fließen an Google.
Wir nutzen stattdessen Matomo, self-hosted auf unseren eigenen Servern. Die Daten bleiben bei uns, und in einer datensparsamen Konfiguration (ohne Cookies oder Fingerprinting, mit gekürzten IP-Adressen) kann der Betrieb ohne Einwilligungs-Banner vertretbar sein – die Rechtslage ist hier in Bewegung, im Zweifel nachlesen oder beraten lassen. Jedoch: Matomo braucht etwas Pflege und zählt Besuche konservativer als Google. Für ein Portfolio reicht das aber völlig.
Sicherheit
Als Betreiber deiner eigenen Website bist du für die Absicherung dieser und deines Webservers verantwortlich. Insbesondere CMS-Systeme bieten Login-Portale und externe Schnittstellen, welche es abzusichern gilt. Schlimmstenfalls kann deine Website gekapert und dann eingesetzt werden, um deinen Ruf zu schädigen. Wird dein Webserver gehackt, dann könnte er für weiterführende kriminelle Machenschaften missbraucht werden und strafrechtlich sind diese erstmal auf dich zurückzuführen. Der Sicherheitsaspekt sollte also im Blick behalten werden.
Webserver absichern
Es ist nie auszuschließen, dass etwas gehackt wird. Du kannst aber dein Bestes geben, dieses Risiko zu minimieren. Dieser Prozess beginnt mit der Abhärtung deines Servers. Hast du ein Webhostingpaket, wird dieser Schritt meist von deinem Hoster übernommen. Bei einem geteilten Server entsteht ein gewisses Klumpenrisiko. Angreifer könnten bei einem anderen Nutzer eindringen und dann einen Weg in deine Umgebung finden. Solche Angriffe sind nicht leicht durchzuführen, sollen aber manchmal vorkommen.
Auch wenn dein Server bereits abgehärtet ist, hast du trotzdem die Verantwortung für deine Zugangsdaten zu dem Server und deinen Kundenaccount. Diese sind sicher zu verwahren, bestenfalls in einem lokalen Passwortmanager. Ich selbst verwende KeePassXC (keepassxc.org) und bin damit zufrieden. Auch die Geräte, auf denen die Zugangsdaten liegen und verwendet werden, sollten entsprechend vertrauenswürdig und abgesichert sein.
Betreibst oder mietest du deinen eigenen Server und verfügst über vollen Root-Zugriff auf diesen, dann liegt die Verantwortung der Härtung bei dir. Online findest du viele Ressourcen dazu, wie ein Server abzuhärten ist. Ich empfehle folgenden Beitrag aus der Hetzner Community, dort werden die Grundlagen unter Ubuntu (weit verbreitete Linux-Distribution) sehr gut erklärt: community.hetzner.com
WordPress absichern
Der Server ist die eine Hälfte, das CMS die andere. Angriffe auf das CMS sind meistens deutlich leichter durchzuführen. Generell sind folgende Aspekte zu beachten:
- Updates: Aktiviere automatische Updates. Minor-Versionen und Sicherheits-Patches laufen meist problemlos durch, Major-Updates von Core, Themes und Plugins können Probleme verursachen. Daher sollten Backups vorhanden sein.
- Plugin-Hygiene: Jedes Plugin ist fremder Code mit vollem Zugriff auf deine Website. Daher ist weniger mehr. Achte auch darauf, dass die Plugins aktiv mit Updates versorgt werden.
- Login absichern: Starke und einzigartige Passwörter, Zwei-Faktor-Authentifizierung und eine Begrenzung der Login-Versuche sind das Mindeste, was man tun kann. Automatisierte Bots probieren rund um die Uhr Passwörter an jedem öffentlich erreichbaren Login-Formular aus. Falls du mehrere Webdienste selbst betreibst, lohnt sich ein Blick auf Identity-and-Access-Management-Systeme (IAM), mit denen du den Login per OAuth delegieren kannst. In diesem Fall kannst du den Passwort-Login bei WordPress sogar ganz deaktivieren.
- Minimale Rechte: Schreibe Beiträge nicht mit dem Administrator-Konto. Ein Konto mit eingeschränkten Rechten für die tägliche Arbeit begrenzt den Schaden, falls Zugangsdaten doch einmal abhandenkommen.
- Schnittstellen im Blick: REST-API, XML-RPC und KI-Schnittstellen wie MCP sind Türen in deine Website. Öffne nur die, die du tatsächlich brauchst, und sichere sie ab.
Backups
Backups sind deine letzte Verteidigungslinie; gegen Angreifer, kaputte Updates und die eigenen Fehler. Achte dabei auf folgendes:
- Sichere immer beides: die Dateien (Uploads, Themes, Plugins, Konfiguration) und die Datenbank. Das eine ohne das andere ist im Ernstfall wertlos.
- Lagere mindestens eine Kopie außerhalb deines Webservers. Ein Backup, das auf demselben Server liegt wie die Website, geht mit ihr zusammen unter. Unter idealen Bedingungen hältst du die 3-2-1-Backup-Regel ein.
- Teste die Wiederherstellung mindestens einmal. Ein Backup, das nie restauriert wurde, setzt auf die Hoffnung, dass es funktionieren wird.
- Vor jedem größeren Update oder Experimenten mit Themes und Plugins: manuelles Backup.
Fazit
Datenschutz, Sicherheit und Backups sind kein einmaliges Projekt, sondern laufende Pflege. Wer diese Routine von Anfang an einplant – ein paar Stunden im Monat –, hat den unangenehmen Teil des Website-Betriebs im Griff, bevor etwas schiefgeht.
Und falls deine Website noch gar nicht existiert: Wie du mit kleinem Budget dorthin kommst, steht im Setup-Beitrag: funeralhomefilms.de.