Die Einstellungen für die DSGVO, von der IP-Kürzung bis zur Löschfrist, stehen auf der Seite Matomo und Datenschutz. Dieser Check geht weiter: Er schaut auf das, was ein Matomo im Betrieb tatsächlich sammelt, auf Menschen mit Zugriff und auf alles, was außerhalb der Datenbank liegt. Personenbezogene Daten verstecken sich dort, wo niemand mehr hinschaut.
Erst nachsehen, was ankommt
Einstellungen sagen, was Matomo speichern soll. Was es gespeichert hat, zeigen die Daten selbst. Öffnen Sie das Besucher-Log einiger Tage und die Berichte zu Seiten, Ereignissen und der internen Suche:
- Seitentitel und Adressen: Profilseiten mit Namen, Bestellseiten mit Bestellnummer, Newsletter-Links mit E-Mail-Adresse. Was nicht hineingehört, verwerfen Sie über ausgeschlossene Parameter oder überschreiben es im Tracking-Code.
- Ereignisse: Namen und Werte, in die jemand ein Formularfeld oder eine Kundennummer geschrieben hat.
- Interne Suche: Sie ist für jede Website ab Werk an, und Suchbegriffe enthalten oft Namen oder Postleitzahlen.
- Benutzerdefinierte Dimensionen: Matomo nennt selbst das Beispiel einer Gesundheitswebsite, die Diagnosen speichert.
- User-ID: Laut Matomo ist sie von sich aus personenbezogen, auch als Pseudonym. Soll es keine geben, muss der Bericht Besucher > User-IDs leer sein.
- Premium-Funktionen: Bei Heatmaps und Sitzungsaufzeichnungen sind Eingaben ab Werk maskiert und Tastatureingaben aus; prüfen Sie, wo jemand Felder freigegeben hat. Aufzeichnungen brauchen laut Matomo eine Einwilligung. Fehlermeldungen aus Crash Analytics können persönliche Angaben enthalten.
Besucher-Log und Besucherprofil. Das Profil fasst bis zu 100 Besuche eines Besuchers zusammen, mit IP-Adresse, Besucher-ID, Standorten, Suchbegriffen und Umsatz. Matomos eigener DSGVO-Leitfaden zählt Profile einzelner Besucher zu dem, was eine Einwilligung braucht. Wer beides nicht nutzt, schaltet es unter Administration > System > Allgemeine Einstellungen ab („Besucher-Log und Besucherprofil deaktivieren“), für alle oder für einzelne Websites. Das Tracking läuft weiter, die Berichte auch.
Was schon gespeichert ist, bereinigen Sie über Zuvor getrackte Rohdaten anonymisieren und die DSGVO-Hilfsmittel, beschrieben unter Matomo und Datenschutz.
Wer zugreift: Rechte aufräumen
Jeder Nutzer mit Zugriff auf das Besucher-Log sieht Rohdaten. Deshalb gehört die Liste der Nutzer in jeden Check:
- Super User: so wenige wie möglich. Riskante Aktionen wie Plugins installieren lassen sich in der Konfiguration auch für Super User sperren.
- Anonymer Zugriff: Ab Werk gibt es keinen. Hat jemand dem anonymen Nutzer Leserechte gegeben, sind die Berichte öffentlich, und ohne abgeschaltetes Besucher-Log sieht jeder auch einzelne Besuche, nur ohne IP und Besucher-ID.
- Inaktive Konten: Matomo verschickt auf Wunsch jeden Monat eine Sicherheits-E-Mail mit Nutzern, die sich seit über 180 Tagen nicht angemeldet haben. Ab Werk ist sie aus.
- E-Mail-Domänen: Matomo kann Anmeldungen auf die Domänen des Unternehmens beschränken, damit niemand Zugänge an private Adressen verteilt.
- Zwei-Faktor-Anmeldung für alle, und Tokens nur mit den Rechten, die ein Werkzeug braucht. Wie das geht, steht unter API, MCP und OAuth.
Am zuverlässigsten bleiben die Rechte sauber, wenn Matomo die Nutzer gar nicht selbst verwaltet: Anmeldung über den Identity Provider des Unternehmens, Ein- und Austritte per SCIM. Wer das Unternehmen verlässt, verliert den Zugang zu Matomo im selben Moment wie zu allem anderen.
Wer festhalten muss, wer wann was geändert hat, findet im Premium-Plugin Activity Log von Matomo ein Protokoll von Anmeldungen, Rechteänderungen und geänderten Datenschutz-Einstellungen.
