Wer benötigt überhaupt eine SSL-Verschlüsselung?

Seit Inkrafttreten der neuen DSGVO (Datenschutzgrundverordnung) erreichen uns im Support viele Anfragen von verunsicherten Webseiten- und Shop-Betreibern, die wissen möchten, was alles getan werden muss, um DSGVO-konform zu agieren und ob deren Seiten zwingend eine SSL-Verschlüsselung benötigen. Dazu sei vorweg Eines gesagt: Wir sind stets bemüht Kundenanfragen zügig und korrekt zu beantworten sowie sämtliche Informationen sorgsam zu recherchieren und verständlich aufzubereiten. ABER: Unsere Auskünfte bzgl. DSGVO stellen keine Rechtsberatung dar und erheben keinen Anspruch auf Vollständigkeit.

Ob eine SSL-Verschlüsselung benötigt wird oder nicht, hängt im Wesentlichen davon ab, ob eine Webseite oder ein Shop personenbezogene Daten erhebt. Immer dann, wenn Nutzer auf Ihrer Webseite persönliche Daten eingeben können, sind Sie laut DSGVO dazu verpflichtet diese Daten zu verschlüsseln – insbesondere wenn personenbezogene Daten – wozu beispielsweise Namen, Geburtsdaten, Adressen und Email-Adressen gehören – über ein Formular abgefragt und verarbeitet werden, ist die Verschlüsselung Pflicht.

Änderungen im Chrome Browser ab Juli 2018

Hinzu kommt die Ankündigung, dass der Chrome Browser voraussichtlich ab Ende Juli 2018 alle Webseiten ohne gültiges SSL-Zertifikat deutlich mit dem Hinweis „Nicht sicher“ direkt in der Adresszeile des Browsers kennzeichnen wird.  Nicht zuletzt aufgrund dieser Ankündigung und der Tatasache, dass die SSL-Verschlüsselung einer Webseite einen Google-Rankingfaktor darstellt, sollten Webseiten-Betreiber ein solches Zertifikat einsetzen.

SSL-Zertifikate in EUserv Hosting-Tarifen ab sofort kostenfrei enthalten

Da die Sicherheit im Netz auch uns sehr am Herzen liegt, ist ab sofort ein kostenloser SSL-Basischutz in allen aktuellen EUserv Hosting-Tarifen enthalten. Dabei handelt es sich bei den Tarifen „Active Pro“, „Exclusive“ und „Exclusive Pro“ um SSL-Zerifikate von „Let’s Encrypt“, welche von allen bekannten Browsern für PC, Mac, Smartphones, Tablets usw. akzeptiert werden und in den entsprechenden Tarifen bereits aktiv sind. Wer also einen dieser Tarife bei EUserv gebucht hat oder noch buchen möchte, erreicht seine Webseite/n ab sofort auch SSL-verschlüsselt über HTTPS.

Für die Tarife „Basic Pro“ und „Active“ steht, ebenfalls kostenfrei, ab sofort shared SSL-Support zur Verfügung. So lassen sich alle in einem Vertrag enthaltenen Domains gleichzeitig über ein Wildcard-Zertifikat des Hosters, welches in unserem Fall für kundencontroller.de ausgestellt wurde, absichern und über HTTPS aufrufen. Die Aktivierung erfolgt im EUserv Kundencenter.

Weitere Informationen rund um das Thema SSL liefert auch das EUserv Wiki. Feedback und Diskussionen zum Thema sind im Forum willkommen.

Tags: Datensicherheit, hosting, Let's Encrypt, security, shared SSL, Sicherheit, SSL, Verschlüsselung, Webspace, Zertifikat

Heute gibt es mal etwas mehr Technik in unserem Blog. Diesmal zu PHP 7.2

Was ist neu in PHP 7.2?

Leistungsverbesserung

Basierend auf offiziellen Performance-Benchmarks läuft PHP 7.2 bis zu 13% schneller als PHP 7.1 oder 20% schneller als PHP 7.0. Und im Vergleich zu PHP 5.6 ist PHP 7.2 mit der Hälfte der Latenz mindestens doppelt so schnell, was einen Boost im Codieren und Laden von Webseiten bedeutet.

Libsodium jetzt Teil des Kerns für mehr Sicherheit

Die Kryptographie-Bibliothek Libsodium wird nicht mehr länger über PECL („PHP Extension Community Library“) zur Verfügung gestellt, sondern ist in PHP 7.2 Teil des Kerns. Dieses Feature macht PHP zur ersten Programmiersprache, die der Standardbibliothek moderne Kryptographie auf Anwendungsebene hinzufügt und somit eine sichere Verschlüsselung, Entschlüsselung, Signaturen, Passwort-Hashing und vieles mehr ermöglicht.

