Die Angst vor Bußgeldern, und wie sie schamlos ausgenutzt wird
Es fängt harmlos an. Eine offiziell klingende Mail flattert ins Postfach. Der Ton? Höflich. Der Inhalt? Alarmierend. Unter Berufung auf Art. 32 DSGVO wird behauptet, man sei gesetzlich verpflichtet, regelmäßig „dokumentierte Sicherheitsüberprüfungen“ der eigenen Webseite durchführen zu lassen. Ohne so einen Test? Bußgeld! Bis zu 2 Prozent vom Jahresumsatz, angeblich.
Der Link in der Mail führt auf eine Seite namens „dsgvo-pentest.de“.
Hier wird gleich weiter dramatisiert: Ein aufwendiger technischer Bericht, Sicherheits-Testbeschreibungen, Paragraphenzitate – alles wirkt irgendwie offiziell, wichtig, juristisch abgesichert. Und natürlich: ein praktischer Button, mit dem man sofort eine „zertifizierte Sicherheitsprüfung“ bestellen kann. 89 Euro, exkl. Steuer. Klingt fair? Nur auf den ersten Blick.
Aber Moment! Was ist das für eine Firma? Wer steckt dahinter? Und was ist das bitte für ein Impressum?
Digital Solution Group Limited
196 High Road, Wood Green, London, UK
Aha. Eine Briefkastenfirma in England ohne Telefonnummer, ohne Ansprechpartner, ohne echte Transparenz.
Kein deutsches Unternehmen, keine echte Rechtsberatung, keine Möglichkeit, im Problemfall jemanden zu erreichen. Willkommen in der Grauzone.
Wie die Masche funktioniert: Mit Paragraphen bluffen, Druck aufbauen, kassieren
Das Rezept dieser Masche ist einfach:
- Echte Paragraphen nehmen, z.B. aus der DSGVO.
- Diese aus dem Zusammenhang reißen, damit es so klingt, als sei ein bestimmter Dienst verpflichtend.
- Den Eindruck amtlicher Dringlichkeit erzeugen, z.B. durch Bußgeldandrohungen oder die Suggestion, man müsse dringend handeln.
- Günstiges, scheinbar hilfreiches Produkt anbieten.
- Abo-Falle im Kleingedruckten verstecken: automatische Verlängerung, kein Rücktrittsrecht, keine Rückerstattung.
Kombiniert mit einer sauberen Webseite, vielen Tech-Fachbegriffen (Nmap, Wapiti, Compliance Check) und einem „zertifizierten Prüfbericht“ entsteht für den Laien der Eindruck, man würde hier eine gesetzliche Pflicht erfüllen. In Wahrheit kauft man eine Dienstleistung, die man nicht zwingend braucht, und gibt sein Geld an eine Firma, die vor allem gut darin ist, juristisch unverbindliche Drohkulissen aufzubauen.
Wer profitiert davon? Folge dem Geld und der Angst
Hinter solchen Angeboten steckt keine Datenschutzbehörde, kein Bundesamt und auch kein Verbraucherschutz. Es steckt ein Geschäftsmodell dahinter, das auf psychologischen Mechanismen basiert:
- Unsicherheit: Viele kleine Webseitenbetreiber kennen sich mit DSGVO nicht aus. Das macht sie angreifbar.
- Druck: Wenn eine Mail mit „Bußgeld“ droht, reagieren viele reflexartig.
- Pseudo-Autorität: Durch Paragraphen und Zertifikate wird der Eindruck erweckt, man hätte es mit einer offiziellen Instanz zu tun.
- Internationaler Sitz: Die rechtliche Handhabe gegen ein Unternehmen in London, das über Stripe kassiert und nur per E-Mail erreichbar ist, ist praktisch nicht durchsetzbar.
Das Unternehmen profitiert also von deiner Angst, nicht von deiner Datensicherheit.
Was du jetzt tun solltest: So schützt du dich vor digitalem Panik-Verkauf
- Keine Reaktion, keine Bestellung
Solche Mails gehören in den Spam-Ordner, nicht in deinen Kalender. Löschen. Fertig. - Impressum lesen! Immer.