Was nach außen geht
- Update-Prüfung und Marketplace: Matomo fragt alle acht Stunden nach Updates und schickt dabei Versionen, die eigene Adresse und die Zeitzone. Der Marketplace erhält die Zahl der Nutzer und Websites und die Liste installierter Plugins. Besucherdaten sind nicht dabei.
enable_internet_features = 0in der Konfiguration stellt diese Verbindungen ab; dann kommt kein Hinweis auf Updates mehr, und Sie brauchen einen anderen Weg, davon zu erfahren. - Tag Manager: Ein Container kann neben Matomo auch Tags für Werbenetzwerke laden, etwa Meta, Google Ads oder LinkedIn, dazu eigenes HTML. Prüfen Sie, welche Tags veröffentlicht sind und ob sie auf eine Einwilligung warten. Eigene Vorlagen mit Code dürfen ab Werk nur Admins anlegen.
- Standort über das Servermodul: Bestimmt der Webserver den Standort, wirkt die IP-Kürzung in Matomo laut dessen eigenem Hinweis nicht auf die Standortdaten.
- KI-Assistenten: Ist der MCP-Server eingeschaltet, gehen Abfragen an den Anbieter des Assistenten. Mehr dazu unter API, MCP und OAuth.
Den Server nicht vergessen
Matomo kürzt die IP-Adresse, bevor es speichert. Der Webserver davor protokolliert aber jede Tracking-Anfrage mit voller IP und mit allen Parametern der Anfrage, also auch der aufgerufenen Adresse und der Besucher-ID. Matomo schreibt selbst: Steht die volle IP noch in den Logs des Webservers, sind die Daten nicht so anonymisiert, wie es die DSGVO verlangt.
- Logs des Webservers: IP-Adressen schon beim Schreiben kürzen und die Logs nach einer festen Frist löschen, etwa mit logrotate. Diese Frist gehört in die Datenschutzerklärung. Matomo empfiehlt an anderer Stelle, Logs länger aufzubewahren, um Tracking-Daten nachträglich einspielen zu können; das ist eine Abwägung, die Sie bewusst treffen sollten.
- Matomos eigene Logs und Tabellen: Fehlgeschlagene Tracking-Anfragen hält Matomo zwei Tage vor, gesperrte Anmeldeversuche mit IP-Adresse, das Activity Log ohne Ablauf.
- Backups: Eine Sicherung der Datenbank enthält alle Rohdaten. Gelöschte Daten und erfüllte Löschanträge stecken darin, bis die Sicherung abläuft. Matomo nennt 30 Tage für tägliche Sicherungen; legen Sie eine Frist fest und schreiben Sie sie auf.
- Verzeichnisse:
configundtmpdürfen von außen nicht erreichbar sein. Wie das für Apache und nginx geht, steht unter Matomo installieren und einrichten.
Für nginx kürzt eine Zuordnung die IP-Adresse im Log, bevor sie geschrieben wird:
# Im http-Block: letztes Byte (IPv4) bzw. hintere Gruppen (IPv6) entfernen
map $remote_addr $remote_addr_anon {
~(?P<ip>\d+\.\d+\.\d+)\. $ip.0;
~(?P<ip>[^:]+:[^:]+): $ip::;
default 0.0.0.0;
}
log_format anonym '$remote_addr_anon - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" "$http_user_agent"';
# Im server-Block von Matomo
access_log /var/log/nginx/matomo.access.log anonym;Dokumentation und Menschen
- DSGVO-Übersicht in Matomo: Unter Administration > Privatsphäre > DSGVO-Übersicht führt Matomo selbst durch die Punkte: Vertrag zur Auftragsverarbeitung, Rechte der Betroffenen, Dokumentation, Sicherheitsverfahren, Aufbewahrung.
- Verzeichnis der Verarbeitungstätigkeiten: Matomo hat ein ausgefülltes Beispiel veröffentlicht. Hinein gehören auch die Logs des Webservers und die Backups mit ihren Fristen.
- Datenschutzerklärung: Matomo stellt die eigene als Vorlage für den Aufbau bereit, rät aber davon ab, sie zu übernehmen. Sie muss beschreiben, was Ihr Matomo wirklich tut, einschließlich der Fristen für Rohdaten und Server-Logs.
- Verträge: Für die Matomo Cloud gibt es einen Vertrag zur Auftragsverarbeitung von Matomo; wer selbst betreibt, braucht ihn mit dem Hoster oder Dienstleister.
- Prozesse: Wer bekommt Zugriff und wer genehmigt ihn, was passiert beim Austritt, wer darf Daten exportieren, was geschieht bei einer Datenpanne. Sitzungsaufzeichnungen oder Profile können eine Datenschutz-Folgenabschätzung nötig machen.
- Schulung: Wer Matomo nutzt, sollte wissen, warum keine Namen in Ereignisse gehören und warum Exporte aus dem Besucher-Log keine Arbeitskopie für Excel sind. Matomos Leitfaden beginnt mit genau diesem Punkt: Bewusstsein im Team.
