Ihr cookie consent wurde vor drei Tagen stillschweigend deaktiviert, und Sie erfahren erst jetzt davon. Wissen Sie, welcher Benutzer diese Änderung vorgenommen hat oder wann dies geschehen ist?
Bei WordPress-Websites, die personenbezogene Daten verarbeiten, spielt die Protokollierung von Aktivitäten eine wichtige Rolle bei der Einhaltung datenschutzrechtlicher Vorschriften und der Rechenschaftspflicht.
In diesem Artikel erklären wir, warum die Protokollierung von Aktivitäten für die Einhaltung von Vorschriften entscheidend ist und wie man sie in WordPress implementiert.
Warum die Protokollierung von Aktivitäten für die Einhaltung datenschutzrechtlicher Vorschriften entscheidend ist
Die Aktivitätsprotokollierung erstellt eine strukturierte, mit Zeitstempeln versehene Aufzeichnung aller Vorgänge auf Ihrer WordPress-Website: wer hat was wann getan.
Ohne diese Funktion agieren Sie im Grunde genommen im Dunkeln. Wenn ein Nutzer Berechtigungen ändert, Inhalte löscht oder eine Einstellung ändert, die sich auf die Erhebung oder Verarbeitung personenbezogener Daten auswirkt, benötigen Sie einen eindeutigen Nachweis dieser Aktion, um sie später untersuchen oder nachweisen zu können.
Ein gut konfiguriertes Aktivitätsprotokoll erfasst in der Regel Ereignisse wie:
- Benutzeranmeldungen und fehlgeschlagene Anmeldeversuche
- Erstellung oder Änderung von Inhalten
- Änderungen an Benutzerrollen oder Berechtigungen
- Installation, Aktualisierung oder Deinstallation von Plugins
- Änderungen an der Konfiguration oder den Einstellungen
Diese Transparenz unterstützt Administratoren und Compliance-Experten bei Audits und gewährleistet die kontinuierliche Einhaltung von Vorschriften, indem verdächtiges Verhalten erkannt und unbefugte Zugriffsversuche untersucht werden.
Betrachten wir einige praktische Szenarien, in denen Aktivitätsprotokolle die Einhaltung von Datenschutzbestimmungen unterstützen.
#1 Verbesserung der Rechenschaftspflicht und Transparenz
Der Grundsatz der Rechenschaftspflicht in der DSGVO Artikel 5 Absatz 2) verpflichtet die für die Verarbeitung Verantwortlichen, die Einhaltung der in Artikel 5 Absatz 1 festgelegten zentralen Datenschutzgrundsätze nachzuweisen, wie etwa Rechtmäßigkeit, Datenminimierung und Zweckbindung.
Ein umfassendes Aktivitätsprotokoll kann dabei helfen, die auf der Website durchgeführten Aktionen zu dokumentieren, und die Beweissicherung im Rahmen von Compliance-Prozessen unterstützen.
Wenn beispielsweise ein Administrator das Passwort eines Benutzers zurücksetzt, wird im Aktivitätsprotokoll festgehalten, wer die Zurücksetzung veranlasst hat und wann sie stattgefunden hat.
Auf diese Weise kann das Team sicherstellen, dass Änderungen beim Kontozugriff rechtmäßig und ordnungsgemäß autorisiert waren und nicht auf einen unbefugten Zugriff zurückzuführen sind.
Ein Beispiel finden Sie im folgenden Screenshot.
#2 Erkennen von riskanten oder unbeabsichtigten Änderungen
WordPress-Websites entwickeln sich ständig weiter. Inhalte werden aktualisiert, Plugins konfiguriert und Einstellungen von mehreren Benutzern angepasst.
Diese Änderungen können mitunter die Datenschutzfunktionen beeinträchtigen, ohne dass es jemand bemerkt.
Mithilfe der Protokollierung von Aktivitäten können Administratoren nachvollziehen, wann unbefugte oder versehentliche Änderungen vorgenommen wurden, und so sicherstellen, dass die Sicherheits- und Datenschutzmaßnahmen weiterhin wirksam sind.
