Veröffentlicht: 25. August 2026.
Einen Onlineshop zu eröffnen ist heute technisch einfacher denn je — ein paar Klicks und ein WooCommerce-Plugin auf einer WordPress-Website, und schon können Sie verkaufen. Doch diese Einfachheit vermittelt Tausenden von Geschäftsinhabern ein falsches Gefühl der Sicherheit. Sobald Ihre Website Benutzerkonten und Zahlungen verarbeitet, ist sie keine gewöhnliche Website mehr, sondern ein finanzielles Ziel.
Digital Skimming — der Diebstahl, den Sie nicht sehen
Eine der gefährlichsten Bedrohungen für Onlineshops ist das sogenannte Digital Skimming (auch als Magecart-Angriff bekannt). Anders als Angriffe, die eine Website lahmlegen, ist dieser darauf ausgelegt, unsichtbar zu bleiben. Der Angreifer findet eine Schwachstelle in einem Plugin und schleust Schadcode direkt in die Zahlungsseite ein. Der Kunde gibt seine Kartendaten ein, die Transaktion läuft normal ab, der Kunde erhält eine Bestätigung — doch im selben Moment leitet dieser Code die Kartendaten an den Angreifer weiter. Shopinhaber erfahren oft erst davon, wenn Banken wegen massenhaften Betrugs die Karten der Kunden sperren.
Vernachlässigte Plugins — der häufigste Einstieg für Angreifer
Mehr als 80 % der kompromittierten Onlineshops werden über veraltete Plugins gehackt. Inhaber installieren Dutzende Plugins für Rabatte, Suche und Analysen — und vergessen sie dann. Automatisierte Bots durchsuchen das Internet ununterbrochen nach genau dieser alten, verwundbaren Version. Ein besonderes Risiko sind raubkopierte („nulled“) Themes und Plugins — in den allermeisten Fällen enthalten sie einen versteckten Zugang, der dem Angreifer bei der Aktivierung die volle Administratorkontrolle verschafft.
Beschäftigte sind oft eine größere Schwachstelle als die Website selbst
Der beste technische Schutz hilft nicht, wenn der Shop-Administrator ein Passwort verwendet, das er bereits anderswo genutzt hat. Angreifer zielen oft nicht auf die Website selbst, sondern auf die Beschäftigten — über eine E-Mail, die wie eine Benachrichtigung eines Kurierdienstes oder eine Warnung vor der Abschaltung der Domain aussieht. Die Einführung der Multi-Faktor-Authentifizierung (MFA) für jeden Benutzer mit Administratorzugriff ist keine Option, sondern eine Grundpflicht.
Warum ein tägliches Backup für einen Shop nicht ausreicht
Für einen gewöhnlichen Blog reicht ein Backup pro Tag völlig aus. Für einen Shop mit Dutzenden Bestellungen täglich nicht. Stellen Sie sich vor: Das Backup läuft um 2 Uhr nachts, die Website wird um 17 Uhr kompromittiert, und Sie müssen die Sicherung wiederherstellen. Sie setzen die Website auf den Stand von 2 Uhr zurück — und haben damit jede Bestellung, Zahlung und Registrierung dieser 15 Stunden gelöscht. Das Geld ist auf dem Konto eingegangen, aber das System weiß nicht mehr, an wen und wohin die Ware zu senden ist. Onlineshops brauchen Echtzeit- oder inkrementelle Backups, kein klassisches tägliches Backup.
Der Bezug zum Gesamtbild der Informationssicherheit
Das sind keine isolierten technischen Tipps — genau diese Maßnahmen (Risikomanagement, Zugriffskontrolle, Plan zur Reaktion auf Vorfälle, regelmäßige Backups) bilden die Grundlage sowohl dessen, was das neue Gesetz über Informationssicherheit von größeren Betreibern verlangt, als auch dessen, was jedes seriöse Unternehmen anwenden sollte, unabhängig davon, ob es formal unter das Gesetz fällt. Wenn Sie mit EU-Partnern zusammenarbeiten oder wachsen möchten, sind diese Maßnahmen nicht mehr nur „nice to have“, sondern werden zur Geschäftsvoraussetzung.
Wenn Sie nicht sicher sind, ob Ihr Unternehmen formal unter die NIS2-Pflichten fällt, nutzen Sie die kostenlose NIS2-Prüfung. Für Hilfe bei der Website-Sicherheit, der Backup-Strategie oder der vollständigen ISO-27001-Einführung fordern Sie eine kostenlose Beratung an.
Quelle
- ITNetwork.rs — „Vodič o zaštiti WooCommerce prodavnice: kako da vaš e-commerce biznis ne postane plen hakera“, 29.07.2026