Onlineshops sind attraktive Ziele. Sie verarbeiten Zahlungsdaten, speichern Kundeninformationen und führen oft viele Drittanbieter-Skripte und -Erweiterungen aus. Ein einziger Schwachpunkt kann zu Kartenabgriff (auch als Magecart-Angriffe bezeichnet), gestohlenen Kundendaten, Betrug und verlorenem Vertrauen führen.
Diese Checkliste umfasst, was jeder Ladenbesitzer eingerichtet haben sollte, egal ob Sie WooCommerce, Magento, Shopify oder eine benutzerdefinierte Plattform betreiben.
1. Halten Sie den gesamten Stack aktuell
- Plattform: WordPress/WooCommerce, Magento/Adobe Commerce oder Ihr Framework
- Erweiterungen, Plugins und Themes
- Ausführungszeit: PHP, Node.js, Datenbank, Webserver. Ausführungszeit-Sicherheitsanfälligkeiten wie PHP2Shell betreffen jede Anwendung darüber hinaus.
- Betriebssystem
Legen Sie eine feste Patch-Routine und einen Notfallprozess für kritische Probleme fest.
2. Sichere Admin-Zugriffe
- Zwei-Faktor-Authentifizierung für jedes Administratorkonto
- Eindeutige Konten pro Person, keine gemeinsamen Anmeldungen
- Entfernen Sie alte Konten sofort, wenn jemand das Unternehmen verlässt.
- Admin-Zugriff nach IP oder VPN einschränken, wo möglich
- Verwenden Sie eine nicht standardmäßige Admin-URL in Magento
- Geben Sie die minimale Rolle an, die benötigt wird (Shop-Manager anstelle von Administrator).
3. Zahlungsseiten schützen
Die meisten Geschäfte verwenden einen Zahlungsanbieter (gehostete Zahlungsseite, eingebettete Felder oder Weiterleitung), was den Aufwand für Sie reduziert. Aber Angreifer können dennoch JavaScript in Ihren Checkout einfügen, um Kartendaten zu stehlen, bevor sie den Anbieter erreichen, oder um ein gefälschtes Zahlungsformular anzuzeigen.
PCI DSS 4.0 fügte Anforderungen für Zahlungseiten-Skripte hinzu. Die Anforderungen 6.4.3 und 11.6.1 wurden am 31. März 2025 verbindlich:
- 6.4.3: Führen Sie ein Inventar aller Skripte auf Zahlungsseiten, bestätigen Sie, dass jedes autorisiert ist, und stellen Sie deren Integrität sicher.
- 11.6.1: unbefugte Änderungen am Inhalt der Zahlungsseite und an den HTTP-Headern erkennen
Praktische Schritte:
- Liste jedes Skript auf den Warenkorb- und Checkout-Seiten, entferne, was nicht benötigt wird.
- Verwenden Sie eine Content Security Policy (CSP), um einzuschränken, von wo Skripte geladen werden können.
- Überwachen Sie Checkout-Seiten auf Änderungen
- Lade so wenige Drittanbieter-Tags wie möglich beim Checkout (keine Heatmaps oder Chat-Widgets, wenn du es vermeiden kannst).
Überprüfen Sie bei Ihrem Zahlungsanbieter und Acquirer, welche PCI DSS-Validierung für Ihren Shop gilt.
4. Steuern Sie Drittanbieter-Skripte und -Erweiterungen
- Installieren Sie Erweiterungen nur von vertrauenswürdigen Anbietern.
- Verwenden Sie niemals genullte (piratierte) Themes oder Plugins. Sie enthalten oft Hintertüren.
- Überprüfen Sie den Zugriff auf Google Tag Manager: Jeder mit Veröffentlichungsrechten kann Skripte zu Ihrem Checkout hinzufügen.
- Entfernen Sie ungenutzte Tags und Pixel
5. Kundenkonten schützen
- Ratenbegrenzung und CAPTCHA bei Anmeldung, Registrierung und Passwortzurücksetzung, um Credential Stuffing zu verhindern.