Beispielsweise könnte ein Nutzer versehentlich cookie consent Ihrer Website deaktivieren.
Wenn die Protokollierung von Aktivitäten aktiviert ist, können Administratoren sofort benachrichtigt werden, sobald eine solche Änderung auftritt, und die korrekte Konfiguration wiederherstellen, bevor die Website nicht mehr den Vorschriften entspricht.
Siehe zum Beispiel den folgenden Screenshot.
#3 Vorfälle schneller untersuchen
Aktivitätsprotokolle bieten eine chronologische Aufzeichnung vieler WordPress-Ereignisse, die zu einem Vorfall geführt haben oder währenddessen stattfanden, was die Untersuchung erheblich erleichtert.
Erhält ein Administrator eine Benachrichtigung, dass ein Benutzer mit geringen Berechtigungen unerwartet in die Administratorrolle befördert wurde, lässt sich anhand des Aktivitätsprotokolls leicht nachvollziehen, wann und von wem diese Änderung vorgenommen wurde.
Auf diese Weise kann das Team beurteilen, ob es sich um eine legitime Aktion handelte oder um einen Sicherheitsvorfall, der weitere Maßnahmen erfordert.
Ein Beispiel finden Sie im folgenden Screenshot.
Es gibt noch eine weitere Ebene der Protokollierung, die ebenso wichtig ist: den Nachweis, dass Ihre Besucher vor der Erfassung ihrer Daten eine gültige Einwilligung erteilt haben.
DSGVO 7 Absatz 1DSGVO schreibt vor, dass der Verantwortliche, wenn die Verarbeitung auf einer Einwilligung beruht, nachweisen können muss, dass die betroffene Person ihre Einwilligung erteilt hat.
In der Praxis bedeutet dies, dass ein nachprüfbares Protokoll der Einwilligungen geführt werden muss: ein Nachweis darüber, wer wann wozu seine Einwilligung erteilt hat .
Einwilligungsprotokolle werden in der Regel von einer consent management platform verwaltet.
Sie erfassen, wann und wie ein Nutzer seine Einwilligung erteilt oder widerrufen hat, womit er einverstanden war und welche Version des Banners oder des Einstellungs-Tools ihm angezeigt wurde.
MitgliederPro+ Termly Pro+ können direkt im Bereich „Einwilligungsprotokolle“ des Termly auf detaillierte Protokolle zu den Einwilligungen der Nutzer zugreifen und diese bei Bedarf exportieren.
Aktivitäts- und Protokollierungsprotokolle unterstützen gemeinsam verschiedene Aspekte der Compliance.
Aktivitätsprotokolle bieten Einblick in die Aktivitäten von Benutzern und Systemen auf der Website, während Einwilligungsprotokolle den Nachweis liefern, dass die Einwilligung der Benutzer eingeholt wurde.
So richten Sie die Aktivitätsprotokollierung ein (WordPress)
Das Internet basiert größtenteils auf Content-Management-Systemen, wobei allein WordPress über 42,5 % aller Websites betreibt.
Während den meisten CMS-Plattformen ein integriertes, benutzerfreundliches Protokollierungssystem für Aktivitäten fehlt, das sich für Audits eignet, ist WordPress eine der am einfachsten zu erweiternden Plattformen; der Einstieg ist unkompliziert und in wenigen Minuten erledigt.
Wir werden „WP Activity Log“ verwenden, eine der meistgenutzten Lösungen im WordPress-Repository mit über 300.000 aktiven Installationen, die – und das ist besonders wichtig – Termly unterstützt.
So fangen Sie an:
- Gehen Sie in Ihrem WordPress-Dashboard zu „Plugins“ > „Neues Plugin hinzufügen“.
- Suchen Sie nach „WP Activity Log“, klicken Sie dann auf „Jetzt installieren“ und „Aktivieren“.
