Kundendaten absichern: Was ein Fotografen-Konto wirklich braucht
Über Kontosicherheit wird gern abstrakt geredet. Bei Fotograf:innen ist sie es nicht: Dein Konto ist der Generalschlüssel zu sämtlichen Kundengalerien. Wer da hineinkommt, sieht Hochzeiten, Familien, Firmeninterna – Bilder von Menschen, die dir vertraut haben, nicht einem Anbieter.
Und der Ernstfall ist keine IT-Panne, sondern ein Datenschutzvorfall. Bei einem unbefugten Zugriff auf personenbezogene Daten läuft nach Art. 33 DSGVO eine 72-Stunden-Frist zur Meldung an die Aufsichtsbehörde. Das ist der eigentliche Grund, warum sich der Aufwand lohnt.
Der zweite Faktor ist die wirksamste einzelne Maßnahme
Ein Passwort allein hat eine strukturelle Schwäche: Wird es gestohlen – durch ein Datenleck bei einem anderen Dienst, durch eine Phishing-Seite –, reicht es dem Angreifer. Ein zweiter Faktor bricht diese Kette, weil das gestohlene Passwort allein nicht mehr genügt.
Galero unterstützt dafür eine Authenticator-App (TOTP). Du scannst einmalig einen QR-Code, danach erzeugt die App alle dreißig Sekunden einen Code. Das funktioniert offline und ist unabhängig von deiner Mobilfunkverbindung.
Wichtig sind die Backup-Codes, die du bei der Aktivierung bekommst. Ein verlorenes Handy ohne Backup-Codes bedeutet im Zweifel ein gesperrtes Konto. Leg sie an einen Ort, der nicht dasselbe Handy ist – Passwortmanager, ausgedruckt im Ordner, beides.
Passwörter: Länge schlägt Sonderzeichen
Die alte Regel „mindestens acht Zeichen mit Sonderzeichen" hat sich als Irrweg erwiesen. Sie erzeugt Passwörter, die für Menschen schwer zu merken und für Computer leicht zu raten sind.
Galero verlangt deshalb mindestens zehn Zeichen aus mindestens drei von vier Kategorien – und prüft zusätzlich gegen bekannte Datenlecks. Wurde dein gewähltes Passwort schon einmal geleakt, wird es abgelehnt, egal wie kompliziert es aussieht. Diese Prüfung ist die nützlichere der beiden: Die allermeisten erfolgreichen Angriffe nutzen keine erratenen, sondern bereits bekannte Passwörter aus fremden Leaks.
Praktischer Rat: Eine Passphrase aus vier ungewöhnlichen Wörtern ist sicherer und merkbarer als „Sommer2026!".
Sitzungen: wer ist eigentlich noch eingeloggt?
Der übersehene Punkt. Du loggst dich auf dem Laptop einer Kollegin ein, um schnell etwas zu zeigen. Auf dem Rechner im Copyshop. Auf dem alten Tablet, das inzwischen verkauft ist. Jede dieser Anmeldungen läuft weiter, bis jemand sie beendet.
In den Einstellungen siehst du unter Aktive Sitzungen, welche Geräte gerade angemeldet sind, und kannst einzelne davon widerrufen. Zwei Grenzen greifen zusätzlich automatisch: Eine ungenutzte Sitzung läuft nach 14 Tagen aus, und 90 Tage nach der Anmeldung endet sie in jedem Fall – auch bei durchgehender Nutzung. Ein vergessener Login bleibt also nicht unbegrenzt offen.
Was das mit deinen Pflichten zu tun hat
Diese Maßnahmen sind kein Selbstzweck. Wenn du Kundendaten verarbeitest, verlangt Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen. Zwei-Faktor-Authentifizierung, eine belastbare Passwortregel und kontrollierbare Sitzungen gehören inzwischen zum erwarteten Mindeststandard – nicht zur Kür.
Der zweite Teil davon ist der Vertrag mit deinem Anbieter, siehe AVV für Fotograf:innen. Der dritte Teil betrifft die Galerien selbst: Passwort, Ablaufdatum und Wasserzeichen, beschrieben in Fotos online schützen.
In zehn Minuten erledigt
Der Aufwand steht in keinem Verhältnis zum Risiko. Authenticator-App einrichten, Backup-Codes sichern, aktive Sitzungen einmal durchsehen und alles Unbekannte abmelden. Danach ist es Wartung, keine Aufgabe.
Zwei-Faktor-Authentifizierung und Sitzungsverwaltung sind in allen Plänen enthalten, auch im kostenlosen – Konto anlegen. Einrichtung Schritt für Schritt in der Hilfe.