Mithilfe der Künstlichen Intelligenz (KI) wurden erneut Schwachstellen in bestehenden Softwarestrukturen erkannt und weltweit wurden Updates für Websites und Webprodukte durchgeführt, welche die Skriptsprache PHP verwenden.
Auch wenn die Beurteilung der technischen Schwachstellen CVE-2026-109618 und CVE-2026-109619 nicht in den Fachbereich des Datenschutzes fallen, sondern vielmehr den Bereich der Informationssicherheit betreffen, kann das Thema in der datenschutzrechtlichen Dimension entscheidende Auswirkungen haben.
Selbstverständlich ist das Schließen einer so bekannten Sicherheitslücke von erheblichem Eigeninteresse für alle Verantwortlichen. Aus datenschutzrechtlicher Sicht kann sich jedoch auch eine Pflicht zum Handeln ergeben: Generell verlangt Art. 32 DSGVO, dass das Maß an Sicherheit für die personenbezogenen Daten, neben anderen Faktoren, auch am Stand der Technik auszurichten sei. Auch Art. 24 DSGVO verlangt vom Verantwortlichen die Implementierung von technischen und organisatorischen Maßnahmen nach dem Stand der Technik. Das Gesetz sieht in Absatz 1 sogar eine Überprüfung und Aktualisierung dieser Maßnahmen vor.
Zwar lässt sich der Stand der Technik auf verschiedene Weisen auslegen, es wird jedoch ersichtlich sein, dass eine weltweit bekannte Sicherheitslücke in Webanwendungen geschlossen werden muss, um dem Stand der Technik entsprechen zu können. Das PHP-Schwachstellen-Szenario hat uns vor Augen geführt, dass sich die Geschwindigkeit geändert hat, in denen gerade noch aktuelle und sichere Anwendungen plötzlich zu veralteten und unsicheren Systemen werden. Nicht zuletzt waren die Warnungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) eindeutig formuliert und es wurde mit Angriffen innerhalb weniger Stunden nach Bereitstellung etwaiger Patches gerechnet. Nach aktuellen Berichten (z. B. von heise) sind erste erfolgreiche Attacken auf die PHP-Schwachstelle bestätigt worden.
Was sollten Verantwortliche beachten?
Mit Blick auf die datenschutzrechtlichen Vorgaben stellt sich die Frage, ab wann die Verantwortlichen in einem solchen Fall ihren Pflichten zur Gewährleistung der Datensicherheit nach Stand der Technik nicht mehr erfüllt hätten, sollten Updates nicht rechtzeitig eingespielt werden. Etwaige Überlegungen bezüglich der tatsächlichen Notwendigkeit eines Updates oder Upgrades der Systeme wären mit der Risikoqualifizierung durch das BSI (Kritikalität 3 / Orange) konfrontiert und die Frage nach der Eintrittswahrscheinlichkeit eines solchen Risikos hätte zum damaligen Zeitpunkt niemand mit ruhigem Gewissen als gering bewerten können. Im Ergebnis scheint es keine durchgreifenden Argumente zu geben, welche gegen ein schnellstmögliches Systemupdate sprechen. Daher wäre es auch aus Sicht der Aufsichtsbehörden nachvollziehbar, dass hier schnelles und konsequentes Handeln gefordert wird.
Sollte sich später herausstellen, dass eine Datenpanne ihren Ursprung in einer verschleppten Schließung von derart transparenten Sicherheitslücken hat, wird es schwer sein, eine entsprechende Begründung zu finden, weshalb der Stand der Technik für den entsprechenden Zeitraum nicht gewährleistet wurde. Damit steigt also das Beanstandungsrisiko mit dem verstrichenen Zeitraum, in dem etwaige personenbezogene Daten den bekannten Risiken ausgesetzt sind. Die Zukunft wird zeigen, ob sich die erwarteten Risiken noch realisieren werden. Auch wenn das noch ungewiss ist, so muss davon ausgegangen werden, dass es nicht die letzte Sicherheitslücke war, welche unmittelbares Handeln auf Seite der Verantwortlichen verlangt.
Keine Kommentare