Sicher ins Jahresendgeschäft: Datenschutz & IT-Sicherheit

Wer sich erst im November Gedanken über Datenschutz und Informationssicherheit macht, hat das Fenster bereits verpasst. Die Kampagnen laufen, die Dienstleister sind gebucht, die Newsletter-Verteiler stehen. Und genau dann stellen sich Fragen, die längst hätten beantwortet sein müssen. Gibt es eine gültige Auftragsverarbeitungsvereinbarung mit dem Payment-Anbieter? Wurden die Einwilligungen für die Werbetracking-Pixel auf der Website rechtskonform eingeholt? Ist der Shop gegen erhöhte Last und gezielte Angriffe gewappnet?

Der September bietet Unternehmen noch ausreichend Zeit, diese Fragen systematisch zu beantworten. Nicht als bürokratische Pflichtübung, sondern als strategische Vorbereitung auf eine Phase, in der Fehler besonders sichtbar und teuer werden. Eine Datenpanne während der Cyber Week landet schneller in der Presse als in ruhigeren Monaten. Ein Systemausfall an einem Black-Friday-Abend kann zu hohen Umsatzverlusten führen. Und eine Abmahnung wegen fehlerhafter Cookie-Einbindung trifft ausgerechnet dann, wenn das Marketing auf Hochtouren läuft. Die gute Nachricht ist: Wer jetzt beginnt, hat realistische Chancen, wesentliche Lücken zu schließen, bevor der Druck steigt.

Im letzten Quartal des Jahres läuft das Marketing in vielen Unternehmen auf Hochtouren. Neue Kampagnen starten, externe Agenturen übernehmen Teile der Steuerung, und Analyse-Tools werden auf höchster Auflösung betrieben, um jeden Klick auszuwerten.

Diese Verdichtung erhöht die Angriffsfläche auf mehreren Ebenen gleichzeitig. Mehr beteiligte Dienstleister bedeuten mehr potenzielle Schwachstellen in der Verarbeitungskette. Mehr Kundendaten im Umlauf bedeuten ein höheres Schadpotenzial bei einem Sicherheitsvorfall. Und mehr Zeitdruck auf Seiten der Marketing- und IT-Teams bedeutet, dass Sicherheitsfragen gerne verschoben werden, nach dem Motto: „Läuft ja gerade alles, wir schauen uns das nach Black Friday an." Genau dieses Muster sollte durchbrochen werden. Datenschutz und Informationssicherheit sind keine Themen, die sich komfortabel auf ruhigere Zeiten verschieben lassen, wenn sie im Hochlastbetrieb gebraucht werden. Hinzu kommt, dass Aufsichtsbehörden und Gerichte keine Ausnahmen für umsatzstarke Phasen kennen. Ein Verstoß bleibt ein Verstoß, unabhängig davon, wie viel im Unternehmen gerade los war.

Das Jahresendgeschäft lebt von Kommunikation. Newsletter, personalisierte Anzeigen, Werbetracking-Kampagnen und Push-Benachrichtigungen gehören zum Standardrepertoire jedes ambitionierten Marketingteams. Was dabei datenschutzrechtlich auf dem Spiel steht, wird jedoch oft unterschätzt.

Der Versand von Werbemails setzt eine wirksame Einwilligung voraus, die dokumentierbar sein muss. Ein Double-Opt-in-Verfahren ist dabei nicht nur gute Praxis, sondern im Streitfall die entscheidende Grundlage. Wer kurz vor Black Friday einen veralteten Verteiler reaktiviert, auf dem sich auch Kontakte befinden, die nie aktiv zugestimmt haben, riskiert Beschwerden bei der Datenschutzaufsicht und Abmahnungen durch Wettbewerber.

Beim Tracking und bei Personalisierungstools stellen sich ähnliche Fragen. Sind die Consent-Banner rechtskonform konfiguriert? Werden tatsächlich nur die Daten erhoben, für die eine Rechtsgrundlage besteht? Cookie-Banner müssen eine echte Wahlmöglichkeit bieten. Voreingestellte Häkchen oder 'Trick-Buttons' sind unzulässig. Gerade wenn kurz vor dem Kampagnenstart neue Analyse-Tools integriert oder bestehende Konfigurationen angepasst werden, schleichen sich technische Fehler ein, die rechtlich relevant sind. Eine Überprüfung dieser Konfigurationen gehört deshalb auf die September-Agenda, nicht auf die Dezember-Agenda. Darüber hinaus sollten Unternehmen klären, welche Daten zu Personalisierungszwecken an externe Plattformen übermittelt werden. Custom Audiences auf Meta oder Google erfordern eine sorgfältige rechtliche Einordnung, insbesondere wenn es sich um Bestandskundendaten handelt. Auch hier gilt: Wer diese Prüfung in den Wochen vor dem Kampagnenstart erledigt, vermeidet kurzfristige Überraschungen, wenn die Budgets freigegeben sind und die ersten Anzeigen ausgespielt werden sollen.

