Kurz gesagt

  • Admin-Konten und Erweiterungen sind häufiger das Problem als die Shop-Startseite.
  • MFA, minimale Rechte und schnelle Updates reduzieren das größte Risiko.
  • Wiederherstellung muss Shop, Datenbank, Medien und Konfiguration gemeinsam abdecken.

Ihr Online-Shop ist Schaufenster, Kassa und Lagerbuch in einem. Ein kompromittierter Shop arbeitet weiter, nur eben für den Angreifer: umgeleitete Zahlungen, eingeschleuste Skripte, gestohlene Kundendaten. Und Sie erklären das anschließend allen Beteiligten, ob Sie wollen oder nicht.

Admin und Updates

Der Shop-Administratorbereich hat MFA, individuelle Konten und keine Kennwörter nach dem Muster Jahreszeit plus Zahl. Plugins, Themes und die Shop-Engine bekommen Updates in Tagen, denn veraltete Erweiterungen sind der häufigste Einstieg.

Updates werden zuerst auf einer Testkopie eingespielt. Ein Live-Update ohne Test ist ein Betriebsexperiment mit Kundendaten.

Zahlungen und Daten klein halten

Zahlungen laufen über einen Zahlungsdienstleister, sodass Kartendaten Ihren Server nie berühren. Speichern Sie nur, was Bestellung und Recht brauchen: Je weniger da ist, desto kleiner die Panne.

Backups von Datenbank und Dateien werden getrennt gehalten und getestet, und das Wiederherstellen eines Bestellszenarios einmal real durchgespielt.

Beobachten

Fremde Admin-Konten, neue Dateien im Upload-Ordner und unbekannte Skripte in der Fußzeile sind Alarmzeichen. Wer monatlich einen Blick auf Konten und Dateien wirft, findet den Eindringling vor dem Kunden.

Tests gegen echte Szenarien

Ein Testkauf nach jedem größeren Update prüft Bestellung, Zahlung und Mailkette. Funktioniert die Bestätigungsmail nicht, merkt es der erste Kunde, nicht das Monitoring.

Konkrete nächste Schritte

  1. Shop-Admin mit MFA und Einzelkonten absichern.
  2. Plugins und Engine auf einer Testumgebung aktualisieren.
  3. Zahlverkehr über den Dienstleister halten.
  4. Datenbank- und Datei-Backups getrennt testen.
  5. Monatliche Kontrolle von Konten und Dateien.

vetosec prüft und härtet Shops inklusive Hosting und Zahlungsanbindung. Kartendetails und Verbraucherrecht bleiben beim Zahlungsdienstleister und der Kanzlei.

Passende Inhalte von vetosec

Primärquellen