Verbesserter Hashing-Algorithmus

Das Ausführen modernster Hashing-Algorithmen ist für die Sicherheit unerlässlich, und der neue Argon2-Hashing-Algorithmus für Passwörter macht es in PHP 7.2 potentiellen Angreifern schwer Benutzerkennwörter abzugreifen. Für weitere Details zu einzelnen Features und die gesamte Auflistung an Neuerungen und Änderungen empfehlen wir die direkte Information auf php.net

Upgrade auf PHP 7.2

Wenn Sie Ihre vorhandenen Skripte zukünftig mit PHP 7.2 betreiben möchten, was aufgrund der wichtigen Sicherheitsupdates, Neuerungen und verbesserten Performance sicher zu empfehlen ist, dann überprüfen Sie diese Skripte, sowie verwendete Templates und Plugins unbedingt auf Kompatibilität. Die Seiten von php.net stellen umfangreiche Hilfen zur Migration auf PHP 7.2.x zur Verfügung. Natürlich können Sie über das Kundencenter jederzeit die PHP-Version in beide Richtungen ändern, falls Sie Probleme feststellen sollten.

Den Webspace bei EUserv auf PHP 7.2 zu aktualisieren ist ziemlich einfach. Loggen Sie sich dazu einfach im Kundencenter ein, wählen den Vertrag aus und legen im Menüpunkt „PHP-Configurator“ die Version PHP 7.2 als Default PHP-Version fest. Bestätigen Sie Ihre Auswahl mit Klick auf den Button „setzen“.

Ein wichtiger Grund für die Aktualisierung auf PHP 7.2 ist, dass PHP 7.0 nur noch bis Jahresende mit Sicherheitsupdates versorgt wird und auch PHP 7.1. wird von der PHP Community ab 1. Dezember 2018 nicht mehr aktiv unterstützt.

Einen Überblick über unsere Webspace Tarife findet Ihr hier: http://go.euserv.org/IV

Wann geht’s los?

Wir planen die Einführung von PHP 7.2 noch im Juni 2018. Es gibt dazu auf der EUserv Statusseite einen entsprechenden „Working – Task„, über den sich alle Tekkis auf dem Laufenden halten können.

Update (20.06.2018):

Ab sofort steht PHP 7.2 in allen Webspace-Tarifen mit PHP-Unterstützung zur Verfügung!

Tags: Datensicherheit, php, Webhosting, Webspace

Auch drei Monate nachdem der Europäische Gerichtshof (EuGH) das Safe Harbor-Abkommen für ungültig  erklärte, gibt es viele offene Fragen und es herrscht in vielen Unternehmen Verunsicherung. Welche Gefahren drohen jetzt? Wer ist wirklich von der Entscheidung betroffen? Was muss ich tun, damit keine rechtlichen Verstöße vorliegen?

Mit diesem Beitrag möchten wir Antworten auf die 5 wichtigsten Fragen liefern und  über vorherrschende Irrtümer aufklären.

# Frage 1: Was ist das Safe Harbor-Abkommen überhaupt?

Das Safe Harbor-Abkommen, zu Deutsch „Sicherer Hafen“, wurde im Jahre 2000 von der europäischen Kommission verabschiedet, um den Austausch personenbezogener Daten zwischen Unternehmen innerhalb der EU und Unternehmen in den USA in Übereinstimmung mit der europäischen Datenschutzrichtlinie zu ermöglichen.

Unternehmen durften bislang personenbezogene Daten aus der EU ohne weitere Einschränkungen in die USA übertragen, wenn das empfangende Unternehmen sich dem entsprechenden Safe-Harbor-Regelwerk unterworfen hatte und somit ein angemessenes Datenschutzniveau gewährleistet hat.

# Frage 2: Warum erklärte der EuGH Safe Harbor für ungültig?

Nach der jüngsten Entscheidung des EuGH gewährleistet die  Speicherung personenbezogener Daten auf  US-amerikanischen Servern und Servern in außereuropäischen Drittländern keinen ausreichenden Datenschutz gemäß der europäischen Richtlinie 95/46/EG. Personenbezogene Daten von EU-Bürgern waren somit nicht ausreichend vor fremdem Zugriff – insbesondere durch US-amerikanische Sicherheitsdienste und Behörden – geschützt, denn nach national geltendem Recht ist es diesen gestattet, generell auf den Inhalt elektronischer Kommunikation zuzugreifen, wenn die nationale Sicherheit oder das öffentliche Interesse dies erfordern – unabhängig davon, ob amerikanische Unternehmen sich zu einem Handeln gemäß Safe Harbor-Abkommen verpflichtet haben.