Moderne E-Commerce-Setups sind selten monolithisch. Ein Shop-System kommuniziert mit einem Payment-Anbieter, einem Versanddienstleister, einem CRM-System und möglicherweise einer Marketingplattform. Jede dieser Schnittstellen ist ein Punkt, an dem sowohl datenschutzrechtliche als auch sicherheitstechnische Anforderungen greifen.

Auftragsverarbeitungsverträge nach Art. 28 DSGVO sind eine Grundvoraussetzung und müssen mit allen Dienstleistern abgeschlossen werden, die personenbezogene Daten im Auftrag verarbeiten. In der Praxis ist das jedoch häufig lückenhaft, besonders dann, wenn neue Tools kurzfristig eingebunden werden. Wer jetzt die bestehenden Verträge prüft und fehlende Vereinbarungen nachzieht, schafft sich Sicherheit, bevor der Betrieb unter Volllast läuft.

Gleichzeitig sollte das Thema Softwarepflege systematisch angegangen werden. Plugins, Shop-Erweiterungen und angebundene Systeme, die nicht regelmäßig aktualisiert werden, sind bekannte Einfallstore für Angreifer. Vor dem Jahresendgeschäft empfiehlt sich eine gezielte Überprüfung: Welche Komponenten sind auf aktuellem Stand? Gibt es bekannte Schwachstellen in verwendeten Versionen, für die bereits Patches existieren? Welche Abhängigkeiten bestehen zwischen Systemen, und was passiert, wenn eine Komponente ausfällt oder kompromittiert wird? Wer diese Fragen jetzt beantwortet, stellt sicher, dass technische Lücken nicht erst im Hochbetrieb zum Problem werden.

Während Unternehmen ihre Kampagnen planen, planen Angreifer mit. Black Friday und die Wochen bis Weihnachten sind für Cyberkriminelle attraktiv, weil in dieser Zeit mehr Transaktionen stattfinden, mehr Mitarbeitende unter Zeitdruck stehen und die Toleranz für ungewöhnliche Anfragen oft höher ist als sonst. Eine gefälschte E-Mail vom „Zahlungsanbieter", die um dringende Bestätigung von Kontodaten bittet, wirkt mitten im Hochbetrieb deutlich glaubwürdiger als im Januar. Erschwerend kommt hinzu, dass die Qualität solcher Nachrichten zuletzt deutlich gestiegen ist. Rechtschreibfehler und offensichtlich unprofessionelle Aufmachung, die früher als Erkennungszeichen galten, sind bei modernen Phishing-Mails häufig nicht mehr zu finden.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte bereits vor der erhöhten Phishing-Gefahr während dieser Phase. Phishing-Kampagnen richten sich dabei nicht nur gegen Endkunden, sondern zunehmend auch gegen Mitarbeitende. Neben klassischen Phishing-Mails gewinnen auch Social-Engineering-Angriffe an Bedeutung, bei denen Täter gezielt Vertrauen aufbauen, indem sie sich als Kollegen, Vorgesetzte oder bekannte Dienstleister ausgeben, um an Zugangsdaten oder Freigaben zu gelangen. Helfen kann hier eine konsequente Beachtung der Prinzipien „Least Privilege“ und „Zero Trust“, also die Zugriffsrechte der Mitarbeitenden im Rahmen des Berechtigungskonzepts auf das notwendige Maß zu reduzieren und für jeden Zugriff eine Verifizierung zu verlangen.

Angriffe über gefälschte Paketbenachrichtigungen, vorgetäuschte Lieferantenanfragen oder fingierte interne Kommunikation nutzen genau die Themen aus, die im vierten Quartal allgegenwärtig sind. Wer seine Teams nicht gezielt auf diese Muster vorbereitet, überlässt Angreifern einen erheblichen Vorsprung. Eine gezielte Sensibilisierung vor dem Hochsaisonstart sollte deshalb fester Bestandteil der Vorbereitung sein. Konkrete Beispiele aus vergangenen Jahren, ob intern oder aus öffentlich bekannten Vorfällen, machen die Gefahr greifbarer als abstrakte Sicherheitsrichtlinien. Simulierte Phishing-Tests bieten Mitarbeitenden die Möglichkeit, ihre eigene Reaktion zu überprüfen, ohne dass ein realer Schaden entsteht. Das Ziel ist keine generelle Skepsis gegenüber jedem eingehenden Kontakt, sondern eine gesunde Aufmerksamkeit gegenüber unerwarteten Anfragen, die zu schnellem Handeln drängen.