Wenn eine angeblich „deutsche DSGVO-Firma“ in Wahrheit aus einem Londoner Co-Working-Space operiert, ist das ein klares Warnsignal. - Kein Zwang zu externer Prüfung
Du darfst deine Sicherheitsmaßnahmen auch intern dokumentieren oder durch IT-Dienstleister deines Vertrauens durchführen lassen. Du musst keinen dubiosen Pentest für 89 Euro kaufen. - Melde die E-Mail
An deine Verbraucherzentrale, an den Mailanbieter, ans Bundesamt für Sicherheit in der Informationstechnik (BSI). Je mehr solche Maschen auffliegen, desto besser. - Echte Sicherheit prüfen
Wenn du wirklich wissen willst, wie sicher deine Webseite ist, wende dich an seriöse IT-Security-Firmen in Deutschland – mit echtem Sitz, Namen, Ansprechpartnern, und ohne Abo-Kleingedrucktes.
FAQ – Häufig gestellte Fragen zur DSGVO-Pentest-Masche
Muss ich laut DSGVO einen externen Sicherheitstest durchführen lassen?
Nein. Die DSGVO schreibt technische und organisatorische Maßnahmen vorm aber nicht, dass du sie extern prüfen lassen musst. Es reicht, wenn du nachweisen kannst, dass du deine Systeme angemessen schützt.
Darf so eine Mail mit Bußgeld drohen?
Nein. Solche Formulierungen sind juristisch heikel und dürfen nicht den Anschein einer behördlichen Maßnahme erwecken. Wer das tut, bewegt sich in einer rechtlichen Grauzone.
Ist „dsgvo-pentest.de“ eine offizielle Behörde?
Definitiv nicht. Es handelt sich um ein kommerzielles Angebot mit Sitz im Ausland, ohne Telefonkontakt, ohne rechtliche Beratung, also keine öffentliche Stelle.
Was passiert, wenn ich nichts tue?
Gar nichts. Es sei denn, du verarbeitest in deiner Webseite grob fahrlässig personenbezogene Daten und es kommt zu einem Datenschutzvorfall. Dann meldet sich die echte Aufsichtsbehörde. Und nicht „Herr Bergmann“ mit einem Bestellformular.
Was ist, wenn ich bereits bestellt habe?
Prüfe, ob du eine Widerspruchsmöglichkeit hast. Lass dich ggf. juristisch beraten. Dokumentiere die Kommunikation und speichere alle Mails. Nicht zahlen, wenn du nicht rechtlich dazu verpflichtet bist.
Wie erkenne ich seriöse Angebote für Websicherheit?
An einem deutschen Sitz, echter Erreichbarkeit, transparenten AGB, klaren Leistungen ohne Zwangsabo, und vor allem: keiner Panikmache. Echte Profis arbeiten mit Aufklärung, nicht mit Angst.
Fazit
Die Datenschutz-Grundverordnung ist wichtig. Sie schützt deine Kunden, deine Nutzer und auch dich. Aber sie wird zunehmend missbraucht, um Produkte zu verkaufen, die niemand braucht. Diese Mail war kein Service. Sie war ein dreister Versuch, aus deiner Unsicherheit Profit zu schlagen.
Wer dir mit Bußgeld droht, will nicht dein Bestes, sondern dein Geld.
Lass dich nicht einschüchtern. Informier dich, handle verantwortungsvoll, aber falle nicht auf die rein, die aus der DSGVO ein Geschäftsmodell gemacht haben.
Schon gelesen? Deepfake-Ärzte werben für angebliche Wundermittel
Hinweis: Stand zum Veröffentlichungsdatum.
Verwendete Bilder, Screenshots und Medien dienen ausschließlich der sachlichen Auseinandersetzung im Sinne des Zitatrechts (§ 51 UrhG).
Teile dieses Beitrags können KI-gestützt erstellt und redaktionell geprüft worden sein.
(Mehr zur Arbeitsweise)
