Online-Webseiten-Scanner: Das Schlangenöl der Compliance

War­um eine grü­ne Ampel noch kei­ne daten­schutz­kon­for­me Web­site macht

„Chef, unse­re Web­site ist grün.“

Herz­li­chen Glück­wunsch. Ein frem­der Rech­ner hat auto­ma­ti­siert ein paar Sei­ten auf­ge­ru­fen, eini­ge Coo­kies gezählt und nichts gefun­den, das laut Prüf­al­go­rith­mus aus­rei­chend ver­däch­tig aus­sah. Die Com­pli­ance ist geret­tet. Ver­mut­lich. Oder hoffentlich?

Natür­lich ist das über­zeich­net. Web­sei­ten-Scan­ner sind nicht grund­sätz­lich Schlan­gen­öl. Sie kön­nen nütz­li­che tech­ni­sche Hin­wei­se lie­fern, unbe­kann­te Dritt­an­bie­ter sicht­bar machen und auf­fäl­li­ge Daten­flüs­se auf­de­cken. Gera­de wenn sich an einer Web­site regel­mä­ßig etwas ändert, ist das nicht wenig. Schlan­gen­öl wird es erst dann, wenn aus einem begrenz­ten tech­ni­schen Befund ein umfas­sen­des Daten­schutz­ur­teil gemacht wird. Wenn aus „Auf den in Stich­pro­ben geprüf­ten Haupt- und Unter­sei­ten wur­de unter die­sen Bedin­gun­gen nichts Auf­fäl­li­ges fest­ge­stellt“ am Ende „Die Web­site ist DSGVO-kon­form“ wird. Dazwi­schen lie­gen ein paar Fra­gen, die sich nicht mit einem Ampel­sym­bol erle­di­gen: Wel­che Unter­sei­ten wur­den über­haupt vom Tool erreicht und geprüft? Was pas­siert nach einer Ein­wil­li­gung oder Ableh­nung eines mög­li­cher­wei­se vor­han­de­nen Con­sent-Mana­gers? Wel­che Daten gehen an wel­che Emp­fän­ger? Wer han­delt in wel­cher Rol­le? Und was geschieht mit den Daten, nach­dem sie den Brow­ser ver­las­sen haben?

Eine Web­site ist kein Auto mit einer Kon­troll­leuch­te für Daten­schutz. Sie ist ein Sys­tem aus Sei­ten, For­mu­la­ren, ein­ge­bet­te­ten Diens­ten, Skrip­ten, Nut­zer­ent­schei­dun­gen und Daten­flüs­sen. Ein Scan­ner kann davon einen klei­nen und begrenz­ten Aus­schnitt sehen. Mehr auch nicht.

Die Start­sei­te ist nicht die Website

Vie­le Scan­ner begin­nen bei der ein­ge­ge­be­nen URL und prü­fen, je nach Ange­bot und tech­ni­scher Erreich­bar­keit, eini­ge weni­ge wei­te­re Unter­sei­ten. Das ist nach­voll­zieh­bar. Irgend­wo muss ein auto­ma­ti­sier­tes Ver­fah­ren anfan­gen und auf­hö­ren. Voll­stän­dig wird ein sol­cher Durch­lauf dadurch aber nicht. Die daten­schutz­recht­lich inter­es­san­ten Stel­len lie­gen oft nicht dort, wo sie jeder sofort sieht. Ein Ter­min­bu­chungs­tool steckt auf einer Unter­sei­te. Das Bewer­bungs­for­mu­lar ist über die Kar­rie­re­sei­te erreich­bar. Ein Video wird erst in einem Bei­trag ein­ge­bet­tet, den man über die inter­ne Suche fin­det. Oder die eigent­li­che Landing­pa­ge wird nur über eine Kam­pa­gne aus­ge­spielt und taucht im nor­ma­len Menü über­haupt nicht auf.

