Bevor Sie einen Quick-Check beauftragen, sollten Sie wissen, was Sie dafür bekommen. Diese Seite zeigt Aufbau und Tiefe eines Cyber-Aspis-Reports anhand eines vollständig fiktiven Beispiels: Executive Summary, priorisierte Findings mit Geschäfts-Auswirkung und eine konkrete Umsetzungs-Roadmap.
So ist der Quick-Check-Report aufgebaut: am Anfang eine für die Geschäftsführung verständliche Zusammenfassung ohne Tech-Jargon, mit klarer Priorität.
Bei der Sicherheitsüberprüfung der Praxis-Webseite praxis-muster.example wurden 1 kritisches, 3 hohe und 4 mittlere Sicherheitsprobleme identifiziert, dazu ein Info-Hinweis.
Das dringendste Risiko liegt im Online-Terminbuchungs-Plugin. Die installierte Version enthält eine seit 2022 öffentlich dokumentierte Schwachstelle, über die sich ohne jede Anmeldung Datenbank-Abfragen einschleusen lassen (CVE-2022-0739). Betroffen ist damit potenziell der gesamte Datenbestand der Webseite, einschließlich der Termindaten mit Patientennamen, Kontaktdaten und Behandlungswünschen. Nach DSGVO Art. 9 sind das besondere Kategorien personenbezogener Daten (Gesundheitsdaten), für die Art. 32 DSGVO entsprechend strenge Sicherheitsanforderungen stellt.
Empfehlung: Das Plugin sollte innerhalb von 3 Tagen auf eine Version aktualisiert werden, die die Lücke schließt. Der Aufwand liegt bei ca. 1 bis 2 Stunden Wartung. Die vollständige, priorisierte Roadmap folgt weiter unten.
| Severity | Anzahl | Bedeutung |
|---|---|---|
| Kritisch | 1 | Sofort beheben, System ggf. offline nehmen |
| Hoch | 3 | Innerhalb 7 Tagen beheben |
| Mittel | 4 | Innerhalb 30 Tagen beheben |
| Info | 1 | Beobachten, nächstes Wartungsfenster |
Zum Thema Bußgelder, weil danach oft zuerst gefragt wird: Sicherheitsmängel betreffen Art. 32 DSGVO und fallen damit in den Rahmen von Art. 83 Abs. 4 (bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, maßgeblich ist der höhere Betrag). Ist der Mangel zugleich ein Verstoß gegen den Grundsatz der Integrität und Vertraulichkeit nach Art. 5 Abs. 1 lit. f, greift der höhere Rahmen von Abs. 5 (bis 20 Mio. € oder 4 %). Für einen Betrieb in KMU-Größe ist die Prozent-Alternative dabei die kleinere Zahl und praktisch nicht der Maßstab. Die tatsächliche Höhe bemisst sich nach den Kriterien in Art. 83 Abs. 2, wobei ein dokumentiert und zeitnah behobener Mangel entlastend wirkt.
Der Report benennt außerdem die Folgepflichten: Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Art. 33, sofern die Verletzung voraussichtlich zu einem Risiko für die betroffenen Personen führt, und Benachrichtigung der Betroffenen selbst nach Art. 34, sobald ein hohes Risiko besteht. Bei Gesundheitsdaten ist Letzteres regelmäßig anzunehmen und in der Praxis die aufwendigere Pflicht.
Kein Rechtsrat: Datenschutzrechtliche Einordnungen im Report dienen der Orientierung und der Priorisierung technischer Maßnahmen. Sie sind keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes. Für verbindliche Bewertungen ist Ihr Datenschutzbeauftragter oder anwaltliche Beratung zuständig.
Die Finding-Einträge folgen dieser Struktur: was das Problem ist, was konkret gefunden wurde, welche Geschäfts-Auswirkung es hat und was zu tun ist. Drei Beispiele aus unterschiedlichen Schwere-Graden:
Das Plugin, mit dem Patienten online Termine buchen (BookingPress, installiert in Version 1.0.10), gibt eine Eingabe aus dem Buchungsformular ungeprüft an die Datenbank weiter. Ein Angreifer kann dadurch eigene Datenbank-Befehle einschleusen, ohne sich anzumelden und ohne einen Termin zu buchen. Es genügt der Aufruf einer Schnittstelle, die das Plugin für alle Besucher offen hält. Die Lücke ist seit 2022 dokumentiert (CVE-2022-0739, CVSS 9.8 nach NVD), betroffen sind alle Versionen vor 1.0.11, und fertige Angriffsbefehle sind in öffentlichen Schwachstellen-Datenbanken frei einsehbar. Im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA ist sie nicht geführt.
