WP Plugin NinjaFirewall und die DSGVO

Florian Decker
Fachanwalt für gewerblichen Rechtsschutz
Angestellter Rechtsanwalt
Kanzlei Rechtsanwälte Dr. Schultheiß

Das WordPress Plugin NinjaFirewall des in Hong Kong ansässigen Unternehmen NinTechNet Limited erfreut sich mit über 70.000 Downloads (Stand 09.02.2022) einer großen Beliebtheit. In dem nachfolgenden Blog-Beitrag erläutern wir Ihnen, was bei dem Einsatz aus datenschutzrechtlicher Sicht zu beachten ist.

Was ist die Funktion des Plugins NinjaFirewall?

Die Funktion ist vergleichbar mit einem Virenschutz für Ihren Computer, nur das hier die Website gegen Angriffe verschiedener Art geschützt werden soll. Wobei (ebenso wie bei einem Virenschutz) ein 100%iger Schutz wohl nie erreicht werden kann, da es immer Systeme geben wird, die eine Firewall überwinden können.

Wenn Sie das Plugin Ninja Firewall nutzen, erhalten Sie auch stets einen tagesaktuellen Report per E-Mail:

Ist das Plugins NinjaFirewall datenschutzkonform?

Mit den richtigen Einstellungen und einer entsprechenden Beschreibung in der Datenschutzerklärung sowie der Voraussetzung, dass die Information, die das Unternehmen NinTechNet Limited auf Ihrer Website mitteilt [All our servers are located in European data centers in Germany (Nuremberg and Falkenstein), France (Paris) and Luxembourg (Bissen)] sowie gegenüber uns mitgeteilt hat [„We do not collect any data“], korrekt sind, ist eine datenschutzkonforme Nutzung anzunehmen.

Welche Einstellungen muss ich vornehmen?

Die IP-Anonymisierung ist in den Standard-Einstellung nicht eingestellt. Sie müssen diese innerhalb der „Firewall Options“ aktivieren:

Hiermit werden die letzten drei Ziffern der IP-Adresse mit einem „X“ versehen, sodass die IP-Adresse nicht vollkommen sichtbar ist.

In dem Firewall Log werden die entsprechenden Logs mit der anonymisierten IP-Adresse gespeichert:

NinTechNet empfiehlt, die Firewall-Protokolle mindestens einen Monat oder besser 45 Tage lang für digitale forensische Zwecke aufzubewahren, falls es Sicherheitsprobleme mit der Website gab. Dies müssen Sie allerdings entsprechend einstellen, da die Daten ansonsten nicht automatisiert nach 45 Tagen gelöscht werden:

Muss ich eine Information in die Datenschutzerklärung aufnehmen?

Ja. In dem durch uns durchgeführten Test setzte das Plugin keine Cookies. Laut NinTechNet werden jedoch PHP Session Cookies eingesetzt. Zudem wird die IP-Adresse – wenn auch anonymisiert – erhoben, sodass man den Nutzer hierüber aufklären sollte. Hierbei sollten Sie unter anderem auch zwingend die Rechtsgrundlage der DSGVO benennen, auf die sich der Einsatz stützt.