Diese Entscheidung hat insbesondere auf die innerhalb der europäischen Union ansässigen Unternehmen beträchtliche Auswirkungen und lässt das Hosting und Speichern von Daten in Deutschland  in den Mittelpunkt rücken.

#Frage 3: Wer ist betroffen?

Betroffen sind Unternehmen, die personenbezogene Daten in der EU erheben und in die USA übermitteln. Dazu zählen beispielsweise:

• Hosting auf Servern in den USA
• Cloud-Services, die von den USA aus erbracht werden
• Übermittlung von Daten an Dienstleister in den USA, z.B. zur weiteren Verarbeitung
• Übermittlung von Daten an die US-amerikanische Konzernmutter oder an US-amerikanische Tochterunternehmen

#Frage 4: Womit müssen Unternehmen jetzt rechnen?

Rechtlich gesehen dürfen Unternehmen seit Verkündung der Entscheidung keine Daten mehr auf Basis des Safe-Harbor-Urteils in die USA transferieren. Tatsächlich fließen aber nach wie vor  Datenströme weitestgehend ungehindert weiter. Die Aufsichtsbehörden haben nun die Möglichkeit zu überprüfen, ob die Übermittlung personenbezogener Daten in die USA mit den europäischen Datenschutzstandards korrelieren.
Für den Fall eines rechtswidrigen Umgangs mit personenbezogenen Daten drohen dem betroffenen Unternehmen insbesondere Bußgelder, Abmahnungen und Unterlassungsklagen. Außerdem besteht das Risiko, dass Mitbewerber, Betroffene und Verbraucherschutzbehörden Rechtsschutz einklagen und die Unterlassung der Übermittlung von personenbezogenen Daten in die USA mit einstweiligen Verfügungen durchsetzen könnten, so dass einem Unternehmen hier schlimmstenfalls Umsatzverluste drohen.

#Frage 5: Was können Unternehmen jetzt tun?

Grundsätzlich sollte immer darauf geachtet werden, dass sämtliche Daten auf europäischen Servern gespeichert sind, im Idealfall sogar auf deutschen. Stehen die Server zur Datenspeicherung in Deutschland, unterliegen sie den deutschen Datenschutzrichtlinien.

Wollen Unternehmen etwa Teile ihrer IT-Infrastruktur oder ihrer Software in die Cloud verlegen, so müssen im Vorfeld diese Fragen abgeklärt werden:

• Ist der Anbieter von Cloud-Lösungen bereits auf die aktuelle Situation eingestellt?
• Ist die alleinige Speicherung von Daten innerhalb der EU vertraglich vereinbart? Gilt dies auch für Sub-Dienstleister oder darunterliegende Cloud-Dienste, die mein Dienstleister verwendet?
• Bin ich für den Fall des Ausfalls meines Cloud-Dienstleisters vorbereitet? Hier sind auch andere Szenarien als Ursache denkbar!
• Bekomme ich meine Daten zurück bzw. kann ich meine Daten und Dienste auf andere Dienstleister transferieren?

Für Unternehmen die ihren Server, vServer oder sonstige Hosting-Dienstleistung bei EUserv mieten, hat das Urteil keine Konsequenzen, denn wir  hosten alle Dienste im eigenen Rechenzentrum in Jena/Thüringen und damit zu 100% in Deutschland. Sollten Unternehmen aufgrund des Safe Harbor Urteils vom ihren bisherigen Hosting- oder Cloud-Anbieter wechseln wollen, steht unser Team für Vorschläge einer zügigen Migration der Projekte in das Rechenzentren in Jena gern zur Verfügung.

100% Hosting in Germany – Datenschutz bei EUserv

Als deutscher Hosting-Spezialist lagern die Daten und Projekte unserer Kunden ausschließlich auf Servern in unseren zwei deutschen Rechenzentren im Großraum Jena/Thüringen, konform den strengen deutschen Regelungen zum Bundesdatenschutzgesetz (BDSG).

Wir erheben, verarbeiten und speichern ausschließlich Daten unserer Kunden, die zur Vertragsabwicklung und zur Erbringung der vertraglich vereinbarten Dienste notwendig sind bzw. Daten, die Kunden auf unseren Servern speichern. Im Falle von Domainregistrierungen ist es unumgänglich bestimmte personenbezogene Daten an die Registrare und Registrierungsstellen weiterzuleiten. An Behörden und Dritte geben wir Daten nur im Rahmen der gesetzlichen Vorschriften zur Gefahrenabwehr oder zur Strafverfolgung bzw. nach Gerichtsbeschluss heraus.

Tags: Abkommen, Cloud, Datenschutz, Datensicherheit, Datenspeicherung, Deutschland, Germany, hosting, Safe Harbor, Server, USA