Wie sichert man eine Website ab? Checkliste nach dem KVKK.
Jede Website, die personenbezogene Daten erhebt, muss nach Artikel 12 des türkischen Gesetzes Nr. 6698 zum Schutz personenbezogener Daten (KVKK) technische und organisatorische Maßnahmen für die Sicherheit dieser Daten treffen. Der Leitfaden zur Datensicherheit, den die türkische Datenschutzbehörde (Kişisel Verileri Koruma Kurumu) im April 2025 veröffentlicht hat, zählt diese Maßnahmen auf, überträgt sie aber nicht einzeln auf die Bestandteile einer Website. Diese Checkliste leistet diese Übertragung: Verbindung, Admin-Bereich, Software, Veröffentlichungsprozess, Formular, Protokolle, Sicherung, Dienstleister und Plan für Datenpannen.
Der Leitfaden beginnt mit einer eigenen Warnung: Die Ansicht, mit einem einzigen Sicherheitsprodukt lasse sich vollständige Sicherheit erreichen, ist nicht immer richtig, denn Bedrohungen ändern täglich ihre Form. Der empfohlene Ansatz sind Maßnahmen, die einander ergänzen und regelmäßig überprüft werden. Die folgenden Punkte sind deshalb keine Liste, die man einmal abhakt und liegen lässt, sondern Fragen, die bei jeder Änderung der Website neu zu stellen sind.
Wer ist für die Sicherheit der Website verantwortlich?
Der Websitebetreiber. Artikel 12 des Gesetzes legt die technischen und organisatorischen Maßnahmen, die für ein angemessenes Sicherheitsniveau nötig sind, dem Verantwortlichen auf; dass eine Agentur die Website gebaut hat, hebt diese Pflicht nicht auf. Unternehmen, die die Daten in Ihrem Auftrag verarbeiten, also Dienste, die die Website hosten, warten oder die Formularnachrichten übermitteln, sind nach Absatz 2 desselben Artikels gemeinsam mit Ihnen für die Sicherheit verantwortlich. 2026 liegt das Verwaltungsbußgeld für einen Verstoß gegen die Pflicht zur Datensicherheit zwischen 256.357 TL und 17.092.242 TL.
Öffnet sich die gesamte Website über HTTPS?
Werden personenbezogene Daten über Websites erhoben, verlangt der Leitfaden, dass die Verbindung per SSL oder auf einem sichereren Weg hergestellt wird. Im heutigen Web heißt das: Nicht nur die Formularseite, sondern die gesamte Website öffnet sich über https, die http-Adresse leitet in einem einzigen Schritt auf https weiter, und der HSTS-Header weist den Browser an, die Website nur über https zu öffnen. Die Schritte der Umstellung stehen im Leitfaden zur HTTPS- und www-Weiterleitung. Bei der Messung vom 31. August 2026 im Messobservatorium, dem offenen Datensatz dieser Website, sendeten 83 von 131 erreichbaren Websites aus der Türkei und der EU den HSTS-Header.
Wer kann sich im Admin-Bereich anmelden?
Der Leitfaden verlangt, dass Zugriff nur in dem Umfang gewährt wird, den die Aufgabe erfordert, und über Benutzername und Passwort erfolgt; das Passwort soll nicht aus persönlichen Angaben abgeleitet sein und Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen enthalten. Gegen Brute-Force-Angriffe soll die Zahl der Anmeldeversuche begrenzt werden, Administratorrechte sollen nur bei Bedarf vergeben und das Konto einer ausgeschiedenen Person ohne Zeitverlust gelöscht oder gesperrt werden. Auch eine Matrix der Zugriffsberechtigungen und -kontrollen, die zeigt, wer worauf zugreifen kann, gehört zu den Empfehlungen des Leitfadens.
Bei einer Website umfasst diese Liste mehr als den Admin-Bereich: Auch das Hosting-Panel, das Domain-Konto, das DNS sowie die Konten des Formular- und des E-Mail-Dienstes sind Zugänge zur Website. Am häufigsten vergessen wird das Konto der Agentur oder des Freelancers, die die Website gebaut haben, das nach Abschluss der Arbeit offen bleibt. Der Leitfaden empfiehlt die Zwei-Faktor-Authentifizierung für den Fernzugriff auf in der Cloud gespeicherte Daten; sie bei jedem dieser über das Internet verwalteten Konten einzuschalten, führt dieselbe Logik fort.
Haben Sie ungenutzte Software gelöscht?
Der Befund des Leitfadens zur Software ist klar: Verbreitete Software hat, vor allem in älteren Versionen, dokumentierte Sicherheitslücken, und ungenutzte Software und Dienste zu löschen, statt sie aktuell zu halten, ist wegen seiner Einfachheit die vorrangig zu wählende Methode. Für die genutzte Software sind Patch-Management und Updates nötig, ebenso die regelmäßige Prüfung, ob die getroffenen Maßnahmen ausreichen.