Die CNIL-Prüfung unter Privatsphäre > Rechtskonformität ist eine nützliche Gegenprobe für die Einstellungen; Matomo betont selbst, dass sie nur der Information dient.
Passende Maßnahmen aus ISO 27001
Wer ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 betreibt, prüft Matomo am besten entlang der Maßnahmen aus Anhang A der Fassung 2022. Er umfasst 93 Maßnahmen in vier Themen. Diese passen zu den Punkten oben:
| Nr. | Maßnahme | Was Sie für Matomo zeigen |
|---|---|---|
| 5.9 | Inventory of information and other associated assets | Matomo im Verzeichnis der Verarbeitungstätigkeiten und im Bestand der Systeme |
| 5.14 | Information transfer | Verbindungen nach außen, Tags im Tag Manager, KI-Assistenten |
| 5.15, 5.16, 5.18 | Access control, Identity management, Access rights | Rollen je Website, kein anonymer Zugriff, regelmäßige Prüfung der Nutzer, Austritte per SCIM |
| 5.17, 8.5 | Authentication information, Secure authentication | Zwei-Faktor-Anmeldung, Tokens nicht in Adressen, Schutz vor Anmeldeversuchen |
| 5.19, 5.20 | Information security in supplier relationships, Addressing information security within supplier agreements | Hoster oder Dienstleister, Vertrag zur Auftragsverarbeitung, Plugins von Dritten |
| 5.34 | Privacy and protection of PII | IP-Kürzung, Löschfristen, Einwilligung, Besucher-Log |
| 6.3 | Information security awareness, education and training | Schulung der Nutzer von Matomo |
| 8.2 | Privileged access rights | wenige Super User, gesperrte riskante Aktionen |
| 8.8 | Management of technical vulnerabilities | Updates von Matomo, PHP und Server |
| 8.10, 8.11 | Information deletion, Data masking | Löschfristen für Rohdaten, Logs und Backups, gekürzte IP-Adressen, maskierte Felder |
| 8.13 | Information backup | Sicherungen mit festgelegter Frist |
| 8.15 | Logging | Logs des Webservers mit gekürzter IP und fester Aufbewahrung, Activity Log |
Die Titel stehen hier in der englischen Fassung der Norm, die Zuordnung ist meine Einschätzung; maßgeblich sind der Normtext und Ihr Auditor. Für den Datenschutz selbst gibt es mit ISO/IEC 27701 in der Fassung von 2025 eine eigene Norm für ein Datenschutz-Managementsystem. Und wer nach BSI IT-Grundschutz arbeitet, findet dort die Vorgabe, Protokolldaten nach einem festgelegten Prozess zu löschen.
Regelmäßig wiederholen
Ein Check ist eine Momentaufnahme. Neue Tags, neue Plugins, ein Relaunch oder neue Formulare verändern, was ankommt. Wiederholen Sie ihn nach jeder dieser Änderungen und unabhängig davon mindestens einmal im Jahr.
Ein Check, der etwas findet
- In die Daten schauen Besucher-Log, Seitentitel, Ereignisse, Suchbegriffe, Dimensionen.
- Rechte aus einer Quelle Single Sign-on und SCIM, keine Karteileichen.
- Server mitdenken Gekürzte IP in den Logs, feste Fristen auch für Backups.
- Aufgeschrieben Fristen im Verzeichnis und in der Datenschutzerklärung.
Was oft übersehen wird
- Nur Einstellungen prüfen Die Namen stehen trotzdem in den Seitentiteln.
- Alte Konten Ehemalige Mitarbeiter und Agenturen haben noch Zugriff.
- Volle IP im Access-Log Matomo kürzt, der Webserver davor nicht.
- Einmal und nie wieder Der nächste Relaunch bringt neue Daten.
Quellen
Stand: 13. November 2026, Matomo 5.14 und 6.0.0-rc1
- Matomo: DSGVO-Leitfaden in 12 Schritten
- Matomo: Datenschutz-Einstellungen in Matomo
- Matomo: Besucher-Log und Besucherprofil abschalten
- Matomo: Welche Daten personenbezogen sein können
- Matomo: Wie die IP-Anonymisierung funktioniert
- Matomo: Inaktive Nutzer und erlaubte E-Mail-Domänen
- Matomo: Anonymer Zugriff auf Berichte
- Matomo: Verbindungen ins Internet abschalten
- Matomo: Maskierung in Heatmaps und Sitzungsaufzeichnungen
- Matomo: Empfehlungen für Backups
- Matomo: Sicherheit, Dokumentation und Information der Nutzer
- ISMS.online: ISO 27001 Anhang A, Fassung 2022
- BSI: IT-Grundschutz-Kompendium