Die technische Kernfrage
Nicht jede kompromittierte Website führt automatisch zu einem nachgewiesenen Abfluss personenbezogener Daten. Umgekehrt beweist eine bereinigte Website nicht, dass zuvor kein Zugriff stattgefunden hat. Entscheidend ist, welche Daten erreichbar waren, welche Fähigkeiten der Schadcode hatte und welche verlässlichen Spuren für den relevanten Zeitraum vorhanden sind.
Typische Prüffelder
- Webserver-, WAF-, CDN-, SFTP- und Hosting-Logs
- WordPress-Benutzer, Sitzungen, Rollen und Anwendungspasswörter
- Formular-, Shop- und Exportfunktionen
- Datenbankabfragen, Dumps und ungewöhnlich große Antworten
- ausgehende Netzwerkverbindungen und fremde Endpunkte
- Funktion und Ausführungszeitraum gefundener Malware
„Kein Hinweis gefunden“ bedeutet nur, dass in den verfügbaren Daten kein belastbarer Indikator gefunden wurde. Es bedeutet nicht automatisch „kein Abfluss“.
Technische und rechtliche Rollen trennen
Die technische Untersuchung liefert Zeitleiste, betroffene Datenbestände, Indikatoren und Grenzen. Die Entscheidung über Melde- oder Informationspflichten trifft der Verantwortliche mit Datenschutzbeauftragten oder Rechtsberatung. Die DSGVO nennt für meldepflichtige Verletzungen grundsätzlich eine Frist von 72 Stunden ab Bekanntwerden; ob eine konkrete Pflicht besteht, ist eine rechtliche Risikobewertung.
Zeitkritisch, aber nicht spekulativ
Technische Fakten früh sichern und intern eskalieren. Keine voreilige Entwarnung und keine unbelegte Behauptung eines Abflusses.
Ergebnisformat
Ein brauchbarer Bericht ordnet jeden Punkt als bestätigten Befund, plausibles Indiz, widerlegten Verdacht oder offene Grenze ein. Dadurch können Verantwortliche nachvollziehbar entscheiden, ohne technische Unsicherheit zu verschleiern.
Was bedeutet „Datenabfluss“ technisch?
Ein Datenabfluss setzt voraus, dass Daten die vorgesehene Vertrauensgrenze verlassen oder einem unberechtigten Empfänger zugänglich werden. Bei WordPress kann das über einen Datenbankdump, eine manipulierte Exportfunktion, abgegriffene Formularübermittlungen, fremde Administratorzugriffe oder extern nachgeladenen JavaScript-Code geschehen.
Nicht jeder unberechtigte Dateizugriff betrifft personenbezogene Daten. Umgekehrt kann ein Angriff auf ein Formular Daten abgreifen, ohne dass ein vollständiger Datenbankexport sichtbar ist. Zuerst wird deshalb ein Dateninventar erstellt: Welche Datenarten lagen wo, welche Komponenten konnten darauf zugreifen und welche externen Systeme erhielten regulär Übermittlungen?
Welche Befundklassen verhindern falsche Gewissheit?
Eine klare Klassifikation hält technische Aussagen überprüfbar:
| Klasse | Bedeutung | Beispiel |
|---|---|---|
| Bestätigt | Eine belastbare Quelle belegt Zugriff oder Übertragung. | Ein vollständiger Request-/Response-Verlauf zeigt den Export an ein fremdes Ziel. |
| Starkes Indiz | Mehrere Spuren passen zusammen, aber ein Glied fehlt. | Exportfähiger Schadcode lief im Zeitraum ungewöhnlicher ausgehender Verbindungen. |
| Kein Hinweis gefunden | Die geprüften Quellen enthalten keinen passenden Befund. | WAF- und Webserverlogs zeigen im verfügbaren Zeitraum keinen Exportpfad. |
| Nicht beurteilbar | Relevante Quellen fehlen oder decken den Zeitraum nicht ab. | Access-Logs wurden vor der Sicherung rotiert. |
„Nicht beurteilbar“ ist kein technisches Versagen, sondern eine wichtige Aussage für die Risikobewertung. Eine Entwarnung wäre hier sachlich falsch.
Wie entsteht eine belastbare Zeitlinie?
