08.07.2026

API-Schlüssel auf Webserver

API-Schlüssel auf dem Webserver, Spenderdaten beim Angreifer: Wie ein politischer Verein eine Datenpanne hätte verhindern können

Wer Spenden sammelt oder Newsletter betreibt, verarbeitet personenbezogene Daten, die besonderes Schutzbedürfnis genießen. Bei einem politischen Verein können daraus Rückschlüsse auf politische Überzeugungen gezogen werden. Genau das macht Datenpannen in diesem Bereich besonders heikel. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW) hat im Jahr 2024 einen politischen Verein verwarnt, weil unzureichende technische Schutzmaßnahmen auf dem Webserver mehrere Datenpannen ermöglicht haben.

Was passiert ist

Auf der Website des Vereins konnten Interessenten Spenden leisten und den Newsletter abonnieren. Zur technischen Abwicklung des Newsletters setzte der Verein einen externen Dienstleister ein, dessen Schnittstelle über einen API-Schlüssel angesprochen wurde. Dieses Schlüsselmaterial war auf dem Webserver des Vereins so abgelegt, dass Angreifer es auslesen konnten. Mit dem erbeuteten API-Schlüssel griffen die Angreifer auf die Daten beim Newsletter-Dienstleister zu und riefen dort personenbezogene Daten ab und löschten sie.

Betroffen waren insbesondere Name und E-Mail-Adresse der Newsletter-Abonnenten sowie die Zugehörigkeit zu Mailing-Listen mit den Bezeichnungen „Spender unter 500 Euro“ und „Spender über 500 Euro“. Die Listenzugehörigkeit lässt nicht nur Rückschlüsse auf eine Spendenbereitschaft zu, sondern in Verbindung mit dem politischen Kontext auch auf politische Positionen der betroffenen Personen, also auf Daten im Sinne von Art. 9 DS-GVO.

Warum der LfDI BW eine Verwarnung ausgesprochen hat

Verantwortliche sind nach Art. 32 DS-GVO verpflichtet, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Das schließt die Vertraulichkeit und Integrität der verarbeiteten personenbezogenen Daten ausdrücklich ein. Der LfDI BW stellte fest, dass der Verein die zum Schutz seines Webservers und der Schnittstelle zum Newsletter-Dienstleister erforderlichen Maßnahmen nicht getroffen hatte. Die Datenpannen wären bei sorgfältiger technischer Absicherung vermeidbar gewesen.

Welche Schutzmaßnahmen konkret gefehlt haben

Der LfDI BW benennt konkrete technische Maßnahmen, die Verantwortliche beim Betrieb von Webservern und Newsletter-Schnittstellen umsetzen sollten.
Das Directory Listing des Webservers sollte deaktiviert sein, damit Angreifer keine Verzeichnisinhalte einsehen können.
Auf dem Webserver sollten nur die Dateien gespeichert sein, die für den Betrieb tatsächlich benötigt werden, und zwar möglichst außerhalb des DocumentRoot-Verzeichnisses, das der Webserver öffentlich ausliefert. Versionierungssysteme wie git dürfen nicht im DocumentRoot abgelegt werden. Schlüsselmaterial darf dort unter keinen Umständen gespeichert sein, auch nicht versehentlich und auch nicht in vermeintlich gelöschten Commits.
Zugriffe auf Schnittstellen müssen protokolliert werden, insbesondere Fehlzugriffe und gehäufte Abrufe.
Die Protokolle sollten regelmäßig und möglichst automatisiert ausgewertet werden, zum Beispiel auf Auffälligkeiten wie Zugriffe von wechselnden IP-Adressen oder den massenhaften Abruf von Daten. Entsprechende Zugriffe sollten durch Rate-Limiting oder automatische Sperren begrenzt werden können.
An Schnittstellen gilt das Prinzip der geringsten Berechtigungen: Jeder API-Schlüssel sollte nur die Rechte haben, die für seinen konkreten Verwendungszweck tatsächlich notwendig sind.
Weiterführende Hinweise zu sicheren Webanwendungen bietet das Bundesamt für Sicherheit in der Informationstechnik (BSI), unter anderem im BSI-Grundschutzkompendium unter dem Baustein APP.3.2 Webserver sowie in den BSI-Hinweisen für Webanwendungen für Auftragnehmer.

Unsere Empfehlungen

Unternehmen und KMU

Prüfen Sie, wo auf Ihrem Webserver API-Schlüssel, Zugangsdaten und andere Credentials gespeichert sind. Schlüsselmaterial gehört nicht ins DocumentRoot und nicht in Versionierungshistorien. Richten Sie Log-Monitoring für Ihre Schnittstellen ein und testen Sie, ob Zugriffskontrollen tatsächlich wirken. Beauftragen Sie bei Bedarf einen externen IT-Sicherheitsdienstleister mit einem Penetrationstest.

Behörden und öffentliche Stellen

Auch im öffentlichen Sektor gilt Art. 32 DS-GVO uneingeschränkt. Webserver und Schnittstellen zu externen Dienstleistern müssen nach dem Stand der Technik abgesichert sein. Das BSI-Grundschutzkompendium bietet konkrete Maßnahmen, die als Mindeststandard dienen können.

Gesundheitseinrichtungen

Im Gesundheitsbereich ist die Absicherung von API-Schnittstellen besonders kritisch, da Datenpannen hier Daten mit besonderem Schutzbedarf nach Art. 9 DS-GVO betreffen können. Stellen Sie sicher, dass Zugangsdaten zu externen Diensten nicht auf öffentlich erreichbaren Servern liegen und dass alle Schnittstellen mit dem Prinzip der minimalen Berechtigungen konfiguriert sind.

Kanzleien und Freiberufler

Newsletter-Dienstleister und Online-Spendenformulare sind auch bei kleineren Einrichtungen und Vereinen datenschutzrechtlich relevante Verarbeitungen. Weisen Sie Mandanten darauf hin, dass der Betrieb eines Webservers mit externen API-Anbindungen technische Schutzmaßnahmen nach Art. 32 DS-GVO erfordert und dass ein Auftragsverarbeitungsvertrag mit dem Newsletter-Dienstleister abgeschlossen sein muss.

Quelle: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks