Ungenutzt heißt nicht harmlos
TL;DR
- Eine vergessene Website bleibt eine Website. Wer sie betreibt, ist für sie verantwortlich, auch wenn er seit Jahren nicht hineingeschaut hat.
- Die Risiken stecken im Quelltext: Schriften und Skripte von Google ohne Einwilligung, ein veraltetes Impressum, Domains ohne Zertifikat.
- Die meisten Punkte lassen sich in einer Stunde beheben. Teuer wird es erst, wenn ein Abmahnschreiben oder eine Sperre des Hosters zuerst da ist.
In Wir nutzen die Website eh kaum ging es um den technischen Zustand einer Seite, die jahrelang niemand angefasst hatte. Hier geht es um die andere Seite: was so eine Seite rechtlich und für den Ruf anrichten kann.
Eine Vorbemerkung: Wir sind IT-Dienstleister, keine Anwälte. Das hier ist unsere Einordnung aus der Praxis, kein Rechtsrat.
Schriften von Google, ohne zu fragen
Die Seite lud ihre Schriften direkt von Google. Das sieht harmlos aus, bedeutet aber: Jeder Besucher schickt beim Aufruf seine IP-Adresse an Google, bevor er irgendetwas zugestimmt hat.
Das Landgericht München I hat dazu am 20. Januar 2022 entschieden (Az. 3 O 17493/20): Das verletzt das Persönlichkeitsrecht des Besuchers. Der Betreiber musste es unterlassen und 100 Euro Schadensersatz zahlen. Ein berechtigtes Interesse ließ das Gericht nicht gelten, denn die Schriften lassen sich genauso gut vom eigenen Server ausliefern.
Kurz darauf kam die Abmahnwelle. Tausende kleine Firmen und Privatleute bekamen Schreiben mit der Forderung nach rund 170 Euro, sonst drohe eine Klage. Im Dezember 2022 ließ die Generalstaatsanwaltschaft Berlin Räume eines Anwalts und seines Mandanten durchsuchen, der Verdacht: Betrug und Erpressung in über 2.000 Fällen. Die Welle ist abgeebbt. Geblieben ist die Lehre: Wer abmahnen will, sucht automatisiert nach genau solchen Seiten, und vergessene Seiten sind dabei die leichteste Beute.
Bei unserer Kundin kam auch jQuery von Google-Servern. Das gleiche Problem, nur mit einem anderen Dateinamen.
Analytics, das nichts mehr misst
Im Quelltext stand noch Universal Analytics, eingebunden ohne Einwilligung. Google hat Universal Analytics im Juli 2023 abgeschaltet. Das Skript misst also nichts mehr.
Geladen wird es trotzdem, bei jedem Besuch und wieder von Google-Servern. Die Seite hat keinen Nutzen mehr davon und behält trotzdem die Angriffsfläche. Zu prüfen ist hier nichts: Code raus.
Ein Impressum mit der alten Adresse
Die Kundin war umgezogen, das Impressum nicht. Pflichtangaben, die nicht stimmen, sind ein Klassiker für Abmahnungen unter Wettbewerbern. Die Pflicht steht heute in § 5 des Digitale-Dienste-Gesetzes, bis 2024 war es das Telemediengesetz. Am Inhalt hat sich nichts geändert: Die Anschrift muss stimmen.
Dazu Reste vom alten Standort an anderen Stellen: eine Karte, eine Stellenanzeige von 2022. Das ist kein Rechtsproblem, aber es sagt jedem Besucher, dass hier niemand mehr hinschaut.
Die zweite Domain
Neben der Hauptdomain gab es eine .com-Adresse, ohne Zertifikat. Wer sie aufruft, bekommt vom Browser eine Warnung, die nach Angriff aussieht. Und sie läuft im Dezember aus.
Eine Domain, die ausläuft, kann jemand anderes registrieren und darunter zeigen, was er will. Unter einem Namen, den Kunden mit der Firma verbinden. Also entweder bewusst verlängern und richtig einrichten oder bewusst aufgeben, aber nicht vergessen.
Wenn der Hoster zuerst merkt, dass etwas nicht stimmt
Ausgelöst hat das Ganze eine Virus-Warnung. Wahrscheinliche Ursache waren die alten Ordner auf dem Webspace: eine phpMyAdmin-Installation von 2015, ein Statistik-Tool von 2011, mehrere alte WordPress-Kopien. Nichts davon war in Gebrauch, alles davon war erreichbar.
Findet ein Hoster auf seinem Webspace Schadcode, kann er das Paket sperren. Dann ist die Visitenkarte nicht mehr nur ungepflegt, sondern weg. Und Google markiert gekaperte Seiten in den Suchergebnissen als gefährlich. Für eine Firma, die von ihrem Ruf lebt, ist das schlimmer als gar keine Seite.
Was man tun kann
Jeder Punkt hier lässt sich in kurzer Zeit beheben:
- Schriften und Skripte vom eigenen Server ausliefern oder entfernen.
- Alten Analytics-Code löschen.
- Impressum prüfen, wann immer sich Adresse, Rechtsform oder Geschäftsführung ändern.
- Jede Domain bewusst verlängern oder bewusst aufgeben.
- Alles vom Webspace löschen, was nicht zur aktuellen Seite gehört.
Die vollständige Liste zum Selbstprüfen steht in Checkliste: Ist meine Visitenkarte eine Zeitbombe?