Beginnen Sie nicht beim Entdeckungsdatum, sondern bei der frühesten nachweisbaren Abweichung. Das kann eine Anmeldung, ein Datei-Upload, eine Rollenänderung, eine neue geplante Aufgabe oder ein ungewöhnlicher ausgehender Request sein. Normalisieren Sie alle Zeitangaben auf eine Zeitzone und halten Sie Abweichungen von Serveruhren fest.
Verbinden Sie anschließend:
- bekannte Komponentenversionen und Änderungen;
- Authentifizierungs- und Administrationsereignisse;
- Datei- und Datenbankänderungen;
- Web-, WAF-, CDN- und Netzwerkereignisse;
- den Zeitpunkt sichtbarer Symptome und der Eindämmung.
Ein einzelner großer Response ist noch kein Datenbankdump. Aussagekraft entsteht durch Kontext wie aufgerufenen Endpunkt, authentifizierte Identität, Antworttyp, Datenmenge, Ziel und wiederkehrendes Muster.
Welche Rolle spielt der gefundene Schadcode?
Schadcode wird nicht nur per Signatur benannt, sondern nach Fähigkeit analysiert. Konnte er Datenbankabfragen ausführen, Dateien lesen, Formulareingaben kopieren, Browsercode einschleusen oder externe Verbindungen aufbauen? War eine Authentifizierung erforderlich? Welche Trigger und Bedingungen steuerten die Ausführung?
Aus einer Fähigkeit folgt nicht automatisch eine tatsächliche Nutzung. Der Code kann einen Export ermöglichen, ohne dass verfügbare Spuren dessen Ausführung zeigen. Umgekehrt kann ein bereits gelöschter externer Payload eine vollständige Fähigkeitsanalyse verhindern. Der Bericht trennt daher „konnte“ von „hat nachweislich“.
Warum sind negative Aussagen besonders schwierig?
Die Aussage „Es gab keinen Datenabfluss“ erfordert eine nahezu vollständige Beobachtbarkeit des relevanten Zeitraums. In typischen Hostingumgebungen fehlen jedoch DNS-, Prozess-, Datenbank- oder ausgehende Netzwerklogs. Auch kurze Aufbewahrungsfristen und vorgelagerte Proxies erzeugen Lücken.
Eine Abwesenheit von Belegen ist nur dann aussagekräftig, wenn die geprüfte Quelle das erwartete Ereignis zuverlässig aufgezeichnet hätte, vollständig vorliegt und nicht manipulierbar war.
Deshalb formuliert die indikatorenbasierte Prüfung Reichweite und Lücken. Eine beweissichere forensische Untersuchung kann zusätzliche Anforderungen an Datenträgerabbilder, Chain of Custody und reproduzierbare Werkzeuge stellen, die nicht Teil jeder WordPress-Bereinigung sind.
Was sollte ein technischer Bericht enthalten?
Ein entscheidungsfähiger Bericht enthält Untersuchungszeitraum, Datenquellen, Zeitzone, Integritätsinformationen, bestätigte Befunde, Indizien, widerlegte Hypothesen und offene Grenzen. Außerdem nennt er betroffene Datenbestände, beobachtete Akteursfähigkeiten und die bereits ergriffenen Eindämmungsmaßnahmen.
Der fiktive Musterbericht zeigt die Struktur eines Abschlussberichts. Er ist ein methodisches Beispiel und kein Nachweis eines realen Kundenfalls.
Wann müssen Datenschutz und Rechtsberatung einbezogen werden?
Sobald eine Verletzung des Schutzes personenbezogener Daten möglich erscheint, sollten Verantwortlicher, Datenschutzfunktion und gegebenenfalls Rechtsberatung früh informiert werden. Sie bewerten Risiko, Meldepflichten, betroffene Personen, Dokumentationspflichten und Kommunikation. Die technische Untersuchung liefert dafür Fakten und Unsicherheiten, trifft aber keine Rechtsentscheidung.
Warten Sie mit der internen Eskalation nicht auf eine vollständige Bereinigung. Sichern Sie parallel die relevanten Protokolle und dokumentieren Sie, wann die Organisation von welchem Sachverhalt Kenntnis erlangt hat.