Ein kur­zer Scan kann also Start­sei­te, Impres­sum und Daten­schutz­er­klä­rung tadel­los grün aus­leuch­ten, wäh­rend eine kaum ver­link­te Unter­sei­te Daten an meh­re­re Dritt­an­bie­ter über­mit­telt. Das ist kein exo­ti­scher Aus­nah­me­fall, son­dern eine ziem­lich nahe­lie­gen­de Fol­ge davon, dass Web­sites wach­sen, sich ver­än­dern und häu­fig aus mehr bestehen als dem sicht­ba­ren Haupt­me­nü. Die wich­ti­ge Fra­ge lau­tet des­halb nicht: „Wur­de die Web­site gescannt?“ Son­dern: „Wel­che Sei­ten und Funk­tio­nen wur­den tat­säch­lich geprüft?“

Con­sent-Manage­ment ist kein Ein-Klick-Thema

Spä­tes­tens beim Con­sent Manage­ment wird es kom­pli­zier­ter. Eine Web­site kann sich je nach Ent­schei­dung im Ban­ner völ­lig unter­schied­lich ver­hal­ten. Vor der Ent­schei­dung sind (hof­fent­lich) bestimm­te Diens­te blo­ckiert. Nach „Alle akzep­tie­ren“ wer­den Analyse‑, Mar­ke­ting- oder Kom­fort­funk­tio­nen gela­den. Bei einer Ableh­nung soll­te das anders aus­se­hen. Nach einem Wider­ruf mög­li­cher­wei­se wie­der anders.

Vie­le Scan­ner sehen aber nur einen die­ser Zustän­de. Man­che bedie­nen das Con­sent-Tool gar nicht. Dann prü­fen sie im Wesent­li­chen die Sei­te vor einer Ent­schei­dung. Das kann erfreu­lich daten­spar­sam aus­se­hen. Es beweist aller­dings nicht, dass ein Dienst nach einer Ein­wil­li­gung kor­rekt ein­ge­bun­den wird oder dass er bei einer Ableh­nung zuver­läs­sig blo­ckiert bleibt.

Klickt ein Scan­ner pau­schal auf „Alle akzep­tie­ren“, ist eben­falls nur ein Aus­schnitt sicht­bar: der maxi­mal akti­vier­te Zustand. Dann bleibt bei­spiels­wei­se offen, ob Ableh­nen genau­so ein­fach mög­lich ist, ob die Aus­wahl ein­zel­ner Kate­go­rien tech­nisch funk­tio­niert und ob ein spä­te­rer Wider­ruf tat­säch­lich Kon­se­quen­zen hat.
Ein vor­han­de­nes Con­sent Tool ist des­halb noch kein Beleg für eine wirk­sa­me Ein­wil­li­gung. Ein Scan­ner kann salopp gesagt fest­stel­len, dass ein But­ton exis­tiert. Ob die Gestal­tung die Ent­schei­dung der Nut­zen­den respek­tiert, ob die Infor­ma­tio­nen aus­rei­chen und ob die nach­ge­la­ger­ten Daten­flüs­se tat­säch­lich auf die Aus­wahl reagie­ren, ist eine ande­re Sache.

Oder kür­zer: Ein Con­sent Tool kann vor­han­den sein und trotz­dem dane­ben­lie­gen. Wie dann auch der genutz­te Online-Scanner.

Coo­kies sind nur ein Teil der Geschichte

Coo­kies sind der Klas­si­ker unter den Scan­ner­fun­den. Sie haben einen Namen, eine Domain und ein Ablauf­da­tum. Das wirkt schön ordent­lich. Nur sagt das allein noch nicht zuver­läs­sig, wofür sie ver­wen­det wer­den und ob ihre Nut­zung recht­lich zuläs­sig ist.

Ein tech­nisch not­wen­di­ges Coo­kie ist nicht auto­ma­tisch pro­ble­ma­tisch. Und wer hat über­haupt ent­schie­den, dass es sich um ein tech­nisch not­wen­di­ges Coo­kie han­delt? Die Mar­ke­ting-Abtei­lung? Der Web­de­si­gner? Ein Coo­kie mit unauf­fäl­li­gem Namen ist umge­kehrt nicht auto­ma­tisch harm­los. Und per­so­nen­be­zo­ge­ne Daten kön­nen ver­ar­bei­tet wer­den, ohne dass ein klas­si­sches Coo­kie im Brow­ser gespei­chert wird. Denk­bar sind zum Bei­spiel Local Sto­rage, Pixel, URL-Para­me­ter, Fin­ger­prin­ting, ser­ver­sei­ti­ge Wie­der­erken­nung oder Daten­über­mitt­lun­gen über For­mu­la­re und Schnitt­stel­len. Nicht alles ist auf den ers­ten Blick sicht­bar. Noch weni­ger sicht­bar ist regel­mä­ßig das, was nach dem Absen­den eines For­mu­lars oder nach der Über­ga­be an einen Dritt­an­bie­ter im Hin­ter­grund passiert.

