CK • Washington.   Eine ausgefeilte Datenschutzerklä­rung ist etwas feines, aber wenn man unter die Haube schaut, findet man bei Datenschutzämtern in Ländern und E.U. mor­sche Stecker und verbrannte Kabel. Ihre Worte sind hohl, weil sie ihre Versprechen technisch nicht umsetzen. Eine Woche nach dem Inkrafttreten der DSGVO-GDPR, das die Welt in Panik versetzte, sollten die Webseiten-DSE-Ver­fasser auch einmal mit den Server-Technikern gespro­chen haben. Das darf man von den mit der Durchsetzung und Vollstreckung betrauten Ämtern doch wohl erwarten?

Die linke Hand weiß nicht, was die rechte tut. Die Besucherdaten seien ga­ran­tiert ge­schützt, heißt es da, während einfache Web­servertests zeigen, dass sie diese Da­ten mangels Referrer-Einstellung im Serverheader automatisch Dritten ser­vie­ren. Auf Module Dritter wird zurückge­grif­fen, als ob die Serverwärter die DSE nie in die Hand bekommen hätten. Das Server-Zertifikat für den behaup­te­ten si­che­ren SSL-Zugang, der bei einem einfachen Seitenabruf ohne Daten­ein­ga­be keine Rolle spielt und als https-Verkehr nur mehr Bandbreite nutzt, wird durch unvollständige Einstellungen und veraltete Verschlüsselungsmethoden un­ter­miniert.

Die Gesetzgeber haben vermutlich weder Security Headers noch Verschlüsselungs-Kodierungen angeschaut und ah­nen vielleicht nicht einmal, wie man im Internet nach On­li­ne-Werkzeugen sucht, die Fehlerquellen auf­zei­gen - gratis oder im Abonnement. Dabei gehen beim Datenschutz Tech­nik und Recht Hand in Hand. Das gilt auch für Penetration-Tests, die tiefergreifende Probleme beim Datenschutz aufzeigen können und unsinnigerweise als verboten gelten.

Was hat das mit den USA zu tun? Nun, die E.U. konnte nicht einmal klären, dass ein Amt für die GDPR im Rest der Welt oder in bestimmten Ländern zu­ständig ist, während sie die Daten aller E.U.-Per­sonen mit extraterritorialer Wirkung ihrem Recht unterwirft. In jedem Land der E.U. gibt es eine zuständige Behörde, und für die USA und den Rest der Welt ist jede einzelne dieser Behörden ohne Abstimmung mit den anderen zu­ständig. An welcher GDPR-Umsetzung sich Mandanten in den USA orientieren sol­len, erklärt sich ihnen nicht. Dafür wissen sie aber, dass die sich als Vorbild ge­rie­renden Daten­schutzbehörden Europas ihre eigenen Webseiten wie rechtsfreie Zonen behandeln.