Bei einem DSGVO-Website-Scan durchläuft eine Website automatisiert drei aufeinanderfolgende Phasen: Crawling, Analyse und Reporting. Der Crawler ruft dabei systematisch alle erreichbaren Unterseiten auf, die Analyse-Engine wertet die gesammelten Daten auf Datenschutzrelevanz aus, und das Ergebnis wird in einem strukturierten Report mit konkreten Handlungsempfehlungen aufbereitet. Die folgenden Abschnitte erläutern, was in jeder Phase technisch geschieht und was das für Ihre Datenschutzprüfung bedeutet.
Was passiert beim Crawling einer Website im Rahmen eines DSGVO-Scans?
Beim Crawling im Rahmen eines DSGVO-Website-Scans folgt ein automatisierter Web-Crawler rekursiv allen internen Links einer Website, beginnend bei der Startseite. Er ruft dabei Unterseite für Unterseite auf, lädt den jeweiligen Seiteninhalt und erfasst dabei alle technischen Elemente, die datenschutzrechtlich relevant sein könnten. Externe Domains werden dabei nicht verfolgt.
Konkret bedeutet das: Der Crawler startet auf der angegebenen Start-URL und folgt ausschließlich Links, die zur gleichen Domain gehören. Leitet ein Link scheinbar auf die eigene Domain, aber tatsächlich auf eine andere Domain weiter, wird er ignoriert. Leitet bereits die Startseite selbst auf eine andere Domain weiter, bricht der Vollscan unmittelbar ab und zeigt eine entsprechende Fehlermeldung an. In diesem Fall sollte die finale Ziel-URL nach der Weiterleitung als neue Start-URL eingetragen werden.
Neben dem eigentlichen Vollscan der Unterseiten laufen parallel weitere spezialisierte Scans ab:
- Scan der Startseite (gesondert, für schnelle Erstbewertung)
- Scan der Transportverschlüsselung (TLS/SSL-Zertifikat des Webservers)
- Scan der Security-Header (über eine Integration externer Prüfdienste)
- Scan der Server-Technologie (z. B. verwendetes Content-Management-System)
Diese Scans laufen zu unterschiedlichen Zeitpunkten und werden unabhängig voneinander gespeichert. Ein vollständiger Report enthält stets die Daten des jeweils aktuellsten Scans jedes Typs. Der Vollscan ist technisch auf maximal 500 Unterseiten begrenzt. Bei sehr großen Websites kann es daher vorkommen, dass nicht alle Seiten erfasst werden. Auch Seiten, die nur über ausgefüllte Formulare erreichbar sind, etwa einzelne Schritte eines Checkout-Prozesses, werden durch den Crawler typischerweise nicht aufgerufen.
Welche Datenschutz-Elemente werden bei der Analyse konkret geprüft?
Bei der Datenschutz-Analyse einer Website werden insbesondere Cookies, externe Dienste und Tracker, das Consent-Management sowie die technische Serverinfrastruktur untersucht. Ziel ist es, Elemente zu identifizieren, die ohne gültige Rechtsgrundlage oder ohne wirksame Einwilligung personenbezogene Daten verarbeiten könnten.
Im Einzelnen umfasst die Analyse folgende Prüfbereiche:
- Cookies und Tracker: Welche Cookies werden gesetzt, von welchen Drittanbietern stammen sie, und werden sie vor oder nach einer Einwilligung geladen?
- Externe Dienste: Welche Skripte, Fonts, Analyse- oder Werbedienste werden eingebunden, und wird darüber in der Datenschutzerklärung informiert?
- Consent-Management: Ist ein Consent-Tool vorhanden? Erkennt der Scanner kein Consent-Tool, obwohl zustimmungspflichtige Cookies geladen werden, wird eine Warnung ausgegeben. Eine Warnung erscheint auch dann, wenn zwar ein Consent-Tool aktiv ist, Cookies oder Tracker aber dennoch ohne Einwilligung gesetzt werden.
- Serverstandort und Drittstaaten-Transfers: Wo wird die Website gehostet? Werden Cloud-Infrastrukturen oder Content-Delivery-Networks genutzt, die Daten in unsichere Drittstaaten übermitteln könnten?
- Transportverschlüsselung: Ist das TLS/SSL-Zertifikat gültig und korrekt konfiguriert?
- Security-Header: Sind die relevanten HTTP-Security-Header gesetzt, die Angriffsvektoren wie Cross-Site-Scripting reduzieren?
- Datenschutzerklärung: Werden erkannte externe Dienste in der Datenschutzerklärung erwähnt?