Ein Scan­ner kennt in der Regel weder die Ser­ver­logs noch inter­ne Pro­zes­se und Lösch­fris­ten. Er weiß nicht, wer auf For­mu­lar­da­ten zugrei­fen kann, wel­che Sys­te­me an der Bear­bei­tung betei­ligt sind oder ob ein Anbie­ter die erhal­te­nen Daten für eige­ne Zwe­cke ver­wen­det. Auch das Berech­ti­gungs­kon­zept, die Ver­ar­bei­tungs­do­ku­men­ta­ti­on und die tat­säch­li­che Auf­ga­ben­tei­lung las­sen sich nicht aus einer Lis­te von Coo­kies ablei­ten. Des­halb soll­te man auch auto­ma­ti­sche Hin­wei­se wie „Haben Sie an die AVV mit dem Track­ing-Betrei­ber gedacht?“ nicht über­be­wer­ten. Ein exter­ner Dienst ist nicht allein des­halb Auf­trags­ver­ar­bei­ter, weil Daten an ihn über­mit­telt wer­den. Je nach Daten (per­so­nen­be­zo­gen oder nicht), Zweck, Wei­sungs­ge­bun­den­heit und tat­säch­li­cher Aus­ge­stal­tung kann eine Auf­trags­ver­ar­bei­tung vor­lie­gen. Denk­bar sind aber eben­so gemein­sa­me Ver­ant­wort­lich­keit oder eine Über­mitt­lung an einen eigen­stän­dig Ver­ant­wort­li­chen. Und manch­mal fehlt es im kon­kre­ten Ein­satz schlicht am Per­so­nen­be­zug. Oder das Tool läuft lokal. Aus dem Fund eines ver­meint­li­chen Dritt­an­bie­ters folgt also nicht auto­ma­tisch: AVV fehlt.

Die rich­ti­ge Anschluss­fra­ge lau­tet: Wel­che Daten wer­den zu wel­chem Zweck an wen über­mit­telt – und in wel­cher Rol­le han­delt der Anbie­ter? Das ist eine Sach­ver­halts­prü­fung und kein Voka­bel­test für Cookies.

Wenn der Scan­ner vor der Tür steht

Auto­ma­ti­sier­te Zugrif­fe blei­ben für Sicher­heits­me­cha­nis­men in pro­fes­sio­nel­len Rechen­zen­tren nicht unsicht­bar. Web Appli­ca­ti­on Fire­walls, Bot-Schutz und Rate Limi­ting kön­nen erken­nen, dass hier kein gewöhn­li­cher Besu­cher unter­wegs ist, son­dern ein Dienst in kur­zer Zeit vie­le Sei­ten abruft. Dann erscheint eine Chall­enge, es gibt einen Feh­ler­code oder ein­zel­ne Inhal­te wer­den gar nicht erst aus­ge­lie­fert. Viel­leicht lädt eine Dritt­an­bie­ter-Res­sour­ce nicht. Viel­leicht endet der Scan nach weni­gen Sei­ten. Viel­leicht bekommt der Scan­ner aber auch eine ande­re Ver­si­on der Web­site als ein nor­ma­ler Besucher.

Aus Sicht des Hos­ters oder Web­site­be­trei­bers kann das völ­lig sinn­voll sein. Schutz vor miss­bräuch­li­chen oder mas­sen­haf­ten Zugrif­fen gehört zum Betrieb einer Web­site. Für den Scan-Bericht folgt dar­aus aber etwas Ein­fa­ches: Ein nicht erreich­ba­rer Bereich darf nicht als unauf­fäl­lig gelten.

