Nutzungsvereinbarung Webhosting-Service über Plesk

§ 1 Gegenstand und Geltungsbereich

Diese Nutzungsvereinbarung regelt die Bereitstellung und Nutzung des Webhosting-Service von IT.SERVICES an der Ruhr-Universität Bochum (RUB), der über die Verwaltungsoberfläche Plesk bereitgestellt wird. Sie gilt für alle Einrichtungen der RUB (Institute, Lehrstühle, Fakultäten, zentrale Einrichtungen), die diesen Service in Anspruch nehmen, sowie für die von diesen benannten verantwortlichen Personen ("Nutzer*in"). Der Service ist ausschließlich für Forschung, Lehre und Verwaltung innerhalb der Ruhr-Universität Bochum. 

Mit der Beantragung und Nutzung des Webhosting-Service erkennt der/die Nutzer*in die Regelungen dieser Vereinbarung, insbesondere die Vorgaben zur IT-Sicherheit und zum Updatemanagement, als verbindlich an.

§ 2 Leistungsbeschreibung

Der Webhosting-Service ermöglicht es Nutzenden, eigene Websites zu veröffentlichen und zu verwalten. Im Einzelnen umfasst der Service:

• Zugang zu einem benutzendenfreundlichen Webinterface (Plesk) zur Verwaltung des eigenen Hosting-Pakets,
• die komfortable Installation von Content-Management-Systemen (CMS), z. B. WordPress,
• das Hochladen, Verwalten und Bereitstellen eigener Dateien (z. B. via FTPS),
• die Einrichtung und Administration von Datenbanken, insbesondere für dynamische Webanwendungen,
• die Einrichtung von Subdomains innerhalb des zugewiesenen Kontingents.

Die konkrete Ausgestaltung (Speicherplatz, Anzahl Subdomains, FTP-Konten und Datenbanken) richtet sich nach dem gebuchten Paket gemäß § 3.

§ 3 Hosting-Pakete

Es stehen drei Hosting-Pakete zur Auswahl, die sich hinsichtlich Speicherplatz, Anzahl der Subdomains sowie FTP-Konten und Datenbanken unterscheiden:

• S | 10 GB | Domain unter .ruhr-uni-bochum.de + 2 Subdomains | 3 FTP-Konten, 2 Datenbanken 
• M | 20 GB | Domain unter .ruhr-uni-bochum.de + 5 Subdomains | 6 FTP-Konten, 5 Datenbanken 
• L | 50 GB | Domain unter .ruhr-uni-bochum.de + 10 Subdomains | 10 FTP-Konten, 10 Datenbanken 

Die Pakete bieten damit flexible Lösungen sowohl für kleinere Projekte als auch für umfangreichere Webanwendungen. Ein Wechsel des Pakets ist auf formlosen Antrag an its-webhosting@ruhr-uni-bochum.de möglich.

§ 4 Beantragung

Ein Hosting-Paket wird per Online Formular beantragt. 

Nach Eingang der Anfrage prüft IT.SERVICES den Antrag und richtet das entsprechende Hosting-Paket ein. Mit der Antragstellung erklärt die/der Verantwortliche zugleich ihr/sein Einverständnis mit dieser Nutzungsvereinbarung.

§ 5 Verantwortliche Person

Für jedes Hosting-Paket wird eine namentlich benannte, für die Einrichtung fachlich zuständige Person als Verantwortliche/r geführt. Diese Person ist zentrale/r Ansprechpartner/in gegenüber IT.SERVICES und RUB-CERT, insbesondere im Fall sicherheitsrelevanter Vorfälle, und haftet im Rahmen dieser Vereinbarung für die ordnungsgemäße Nutzung des Pakets, auch wenn technische Tätigkeiten an weitere Personen der Einrichtung delegiert werden.

§ 6 Pflichten des Nutzers / der Nutzerin

6.1 Inhaltliche Verantwortung

Der/die Nutzer*in ist für sämtliche über das Hosting-Paket veröffentlichten Inhalte, installierten Anwendungen und eingerichteten Datenbanken selbst verantwortlich. Er stellt sicher, dass geltendes Recht (u. a. Urheberrecht, Presserecht, DSGVO) sowie die Ordnungen der RUB eingehalten werden.

6.2 Zugangsdaten und Zugriffsschutz

• Zugangsdaten (Plesk-, FTPS-, Datenbank- und CMS-Zugänge) sind vertraulich zu behandeln und dürfen nicht an Unbefugte weitergegeben werden.
• Es sind ausschließlich sichere, individuelle Passwörter gemäß den Passwortrichtlinien der RUB zu verwenden; Standardpasswörter von CMS-Installationen sind unmittelbar nach Installation zu ändern.
• Der Datentransfer ist verschlüsselt durchzuführen (FTPS statt unverschlüsseltem FTP); für die Weboberfläche ist HTTPS/TLS zu verwenden.
• Zugänge, die nicht mehr benötigt werden (z. B. bei Personalwechsel), sind unverzüglich zu deaktivieren bzw. zu ändern.

