Prüfpunkt software.cache.privat_oeffentlichSitzung, Cookies und Zahlungsdaten
Ein Kunde sieht fremde Daten auf Ihrer Website: wie gehen Sie vor?
Meldet ein Kunde fremde Namen, Adressen oder Bestellungen in seinem Konto, lassen Sie zuerst den Zwischenspeicher für Konto und Warenkorb abschalten. Danach werden Belege gesichert, und Sie klären, ob die Frist von 72 Stunden läuft. Steckt ein Zwischenspeicher dahinter, hat er die Seite eines Besuchers an den nächsten weitergegeben. Für die Betroffenen ist das Ergebnis dasselbe wie bei einem Einbruch: Fremde haben ihre Daten gesehen.
Erst abschalten, dann leeren, dann alle abmelden
Bitten Sie Ihre Agentur oder Ihren Hoster, den Zwischenspeicher für Konto, Warenkorb, Kasse und alles nach der Anmeldung sofort abzuschalten. Sind die Belege gesichert, wird er geleert; in dieser Reihenfolge füllt er sich nicht gleich wieder. Den Speicher im Browser erreicht Ihr Server über die Kopfzeile Clear-Site-Data mit dem Wert cache, sobald dieser Browser wieder eine Antwort bekommt; das geht nur über HTTPS. Zum Schluss beendet Ihre Agentur alle laufenden Sitzungen, damit ein weitergegebenes Sitzungs-Cookie nichts mehr öffnet. Steam hat seinen Laden 2015 in dieser Lage ganz vom Netz genommen, bis alle Einstellungen geprüft waren.
Uhrzeit, Adresse und Kopfzeilen sichern, bevor der Speicher leer ist
Notieren Sie, wer wann was gemeldet hat, samt Adresse der Seite. Bitten Sie den Kunden um ein Bildschirmfoto. Ihre Agentur sichert vor dem Leeren die Kopfzeilen der betroffenen Seite, die Regeln des Zwischenspeichers und das Protokoll des Servers. Daraus ergibt sich, in welchem Zeitraum welche Adressen weitergegeben wurden und wie viele Kunden es betreffen kann. Steam konnte das nach seinem Vorfall benennen: 11:50 bis 13:20 Uhr pazifischer Zeit, Anfragen von rund 34.000 Kunden.
Die Frist von 72 Stunden beginnt, sobald Sie davon wissen
Die DSGVO zählt auch eine unbeabsichtigte Offenlegung personenbezogener Daten als Verletzung ihres Schutzes (Art. 4 Nr. 12). Der Verantwortliche meldet sie unverzüglich und möglichst binnen 72 Stunden an die Aufsichtsbehörde, nachdem sie ihm bekannt wurde, außer es besteht voraussichtlich kein Risiko für die Betroffenen (Art. 33). Ist das Risiko voraussichtlich hoch, benachrichtigt er auch die betroffenen Personen (Art. 34). Dokumentiert wird jede Verletzung, auch ohne Meldung (Art. 33 Abs. 5). Ob Ihr Fall dazu gehört, beurteilt Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung; holen Sie sie am ersten Tag dazu.
Gesucht wird zuerst bei der letzten Änderung
Fragen Sie, was sich zuletzt geändert hat: ein neues Content Delivery Network, eine neue Regel dort, ein Plugin für den Seitenspeicher, ein Update. Bei Steam war es eine Umstellung während eines Angriffs. Danach lesen Sie die Kopfzeilen Cache-Control und Set-Cookie einer betroffenen Seite; steht dort public neben einem Cookie, ist eine Ursache gefunden. Zeigt die Website auch nach dem Abschalten fremde Daten, sucht Ihre Agentur in der Anwendung selbst weiter.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Gilt NIS2 für mich, und was ändert der Cyber Resilience Act an meiner Website?NISG 2026 in Österreich, BSI-Gesetz in Deutschland, Cyber Resilience Act: Schwellen, Fristen, Pflichten und was kleine Betriebe über ihre Kunden erreicht.
- Wie wird eine kleine Website angegriffen?Bekannte Lücken, Anmeldung, Fehlkonfiguration, fremde Skripte: die Wege in kleine Websites nach BSI, ENISA, Verizon und Patchstack. Woran Sie jeden erkennen.
- Wann sollte Ihre Website eine Sitzung anlegen?Legt eine Website je Abruf eine neue Sitzung an, wachsen Speicher und Last, und Zwischenspeicher helfen nicht mehr. Die Prüfung misst das an der Startseite.
- Welche Dateien dürfen auf dem Webserver nie abrufbar sein?Versionsverwaltung, Konfiguration mit Passwörtern und Sicherungskopien gehören nicht ins Webverzeichnis. Die Prüfung ruft fünf typische Adressen ab.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Sitzung, Cookies und Zahlungsdaten. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