Im Musterszenario war die Plugin-Version über die öffentlich abrufbare readme.txt auslesbar und lag im verwundbaren Bereich. Eine nicht-invasive Prüfung bestätigte, dass die betroffene Schnittstelle ohne Anmeldung erreichbar ist und auf veränderte Parameter mit unterschiedlichem Antwortverhalten reagiert. Ein ausnutzender Datenbank-Zugriff wurde bewusst nicht durchgeführt, um Patientendaten nicht zu berühren. Diese Einschränkung steht so auch im Report, statt einen Beweis zu behaupten, den die Prüfung nicht liefert.
Bei einer Ausnutzung wäre der Datenbestand der Webseite lesbar: Termindaten mit Patientennamen und Kontaktdaten, Behandlungsanmerkungen aus dem Buchungsformular sowie die Benutzerkonten der Webseite samt Passwort-Prüfsummen, was in der Folge eine Übernahme des Administrator-Zugangs ermöglichen kann. Termindaten einer Zahnarztpraxis sind Gesundheitsdaten nach Art. 9 DSGVO. Der Report ordnet die daran hängenden Melde- und Benachrichtigungspflichten ein (Art. 33 und Art. 34) und beziffert den Bußgeldrahmen nach Art. 83 in dem oben beschriebenen Verhältnis.
Im Musterszenario ließen sich an der Admin-Login-Seite (/wp-admin) 200 gängige Passwörter in weniger als zwei Minuten durchprobieren, ohne dass das System reagierte: keine Konto-Sperre, kein Captcha, keine Verzögerung. Zusätzlich akzeptiert das System kurze, einfache Passwörter, und es ist keine Multi-Faktor-Authentifizierung aktiv.
Login-Versuch-Limit: nicht konfiguriert. Multi-Faktor-Authentifizierung: nicht aktiviert. Erlaubte Passwort-Mindestkomplexität: 6 Zeichen, kein Sonderzeichen-Zwang. Der Test mit 200 häufigen Passwörtern in unter zwei Minuten löste keine Sperre aus, alle Versuche wurden verarbeitet. Kein Versuch war erfolgreich, es wurde kein Zugang erlangt. Die Passwortliste bestand aus öffentlichen Standard-Listen, nicht aus praxisbezogenen Begriffen.
Ein Angreifer kann mit Standard-Werkzeugen systematisch tausende Passwort-Kombinationen testen, bis er Zugriff hat. Bei einem schwachen Passwort dauert das Stunden statt Wochen.
Mehrere wichtige HTTP-Sicherheits-Header sind auf dem Webserver nicht gesetzt: Content-Security-Policy (verhindert Code-Einschleusung), X-Content-Type-Options: nosniff (verhindert MIME-Sniffing-Angriffe), Referrer-Policy und Permissions-Policy (schränkt Browser-Funktionen ein).
Der vollständige Report enthält alle 9 Findings. Zusätzlich zu den drei hier gezeigten Beispielen sind das zwei weitere hohe Befunde, drei weitere mittlere und ein Info-Hinweis, dazu die Methodik-Details, die Quellenangaben zu den zitierten Schwachstellen und ein Glossar der Fachbegriffe.
Am Ende des Reports steht eine priorisierte Roadmap statt einer unsortierten Findings-Liste, damit sofort klar ist, womit begonnen werden sollte.
| Posten | Eigene Zeit | Externer Aufwand |
|---|---|---|
| Sofort-Maßnahmen | 1h | 4–5h IT-Dienstleister (≈ 250–400 €) |
| 30-Tage-Maßnahmen | 30 Min | 3–4h IT-Dienstleister (≈ 200–300 €) |
| 90-Tage-Maßnahmen | 30 Min | Datenschutzerklärung: externes Honorar nach Aufwand, Angebot einholen |
| Gesamt (technische Maßnahmen) | ~2h | ~450–700 € einmalig, danach ~25–35 €/Monat Wartung |
Die Beträge sind Schätzungen auf Basis marktüblicher Stundensätze für IT-Dienstleister und ersetzen kein Angebot Ihres Dienstleisters. Das Honorar für die Datenschutzerklärung hängt vom Umfang der Verarbeitungen ab und wird hier bewusst nicht geschätzt.
Das PDF enthält alle 9 Findings, die vollständige Methodik, die Quellenangaben zu den zitierten Schwachstellen und das Fachbegriffe-Glossar, exakt in dem Layout, in dem Sie den Report als Auftraggeber erhalten.
Die PDF-Version wird gerade aktualisiert und steht derzeit nicht zum Download bereit. Die Inhalte auf dieser Seite entsprechen dem aktuellen Stand. Wenn Sie das vollständige Muster als PDF brauchen, fragen Sie es unter kontakt@cyber-aspis.de an.
Im Erstgespräch (30 Minuten, kostenfrei) klären wir Scope und Freigabe. Die Prüfung selbst dauert 2 bis 4 Stunden, den Report erhalten Sie im Anschluss. Einen konkreten Termin dafür vereinbaren wir im Gespräch.