6.3 Updatemanagement

Der/die Nutzer*in ist eigenverantwortlich für die Aktualität der von ihm installierten Software zuständig. Dies umfasst insbesondere:

• die zeitnahe Einspielung von Sicherheitsupdates für CMS-Kernsysteme (z. B. WordPress-Core), Plugins, Themes und sonstige selbst installierte Anwendungen, in der Regel innerhalb von 5 Werktagen (Mo.–Fr.) nach Veröffentlichung, bei kritischen Schwachstellen unverzüglich,
• die Aktivierung automatischer Sicherheitsupdates, sofern vom jeweiligen CMS angeboten,
• die Deinstallation nicht mehr benötigter oder nicht mehr gepflegter (End-of-Life-)Erweiterungen und CMS-Versionen,
• die Sichtung von Sicherheitshinweisen der jeweiligen Softwarehersteller sowie von RUB-CERT.

IT.SERVICES übernimmt keine Pflege der vom Nutzer/von der Nutzerin installierten Anwendungssoftware (CMS, Plugins, Themes, eigener Code). Die Update-Verantwortung für diese Ebene liegt vollständig bei dem/der Nutzer*in.

6.4 Datensicherung

Obwohl IT.SERVICES im Rahmen der Serverinfrastruktur regelmäßige Sicherungen vorhält (§ 7.3), obliegt es dem/der Nutzer*in, für seine Inhalte, Datenbanken und Konfigurationen eigene, unabhängige Sicherungskopien anzufertigen, insbesondere vor größeren Änderungen, Updates oder Migrationen.

6.5 Meldepflichten

Sicherheitsvorfälle (z. B. Verdacht auf Kompromittierung, Defacement, Schadcode, Spam-Versand über das Hosting-Paket) sind unverzüglich an RUB-CERT (CERT@ruhr-uni-bochum.de) sowie an its-webhosting@ruhr-uni-bochum.de zu melden.

§ 7 Pflichten und Leistungen von IT.SERVICES

7.1 Infrastruktur

IT.SERVICES stellt die für den Webhosting-Service erforderliche Serverinfrastruktur einschließlich der Plesk-Verwaltungsumgebung bereit und betreibt diese im Rahmen der allgemeinen Verfügbarkeitsziele des Rechenzentrums der RUB.

7.2 Sicherheit auf Server- und Plattformebene

• Einspielen von Sicherheitsupdates für Betriebssystem, Webserver, Datenbankserver und die Plesk-Umgebung selbst,
• Betrieb grundlegender Schutzmechanismen (z. B. Firewall, Malware-/Spam-Filter, Intrusion-Detection auf Infrastrukturebene),
• Monitoring der Serverinfrastruktur auf Auffälligkeiten und Verfügbarkeit.

Diese Maßnahmen betreffen die Infrastrukturebene und ersetzen nicht die in § 6.3 beschriebene Update-Verantwortung des Nutzers/der Nutzerin für die von ihm installierte Anwendungssoftware.

7.3 Datensicherung durch IT.SERVICES

IT.SERVICES sichert die Serverumgebung im Rahmen der geltenden Backup-Konzepte regelmäßig. Diese Sicherung dient der Wiederherstellung der Infrastruktur im Störungsfall und ersetzt nicht die in § 6.4 beschriebene eigenverantwortliche Datensicherung des Nutzers/der Nutzerin.

7.4 Reaktion auf Sicherheitsvorfälle

Bei bekannt werdenden kritischen Schwachstellen, akuter Kompromittierung eines Hosting-Pakets oder Missbrauch (z. B. Versand von Schadsoftware, Phishing, Spam) ist IT.SERVICES berechtigt, im Zusammenwirken mit RUB-CERT geeignete Sofortmaßnahmen zu ergreifen, siehe § 8. Gleiches gilt entsprechend für CMS-Installationen, die entgegen § 6.3 nicht über Plesk vorgenommen wurden.

§ 8 Maßnahmen bei Sicherheitsverstößen

Werden Sicherheitsmängel festgestellt (z. B. veraltete, verwundbare CMS-Versionen, kompromittierte Installationen, Verstöße gegen diese Vereinbarung), gilt folgendes Stufenverfahren:

1. Hinweis | Der/die Nutzer*in wird von IT.SERVICES/RUB-CERT über den Mangel informiert und zur Behebung innerhalb einer angemessenen Frist aufgefordert.
    
2. Fristsetzung | Bei Nichtbehebung erfolgt eine Mahnung mit letzter Frist; bei kritischen Schwachstellen kann die Frist verkürzt werden.
    