Auf einer Website sind das deaktivierte, aber nicht gelöschte Plugins, ungenutzte Themes, auf dem Server vergessene alte Installationen und Testkopien. In einem fertigen Content-Management-System gehört der Software-Stack, der laufend aktualisiert werden muss, zum System; wie dieser Aufwand im Vergleich zu individueller Entwicklung abschneidet, steht auf der Seite WordPress oder individuelle Entwicklung.
Testen Sie Änderungen vor der Veröffentlichung?
Ein webspezifischer Beschluss des Datenschutzrats (Kişisel Verileri Koruma Kurulu) zeigt, warum diese Frage auf der Liste steht. Im Beschluss 2023/1796 wurden nach einer Systemänderung auf der Website eines Unternehmens durch eine Cache-Konfiguration Name, Nachname, Mitgliedschafts- und Telefondaten von Mitgliedern für jedermann zugänglich. Der Rat stellte fest, dass die Änderung vor der Inbetriebnahme nicht ausreichend getestet worden war, und verhängte ein Bußgeld von 200.000 TL.
Auch der Leitfaden verlangt, dass Sicherheitsanforderungen bei der Beschaffung und Entwicklung neuer Systeme und bei der Verbesserung bestehender Systeme von Anfang an berücksichtigt werden. In der Praxis heißt das, eine Änderung zuerst auf einer von der Live-Website getrennten Kopie zu erproben und sie nach der Veröffentlichung erneut zu prüfen: Wird eine Seite, die nur für eine angemeldete Person bestimmt ist, einem anderen Besucher angezeigt? Lassen sich Formularnachrichten, Verwaltungsseiten und Sicherungsdateien von außen öffnen?
Prüft das Formular die eingehenden Daten?
Der Leitfaden verlangt, dass geprüft wird, ob die in Anwendungen eingegebenen Daten richtig und angemessen sind, und dass Mechanismen eingerichtet werden, die kontrollieren, ob korrekt eingegebene Informationen während der Verarbeitung verfälscht werden. In einem Webformular findet diese Prüfung auf dem Server statt; die Validierung im Browser ist eine Erleichterung für den Besucher, keine Sicherheit, denn die Anfrage kann auch am Browser vorbei gesendet werden.
Die zweite Frage ist, was das Formular erhebt und wohin die Nachricht geht: Jedes Feld, das nicht gebraucht wird, bedeutet zusätzliche Daten, die geschützt werden müssen. Dem Besucher zu erklären, welche Daten das Formular zu welchem Zweck erhebt, ist dagegen Aufgabe der Datenschutzhinweise.
Würden Sie einen Angriff bemerken?
Laut dem Leitfaden werden Systeme von innen und von außen angegriffen, und das bleibt trotz Anzeichen oft lange unbemerkt. Seine Empfehlungen: prüfen, welche Software und Dienste laufen; feststellen, ob es ein Eindringen oder eine Aktivität gibt, die es nicht geben dürfte; die Vorgangsprotokolle der Nutzer regelmäßig führen; Sicherheitsprobleme schnell melden; regelmäßig Schwachstellenscans und Penetrationstests durchführen lassen. Kommt es zu einem Vorfall, sollen Beweise gesammelt und sicher aufbewahrt werden.
Für eine Website heißt das mindestens, dass Anmeldeprotokolle des Admin-Bereichs und Serverprotokolle geführt werden und dass jemand sie ansieht. Da auch Protokolle personenbezogene Daten wie die IP-Adresse enthalten, wird gesondert festgelegt, wie lange sie aufbewahrt werden; die Regeln zu Aufbewahrung und Löschung stehen in unserem Artikel zur KVKK-konformen Website.
Liegt die Sicherung getrennt von der Website?
Der Leitfaden behandelt Sicherungen zusammen mit Ransomware: Gegen Software, die Dateien sperrt und für ihre Freigabe Lösegeld verlangt, braucht es eine Sicherungsstrategie; nur der Systemadministrator soll auf die Sicherungen zugreifen können, und Sicherungen der Datensätze sind unbedingt außerhalb des Netzwerks aufzubewahren. Andernfalls kann auch die Sicherung beim selben Angriff unbrauchbar werden.
Eine Kopie auf demselben Server oder im selben Hosting-Konto wie die Website ist keine Sicherung außerhalb des Netzwerks, wie sie der Leitfaden beschreibt. Auch den Zweck der Sicherung nennt der Leitfaden: nach einem Schaden an den Daten so schnell wie möglich den Betrieb wieder aufzunehmen. Ob das möglich ist, zeigt sich erst, wenn die Sicherung einmal wiederhergestellt und getestet wurde.
Steht im Vertrag mit dem Dienstleister etwas zur Sicherheit?
Der Leitfaden verlangt von einem Verantwortlichen, der Leistungen von Auftragsverarbeitern bezieht, sich zu vergewissern, dass diese mindestens dasselbe Sicherheitsniveau gewährleisten wie er selbst, und empfiehlt für den Vertrag: Schriftform; der Auftragsverarbeiter handelt nur auf Weisung und im Rahmen von Zweck und Umfang des Vertrags; eine unbefristete Verschwiegenheitspflicht; die unverzügliche Meldung einer Datenpanne an den Verantwortlichen; und die Kategorien der übermittelten Daten in einer eigenen Klausel. Der Verantwortliche kann das System prüfen oder prüfen lassen.
