GDPR-konforme WordPress-Sicherheit: Datenschutz von Haus aus
Die meisten Sicherheits-Plugins protokollieren alles und stellen erst später Fragen. Für ein WordPress-Sicherheits-Plugin zur DSGVO ist dies die falsche Standardeinstellung. ReportedIP Hive wurde in Deutschland entwickelt und basiert auf dem Grundsatz des Datenschutzes: minimale Datenmenge, kurze Aufbewahrungsfristen, Verschlüsselung im Ruhezustand und optionaler Offline-Betrieb.
In diesem Leitfaden wird erläutert, welche Daten Hive erhebt, wie lange diese aufbewahrt werden und auf welcher Rechtsgrundlage die Verarbeitung beruht.
Was ist ReportedIP Hive?
ReportedIP Hive ist ein umfassendes WordPress-Sicherheits-Plugin – mit 16 Attack Sensors, vier 2FA-Methoden, progressiver Blockierung und opt-in-basierter Threat Intelligence aus der Community. Der Datenschutz ist kein kostenpflichtiges Add-on; in jedem Modus gelten die datenminimalen Standardeinstellungen. Der vollständige Funktionsumfang von ReportedIP Hive finden Sie auf der Produktseite.
Standardmäßig wird nur eine minimale Datenerfassung vorgenommen
Es werden weder Benutzernamen noch Kommentarinhalt noch vollständige User-Agents in irgendeinem Report erfasst; User-Agents werden selbst in lokalen Protokollen auf 50 Zeichen gekürzt. Der Bereinigungsvorgang wird täglich ausgeführt, wobei standardmäßig eine Aufbewahrungsfrist von 30 Tagen gilt; die Datensätze werden nach 7 Tagen automatisch anonymisiert. Dadurch bleiben die Protokolle für die Erkennung von Mustern nützlich, ohne dass sie zu einem langfristigen Profil Ihrer Besucher werden.
Freiwillig offline, Weitergabe nur nach ausdrücklicher Zustimmung
Der „Local Shield“-Modus funktioniert zu 100 % offline – es verlassen keine Daten Ihre Website. Die Weitergabe an das Community Network erfolgt ausschließlich auf freiwilliger Basis, und selbst dann werden lediglich die IP-Adresse und die Angriffskategorie übermittelt. Im Hintergrund wird keine Telemetrie ausgeführt, die Sie nicht selbst aktiviert haben. Eine Option zum Löschen bei Deinstallation entfernt alle Plugin-Daten, sobald Sie das Plugin nicht mehr benötigen.
Verschlüsselung im Ruhezustand für jedes vertrauliche Datum
Alle Geheimnisse – TOTP-Seeds, Anmeldedaten von SMS-Anbietern und Telefonnummern – werden mit libsodium (OpenSSL als Ausweichlösung) verschlüsselt. Für Anmeldedaten wird niemals eine unverschlüsselte Speicherung von Benutzermetadaten verwendet, sodass bei einem Datenbankleck keine funktionierenden zweiten Authentifizierungsfaktoren offengelegt werden.
Dokumentierte Rechtsgrundlage
Die Verarbeitung stützt sich auf Art. 6 Abs. 1 Buchstabe f DSGVO – berechtigtes Interesse an der Verhinderung unbefugten Zugriffs – und diese Rechtsgrundlage ist im Setup Wizard und in der Admin-Benutzeroberfläche dokumentiert und nicht in einer Richtlinie versteckt, die niemand liest. Im Business plan unterstützt Sie ein DSGVO-konformes GDPR Export Tool bei der Beantwortung von Auskunftsersuchen gemäß Art. 15. Aufbewahrungsfristen, Anonymisierung und Detaillierungsgrad sind vollständig konfigurierbar, wobei eine Voreinstellung „DSGVO-Minimal“ mit einem Klick verfügbar ist.
Verwandte Anleitungen
- Der Setup Wizard und seine auf Datenschutz ausgerichteten Standardeinstellungen
- Was beim „Opt-in“-Community-Sharing tatsächlich übermittelt wird
- Wie Telefonnummern im Relay verarbeitet werden
Die Dokumentation zum WordPress-Plugin behandelt die Einstellungen zur Aufbewahrungsfrist und zur Anonymisierung. Sehen Sie sich die vollständigen Anleitungen zum ReportedIP Hive-Plugin an oder lesen Sie den Text zur Rechtsgrundlage auf EUR-Lex (DSGVO).