- Der Einrichtungsassistent führt Sie durch die Erstkonfiguration und fordert Sie auf, einen Hinweis auf der Anmeldeseite hinzuzufügen, der die Benutzer darüber informiert, dass ihre Aktivitäten überwacht werden.
Unten finden Sie ein kurzes Video, in dem diese Schritte vorgestellt werden.
Sobald das Plugin eingerichtet ist, beginnt es sofort mit der Protokollierung.
Sie können die Aktivitäten jederzeit unter „WP Activity Log > Aktivitätsprotokoll“ einsehen und die Einstellungen unter „WP Activity Log > Einstellungen“ anpassen.
Ereignisse, die WP Activity Log erfasst
Jedes Ereignis im WP-Aktivitätsprotokoll enthält das Datum und die Uhrzeit, den Benutzer und dessen Rolle sowie die Quell-IP-Adresse, sodass Sie über den für Compliance-Untersuchungen erforderlichen Kontext verfügen.
Aus Sicht der Einhaltung datenschutzrechtlicher Vorschriften zählen zu den wichtigsten Ereignissen:
- Änderungen an Beiträgen und Seiten, einschließlich Änderungen an der Datenschutzerklärung und den Allgemeinen Geschäftsbedingungen
- Aktivieren und Deaktivieren von Plugins,
- Änderungen am WordPress-Kern und an der siteweiten Konfiguration
- Änderungen an Benutzerrollen und Berechtigungen, einschließlich Änderungen am Administratorkonto
Ein Beispiel finden Sie im folgenden Screenshot.
WP Activity Log erfasst zudem direkt Termly Ereignisse, was besonders für Teams nützlich ist, die Termly consent management platform für consent management platform nutzen.
Dazu gehören:
- Die Website mit einem Termly verbinden oder die Verbindung trennen
- Änderungen am Status des Einwilligungsbanners
- Änderungen an den Auto-Blocker-Einstellungen in der Banner-Konfiguration
- Änderungen am Status der geplanten automatischen Scans
- Änderungen am Status der Zulassungsliste in der Datei „robots.txt“ von Termly
Weitere Einzelheiten finden Sie im folgenden Screenshot.
Eine vollständige Liste der erfassten Ereignisse finden Sie in der Dokumentation zu den Ereignis-IDs des WP-Aktivitätsprotokolls.
Erweiterte Funktionen in der Premium-Edition
Die kostenlose Version von WP Activity Log bietet einen umfassenden Überblick über Benutzer- und Systemaktivitäten.
Für Unternehmen mit höheren Anforderungen an den Datenschutz bieten die Premium- und Enterprise-Editionen jedoch einige nützliche Zusatzfunktionen:
- Sofortige Slack per SMS, E-Mail und Slack : Lassen Sie sich über kritische Ereignisse informieren, beispielsweise wenn die Rolle eines Benutzers auf „Administrator“ erhöht wird oder wenn Konfigurationsänderungen vorgenommen werden, die sich auf den Zugriff auf personenbezogene Daten auswirken könnten.
- Erweiterte Suche und Filter: Finden Sie schnell die spezifischen Ereignisse, die für eine behördliche Anfrage oder eine Sicherheitsuntersuchung relevant sind, ohne manuell durch Tausende von Protokolleinträgen scrollen zu müssen.
- Aktivitätsprotokollberichte erstellen und planen: Erstellen Sie vollständig konfigurierbare Benutzer- und Systembereichte und planen Sie deren Ausführung täglich, wöchentlich, monatlich oder vierteljährlich.
- Externe Protokollspeicherung: Spiegeln Sie Ihre Aktivitätsprotokolle in eine externe Datenbank oder ein Protokollverwaltungssystem wie AWS CloudWatch, Papertrail oder Loggly.
- Protokollarchivierung: Verschieben Sie ältere Protokolldaten in eine separate Datenbank, um das aktive Protokoll schlank zu halten, ohne dass Ihre Compliance-Historie verloren geht.
Sehen Sie sich das Beispiel im folgenden Screenshot an.
