Shared Responsibility and Security

Was Hostna absichert, was Sie absichern — und warum nichts auf dieser Plattform als Sicherheitsgarantie verkauft wird.

Hosting ist eine geteilte Verantwortung. Diese Seite zieht die Linie — damit sie vor einem Vorfall gezogen ist und nicht erst danach verhandelt wird.

Was Hostna nicht verkauft

Hostna verkauft Infrastruktur: Kapazität, Netzwerk, Speicher, ein Control Panel und, in Managed-Tarifen, die Plattform unter Ihrer Anwendung. Hostna verkauft keine Sicherheit.

Wir verkaufen nicht — und berechnen nichts für — den Schutz Ihrer Website vor Angriffen, die Überwachung Ihrer Website auf Kompromittierung, Malware-Entfernung, Incident Response, forensische Untersuchungen oder eine Garantie, dass Ihre Daten nicht verloren gehen, gestohlen oder verschlüsselt werden können. Kein Teil eines Tarifpreises ist ein Entgelt für eine dieser Leistungen. Wenn Sie sie benötigen, kaufen Sie sie bei einem Sicherheitsanbieter.

Führt ein Tarif ein sicherheitsnahes Merkmal auf — eine Firewall vor der Plattform, TLS-Zertifikate, isolierte Konten, Spamfilterung —, ist dieses Merkmal eine Eigenschaft unserer Infrastruktur, kein Service-Level für Ihre Anwendung und kein Versprechen über irgendein Ergebnis.

Wo die Linie verläuft

Physisches Rechenzentrum: Unsere Seite. Zugangskontrolle, Strom, Kühlung und physische Sicherheit der Einrichtung.
Netzwerk bis zur Plattform: Unsere Seite. Routing, Filterung am Netzwerkrand und Abwehr volumetrischer Angriffe gegen die Plattform als Ganzes.
Hypervisor und Host-Betriebssystem: Unsere Seite. Patching und Isolation der Virtualisierungsschicht und des Shared-Hosting-Hosts.
Verwaltete Plattformkomponenten: Unsere Seite bei Shared-, WordPress- und E-Mail-Tarifen: Webserver, PHP-Laufzeitumgebung, Datenbankserver, Mailserver und deren Updates.
Gast-Betriebssystem auf VPS, VDS oder Dedicated Server: Ihre Seite. Patching, Härtung, Firewall, SSH-Konfiguration und Benutzerverwaltung liegen ab der Übergabe der Maschine bei Ihnen, sofern Sie kein Managed-Add-on gekauft haben, das schriftlich etwas anderes bestimmt.
Ihre Anwendung: Ihre Seite. CMS, Themes, Plugins, Abhängigkeiten, eigener Code, Konfiguration, Dateiberechtigungen und deren Updates.
Ihre Inhalte und Datenbanken: Ihre Seite. Was darin liegt, ob es rechtmäßig ist und ob es gesichert ist.
Ihre Zugangsdaten: Ihre Seite. Passwörter, SSH-Schlüssel, API-Tokens, Zwei-Faktor-Registrierung — und wer in Ihrer Organisation noch Zugriff hat.
Die personenbezogenen Daten Ihrer Besucher: Ihre Seite — als Verantwortlicher. Wir verarbeiten sie auf Ihre Weisung als Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag.
Sicherungen Ihrer Daten: Ihre Seite. Siehe unten.

Was Sie hier ohne eigene Schutzmaßnahmen nicht ablegen dürfen

Manche Daten tragen ein Risiko, das ein Hosting-Tarif Ihnen nicht abnehmen kann. Sie trotzdem hier abzulegen verlagert dieses Risiko nicht auf uns — es bündelt es bei derjenigen Partei, die entschieden hat, sie zu erheben.

