Seite 3: Rechtlicher Stolperstein Nutzerkommentare

Inhaltsverzeichnis

Neu in WordPress ist zudem eine Checkbox für die Kommentarfunktion. Sie fragt ab, ob die Daten des Nutzers (E-Mail-Adresse, Name und gegebenenfalls die URL seiner Webseite) bis zum nächsten Kommentar in einem Cookie gespeichert werden sollen.

Da sich WordPress in den Standardeinstellungen neben den eingetragenen Kommentardaten auch Zeitstempel und IP-Adresse merkt, besteht auch hier Handlungsbedarf. Als personenbezogenes Datum darf Letztere nur dann gespeichert werden, wenn es unbedingt erforderlich ist.

An der praktischen Auslegung scheiden sich die Geister: Besonders Vorsichtige empfehlen, die Speicherung der IP-Adressen generell zu deaktivieren. Das lässt sich entweder mittels Plug-in oder über eine Anpassung der functions.php lösen. Andererseits kann die IP-Adresse bei einem möglichen Rechtsverstoß wesentliche Anhaltspunkte für eine allfällige Strafverfolgung bieten.

Ein Mittelweg besteht darin, die Adressen zwar zuerst zu speichern, dann jedoch nach Ablauf eines definierten Zeitraums automatisch aus der Datenbank zu entfernen. Realisieren lässt sich ein solches Vorgehen mit einem Cronjobgesteuerten MySQL-Skript.

In jedem Fall jedoch sollte der Webseitenbetreiber IP-Adressen aus der Vergangenheit löschen. Das funktioniert am einfachsten direkt über die Datenbank: WordPress speichert sie in der Tabelle „wp-comments“ in der Spalte „comment_author_IP“. Die Löschung der Daten hat keinerlei Auswirkung auf die Funktionalität der Seite.

Gravatar-Bilder

Mit der Entsorgung der IP-Adressen ist es allerdings noch nicht getan. WordPress reichert Kommentare optional mit Hilfe des Plug-ins Avatar Privacy mit Gravatar-Bildern an. Das sind Avatare, die der Nutzer auf gravatar.com, einem von Automattic, dem Unternehmen hinter WordPress, betriebenen Service, für seine E-Mail-Adresse hinterlegen kann. Schreibt jemand einen neuen Kommentar, schickt WordPress die zugehörige gehashte E-Mail-Adresse zum GravatarService, um zu überprüfen, ob ein Bild vorhanden ist.

Die Gravatar-Bilder lassen sich unter "Einstellungen Diskussion" komplett deaktivieren. Wer die Bilder trotzdem gerne beibehalten möchte, sollte das Plug-in Avatar Privacy installieren. Es holt die Zustimmung des Nutzers ein und cacht bereits verwendete Avatare auf dem eigenen Server. Auch die von WordPress angebotenen Smileys und Emojis sind nicht Teil der lokalen Installation, sondern werden bei Bedarf von Automattic-Servern abgerufen.

Emojis

Auch bei Emojis hat der Webmaster die Wahl: Entweder er deaktiviert diese Funktion komplett oder er ersetzt die Bildchen durch lokale Versionen. Ersteres lässt sich elegant mit Clearfy bewerkstelligen. Das kostenlose Plug-in Clearfy vereint eine ganz Reihe von System- und Performance-Tweaks unter einer gemeinsamen Oberfläche. Wer auf die Emojis nicht verzichten möchte, kann sie per Plug-in Local Emoji auch vom eigenen Server laden lassen.

Nach wie vor umstritten unter Juristen ist jene Checkbox, die vom Nutzer vor dem Verfassen eines Kommentars explizit die Zustimmung zur Datenspeicherung fordert. Wer eine solche einbauen möchte, kann dafür das Plug-in WP GDPR einsetzen.

Unbedingt deaktivieren und löschen sollte man WordPress’ integrierten Spamschutz Akismet. Der funktioniert zwar einwandfrei, überträgt aber ebenfalls Kommentarinhalte und IP-Adressen an Automattic-Server. Genauso zuverlässig, aber datenschutzkonform arbeitet AntiSpam Bee. In der aktuellen Version kann man sogar die Option „Kommentare aus bestimmten Ländern blockieren oder zulassen“ aktiviert lassen, denn das Plug-in anonymisiert die IP-Adresse vor der Übertragung an den Dienst IP2Country.