Wordfence Security schützt deine Seite – und schickt nebenbei IP-Adressen in die USA
Wordfence Security ist eines der Plugins, bei denen viele Website-Betreiber automatisch von „safe“ ausgehen, weil es ja um Sicherheit geht. Das stimmt für die Firewall auch – bei den Daten deiner Besucher wird es aber etwas differenzierter. Cookies und Formulare spielen praktisch keine Rolle, dafür schickt das Plugin im Hintergrund standardmäßig IP-Adressen in die USA. Kein Drama, aber ein Punkt für deine Datenschutzerklärung.
Überblick
Was ist Wordfence Security?
Wordfence Security ist ein WordPress-Plugin von Defiant Inc., das deine Website vor Angriffen schützt. Es kombiniert eine Firewall, einen Malware-Scanner und Login-Schutzfunktionen wie die Zwei-Faktor-Authentifizierung, alles läuft direkt auf deinem eigenen Server.
| Wordfence Security – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Keine zustimmungspflichtigen Cookies, alle vier gesetzten Cookies betreffen nur eingeloggte Nutzer. |
| Externe Verbindungen | 🟢 | Für normale Besucher entstehen beim Seitenaufruf keine automatischen externen Verbindungen. |
| Datenschutzerklärung | 🔴 | Eintrag wegen der IP-Übertragung an Defiant erforderlich. |
| Drittlandtransfer | 🟡 | IP-Adressen gehen standardmäßig an Server in den USA, lässt sich abschalten. |
| Auftragsverarbeitung | 🔴 | Vertrag mit Defiant nötig, wird bei der Installation automatisch akzeptiert. |
| Benutzereingaben | 🟢 | Wordfence Security hat keine Formulare oder Eingabefelder für Besucher |
| KI-Verarbeitung | 🟢 | Keine KI-Funktion mit Bezug zu Besucherdaten |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was passiert mit den Daten deiner Besucher?
Wordfence Security prüft jeden Besucher, bevor deine Seite überhaupt vollständig geladen ist. Dafür liest das Plugin die IP-Adresse aus und gleicht sie mit einer Datenbank bekannter Angreifer ab. Diese Datenbank liegt auf Servern von Defiant Inc. in den USA – im Standard schickt Wordfence Security also die IP-Adresse eines Teils deiner Besucher dorthin, noch bevor dein Cookie-Banner überhaupt eine Chance hat, einzugreifen. Das lässt sich in den Plugin-Einstellungen abschalten. Deine Firewall funktioniert danach trotzdem weiter, nur ohne den Abgleich mit der Cloud-Datenbank.
Weil dabei personenbezogene Daten an Defiant weitergehen, brauchst du für Wordfence Security auch einen Vertrag mit dem Anbieter – den akzeptierst du automatisch, wenn du bei der Installation den Nutzungsbedingungen zustimmst. Cookies, Formulare oder andere Eingaben deiner Besucher spielen dabei keine Rolle: Wordfence Security setzt keine zustimmungspflichtigen Cookies und hat schlicht keine Formulare, über die Besucher etwas eingeben könnten.
Cookies
Setzt Wordfence Security Cookies, die dein Cookie-Banner blockieren muss?
Wordfence Security setzt aktuell vier Cookies – aber keinen davon für deine Website-Besucher. Alle vier werden ausschließlich gesetzt, wenn sich jemand in dein WordPress-Backend einloggt: Sie sorgen dafür, dass die Firewall eingeloggte Nutzer erkennt, benachrichtigen dich bei einem Login von einem neuen Gerät oder ermöglichen den Zugriff über eine versteckte URL trotz aktivierter Länder-Sperre. Diese Cookies sind technisch notwendig für die Sicherheitsfunktion selbst und brauchen keine Zustimmung im Cookie-Banner.
Drittlandtransfer
Wohin gehen die Besucherdaten bei Wordfence Security?
Wordfence Security überträgt im Standard die IP-Adresse eines Teils deiner Besucher an Server von Defiant Inc. in Seattle, USA, um sie mit der laufend aktualisierten Liste bekannter Angreifer abzugleichen. Diese Verbindung entsteht direkt auf deinem Server, bevor WordPress vollständig geladen ist – dein Cookie-Banner kann sie also gar nicht blockieren.
Du kannst sie aber in den Plugin-Einstellungen unter Wordfence, Alle Optionen, Brute-Force-Schutz, Weitere Optionen über die Funktion „Am Echtzeit-Wordfence-Sicherheitsnetzwerk teilnehmen“ abschalten. Firewall und Brute-Force-Schutz laufen danach weiter, nur ohne den Abgleich mit der Cloud-Datenbank. Deaktivierst du die Funktion nicht, gehen die IP-Adressen in die USA – ein Land, das nach Einschätzung von e-recht24.de aus Sicht der DSGVO ein geringeres Datenschutzniveau bietet als die EU.
Auftragsverarbeitung
Brauchst du einen Vertrag mit Defiant für Wordfence Security?
Weil Wordfence Security personenbezogene Daten deiner Besucher an Defiant weitergibt, schreibt die DSGVO für diesen Fall einen Vertrag zur Auftragsverarbeitung vor. Nach Einschätzung von e-recht24.de kommst du dieser Pflicht automatisch nach, wenn du bei der Installation von Wordfence Security die Nutzungsbedingungen des Plugins akzeptierst – einen separaten Vertrag musst du also nicht extra abschließen.
Datenschutzerklärung
Muss Wordfence Security in deine Datenschutzerklärung?
Ja. Wordfence Security muss namentlich in deiner Datenschutzerklärung stehen, bestätigt e-recht24.de – vor allem wegen der IP-Übertragung an Defiant in den USA. Nenne dort, dass du Wordfence Security zur Sicherheit deiner Seite einsetzt und dass dafür ein Vertrag zur Auftragsverarbeitung mit Defiant besteht.
Wir nutzen Wordfence Security.
Bei der Nutzung von Wordfence Security kann eine Übermittlung personenbezogener Daten in die USA stattfinden. Grundlage der Übermittlung sind EU-Standardvertragsklauseln.
Im Rahmen der Nutzung von Wordfence Security werden Daten an Defiant Inc. übermittelt. Soweit Defiant Inc. diese Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Fehler
Welche Fehler kommen bei Wordfence Security in unseren DSGVO-Checks am häufigsten vor?
Wordfence Security taucht bei 11 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Wordfence Security gefunden wurde.
DSGVO-Check
Warum lohnt sich ein DSGVO-Check für Wordfence Security?
Ob die IP-Übertragung an Defiant bei dir aktiv ist, hängt von einer einzigen Einstellung ab, die du im Backend leicht übersehen kannst. Ein Scan auf datenrein.de zeigt dir direkt, ob Wordfence Security auf deiner Seite aktiv ist und wie es sich mit weiteren Datenschutzaufgaben dazu verhält.
Jeder Scan liefert außerdem echte Signale, die wir bekannten Tools zuordnen oder als neuen Fall aufnehmen und weiter recherchieren – dadurch werden über die Zeit mehr Plugins zuverlässig erkannt, wovon am Ende jede Seite profitiert, die bei uns gescannt wird.