„Nicht geprüft, weil tech­nisch nicht erreich­bar“ ist eine wich­ti­ge Infor­ma­ti­on. „Kein Pro­blem erkannt“ wäre hier eine ziem­lich krea­ti­ve Inter­pre­ta­ti­on des Scanners.
Auch Gerät, Brow­ser, Stand­ort, Spra­che, ein­ge­logg­te Zustän­de und frü­he­re Ein­wil­li­gun­gen kön­nen das Ergeb­nis beein­flus­sen. Was ein Scan­ner aus einem Rechen­zen­trum mit einer bestimm­ten Brow­ser­kon­fi­gu­ra­ti­on sieht, muss nicht dem ent­spre­chen, was eine Nut­ze­rin auf ihrem Smart­phone nach einem Klick auf „Akzep­tie­ren“ erlebt.

Wofür Scan­ner wirk­lich gut sein können

Das alles bedeu­tet nicht, dass man sol­che Werk­zeu­ge abschrei­ben soll­te. Im Gegen­teil: Rich­tig ein­ge­setzt kön­nen sie sehr nütz­lich sein. Sie hel­fen dabei, unbe­kann­te Dritt­an­bie­ter-Domains sicht­bar zu machen, mög­li­che Daten­über­mitt­lun­gen bereits vor einer Ein­wil­li­gung zu ent­de­cken und Ver­än­de­run­gen an einer Web­site zu beob­ach­ten. Bei grö­ße­ren Web­auf­trit­ten oder häu­fi­gen Ände­run­gen kann ein auto­ma­ti­sier­tes Moni­to­ring ein sinn­vol­ler Teil der Kon­trol­le sein. Ein, nicht der Ein­zi­ge! Es sorgt nicht für Daten­schutz­kon­for­mi­tät, aber es kann Hin­wei­se lie­fern, wo genau­er hin­ge­schaut wer­den sollte.

Ein brauch­ba­rer Bericht soll­te des­halb auch offen­le­gen, was und wie geprüft wur­de: den Prüf­zeit­punkt, den Sei­ten­um­fang, die getes­te­ten Ein­wil­li­gungs­zu­stän­de, die ver­wen­de­te tech­ni­sche Umge­bung und erkenn­ba­re Ein­schrän­kun­gen. Er soll­te zwi­schen „nicht fest­ge­stellt“, „nicht geprüft“, „tech­nisch nicht erreich­bar“ und „nicht abschlie­ßend bewert­bar“ unter­schei­den. Eine grü­ne Ampel allein kann das nicht leisten.

Auch Auf­sichts­be­hör­den nut­zen auto­ma­ti­sier­te Ver­fah­ren, wenn sie eine grö­ße­re Anzahl von Web­sites effi­zi­ent vor­prü­fen. Das ist sinn­voll. Auto­ma­ti­sier­te Erfas­sung und Vor­auswahl sind aber etwas ande­res als eine abschlie­ßen­de recht­li­che Bewer­tung des kon­kre­ten Sachverhalts.

Fazit: Nicht alles ist Schlangenöl

Web­sei­ten-Scan­ner sind nütz­li­che Werk­zeu­ge. Sie sind schnell, ska­lier­bar und oft erstaun­lich gut dar­in, tech­ni­sche Auf­fäl­lig­kei­ten sicht­bar zu machen. Schlan­gen­öl beginnt dort, wo der Scan-Bericht zum Com­pli­ance-Zer­ti­fi­kat umeti­ket­tiert wird. Eine grü­ne Start­sei­te sagt nichts Ver­läss­li­ches über jede Unter­sei­te aus. Ein nicht gefun­de­nes Coo­kie beweist nicht, dass kei­ne per­so­nen­be­zo­ge­nen Daten ver­ar­bei­tet wer­den. Und eine auto­ma­ti­sier­te AVV-Erin­ne­rung klärt noch kei­ne Verantwortlichkeiten.

Der Scan­ner lie­fert mög­li­che Befun­de. Die recht­li­che Bewer­tung beginnt danach. Wer das trennt, nutzt Scan­ner sinn­voll. Wer es ver­mischt, ver­kauft Beru­hi­gung in Ampelfarben.

Übri­gens für einen ers­ten Ein­druck immer ein guter Ein­stieg: https://​webb​koll​.5ju​ly​.net/​de/