Wichtig: Kein automatisierter DSGVO-Website-Scan kann garantieren, alle vorhandenen Schwachstellen zu erkennen. Seiten, die nur durch Interaktion erreichbar sind, oder Elemente, die erst nach bestimmten Nutzeraktionen geladen werden, können in manchen Fällen unentdeckt bleiben. Die Ergebnisse sollten daher als fundierte Grundlage für die weitere Datenschutzprüfung verstanden werden, nicht als abschließende rechtliche Bewertung.
Wie werden DSGVO-Risiken nach dem Scan bewertet und priorisiert?
Nach dem Scan werden die gefundenen Schwachstellen anhand eines Risiko-Scores bewertet und nach Schweregrad priorisiert. Diese Risikobewertung fasst die wichtigsten Ergebnisse zusammen und gibt erste Handlungsempfehlungen, damit Datenschutzverantwortliche erkennen können, wo dringender Handlungsbedarf besteht und wo geringere Risiken vorliegen.
Die Bewertungslogik berücksichtigt unter anderem:
- Ob zustimmungspflichtige Cookies oder Tracker ohne Einwilligung geladen werden
- Ob ein Consent-Management-Tool fehlt oder fehlerhaft konfiguriert ist
- Ob Daten auf Servern in Drittstaaten verarbeitet werden, für die kein angemessenes Datenschutzniveau besteht
- Ob die Transportverschlüsselung korrekt eingerichtet ist
- Ob erkannte externe Dienste in der Datenschutzerklärung fehlen
Neben dem Risiko-Score zeigt die Auswertung die Gesamtzahl der erkannten Cookies und externen Dienste. Durch diese Priorisierung können Datenschutzbeauftragte und Compliance-Teams die gefundenen Punkte gezielt abarbeiten, anstatt sich durch eine unstrukturierte Liste von Einzelbefunden zu arbeiten. Die Bewertung ersetzt jedoch keine rechtliche Einschätzung durch qualifiziertes Fachpersonal.
Was enthält ein automatisch generierter DSGVO-Report?
Ein automatisch generierter DSGVO-Report enthält eine strukturierte Übersicht aller gefundenen Datenschutzschwachstellen, eine Risikobewertung mit Handlungsempfehlungen sowie technische Details zu Cookies, externen Diensten und der Serverinfrastruktur. Er dokumentiert außerdem, bei welchem Scan-Durchlauf bestimmte Elemente entdeckt wurden.
Im Kopfbereich des Reports sind folgende Informationen einsehbar:
- Die Start-URL der geprüften Website
- Das Datum des letzten Vollscans sowie die Anzahl der gescannten Unterseiten
- Der Risiko-Score sowie die Zahl der erkannten Cookies und externen Dienste
Der Hauptteil des Reports gliedert sich in thematische Abschnitte: Serverstandort und Hosting, Consent-Management-Status, erkannte Cookies und Tracker, externe Dienste und deren Erwähnung in der Datenschutzerklärung sowie Ergebnisse der Sicherheitsscans. Zu jedem Befund werden konkrete Hinweise auf den Handlungsbedarf gegeben.
Reports lassen sich per Share-URL, als PDF oder als Word-Dokument exportieren und direkt mit Kunden oder internen Stakeholdern teilen. Für externe Dienstleister steht eine Whitelabel-Funktion zur Verfügung, mit der Reports unter eigenem Logo ausgeliefert werden können. Über ein Dropdown können zudem die letzten 20 Reports aufgerufen werden, um Veränderungen im Zeitverlauf nachzuvollziehen. Für Websites, auf denen ein Dienst fälschlicherweise als Schwachstelle markiert wird, lassen sich einzelne Einträge im Report manuell überschreiben und kommentieren.
Wie unterscheidet sich ein einmaliger Scan von einer dauerhaften Überwachung?
Ein einmaliger DSGVO-Website-Scan liefert eine Momentaufnahme des Datenschutzstatus einer Website zum Zeitpunkt des Scans. Eine dauerhafte Überwachung hingegen führt Scans in regelmäßigen Abständen automatisch durch und benachrichtigt bei Änderungen, sodass neu auftretende Schwachstellen zeitnah erkannt werden können.
Der entscheidende Unterschied liegt in der Reaktionsfähigkeit. Websites verändern sich kontinuierlich: Plugins werden aktualisiert, neue Drittanbieter-Skripte werden eingebunden, Consent-Konfigurationen werden angepasst. Ein einmaliger Scan kann diese nachträglichen Änderungen nicht erfassen. Wer sich ausschließlich auf periodische manuelle Prüfungen verlässt oder darauf wartet, dass Kunden Änderungen melden, riskiert, dass datenschutzrelevante Probleme zwischen den Prüfzyklen unentdeckt bleiben.