Bei einer Website sind diese Unternehmen meist der Hosting- und Content-Delivery-Dienst, der Formular- und E-Mail-Versanddienst und die Agentur, die die Website wartet. Steht der Server im Ausland, greifen zusätzlich die Regeln zur Übermittlung ins Ausland.
Welche Sicherheitsregeln senden Sie an den Browser?
In der Tabelle der technischen Maßnahmen des Leitfadens steht „Anwendungssicherheit“ als eigener Punkt, die Werkzeuge des Webs selbst nennt er aber nicht beim Namen. An erster Stelle stehen dabei die Antwort-Header. Die Content Security Policy (CSP) sagt dem Browser, aus welchen Quellen die Seite Skripte, Stile und Bilder laden darf; sie ist eine zusätzliche Verteidigungsschicht gegen Cross-Site-Scripting-Angriffe (XSS) und ersetzt nicht das Bereinigen von Eingaben. HSTS wiederum lässt die Website nur über https öffnen.
Jede Antwort dieser Website sendet diese Header: Als Standardquelle ist nur die eigene Domain zugelassen, HSTS gilt ein Jahr und schließt Subdomains ein, und die Website lässt sich nicht in einen Frame einer anderen Seite einbetten. Die Header Ihrer eigenen Website sehen Sie in den Entwicklertools des Browsers im Tab „Netzwerk“ (Network) bei den Antwort-Headern des Hauptdokuments.
Was ist bei einer Datenpanne binnen 72 Stunden zu tun?
Artikel 12 des Gesetzes verlangt, dass der Verantwortliche es der betroffenen Person und dem Rat so bald wie möglich meldet, wenn verarbeitete Daten auf rechtswidrigem Weg von anderen erlangt werden. Mit dem Beschluss 2019/10 legte der Rat fest, dass diese Frist spätestens 72 Stunden ab Kenntnis der Datenpanne beträgt; die Behörde hat die Regel in einer Bekanntmachung vom 20. Januar 2026 bekräftigt. Die Meldung erfolgt über das Formular des Rates für die Meldung von Datenpannen; wird die Frist von 72 Stunden aus berechtigtem Grund überschritten, wird auch der Grund der Verzögerung erläutert. Die Betroffenen werden so bald wie vernünftigerweise möglich informiert.
72 Stunden sind zu kurz, um im Moment der Datenpanne erst einen Plan aufzustellen. Vorab schriftlich festgelegt sein sollte: wer die Datenpanne an wen meldet, wann der Dienstleister Sie benachrichtigt (der Leitfaden sagt „unverzüglich“), wie Beweise gesichert werden und wie die Betroffenen erreicht werden. Auch die Tabelle der organisatorischen Maßnahmen im Leitfaden führt Krisenmanagement sowie die Abläufe zur Information des Rates und der betroffenen Person als eigenen Punkt auf.
Checkliste
- Verantwortung · Verantwortlicher sind Sie; wer die Daten in Ihrem Auftrag verarbeitet, ist gemeinsam mit Ihnen verantwortlich
- Verbindung · die gesamte Website über https, Weiterleitung in einem Schritt, HSTS
- Zugang · eigenes Konto pro Person, starkes Passwort, begrenzte Anmeldeversuche, Zwei-Faktor-Authentifizierung, Konten Ausgeschiedener gesperrt
- Software · ungenutzte Plugins und Installationen gelöscht, der Rest aktuell
- Veröffentlichung · Änderung zuerst auf einer getrennten Kopie erprobt, nach der Veröffentlichung geprüft
- Formular · Validierung auf dem Server, nur nötige Felder
- Überwachung · Anmeldeprotokolle und Logs werden geführt und gelesen, regelmäßige Schwachstellenscans
- Sicherung · außerhalb des Netzwerks, nur für den Administrator zugänglich, Wiederherstellung getestet
- Vertrag · schriftlich, Verarbeitung auf Weisung, Verschwiegenheit, unverzügliche Meldung bei Datenpannen
- Header · CSP, HSTS, Schutz vor Einbettung in Frames
- Datenpanne · Meldeplan für 72 Stunden schriftlich festgelegt
Diese Liste wurde mit Stand 30. Oktober 2026 nach dem Leitfaden der Behörde zur Datensicherheit und den geltenden Vorschriften geschrieben. Sie ist keine Rechtsberatung und ersetzt auch keinen Sicherheitstest. Wenn Sie gemeinsam messen möchten, was Ihre Website nach außen zeigt, schreiben Sie uns.
Wenn Sie die Antworten auf diese Fragen auf Ihrer eigenen Website sehen möchten: Corporate Webdesign liefert Design, Code und technisches SEO aus einer Hand, mit einem messbaren Budget.