Bewährte Verfahren zur Einhaltung der Datenschutzbestimmungen bei Aktivitätsprotokollen
Die Protokollierung von Aktivitäten ist am effektivsten, wenn sie aktiv überwacht und in umfassendere Datenschutz- und Sicherheitsmaßnahmen eingebunden wird, anstatt nur als passive Aufzeichnung betrachtet zu werden.
Um sicherzustellen, dass Protokolle eine aussagekräftige Übersicht bieten, sollten Sie sich auf folgende Vorgehensweisen konzentrieren:
- Weisen Sie in Ihrer Datenschutzerklärung auf die Protokollierung hin: Vorschriften wie die DSGVO Transparenz darüber, wie personenbezogene Daten verarbeitet werden. Wenn Aktivitätsprotokolle personenbezogene Daten enthalten, sollte deren Verwendung in Ihrer Datenschutzerklärung offengelegt und im Einklang mit den entsprechenden Rechtsgrundlagen und Aufbewahrungsrichtlinien verwaltet werden.
- Legen Sie eine Richtlinie zur Protokollaufbewahrung fest: Der Grundsatz der Speicherbegrenzung DSGVOschreibt vor, dass personenbezogene Daten nur so lange aufbewahrt werden dürfen, wie dies erforderlich ist. Wenden Sie denselben Ansatz auf Ihre Protokolle an. Legen Sie eine Aufbewahrungsfrist fest, die Ihren Compliance-Anforderungen entspricht, und passen Sie die Aufbewahrungseinstellungen von WP Activity Log entsprechend an.
- Wahrung der Protokollintegrität: Die Speicherung von Protokollen in einem separaten System oder einer externen Datenbank trägt dazu bei, das Risiko zu verringern, dass Angreifer Datensätze verändern oder löschen, falls die Website kompromittiert wird. Die Aufbewahrung zuverlässiger Protokolle ist besonders wichtig, falls diese im Rahmen einer Untersuchung oder eines Compliance-Audits benötigt werden.
- Halten Sie einen Prozess für die Reaktion auf Datenschutzverletzungen bereit: DSGVO , dass Datenschutzverletzungen bewertet und gegebenenfalls gemeldet werden DSGVO . Wenn Sie im Voraus wissen, wie Ihr Team bei einem Vorfall mit Protokolldaten umgehen wird, können Sie im Ernstfall schnell handeln.
- Überwachen Sie Protokolle proaktiv: Richten Sie Warnmeldungen für kritische Ereignisse ein und überprüfen Sie regelmäßig die Aktivitätsprotokolle. Regelmäßige Überprüfungen in Verbindung mit Ihren allgemeinen Verfahren zum Datenschutz- und Einwilligungsmanagement tragen dazu bei, Probleme frühzeitig zu erkennen, bevor eine Konfigurationsänderung oder eine Aktualisierung der Berechtigungen ein Compliance-Risiko darstellt.
Die Protokollierung von Aktivitäten erhöht die Sicherheit und Nachvollziehbarkeit Ihrer WordPress-Website, indem sie Aktionen dokumentiert, die sich auf personenbezogene Daten und die Website-Konfiguration auswirken können.
Geschrieben von Natasha Piirainen
Natasha Piirainen ist Autorin zum Thema Datenschutz. Sie hat einen Bachelor-Abschluss in Englisch und Philosophie vom Wheaton College und verfügt über mehr als 10 Jahre Berufserfahrung in der forschungsorientierten Entwicklung von Inhalten.
Alle Beiträge von Natasha Piirainen lesen
Überprüft von Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic ist Rechtsberaterin und Director of Global Privacy Termly. Sie hat einen Abschluss in Rechtswissenschaften der Universität Belgrad. Sie ist spezialisiert auf die Umsetzung, Überwachung und Prüfung der Einhaltung von Datenschutzbestimmungen (HIPAA, PIPEDA, ePrivacy-Richtlinie, DSGVO, CCPA, POPIA, LGPD) durch Unternehmen.
Alle Beiträge lesen, die von Masha Komnenic CIPP/E, CIPM, CIPT, FIP geprüft wurden
