DSGVO-konforme WordPress-Sicherheit: Datenschutz von Haus aus
Die meisten Sicherheits-Plugins protokollieren alles und stellen erst später Fragen. Für ein WordPress-Sicherheits-Plugin zur DSGVO-Konformität ist das die falsche Voreinstellung. ReportedIP wurde in Deutschland entwickelt und stützt sich auf Datenschutz als Grundprinzip: minimale Datenmenge, kurze Speicherdauer, Verschlüsselung im Ruhezustand und optionaler Offline-Betrieb.
In diesem Leitfaden wird erläutert, welche Daten Hive erfasst, wie lange diese gespeichert werden und auf welcher Rechtsgrundlage die Verarbeitung beruht.
Was ist ReportedIP ?
ReportedIP ist ein umfassendes WordPress-Sicherheits-Plugin – mit 12 Angriffssensoren, vier 2FA-Methoden, progressiver Blockierung und opt-in-basierten Bedrohungsinformationen aus der Community. Datenschutz ist kein kostenpflichtiges Add-on; in jedem Modus gelten die datenminimalen Standardeinstellungen. Den vollständigen Funktionsumfang ReportedIP finden Sie auf der Produktseite.
Standardmäßig nur minimale Datenerfassung
Benutzernamen, Kommentarinhalte und vollständige User-Agents werden in keinem Bericht erfasst; User-Agents werden selbst in lokalen Protokollen auf 50 Zeichen gekürzt. Der Bereinigungsjob wird täglich ausgeführt, wobei standardmäßig eine Aufbewahrungsfrist von 30 Tagen gilt, und die Datensätze werden nach 7 Tagen automatisch anonymisiert. So bleiben die Protokolle nützlich, um Muster zu erkennen, ohne dass sie zu einem langfristigen Profil Ihrer Besucher werden.
Freiwillig offline, Teilen nur nach Zustimmung
Der „Local Shield“-Modus funktioniert zu 100 % offline – es werden keinerlei Daten von Ihrer Website übertragen. Die Weitergabe an das Community-Netzwerk erfolgt ausschließlich auf freiwilliger Basis, und selbst dann werden nur die IP-Adresse und die Angriffskategorie übermittelt. Im Hintergrund läuft keine Telemetrie, die Sie nicht selbst aktiviert haben. Eine Option zum Löschen bei Deinstallation entfernt alle Plugin-Daten, sobald Sie das Plugin nicht mehr benötigen.
Speicherverschlüsselung für alle vertraulichen Daten
Alle Geheimnisse – TOTP-Seeds, Anmeldedaten von SMS-Anbietern und Telefonnummern – werden mit libsodium (mit OpenSSL als Ausweichlösung) verschlüsselt. Für Anmeldedaten wird niemals eine einfache Speicherung in den Benutzer-Metadaten verwendet, sodass bei einem Datenbankleck keine funktionierenden zweiten Authentifizierungsfaktoren preisgegeben werden.
Dokumentierte Rechtsgrundlage
Die Verarbeitung stützt sich auf Art. 6 Abs. 1 Buchstabe f DSGVO – berechtigtes Interesse an der Verhinderung unbefugten Zugriffs – und diese Rechtsgrundlage ist im Einrichtungsassistenten und in der Admin-Benutzeroberfläche dokumentiert, nicht in einer Richtlinie versteckt, die niemand liest. Im Business hilft Ihnen ein DSGVO-konformes Datenexport-Tool dabei, Auskunftsersuchen gemäß Art. 15 zu beantworten. Aufbewahrungsfristen, Anonymisierung und Detaillierungsgrad sind alle konfigurierbar, wobei eine Voreinstellung „DSGVO-Minimal“ per Mausklick verfügbar ist.
Verwandte Anleitungen
- Der Einrichtungsassistent und seine datenschutzorientierten Standardeinstellungen
- Was beim opt-in-basierten Teilen in der Community tatsächlich gesendet wird
- Wie Telefonnummern im Relay verarbeitet werden
Die Dokumentation zum WordPress-Plugin behandelt die Einstellungen zur Aufbewahrungsdauer und Anonymisierung. Sehen Sie sich die vollständigen AnleitungenReportedIP an oder lesen Sie den Text zur Rechtsgrundlage auf EUR-Lex (DSGVO).