Zusammenfassung

  • Admin-Konten und Erweiterungen sind häufiger das Problem als die Shop-Startseite.
  • MFA, minimale Rechte und schnelle Updates reduzieren das größte Risiko.
  • Wiederherstellung muss Shop, Datenbank, Medien und Konfiguration gemeinsam abdecken.

Ihr Online-Shop ist Schaufenster, Kassa und Lagerbuch in einem. Ein kompromittierter Shop arbeitet weiter, nur eben für den Angreifer: umgeleitete Zahlungen, eingeschleuste Skripte, gestohlene Kundendaten. Und Sie erklären das anschließend allen Beteiligten, ob Sie wollen oder nicht.

Admin und Updates

Der Shop-Administratorbereich sollte MFA und individuelle Konten nutzen. Halten Sie Shop-Software, Themes und Erweiterungen aktuell, weil bekannte Sicherheitslücken in veralteten Komponenten ein mögliches Einfallstor sind.

Prüfen Sie Updates zuerst in einer Testumgebung, wenn Ihr Shop das erlaubt. So fallen Probleme vor einer Änderung im laufenden Betrieb eher auf.

Zahlungen und Daten klein halten

Zahlungen laufen über einen Zahlungsdienstleister, sodass Kartendaten Ihren Server nie berühren. Speichern Sie nur, was Bestellung und Recht brauchen: Je weniger da ist, desto kleiner die Panne.

Backups von Datenbank und Dateien werden getrennt gehalten und getestet und das Wiederherstellen eines Bestellszenarios einmal real durchgespielt.

Beobachten

Fremde Admin-Konten, neue Dateien im Upload-Ordner und unbekannte Skripte in der Fußzeile sind Alarmzeichen. Wer monatlich einen Blick auf Konten und Dateien wirft, findet den Eindringling vor dem Kunden.

Tests gegen echte Szenarien

Ein Testkauf nach jedem größeren Update prüft Bestellung, Zahlung und Mailkette. Funktioniert die Bestätigungsmail nicht, merkt es der erste Kunde, nicht das Monitoring.

Konkrete nächste Schritte

  1. Shop-Admin mit MFA und Einzelkonten absichern.
  2. Plugins und Engine auf einer Testumgebung aktualisieren.
  3. Zahlverkehr über den Dienstleister halten.
  4. Datenbank- und Datei-Backups getrennt testen.
  5. Monatliche Kontrolle von Konten und Dateien.

vetosec prüft und härtet Shops inklusive Hosting und Zahlungsanbindung. Kartendetails und Verbraucherrecht bleiben beim Zahlungsdienstleister und der Kanzlei.

Passende Inhalte von vetosec

Primärquellen