Die Verfügbarkeit des Online-Shops ist während des Jahresendgeschäfts keine technische Nebensache, sondern eine geschäftskritische Anforderung. Ein Shop, der an einem Black-Friday-Abend unter der Last zusammenbricht oder durch einen DDoS-Angriff stundenlang nicht erreichbar ist, verliert nicht nur Umsatz, sondern auch das Vertrauen seiner Kunden. Auch Angriffe mit Ransomeware oder Blackouts können Gefahren darstellen. Die Absicherung gegen solche Szenarien beginnt lange vor dem eigentlichen Kampagnenstart.

Dazu gehört die Überprüfung, ob die bestehende Infrastruktur für erhöhte Besucherzahlen ausgelegt ist. Sind Skalierungsmechanismen vorhanden und getestet? Gibt es einen Schutz gegen volumetrische Angriffe, und wurde dieser zuletzt auf Aktualität geprüft? Wurde Load-Testing durchgeführt, um Engpässe im System frühzeitig zu identifizieren? Diese Fragen sollten spätestens im Oktober beantwortet sein. Parallel dazu sollten Unternehmen ihre internen Prozesse auf den Prüfstand stellen. Welche Systeme und Abläufe sind unverzichtbar für den laufenden Betrieb? Was passiert, wenn ein kritisches System ausfällt oder kompromittiert wird? Diese Fragen klingen hypothetisch, bis sie es nicht mehr sind. Bei der Auswahl von Tools und Systemen sollte darauf geachtet werden, dass sie 'Privacy by Design' und 'Privacy by Default' unterstützen. Auch regelmäßige Backups und ein Notfallwiederherstellungsplan (Disaster Recovery) sind essenziell, um im Ernstfall schnell wieder handlungsfähig zu sein. Wer vorab festlegt, wer in welchem Fall handelt, welche Notfallkontakte erreichbar sind und welche Maßnahmen priorisiert werden, spart in einem echten Vorfall wertvolle Zeit. Datenschutz und Informationssicherheit greifen hier ineinander. Ein zertifiziertes ISMS nach ISO 27001 oder die Umsetzung des BSI IT-Grundschutzes hilft dabei, Sicherheitsrisiken systematisch zu identifizieren und zu minimieren. Technische Schutzmaßnahmen schützen nicht nur die Systemverfügbarkeit, sondern auch die personenbezogenen Daten der Kunden, die darüber verarbeitet werden. Eine Sicherheitslücke, die ausgenutzt wird, ist in vielen Fällen auch ein datenschutzrechtlicher Vorfall.

Selbst wer gut vorbereitet ist, muss mit dem Fall rechnen, dass etwas schiefgeht. Gerade in Phasen erhöhter Aktivität steigt statistisch auch die Wahrscheinlichkeit von Sicherheitsvorfällen. Die DSGVO lässt im Ernstfall wenig Spielraum: Datenschutzverletzungen müssen innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde gemeldet werden, sofern ein Risiko für betroffene Personen nicht ausgeschlossen werden kann.

Diese 72 Stunden vergehen schneller, als man denkt, besonders dann, wenn unklar ist, wer intern zuständig ist, welche Behörde kontaktiert werden muss oder welche Informationen für die Meldung benötigt werden. Ein gut vorbereiteter Incident-Response-Prozess beantwortet genau diese Fragen, bevor sie unter Druck gestellt werden. Dabei sollte die Rolle des Datenschutzbeauftragten klar verankert sein. Er ist im Ernstfall die zentrale Anlaufstelle für die Beurteilung des Vorfalls, die Abstimmung mit der Aufsichtsbehörde und die interne Koordination. Idealerweise wird der Prozess nicht nur dokumentiert, sondern auch einmal trocken durchgespielt, damit alle Beteiligten im Ernstfall wissen, was von ihnen erwartet wird.

Dazu gehört auch die Frage, wie intern kommuniziert wird, wenn ein Vorfall erkannt wird. Wer informiert wen in welcher Reihenfolge? Wer trifft Entscheidungen über die Außenkommunikation? Müssen betroffene Kunden informiert werden, und wenn ja, wie und durch wen? Diese Meldeketten und Zuständigkeiten jetzt zu überprüfen und zu dokumentieren ist eine der wirkungsvollsten Maßnahmen, die Unternehmen vor dem Jahresendgeschäft ergreifen können – und eine der am häufigsten vernachlässigten.

Die eigentliche Botschaft dieses Beitrags lautet nicht, dass das Jahresendgeschäft eine Ausnahmebedrohung darstellt. Sie lautet: Es verstärkt bestehende Schwachstellen. Wer seine Datenschutz- und Sicherheitshausaufgaben noch nicht gemacht hat, merkt das spätestens dann, wenn die Kampagnen laufen. Wer sie jetzt erledigt, kann sich im November auf das konzentrieren, worum es eigentlich geht.

Die folgende Checkliste fasst die wesentlichen Maßnahmen zusammen, die Unternehmen vor dem Jahresendgeschäft prüfen sollten. Sie können als Grundlage für eine systematische Vorbereitung dienen und helfen dabei, keine kritischen Punkte zu übersehen.