Karteninhaberdaten: Kartennummer, Ablaufdatum, Prüfziffer oder Magnetstreifendaten. Auf Shared-, WordPress- und E-Mail-Tarifen überhaupt nicht. Auf einem Servertarif nur, wenn Sie die Maschine nach PCI DSS betreiben und das nachweisen können. Für nahezu jeden ist die richtige Antwort ein Zahlungsdienstleister, damit Kartendaten Ihre Systeme gar nicht erst erreichen — so machen wir es selbst.
Besondere Kategorien und Daten über Straftaten: Gesundheits-, biometrische oder genetische Daten, Daten über rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, Sexualleben oder sexuelle Orientierung (Art. 9 DSGVO) sowie Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO). Nur, wenn Sie eine eigene Risikoabschätzung vorgenommen haben, die Daten im Ruhezustand mit Schlüsseln verschlüsseln, die wir nicht besitzen, und den Auftragsverarbeitungsvertrag geschlossen haben.
Zugangsdaten und Schlüsselmaterial: Passwortdatenbanken, API-Geheimnisse, private Schlüssel und Kopien von Ausweisdokumenten: verschlüsselt im Ruhezustand, nie in einem Verzeichnis, das der Webserver ausliefern kann, nie in einem Repository, das Sie zugleich veröffentlichen.
Personenbezogene Daten von Personen, die nicht Ihre Kunden sind: Ein gescrapter Datensatz, eine gekaufte Liste, ein geleakter Dump. Das ist zugleich ein Verstoß gegen die Richtlinie zur zulässigen Nutzung und wird nicht dadurch rechtmäßig, dass es hier gehostet wird.

Das ist die praktische Antwort auf den schlimmsten Fall, den man sich ausmalt. Eine Kompromittierung, die eine Million Kartendatensätze offenlegt, ist nur dort möglich, wo eine Million Kartendatensätze an einer Stelle lagen, an der sie nie hätten liegen dürfen. Wurden Daten entgegen diesem Abschnitt gespeichert, gilt für jeden daraus gegen uns erhobenen Anspruch § 254 BGB — und die datenschutzrechtlichen Folgen treffen denjenigen, der die Entscheidung getroffen hat: Sie als Verantwortlichen.

Datensicherungen

Halten Sie eine aktuelle, getestete Kopie Ihrer Daten an einem Ort vor, der nicht Hostna ist. Diese eine Maßnahme macht aus fast jedem schlimmsten Fall eine Unannehmlichkeit.

Enthält ein Tarif eine automatische Datensicherung, behandeln Sie sie als Komfortfunktion mit angegebenem Zeitplan und Aufbewahrungsfenster, nicht als Versicherung. Sie liegt auf derselben Plattform. Ein Ausfall, der die Plattform trifft, kann sie mitreißen, und der Snapshot einer bereits verschlüsselten oder bereits verunstalteten Website stellt eine bereits verschlüsselte oder bereits verunstaltete Website wieder her.

Wir gewährleisten nicht, dass eine Sicherung existiert, vollständig ist, aktuell ist oder wiederhergestellt werden kann, und es gibt keine Entschädigung, wenn eine Wiederherstellung nicht möglich ist.

Wenn Ihre Website kompromittiert ist

Ändern Sie jedes Zugangsdatum: Hosting, Control Panel, Datenbank, Anwendungsadministratoren, SSH-Schlüssel, API-Tokens.
Nehmen Sie die Website offline oder in den Wartungsmodus, damit sie nicht weiter ausliefert, was dort platziert wurde.
Stellen Sie aus einer Sicherung wieder her, von der Sie wissen, dass sie vor der Kompromittierung entstand — nicht aus der jüngsten.
Schließen Sie die ausgenutzte Lücke, bevor Sie die Website wieder online nehmen — sonst geschieht dasselbe innerhalb von Tagen erneut.
Informieren Sie uns, wenn unsere Infrastruktur betroffen ist oder wenn von Ihrer Leistung aus Dritte geschädigt werden, damit wir eindämmen können.

