FTC verpflichtet GoDaddy zu umfassenden Sicherheitsmaßnahmen nach wiederholten Datenschutzpannen
Die US-Verbraucherschutzbehörde Federal Trade Commission (FTC) hat eine finale Anordnung gegen den Webhosting-Anbieter GoDaddy erlassen. Diese verpflichtet das Unternehmen zu umfangreichen Sicherheitsvorgaben, nachdem es seit 2018 zu mehreren schwerwiegenden Datenpannen gekommen war. GoDaddy, das rund fünf Millionen Kunden betreut, hatte laut FTC grundlegende Sicherheitsstandards nicht eingehalten und seine Nutzer über den Schutz ihrer Daten getäuscht.
Laut Anordnung muss GoDaddy künftig ein umfassendes Informationssicherheitsprogramm etablieren. Dazu zählen unter anderem:
- Verschlüsselte API-Kommunikation mittels HTTPS oder gleichwertiger Protokolle
- Ein verpflichtendes Software- und Firmware-Update-Management
- Einsatz von mindestens einer Multi-Faktor-Authentifizierung (MFA) für alle Hosting-Dienste – inklusive einer Option ohne Telefonnummer, etwa über Authenticator-Apps oder Sicherheitsschlüssel
- Verpflichtende Sicherheitsüberprüfungen durch externe Gutachter im Zwei-Jahres-Rhythmus
- Meldepflicht bei Datenpannen innerhalb von 10 Tagen
Die FTC kritisiert, dass GoDaddy in der Vergangenheit zentrale Sicherheitsmechanismen wie Netzwerksegmentierung, Protokollierung, Bedrohungserkennung oder Risikobewertungen vernachlässigt habe. Dies führte zu mehreren Angriffen zwischen 2019 und 2022 – darunter ein mehrjähriger Einbruch in die cPanel-Umgebung mit Malware-Installation und Quellcode-Diebstahl.
Im November 2021 kompromittierten Angreifer mit gestohlenen Zugangsdaten GoDaddys Hosting-Umgebung und erbeuteten Daten von 1,2 Millionen WordPress-Kunden. Bereits 2020 wurden 28.000 Kunden darüber informiert, dass Angreifer über SSH auf ihre Accounts zugegriffen hatten. Erst nach Kundenbeschwerden im Dezember 2022 wurden die wiederholten Angriffe aufgedeckt.