LfD Niedersachsen verhängt 65.500 Euro Bußgeld gegen Online-Shop-Betreiber

Niedersachsen: Die niedersächsische Datenschutzbehörde nahm Ermittlungen gegen das Unternehmen auf, nachdem es dieser eine Meldung gem. Art. 33 DSGVO gemacht hatte. Dabei stellte die Behörde fest, dass im Webshop des Betreibers eine veraltete Version der Web-Shop-Anwendung xt:Commerce zum Einsatz kam: Der Bußgeldempfänger hatte die Version 3.0.4 SP2.1 verwendet, welche seit 2014 nicht mehr vom Softwarehersteller mit Sicherheitsupdates beliefert wird.
Aus der weiteren Verwendung der veralteten Software ergaben sich dabei substanzielle Sicherheitsrisiken. So war die eingesetzte gegen SQL-Injection-Angriffe verwundbar, die auch das Auslesen von Passwort-Hashes aus der Datenbank ermöglichen. Die Hashes wurden zudem mit der  Hashfunktion MD5 ohne sog. „Salt“ verschlüsselt. MD5 wird schon seit Jahren als nicht mehr ausreichend sicher bewertet und entspricht damit nicht mehr dem Stand der Technik. Mitunter war es dadurch mit vergleichsweise geringem Aufwand möglich, die Klartext-Passwörter der Websitenutzer zu knacken.
Die Datenschutzbehörde wertete dies als eine Verletzung der Pflicht des Websitebetreibers, technische und organisatorische Maßnahmen zu implementieren, welche ein dem Risiko für die Betroffenen angemessenes Schutzniveau gewährleisten.
Die Informationen zu dieser Entscheidung sind dem Tätigkeitsbericht 2020 der niedersächsischen Datenschutzbehörde entnommen. Das exakte Datum des Bußgeldbescheids ist nicht bekanntgegeben worden und wurde hier deshalb mit dem 31.12.2020 angegeben. .

Veröffentlicht am: 18-06-2021

Quelle von dsgvo-portal.de