Welche DSGVO-konformen technischen Maßnahmen braucht Ihre Website, und wie belegen Sie sie? Wir prüfen die Website gegen Art. 32 DSGVO und § 19 Abs. 4 TDDDG, setzen die fehlenden Maßnahmen um und beschreiben den Website-Teil Ihrer technischen und organisatorischen Maßnahmen (TOM) so, dass Ihr Datenschutzbeauftragter ihn übernehmen kann. Jede Aussage im Bericht ist mit einer Quelle und einem Prüfergebnis hinterlegt.

Was Art. 32 DSGVO von einer Website verlangt

Art. 32 verpflichtet Verantwortliche und Auftragsverarbeiter zu technischen und organisatorischen Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Das Gesetz nennt vier Beispiele, und jedes lässt sich auf eine Website übertragen.

Art. 32 Abs. 1 Wortlaut (gekürzt) Bedeutung für Ihre Website
lit. a Pseudonymisierung und Verschlüsselung personenbezogener Daten HTTPS auf allen Seiten, verschlüsselte Übertragung von Formulardaten, verschlüsselte Backups
lit. b Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer aktuelle CMS- und Plugin-Versionen, geschützte Admin-Zugänge mit MFA, getrennte Konten je Person
lit. c Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherstellen Backups außerhalb des Webservers und eine getestete Wiederherstellung
lit. d Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit wiederkehrende Sicherheitsprüfung mit schriftlichem Ergebnis

Abs. 2 ergänzt, dass bei der Bewertung vor allem die Risiken durch Vernichtung, Verlust, Veränderung und unbefugte Offenlegung von oder unbefugten Zugang zu Daten zu berücksichtigen sind. Für eine Website mit Kontaktformular, Bewerbungsupload oder Kundenkonto sind das die üblichen Angriffsziele.

§ 19 Abs. 4 TDDDG: die Pflicht für Anbieter digitaler Dienste

Neben der DSGVO gilt für geschäftsmäßig betriebene Websites § 19 Abs. 4 TDDDG. Anbieter digitaler Dienste müssen, soweit technisch möglich und wirtschaftlich zumutbar, unerlaubten Zugriff auf ihre technischen Einrichtungen verhindern und diese gegen Störungen sichern, auch gegen äußere Angriffe.

Die Vorschrift verlangt ausdrücklich, den Stand der Technik zu berücksichtigen, und nennt als Beispiel ein als sicher anerkanntes Verschlüsselungsverfahren. Diese Pflicht greift unabhängig davon, ob personenbezogene Daten verarbeitet werden. Sie betrifft also auch eine reine Informationsseite ohne Formular.

Stand der Technik: woran wir Ihre Website messen

„Stand der Technik“ verändert sich mit jeder neuen Angriffstechnik und jedem neuen Standard. Damit die Prüfung nachvollziehbar bleibt, messen wir an veröffentlichten Anforderungen, die Ihr Entwickler und Ihr Datenschutzbeauftragter selbst nachlesen können.

Der wichtigste Maßstab ist der BSI-Baustein APP.3.1 „Webanwendungen und Webservices“ aus dem IT-Grundschutz-Kompendium, Edition 2023. Er verlangt unter anderem eine Authentisierung für geschützte Bereiche mit Grenzwerten für Fehlversuche (A1), Salted-Hash-Verfahren für gespeicherte Zugangsdaten (A14) und mindestens die Response-Header Content-Security-Policy, Strict-Transport-Security und Content-Type (A21). Ergänzend nutzen wir die OWASP Top 10:2025, deren Kategorien von Broken Access Control bis Software Supply Chain Failures die typischen Schwachstellen eines CMS abdecken.

Was in die TOM-Dokumentation gehört

Ihre TOM-Beschreibung für den Website-Teil sollte sagen, welche Maßnahme besteht, wie sie umgesetzt ist und wann sie zuletzt geprüft wurde. Allgemeine Sätze wie „Die Website ist durch moderne Technik geschützt“ helfen bei einer Anfrage der Aufsichtsbehörde wenig.

Wir liefern für jede technische Maßnahme drei Angaben: was eingerichtet ist (zum Beispiel TLS 1.2 und 1.3, HSTS, MFA für alle Admin-Konten), wo es nachzuprüfen ist und mit welchem Ergebnis wir es am Prüftag getestet haben. Ihr Datenschutzbeauftragter übernimmt diese Angaben in die Gesamtdokumentation.

Arbeitet eine Agentur oder ein Hoster mit den Daten Ihrer Website, ist das in der Regel Auftragsverarbeitung. Nach Art. 28 Abs. 1 DSGVO arbeiten Verantwortliche nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Unsere Beschreibung zeigt, was auf der technischen Seite tatsächlich umgesetzt ist.