3. Sofortmaßnahme | Bei akuter Gefährdung (z. B. aktive Kompromittierung, Angriffe auf Dritte) kann der betroffene Bereich ohne vorherige Ankündigung gesperrt werden.
    
4. Wiederherstellung | Nach nachgewiesener Behebung des Mangels wird der Zugang zeitnah wieder freigeschaltet.

Über Sperrungen und Sofortmaßnahmen wird die/der Verantwortliche unverzüglich informiert, soweit dies mit der Gefahrenabwehr vereinbar ist.

§ 9 Verfügbarkeit und Haftung

1. IT.SERVICES stellt die Serverinfrastruktur für das Webspace-Hosting im Rahmen des technisch und wirtschaftlich Vertretbaren bereit. Eine ständige und ununterbrochene Verfügbarkeit kann nicht gewährleistet werden. IT.SERVICES bemüht sich, Störungen – etwa vorübergehende Betriebsunterbrechungen aufgrund von Wartungsarbeiten oder systemimmanenter Störungen des Internets – so gering wie möglich zu halten und schnellstmöglich zu beheben.
    
2. Für Schäden, die aus von dem Nutzer/der Nutzerin bereitgestellter, installierter, nicht aktualisierter oder unsachgemäß konfigurierter Software oder aus den vom Nutzer veröffentlichten Inhalten entstehen, haftet IT.SERVICES nicht. Der Nutzer ist für die Aktualität, Sicherheit und rechtmäßige Nutzung seines Webspace selbst verantwortlich.
    
3. Für sonstige Schäden, die aus der Inanspruchnahme des Webspace-Hostings entstehen, haftet IT.SERVICES nur, soweit diese durch IT.SERVICES bzw. deren Mitarbeiterinnen und Mitarbeiter vorsätzlich, grob fahrlässig oder unter schuldhafter Verletzung wesentlicher Vertragspflichten herbeigeführt wurden. Dies gilt für alle Arten von Schäden, die bei der Nutzung des Dienstes entstehen können. Diese Beschränkung gilt nicht, soweit ausdrückliche Garantien übernommen wurden, sowie im Fall zwingender gesetzlicher Regelungen. Etwaige weitergehende gesetzliche Einschränkungen der Haftung bleiben unberührt.
    
4. Die Ruhr-Universität Bochum übernimmt keine Gewähr für die Aktualität, Richtigkeit und Vollständigkeit der über den Webspace bereitgestellten Informationen. Das Gleiche gilt für die Inhalte verlinkter Seiten.
    
5. Der/die Nutzer*in stellt die Ruhr-Universität Bochum von Ansprüchen Dritter frei, die aus einer schuldhaften Verletzung dieser Vereinbarung durch den/die Nutzer*in resultieren.
    
6. Meldungen über missbräuchliche Nutzungen, die von Stationen aus dem IP-Namensbereich ruhr-uni-bochum.de ausgehen, sowie Hinweise auf rechtswidrige Inhalte, die über Links auf Seiten der Ruhr-Universität erreichbar sind, senden Sie bitte an abuse@ruhr-uni-bochum.de.

§ 10 Datenschutz

Die Verarbeitung personenbezogener Daten im Rahmen des Webhosting-Service erfolgt unter Beachtung der Vorgaben der Datenschutz-Grundverordnung (DSGVO) sowie der einschlägigen Regelungen der RUB. Der/die Nutzer*in ist für die datenschutzkonforme Gestaltung der von ihm betriebenen Website (u. a. Datenschutzerklärung, Einwilligungen, Auftragsverarbeitungsverträge für eingebundene Drittdienste) selbst verantwortlich.

§ 11 Laufzeit und Kündigung

Die Nutzungsvereinbarung gilt für die Dauer der Nutzung des Hosting-Pakets. Sie endet automatisch mit Wegfall der Zugehörigkeit der Einrichtung zur RUB oder auf formlose Kündigung durch den/die Nutzer*in per E-Mail an its-webhosting@ruhr-uni-bochum.de. IT.SERVICES kann das Hosting-Paket bei wiederholten oder schwerwiegenden Verstößen gegen diese Vereinbarung nach vorheriger Abmahnung kündigen.

§ 12 Ansprechpartner

• Beantragung und allgemeine Fragen: its-webhosting@ruhr-uni-bochum.de
• Sicherheitsvorfälle: RUB-CERT, CERT@ruhr-uni-bochum.de

§ 13 Schlussbestimmungen

Änderungen dieser Nutzungsvereinbarung werden dem/der Nutzer*in in geeigneter Form (z. B. per E-Mail oder über Plesk-Mitteilung) bekannt gegeben und wirksam, sofern nicht innerhalb von vier Wochen widersprochen wird. Sollte eine Bestimmung dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.