Wir helfen bei dem, was auf unserer Seite der Linie liegt: den Plattformstatus bestätigen, die bei uns vorhandenen Zugriffslogs bereitstellen und die Leistung isolieren, damit der Schaden endet. Wir bereinigen Ihre Anwendung nicht, und wo eine kompromittierte Leistung aktiv Dritte angreift oder betrügt, sperren wir sie, statt sie während der Bereinigung weiterlaufen zu lassen.

Eine Kompromittierung auf Ihrer Seite der Linie begründet keinen Anspruch gegen Hostna. Die Haftung ist begrenzt, wie in Abschnitt 11 der Allgemeinen Geschäftsbedingungen beschrieben; betrifft ein Anspruch verlorene Daten, ist er auf die Kosten der Wiederherstellung aus einer von Ihnen ordnungsgemäß geführten Sicherung begrenzt.

Wenn Hostna selbst kompromittiert wird

Es ist nicht passiert. Wir sagen Ihnen nicht, dass es nicht passieren kann.

Was wir unterhalten und woran unser Verhalten gemessen wird: Patchen von Hypervisor, Host und Plattformkomponenten nach festem Zeitplan; Trennung der Konten voneinander; individuelle Mitarbeiterkonten mit Zwei-Faktor-Authentifizierung und Zugriff nach dem Prinzip der geringsten Rechte; verschlüsselte Übertragung; Protokollierung mit Aufbewahrungsfrist; getrennte Sicherungen der Plattformkonfiguration; und die technischen und organisatorischen Maßnahmen aus Abschnitt 6 des Auftragsverarbeitungsvertrags.

Wird unsere Plattform kompromittiert und sind Ihre Daten betroffen, erfahren Sie es unverzüglich von uns — was wir wissen, was wir tun, was wir noch nicht sagen können und was Sie tun sollten — zusammen mit dem, was Sie für Art. 33 und 34 DSGVO benötigen. Das geschieht selbstverständlich und bevor irgendjemand entschieden hat, wen ein Verschulden trifft.

Was dann folgt, ist Abschnitt 11 der Allgemeinen Geschäftsbedingungen, und er knüpft an Verschulden an. Das deutsche Recht macht die Haftung von einer Pflichtverletzung abhängig: Waren die vorstehenden Maßnahmen vorhanden und wurden sie eingehalten, liegt keine Pflichtverletzung und damit kein Anspruch vor; entschieden wird das über § 280 Abs. 1 BGB und Art. 82 Abs. 3 DSGVO. Sieht ein Gericht das anders, bestimmt Abschnitt 11, was geschuldet ist.

Wir verlangen von Ihnen nicht die Zustimmung, dass wir in jedem Fall nichts schulden. Eine solche Klausel wäre nach § 309 Nr. 7 BGB unwirksam — und weil das deutsche Recht eine überzogene Klausel nicht auf das zulässige Maß zurückschneidet, würde sie den übrigen Haftungsabschnitt mit sich reißen. Was hier steht, ist das, worauf man sich tatsächlich verlassen kann.

Nichts davon ändert etwas daran, wer Verantwortlicher ist. Die personenbezogenen Daten, die Ihre Website über Ihre Besucher hält, sind Ihre: Sie haben entschieden, sie zu erheben, Sie haben entschieden, wo sie liegen, und Sie verantworten sie gegenüber Ihrer Aufsichtsbehörde. Wir verantworten unsere Seite der Linie, zu den vorstehenden Bedingungen.

Eine Schwachstelle in Hostna selbst melden

Finden Sie eine Schwachstelle in unseren eigenen Systemen — der Website, dem Kundenbereich, dem Control Panel, der Provisionierungskette —, melden Sie sie an abuse@hostna.com mit genügend Details, um sie zu reproduzieren. Testen Sie nicht gegen andere Kunden, greifen Sie nicht auf Daten zu, die nicht Ihre sind, und führen Sie keine destruktiven oder Denial-of-Service-Tests durch. Eine Meldung, die in gutem Glauben und innerhalb dieser Grenzen erfolgt, beantworten wir nicht mit einer Anzeige.