Sichern, sperren, informieren
Bei einem Shop zählt jede Stunde, in der eine manipulierte Kasse weiterläuft. Trotzdem gilt wie bei jeder Website: erst sichern, dann aufräumen.
- 01
Zustand sichern
Eine Kopie aller Dateien und der Datenbank, so wie sie jetzt sind. Grundlage der Analyse und Ihr Nachweis gegenüber Behörde und Zahlungsanbieter.
- 02
Zugänge sperren
Admin-Passwörter, Hosting, Server und Datenbank, dazu die API-Schlüssel von Zahlungsanbietern, Warenwirtschaft und anderen Schnittstellen.
- 03
Zahlungsanbieter informieren
Wenn der Checkout betroffen sein könnte. Ihr Vertrag mit dem Anbieter kann eigene Meldepflichten enthalten.
- 04
Die Kasse prüfen
Laden Warenkorb- und Kassenseite fremde Skripte? Im Zweifel den Shop vorübergehend in den Wartungsmodus nehmen.
- 05
Datenschutz klären
Können Kundendaten betroffen sein, läuft die Frist von 72 Stunden für die Meldung an die Aufsicht.
Woran Sie es merken
Ein manipulierter Shop funktioniert oft weiter wie gewohnt. In einem von Sansec untersuchten Fall war der Skimmer nach vier Tagen noch aktiv, und selbst große Unternehmen entdecken Angreifer im Mittel erst nach 14 Tagen (Mandiant, M-Trends 2026).
Rückfragen der Bank
Mehrere Betrugsfälle, deren gemeinsamer Nenner Ihr Shop ist. Oft der erste Hinweis überhaupt.
Kartenmissbrauch bei Kunden
Kunden melden sich, kurz nachdem sie bei Ihnen bestellt haben.
Fremde Skripte in der Kasse
Die Kassenseite sendet Daten an eine Adresse, die weder zu Ihnen noch zu Ihren Anbietern gehört.
Geänderte Einstellungen
Neue Zahlarten, andere Empfängerkonten, veränderte Preise.
Neue Zugänge
Administratoren, Integrationen oder API-Schlüssel, die niemand angelegt hat.
Spam in großer Zahl
Plötzlich viele Kundenkonten oder Bestellungen, die nicht nach echten Kunden aussehen.
Wie Kartendaten-Skimmer funktionieren
Ein Skimmer ist ein kleines, eingeschleustes Skript, das auf Warenkorb- oder Kassenseite mitliest, was Kunden eingeben, und es an einen fremden Server schickt. Manche blenden ein gefälschtes Zahlungsformular ein.
Eingeschleust werden sie häufig nicht als Datei, sondern über die Datenbank: in Theme-Einstellungen, Inhaltsblöcken oder Feldern für Tracking-Codes. Eine reine Dateiprüfung findet sie deshalb nicht immer.
Kartendaten werden in Ihrem Shop eingegeben
Das Formular liegt auf Ihrer Kassenseite. Ein Skimmer liest jede Eingabe mit.
Zahlung beim Anbieter
Weiterleitung zu PayPal oder Klarna, oder Eingabefelder des Anbieters: Kartendaten landen nicht auf Ihrem Server. Ein gefälschtes Formular bleibt möglich, und Adressen und Bestelldaten liegen in jedem Fall im Shop.
Was bei Shopware und bei WooCommerce zu prüfen ist
- Shopware und alle Erweiterungen auf aktuellem Stand?
- Admin-Benutzer, Integrationen und ihre API-Zugänge
- Installierte Apps und Plugins, auch unbekannte Ordner unter custom/plugins
- Erlebniswelten und Theme-Einstellungen auf fremde Skripte
- Einstellungen der Zahlarten
Shopware veröffentlicht Sicherheitshinweise und Patches, 2026 zum Beispiel für eine Lücke in der Store API, geschlossen in 6.7.13.1 und 6.6.10.23 (Sansec, 2026). Läuft der Shop noch auf Shopware 5, gibt es vom Hersteller seit Juli 2024 keine Sicherheitsupdates mehr; dann gehört der Umstieg auf Shopware 6 zur Lösung.
- Alles aus dem Ratgeber „WordPress gehackt“: Administratoren, Plugins, Theme, Optionen, Upload-Ordner
- Zahlungs-Plugins: API-Schlüssel und Empfänger
- Webhooks und angebundene Dienste
- Vorlagen von Warenkorb und Kasse im Theme
Die Schritte für die WordPress-Seite stehen ausführlich im Ratgeber WordPress gehackt.
Ihre Pflichten nach einem Shop-Hack
Meldung an die Aufsicht
Können Kundendaten betroffen sein, ist die Meldung binnen 72 Stunden nach Kenntnis praktisch immer nötig (Art. 33 DSGVO). Bei einem Shop ist ein Risiko für die Betroffenen selten unwahrscheinlich.
Information der Betroffenen
Bei voraussichtlich hohem Risiko, etwa bei abgegriffenen Zahlungsdaten oder Passwörtern, ohne unangemessene Verzögerung (Art. 34 DSGVO), mit klaren Hinweisen, was Kunden tun sollten.
Bußgeld der Datenschutzbehörde Niedersachsen 2020, weil ein Unternehmen eine Shop-Software betrieb, die seit Jahren keine Sicherheitsupdates mehr erhielt (LfD Niedersachsen, Tätigkeitsbericht 2020). Die DSGVO verlangt Sicherheit nach dem Stand der Technik (Art. 32), unabhängig von der Unternehmensgröße.
