Aktuelles zu Website-Sicherheit und DSGVO
Neue Regeln, Fristen und Änderungen, die Website-Betreiber betreffen — kurz erklärt und mit Quelle. Zuletzt aktualisiert: 19. September 2026.
19. September 2026
Ab 27. September 2026: neue Regeln für Umweltwerbung und den Gewährleistungshinweis beim Warenverkauf
Am 27. September 2026 treten die Kernregeln zweier Gesetzesänderungen in Kraft, beide ohne Übergangsfrist; einzelne Teile gelten schon seit dem 19. Juni 2026 (BGBl. 2026 I Nr. 43 und Nr. 28). Erstens ergänzt das UWG seine schwarze Liste der Geschäftspraktiken, die gegenüber Verbrauchern immer unzulässig sind. Verboten sind dann unter anderem: Nachhaltigkeitssiegel, die weder auf einem Zertifizierungssystem mit unabhängiger Prüfung beruhen noch staatlich festgesetzt sind; allgemeine Umweltaussagen wie „umweltfreundlich“ oder „grün“, wenn keine anerkannte hervorragende Umweltleistung nachgewiesen wird (etwa durch das EU-Umweltzeichen) — nennt die Werbung dagegen klar und hervorgehoben auf demselben Medium, worauf sich die Aussage genau bezieht, gilt sie als spezifisch und fällt nicht unter dieses Verbot; die Aussage, ein Produkt sei dank Kompensation von Treibhausgasen klimaneutral, emissionsverringert oder klimapositiv; sowie bestimmte irreführende Angaben zu Softwareaktualisierungen, Haltbarkeit und Reparierbarkeit von Waren. Zweitens müssen Unternehmer, die Waren an Verbraucher verkaufen — online wie im Laden (ausgenommen Alltagsgeschäfte, die sofort erfüllt werden) —, den einheitlichen EU-Hinweis auf das gesetzliche Gewährleistungsrecht in hervorgehobener Weise zeigen, bevor der Verbraucher seine Vertragserklärung abgibt, online also bevor er bestellt. Gewährt der Hersteller eine kostenlose Haltbarkeitsgarantie von mehr als zwei Jahren für die gesamte Ware und teilt er das dem Händler mit, muss der Händler zusätzlich das einheitliche Garantie-Label zeigen. Für rein digitale Produkte gilt die harmonisierte Mitteilung nicht; dort besteht eine eigene, schlichte Hinweispflicht auf das Gewährleistungsrecht. Das Garantie-Label muss online zusätzlich unmittelbar vor dem Absenden der Bestellung erscheinen (§ 312j Abs. 2 BGB); für den Gewährleistungshinweis selbst sagt das Gesetz nur „in hervorgehobener Weise“, wo genau er im Shop stehen muss, ist also nicht festgelegt.
19. September 2026
WordPress-Lücke „wp2shell“: Update auf 6.8.6, 6.9.5 oder 7.0.2 prüfen
Am 17. Juli 2026 hat WordPress zwei Lücken im Kern geschlossen (CVE-2026-60137 und CVE-2026-63030), die zusammen Codeausführung ohne Anmeldung erlauben. Betroffen sind laut WordPress.org die Versionen 6.8 (nur die erste Lücke) und 6.9; nach Angaben von Rapid7 und Tenable auch 7.0.0 und 7.0.1. Behoben sind sie in 6.8.6, 6.9.5 und 7.0.2. Die US-Behörde CISA hat beide Lücken am 21. Juli in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen, es gab breites Scanning mit öffentlichen Exploits. WordPress hat automatische Sicherheitsupdates erzwungen — wer sie abgeschaltet hat, sollte unter Dashboard → Aktualisierungen die installierte Version prüfen. Ein Cache oder eine Firewall ersetzt das Update nicht. Der kostenlose Scan gleicht die WordPress-Version mit der Schwachstellendatenbank ab, sofern die Seite sie im Quelltext nennt.
