Digitale Dienste: Häufig gestellte Fragen

Anders als bei ortsgebundenen Sektoren richtet sich die Zuständigkeit nicht nach dem Serverstandort, sondern nach dem Herkunftslandprinzip: Maßgeblich ist der Mitgliedstaat der Hauptniederlassung in der EU. Anbieter ohne Niederlassung in der Union müssen einen Vertreter benennen. Klären Sie das zuerst und halten Sie es schriftlich fest — davon hängen Registrierung und Meldeweg ab, und im Ereignisfall ist für diese Recherche keine Zeit.

Die Unterscheidung entscheidet über die Aufsichtsintensität. Online-Marktplätze, Suchmaschinen und Plattformen sozialer Netzwerke stehen in Anhang II. Cloud-Dienste, Rechenzentren und Content-Delivery-Netze stehen dagegen in Anhang I unter digitaler Infrastruktur und unterliegen der strengeren Aufsicht. Wer mehrere Dienste anbietet, bewertet je Dienst getrennt — eine pauschale Einordnung des Unternehmens führt regelmäßig in die Irre.

Bei Plattformen ist das Konto das eigentliche Angriffsziel, und übernommene Verkäufer- oder Auszahlungskonten führen unmittelbar zu Betrug an Dritten. Trennen Sie deshalb zuerst die Konten mit Zahlungs- oder Verwaltungsrechten von gewöhnlichen Nutzerkonten und erzwingen Sie für diese Gruppe Mehrfaktor-Authentifizierung — als Pflicht, nicht als Empfehlung. Ergänzend braucht es eine Erkennung für automatisiertes Durchprobieren andernorts erbeuteter Zugangsdaten.

Marktplätze verwalten fremdes Geld, und das verbreitetste Betrugsmuster ist die stille Verlagerung des Auszahlungsziels. Verlangen Sie für Änderungen an Bank- und Auszahlungsdaten eine gesonderte zweite Bestätigung über einen anderen Kanal und zeichnen Sie jede Änderung unveränderlich auf. Eine Benachrichtigung an den Kontoinhaber bei jeder solchen Änderung kostet wenig und deckt Übernahmen früh auf.

Bei Plattformbetreibern ist die eigene Software das Produkt, und ein kompromittierter Build erreicht alle Nutzer gleichzeitig — der SolarWinds-Fall ist dafür das Musterbeispiel. Führen Sie ein Verzeichnis aller Drittabhängigkeiten, damit Sie bei einer bekannt gewordenen Schwachstelle innerhalb von Stunden sagen können, ob Sie betroffen sind. Sichern Sie zusätzlich Build- und Auslieferungssysteme ab und signieren Sie die ausgelieferten Artefakte.

Schnittstellen brauchen dieselbe Aufmerksamkeit wie die Anwendung selbst — über sie werden regelmäßig große Datenbestände zusammengestellt, ohne dass ein klassischer Einbruch stattfindet. Wirksam sind Authentisierung, eine Begrenzung der Abfragerate und eine Protokollierung, die ungewöhnliche Abfragemuster sichtbar macht. Prüfen Sie dabei ausdrücklich auch ältere Schnittstellenversionen, die noch erreichbar sind.

Erhebliche Sicherheitsvorfälle gehen binnen 24 Stunden als Frühwarnung und binnen 72 Stunden mit Bewertung an die zuständige Behörde. Da ein Plattformvorfall fast immer personenbezogene Daten betrifft, läuft die Meldung nach Art. 33 DSGVO parallel — führen Sie beide in einem Prozess mit gemeinsamer Fristenübersicht. Bei Nutzern in mehreren Mitgliedstaaten beschreiben Sie vorab, wie weitere betroffene Staaten und die Nutzer selbst informiert werden.