Eine DSGVO-Pr\u00fcfung und ein Sicherheits-Penetrationstest verfolgen grundlegend verschiedene Ziele: Die DSGVO-Pr\u00fcfung untersucht, ob eine Website personenbezogene Daten rechtskonform verarbeitet, w\u00e4hrend ein Penetrationstest aktiv nach technischen Sicherheitsl\u00fccken sucht, die Angreifer ausnutzen k\u00f6nnten. Beide Verfahren erg\u00e4nzen sich, ersetzen sich jedoch nicht gegenseitig. Die folgenden Abschnitte erkl\u00e4ren, was jede Pr\u00fcfart konkret umfasst, wer sie durchf\u00fchrt und wann ein Unternehmen beide ben\u00f6tigt.<\/p>\n\n\n\n
Eine DSGVO-Pr\u00fcfung, auch Datenschutz-Audit genannt, untersucht, ob eine Website die Anforderungen der Datenschutz-Grundverordnung erf\u00fcllt. Im Fokus stehen die Erhebung, Verarbeitung und Weitergabe personenbezogener Daten sowie die technischen und organisatorischen Ma\u00dfnahmen, die dabei eingesetzt werden. Ziel ist es, Schwachstellen zu identifizieren, die rechtliche Risiken begr\u00fcnden k\u00f6nnten.<\/p>\n\n\n\n
Typische Pr\u00fcfbereiche eines Website-Datenschutz-Audits umfassen:<\/p>\n\n\n\n
Eine DSGVO-Pr\u00fcfung bewertet also prim\u00e4r die Rechtm\u00e4\u00dfigkeit der Datenverarbeitung<\/strong> auf einer Website. Sie ist kein technischer Angriffssimulationstest, sondern ein Compliance-orientiertes Verfahren, das aufzeigt, wo Handlungsbedarf besteht. Wichtig: Eine solche Pr\u00fcfung identifiziert Schwachstellen zum Zeitpunkt des Scans, ersetzt jedoch keine rechtliche Beratung durch eine qualifizierte Datenschutzfachkraft.<\/p>\n\n\n\n Ein Penetrationstest, kurz Pentest, ist ein autorisierter Angriffssimulationstest, bei dem Sicherheitsexperten gezielt versuchen, in ein System einzudringen. Ziel ist es, technische Schwachstellen in Infrastruktur, Anwendungen oder Netzwerken zu finden, bevor echte Angreifer dies tun. Ein Pentest beantwortet die Frage: Kann unser System von au\u00dfen kompromittiert werden?<\/p>\n\n\n\n Typische Bestandteile eines Penetrationstests sind:<\/p>\n\n\n\n Ein Penetrationstest liefert eine technische Sicherheitsbewertung des Systems. Er sagt jedoch nichts dar\u00fcber aus, ob personenbezogene Daten rechtskonform verarbeitet werden oder ob Einwilligungsprozesse korrekt umgesetzt sind. Diese Fragen bleiben dem Datenschutz-Audit vorbehalten.<\/p>\n\n\n\n DSGVO-Pr\u00fcfung und Penetrationstest unterscheiden sich grundlegend in ihren Zielsetzungen und den Ergebnissen, die sie liefern. Die DSGVO-Pr\u00fcfung zielt auf rechtliche Konformit\u00e4t<\/strong>, der Penetrationstest auf technische Sicherheit<\/strong>. Beide Tests k\u00f6nnen \u00dcberschneidungen haben, etwa bei der SSL-Konfiguration, aber ihre Kernfragen sind verschieden.<\/p>\n\n\n\n Ein Datenschutz-Audit liefert typischerweise einen strukturierten Report mit einer \u00dcbersicht aller gefundenen Schwachstellen, priorisierten Handlungsempfehlungen und einer Bewertung des Risikopotenzials. Datenschutzbeauftragte und Compliance-Teams nutzen diese Ergebnisse, um konkrete Ma\u00dfnahmen einzuleiten, etwa das Anpassen des Consent-Banners, das Entfernen nicht einwilligungspflichtiger Tracker oder die Aktualisierung der Datenschutzerkl\u00e4rung<\/a>.<\/p>\n\n\n\n Ein Pentest-Bericht enth\u00e4lt eine technische Beschreibung gefundener Sicherheitsl\u00fccken, deren Schweregrad und konkrete Empfehlungen zur Behebung. Die Ergebnisse richten sich in erster Linie an IT-Sicherheitsverantwortliche und Entwickler. Typische Ma\u00dfnahmen nach einem Pentest sind das Schlie\u00dfen von Software-Schwachstellen, das H\u00e4rten von Serverkonfigurationen oder das Einf\u00fchren strengerer Zugriffskontrollen.<\/p>\n\n\n\n DSGVO-Pr\u00fcfungen werden in der Regel von Datenschutzbeauftragten, Datenschutzkanzleien oder spezialisierten Compliance-Dienstleistern durchgef\u00fchrt. Penetrationstests hingegen liegen im Verantwortungsbereich von IT-Sicherheitsexperten mit spezifischem technischem Know-how, h\u00e4ufig zertifizierten Ethical Hackern oder spezialisierten Sicherheitsunternehmen.<\/p>\n\n\n\n Diese Unterscheidung hat praktische Konsequenzen f\u00fcr Unternehmen:<\/p>\n\n\n\n In der Praxis arbeiten Datenschutzbeauftragte und IT-Sicherheitsteams idealerweise eng zusammen, da technische Sicherheitsl\u00fccken auch datenschutzrechtliche Konsequenzen haben k\u00f6nnen. Eine unzureichend gesicherte Datenbank etwa ist sowohl ein technisches als auch ein datenschutzrechtliches Problem.<\/p>\n\n\n\n Ein Unternehmen ben\u00f6tigt in der Regel beide Pr\u00fcfungen, wenn es personenbezogene Daten in nennenswertem Umfang verarbeitet und gleichzeitig sicherstellen m\u00f6chte, dass diese Daten sowohl rechtlich korrekt als auch technisch sicher behandelt werden. Die Kombination aus Datenschutz-Audit und Penetrationstest bietet eine deutlich umfassendere Risikoabdeckung als jede Pr\u00fcfung f\u00fcr sich allein.<\/p>\n\n\n\n Konkrete Situationen, in denen beide Pr\u00fcfungen sinnvoll sind:<\/p>\n\n\n\nWas deckt ein Penetrationstest auf?<\/h2>\n\n\n\n
\n
Welche Ziele und Ergebnisse liefern beide Tests?<\/h2>\n\n\n\n
Ergebnisse einer DSGVO-Pr\u00fcfung<\/h3>\n\n\n\n
Ergebnisse eines Penetrationstests<\/h3>\n\n\n\n
Wer f\u00fchrt DSGVO-Pr\u00fcfungen und Pentests durch?<\/h2>\n\n\n\n
\n
Wann braucht ein Unternehmen beide Pr\u00fcfungen?<\/h2>\n\n\n\n
\n