Das ist keine Rechtsberatung. Ziehen Sie Ihren Datenschutzbeauftragten hinzu, und dokumentieren Sie jeden Schritt.
Wiederherstellen und wiedereröffnen
Ein Backup hilft nur, wenn es sicher vor dem Einbruch entstand, und es bringt die alte Lücke zurück. Dazu fehlen alle Bestellungen und Kundenkonten seit dem Backup. Meist ist Bereinigen der bessere Weg:
- 01
Bereinigen
Shop-Software und Erweiterungen frisch aus offiziellen Quellen, Datenbank auf fremde Skripte, Administratoren und Integrationen prüfen.
- 02
Zugänge erneuern
Alle Zugangsdaten und API-Schlüssel neu, auch die der Schnittstellen.
- 03
Aktualisieren
Shop-Software und alle Erweiterungen auf den aktuellen Stand bringen, die Lücke schließen.
- 04
Kundenpasswörter
Sind Passwort-Hashes betroffen, Kunden beim nächsten Login ein neues Passwort setzen lassen.
- 05
Testbestellung
Wiedereröffnen erst nach einer Testbestellung mit jeder Zahlart.
Vorbeugen: So löse ich das mit dem Doppelgänger
Für Shopware-Shops gibt es den Doppelgänger für Shopware. Über die Datenbank eingeschleuste Skripte sind schwerer zu erkennen; umso wichtiger ist, dass Lücken schnell und geprüft geschlossen werden.
Anonymisierte Kopie
Eine exakte Kopie Ihres Shops auf einem eigenen Server in Deutschland. Kundendaten werden bei jeder Kopie anonymisiert.
Getestet bis zur Kasse
Updates von Shopware und Erweiterungen teste ich auf der Kopie mit kompletter Bestellung, bevor sie live gehen.
Prüfungen jede Nacht
Dateiabgleich, Plugin-Inventur und Sicherheitscheck prüfen den Live-Shop. Fremde Dateien und veraltete Erweiterungen fallen auf.
Tägliche Testbestellung
Jeden Morgen läuft eine Testbestellung. Eine Kasse, die nicht mehr funktioniert, fällt nicht erst Kunden auf.
Für WooCommerce gilt dasselbe mit dem Doppelgänger für WordPress, inklusive Test bis in den Checkout mit den Testmodi der Zahlungsanbieter. Weiterlesen: Shopware 6 Updates ohne Ausfall.
Für die Datenschutz-Grundverordnung ist eine ungepflegte Website kein Schönheitsfehler. Sie verlangt Sicherheit nach dem Stand der Technik, auch von kleinen Unternehmen.
Kurz beantwortet.
Muss ich einen Hack meines Onlineshops melden?
Wenn Kundendaten betroffen sein können, in aller Regel ja: an die zuständige Datenschutzaufsicht binnen 72 Stunden, nachdem Sie davon erfahren haben (Art. 33 DSGVO). Bei einem Shop mit Kundenkonten, Bestellungen und Zahlungen ist ein Risiko für die Betroffenen selten unwahrscheinlich. Das ist keine Rechtsberatung; ziehen Sie Ihren Datenschutzbeauftragten hinzu.
Woran erkenne ich einen Kreditkarten-Skimmer?
Oft gar nicht auf den ersten Blick, denn der Shop funktioniert normal. Hinweise sind Rückfragen von Bank oder Zahlungsanbieter wegen Betrugsfällen mit Ihrem Shop als gemeinsamem Nenner, Kunden, die von Kartenmissbrauch berichten, und fremde Skripte auf Warenkorb- und Kassenseite, die Daten an unbekannte Adressen senden.
Muss ich meine Kunden informieren?
Wenn der Vorfall voraussichtlich ein hohes Risiko für die Betroffenen bedeutet, etwa bei abgegriffenen Zahlungsdaten oder Passwörtern, ja, und zwar ohne unangemessene Verzögerung (Art. 34 DSGVO). Sagen Sie klar, was passiert ist und was Kunden tun sollten, zum Beispiel Karte sperren lassen oder das Passwort ändern.
Kann ich den Shop während der Bereinigung offen lassen?
Solange nicht sicher ist, dass die Kasse sauber ist, besser nicht. Ein Wartungsmodus kostet einige Bestellungen, ein weiter laufender Skimmer kostet Kundendaten und Vertrauen. Wiedereröffnen Sie nach der Bereinigung, neuen Zugangsdaten, aktualisierter Software und einer Testbestellung.
Sind Zahlungen über PayPal oder Klarna auch betroffen?
Werden Kunden zur Zahlung auf die Seite des Anbieters weitergeleitet oder geben ihre Daten in ein Eingabefeld des Anbieters ein, landen Kartendaten nicht auf Ihrem Server. Ganz entwarnen lässt sich trotzdem nicht: Ein Skimmer kann ein gefälschtes Zahlungsformular einblenden, und Adressen und Bestelldaten liegen im Shop.
Wie verhindere ich, dass es wieder passiert?
Shop-Software und Erweiterungen zeitnah und getestet aktualisieren, nicht benötigte Erweiterungen entfernen, Zugänge auf das Nötige beschränken und Veränderungen an Dateien und an der Kasse überwachen. Genau dafür gibt es den Doppelgänger: Updates auf einer Kopie mit anonymisierten Daten, nächtliche Prüfungen und bei Shopware eine tägliche Testbestellung.