Bei der dauerhaften Überwachung läuft der Vollscan automatisch einmal monatlich. Die Sicherheitsscans für Transportverschlüsselung und Security-Header werden ebenfalls regelmäßig wiederholt. Treten beim Scan Fehler auf, etwa durch Bot-Detection der Zielwebsite oder ein fehlerhaftes Login-Skript, wird dies gemeldet und der Scan kann manuell neu angestoßen werden. Für Datenschutzbeauftragte und Agenturen, die mehrere Websites betreuen, ist die kontinuierliche Überwachung daher deutlich leistungsfähiger als ein einmaliges Datenschutz-Audit.
Für wen ist ein automatisierter DSGVO-Website-Scan geeignet?
Ein automatisierter DSGVO-Website-Scan eignet sich für alle, die Websites systematisch und effizient auf Datenschutzschwachstellen prüfen müssen, ohne jeden Prüfschritt manuell durchzuführen. Das betrifft insbesondere Datenschutzbeauftragte, Anwaltskanzleien, Web-Agenturen und Compliance-Teams, die regelmäßig mehrere Websites betreuen.
Für interne und externe Datenschutzbeauftragte reduziert der automatisierte Scan den Aufwand für Website-Audits erheblich. Statt Browser-Entwicklertools manuell einzusetzen und Ergebnisse händisch zu dokumentieren, erhalten sie in kurzer Zeit einen strukturierten Report mit priorisierten Handlungsempfehlungen.
Anwaltskanzleien und Compliance-Teams profitieren insbesondere von der Möglichkeit, Hunderte von Websites dauerhaft zu überwachen und Reports direkt mit Mandanten zu teilen. Die Whitelabel-Funktion erlaubt es externen Dienstleistern, Reports unter eigenem Logo auszuliefern.
Web-Agenturen können automatisierte Scans nutzen, um bei der Übergabe neuer Websites oder nach Updates schnell zu prüfen, ob datenschutzrelevante Probleme aufgetreten sind. Auch für KMU ohne eigene Datenschutzabteilung bietet ein automatisierter Scan eine erste strukturierte Orientierung, welche Bereiche ihrer Website datenschutzrechtlich geprüft werden sollten.
Zu beachten ist: Ein automatisierter Scan unterstützt die Datenschutzprüfung und identifiziert typischerweise die häufigsten Schwachstellen, ersetzt aber keine vollständige rechtliche Bewertung durch qualifiziertes Fachpersonal. Für komplexe rechtliche Fragen bleibt die Einbindung eines Datenschutzbeauftragten oder einer spezialisierten Kanzlei notwendig.
So unterstützt decareto Ihren DSGVO-Website-Scan
Wir bei decareto haben eine SaaS-Plattform entwickelt, die den gesamten Prozess aus Crawling, Analyse und Reporting automatisiert und damit den Aufwand für Website-Audits deutlich reduziert. Konkret bieten wir:
- Vollautomatische DSGVO-Scans von Startseite und Unterseiten, einschließlich Cookies, Tracker, Consent-Banner, Transportverschlüsselung und Security-Header
- KI-gestützte Analyse für konsistente Ergebnisse über mehrere Websites hinweg
- Strukturierte Reports mit Risikobewertung, priorisierten Handlungsempfehlungen und Export als PDF oder Word
- Dauerhafte Überwachung mit automatischen Benachrichtigungen bei Änderungen
- Whitelabel-Funktion für externe Dienstleister sowie REST-API und Single Sign-On für größere Unternehmensanforderungen
- Scan passwortgeschützter Bereiche für Intranets und Testserver (ab Business-Tarif)
- Dynamischer Datenschutzerklärungsgenerator in 24 Sprachen, der auf Basis der Scan-Ergebnisse passende Texte erstellt
Möchten Sie sehen, wie decareto Ihre Website-Audits effizienter gestaltet? Jetzt kostenlos starten und Ihre erste Website in wenigen Minuten scannen.
Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.
Ähnliche Artikel
- Welche Barrierefreiheitsanforderungen gelten für digitale Dokumente?
- Welche Barrierefreiheitsprobleme entstehen durch schlecht eingebettete Schriften?
- Was ist der Unterschied zwischen WCAG-Stufe A und AA in der Praxis?
- Wie lässt sich ein Barrierefreiheits-Report für Kunden aufbereiten?
- Wie erkennt man Barrierefreiheitsprobleme bei Dropdown-Menüs?