Diese und weitere Prüfungen laufen im kostenlosen Scan mit →
15. September 2026
Mehrere kritische WordPress-Plugin-Lücken werden gerade aktiv ausgenutzt
In derselben Woche wurden gleich drei kritische Lücken in weitverbreiteten WordPress-Plugins bekannt, die unangemeldeten Angreifern das Hochladen von Schadcode erlauben: Elementor Pro (CVE-2026-32475, CVSS 9.8, wird bereits aktiv ausgenutzt — rund zwei Drittel der 10 Millionen Installationen laufen noch auf einer verwundbaren Version ≤ 4.2.1, Fix ist 4.2.2), Forminator Forms (CVE-2026-15748, betrifft über 300.000 Websites) und Everest Forms (CVE-2026-19598, über 100.000 Websites). Unser Scanner prüft Plugin-Versionen bewusst nicht automatisch mit — sie lassen sich von außen nur unzuverlässig erraten, und ein falscher Alarm schadet mehr als gar keiner. Wer eines dieser Plugins einsetzt, sollte die installierte Version im WordPress-Backend jetzt von Hand prüfen.
Diese und weitere Prüfungen laufen im kostenlosen Scan mit →
15. September 2026
CRA-Meldepflicht ist jetzt in Kraft — ENISA-Plattform live
Die am 30. August angekündigte Meldepflicht nach Artikel 14 des Cyber Resilience Act gilt seit dem 11. September 2026 tatsächlich: Hersteller von Software mit digitalen Elementen müssen eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden an die zuständige Behörde melden. ENISA hat dafür die zentrale „Single Reporting Platform“ (SRP) freigeschaltet — sie läuft, wie mehrere unabhängige Quellen bestätigen. Die volle CRA-Pflicht (technische Dokumentation, CE-Kennzeichnung, Bußgelder) greift erst ab dem 11. Dezember 2027; bis dahin bleibt eine versäumte Meldung folgenlos, außer dass das BSI betroffene Nutzer dann selbst informieren darf.
30. August 2026
Chrome warnt ab Herbst 2026 automatisch vor HTTP-Websites
Google rollt die Funktion „Always Use Secure Connections“ in zwei Stufen aus: seit April 2026 für Nutzer mit aktiviertem Enhanced Safe Browsing, ab Chrome 154 für alle. Chrome 154 wird ab dem 22. September 2026 ausgeliefert, Google selbst nennt für die Umstellung den Oktober 2026. Wer noch kein HTTPS eingerichtet hat, dessen Besucher bekommen dann vor dem ersten Aufruf der Seite eine Warnseite vorgeschaltet, die sich übergehen lässt. Betroffen sind nur öffentlich erreichbare Seiten, interne Netzwerke (Router, Firmen-Intranet) bleiben ausgenommen.
Diese und weitere Prüfungen laufen im kostenlosen Scan mit →
30. August 2026
CRA: Meldepflicht für Software-Hersteller ab 11. September 2026
Ab diesem Datum greift Artikel 14 des Cyber Resilience Act: Wer Software mit digitalen Elementen ausliefert, muss eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden an die zuständige Behörde melden. Betroffen sind Hersteller von Software-Produkten (z. B. WordPress-Plugins, Apps) — reine Websites ohne ausgeliefertes Produkt fallen nicht darunter.
30. August 2026
Nur jede vierte Website hat eine wirksame Content-Security-Policy
Aktuelle Erhebungen zu HTTP-Sicherheitsheadern zeigen: Bei den meistbesuchten Websites weltweit setzen weniger als 25 % eine Content-Security-Policy ein, die tatsächlich vor eingeschleustem Code schützt. Rund 40 % fehlt selbst der einfache Basisschutz X-Content-Type-Options. Eine korrekt konfigurierte CSP verhindert die meisten Skript-Einschleusungen zuverlässig — auch wenn an anderer Stelle der Seite eine Lücke besteht.
Prüf deine Website in 30 Sekunden
Ein Scan pro Tag ist kostenlos — ohne Anmeldung, ohne Installation.
Stand: 19. September 2026. Dieser Text erklärt technische und rechtliche Zusammenhänge und ist keine Rechtsberatung.