- Starke Passwortregeln und optionale 2FA für Kunden
- Benachrichtigen Sie Kunden über Passwort- und E-Mail-Änderungen
6. Betrugsprävention
- Verwenden Sie die Betrugswerkzeuge Ihres Zahlungsanbieters und 3-D Secure
- Achten Sie auf Kartenprüfungen (viele kleine fehlgeschlagene Zahlungen)
- Rate-Limitierung für Checkout- und Add-to-Cart-Endpunkte
7. Sichern Sie den Server und das Hosting
Firewall, SSH-Schlüssel, isolierte PHP-Pools, keine öffentlichen Datenbanken. Siehe meine Linux-Server-Härtungscheckliste.
8. Webanwendungsfirewall und Bot-Schutz
Ein WAF auf CDN- oder Host-Ebene blockiert viele automatisierte Angriffe und bietet Ihnen einen Ort, um Notfallregeln anzuwenden, wenn eine neue Schwachstelle auftritt.
9. Überwachung
- Dateiintegritätsüberwachung (neue PHP-Dateien, geänderte Kern-Dateien)
- Überwachung von Änderungen auf der Checkout-Seite
- Admin-Login-Benachrichtigungen
- Überwachung der Betriebszeit und Fehlerquote
- Suchkonsole Sicherheitsprobleme
10. Backups
Außerhalb, versioniert, getestet. Siehe meinen Backup-Strategie-Leitfaden.
11. Datenschutz und Datenminimierung
- Speichern Sie nur die Kundendaten, die Sie benötigen
- Löschen Sie alte Daten gemäß einer Aufbewahrungsrichtlinie
- Wissen, wo Kundendaten verarbeitet werden (Hosting, E-Mail-Plattform, Analytik, Support-Tools)
12. Incident-Response-Plan
Schreibe es auf, bevor etwas passiert:
- Wen man anrufen sollte (Entwickler, Host, Zahlungsanbieter)
- Wie man den Shop in den Wartungsmodus versetzt
- Wie man Protokolle und Beweise aufbewahrt
- Rechtliche Verpflichtungen (zum Beispiel die Benachrichtigung über Datenschutzverletzungen gemäß der DSGVO innerhalb von 72 Stunden an die Aufsichtsbehörde, wo erforderlich)
- Wie man mit Kunden kommuniziert
Anzeichen dafür, dass Ihr Geschäft möglicherweise gefährdet ist
- Kunden berichten von Betrug, nachdem sie bei Ihnen gekauft haben
- Ihr Zahlungsanbieter oder Ihre Bank kontaktiert Sie bezüglich eines „gemeinsamen Kaufpunkts“
- Unbekanntes JavaScript auf Checkout-Seiten
- Neue Admin-Benutzer oder geänderte Zahlungseinstellungen
- Unbekannte Dateien auf dem Server
Wenn Sie dies sehen, handeln Sie schnell und holen Sie sich professionelle Hilfe. Mein gehackter WordPress-Leitfaden zeigt den Bereinigungsprozess.
Plattformnotizen
- Shopify: die Plattform kümmert sich um Server- und Checkout-Sicherheit; Sie sind verantwortlich für Apps, Mitarbeiterkonten und Theme-Skripte
- WooCommerce: Sie sind verantwortlich für das Hosting, WordPress, Plugins und die Serversicherheit
- Magento / Adobe Commerce: Sicherheitsupdates schnell anwenden; Magento-Shops sind häufige Ziele von Skimming-Angriffen
Häufig gestellte Fragen
Ist mein Geschäft PCI-konform, wenn ich einen Zahlungsanbieter benutze?
Die Verwendung eines Anbieters reduziert Ihren Umfang, aber Sie haben dennoch Verantwortung, insbesondere für die Seiten, die das Zahlungsformular laden oder weiterleiten. Fragen Sie Ihren Anbieter, welcher Selbstbewertungsfragebogen zutrifft.
Brauche ich ein Sicherheits-Plugin?
Es kann bei der Überwachung und den Firewall-Regeln helfen, ersetzt jedoch keine Updates, gute Zugriffskontrolle und Serversicherheit.
Wie oft sollte ich eine Sicherheitsüberprüfung durchführen?
Mindestens jährlich und nach größeren Änderungen wie einem neuen Checkout, einem Plattform-Upgrade oder einer neuen Zahlungsmethode.
Möchten Sie eine Sicherheitsüberprüfung Ihres Shops?
Ich überprüfe und härte Online-Shops und deren Server, von Admin-Zugriff und Checkout-Skripten bis hin zu Patches und Überwachung. Siehe meinen Server- und Backup-Service oder fordere eine Sicherheitsüberprüfung an.