Bußgeldrahmen und Meldepflicht

Mängel bei der Sicherheit der Verarbeitung fallen unter Art. 83 Abs. 4 DSGVO. Der Rahmen liegt bei bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist.

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, meldet der Verantwortliche sie nach Art. 33 unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde, außer ein Risiko für Betroffene ist unwahrscheinlich. Jede Verletzung wird außerdem intern dokumentiert, mit Fakten, Auswirkungen und ergriffenen Maßnahmen (Art. 33 Abs. 5). Was nach einem Angriff zu tun ist, steht auf unserer Seite Website gehackt.

NIS-2: wann die Website zum Risikomanagement gehört

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Unternehmen der erfassten Sektoren, die die Größenschwellen des § 28 BSIG erreichen, müssen sich beim BSI registrieren, erhebliche Sicherheitsvorfälle melden und Risikomanagementmaßnahmen umsetzen und dokumentieren.

Für wichtige Einrichtungen liegt die Schwelle bei mindestens 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro; für besonders wichtige Einrichtungen bei mindestens 250 Beschäftigten oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme. Ob Ihr Unternehmen dazugehört, klären Sie mit der Betroffenheitsprüfung des BSI. Fällt es darunter, deckt unsere Website-Prüfung einen Ausschnitt des Risikomanagements ab, das Gesamtprogramm umfasst mehr.

Was wir tun und was Sie erhalten

Wir prüfen, setzen um und dokumentieren. Am Ende haben Sie eine Website mit nachweisbaren Maßnahmen und Unterlagen, die Ihr Datenschutzbeauftragter verwenden kann.

  • Prüfung: Website, CMS, Plugins, Server, TLS und Header, Formulare, Zugänge, Backups, gemessen an Art. 32, § 19 Abs. 4 TDDDG und APP.3.1.
  • Umsetzung: Updates, Header, MFA, Dateirechte, verschlüsselte und getrennte Backups mit Wiederherstellungstest, auf Wunsch gemeinsam mit Ihrem Entwickler.
  • Unterlagen: Bericht mit Prioritäten, TOM-Beschreibung für den Website-Teil, Nachweis der Wiederherstellung mit Datum.
  • Nachtest: erneute Prüfung nach der Umsetzung und schriftliche Bestätigung, welche Punkte geschlossen sind.

Was wir von Ihnen brauchen

Wir brauchen eine Ansprechperson, die Zugänge freigeben kann, und, wenn vorhanden, den Kontakt zu Ihrem Datenschutzbeauftragten. Dazu kommen Admin-Zugang zum CMS, Zugang zum Hosting oder Server, die Liste der Formulare und Dienste von Drittanbietern auf der Website und der unterschriebene Scope Letter.

Grenzen der Leistung

Wir sind weder Aufsichtsbehörde noch Datenschutzbeauftragter, und wir geben keine Rechtsberatung. Ob Ihr Unternehmen die DSGVO insgesamt einhält, beurteilen Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung, und über Bußgelder entscheidet die Aufsichtsbehörde. Unser Bericht ist kein Zertifikat und keine Bescheinigung der DSGVO-Konformität. Meldungen an Behörden erstattet Ihr Unternehmen. Datenschutzerklärung, Cookie-Banner und Einwilligungen sind ein rechtliches Thema und gehören zu Ihrer Rechtsberatung.

Risiken bei Mustervorlagen, Chatbot-Texten und Prüfungen ohne Nachweis

Eine TOM-Vorlage aus dem Internet beschreibt Maßnahmen, die auf Ihrer Website vielleicht nie eingerichtet wurden. Fragt die Aufsichtsbehörde nach, fällt der Widerspruch zwischen Papier und Server schnell auf.

Ein Chatbot schreibt flüssige Texte über Verschlüsselung, ohne Ihren Server je gesehen zu haben. Ein Freelancer setzt vielleicht einzelne Header, dokumentiert aber selten Prüftag und Ergebnis. Wir beschreiben nur, was wir geprüft haben, mit Datum und Ergebnis, und jeder Befund ist von einem Menschen bestätigt.

Kosten und Vertragspartner

Den Preis erhalten Sie vor dem Start als Festpreis im Scope Letter. Er hängt von der Zahl der Websites und Server, von Formularen, Kundenkonten und Schnittstellen und vom Umfang der Umsetzung ab.

Sicherheitsaufträge schließt INNOVA CONSULT LTD., Ottawa, Ontario (Corporations Canada, Corporation Number 1522612). Der Bericht und die Unterlagen gehören Ihnen.

Verwandte Seiten

Quellen (geprüft am 23.10.2026)

Maksym Stepanenko, Gründer von Marketing MIX. Zuletzt geprüft: 23. Oktober 2026.