Ein Onlineshop verarbeitet mehrere Arten von Informationen, die für Kriminelle interessant sein können. Dazu gehören Namen, Liefer- und Rechnungsadressen, E-Mail-Adressen, Bestellhistorien und gegebenenfalls Zahlungsinformationen. Werden diese Daten durch einen Angriff offengelegt oder manipuliert, entstehen nicht nur Datenschutzrisiken. Auch Bestellungen können verändert, Rückzahlungen umgeleitet oder Kundenkonten übernommen werden.
Für kleine Händler ist die Sicherheitsaufgabe besonders anspruchsvoll. Häufig betreut ein kleines Team den Shop, die Warenwirtschaft, den Kundenservice und die technische Administration gleichzeitig. Dadurch fehlen feste Zuständigkeiten und vertiefte Fachkenntnisse. Sicherheitsmaßnahmen müssen deshalb nachvollziehbar, wartbar und an die tatsächliche Betriebsgröße angepasst sein.
Ein wichtiger Grundsatz lautet: Zahlungsdaten sollten möglichst nicht durch den eigenen Shop verarbeitet oder gespeichert werden. Stattdessen kann der Bezahlvorgang an einen dafür vorgesehenen Zahlungsdienst ausgelagert werden. Das reduziert den Umfang der eigenen technischen Verantwortung, ersetzt aber keine Prüfung. Schnittstellen, Administrationskonten, Shop-Software und Kundendaten bleiben weiterhin schützenswert.
Bei einem ausgelagerten Bezahlvorgang sind mehrere Beteiligte an der Verarbeitung beteiligt. Der Händler entscheidet in der Regel, welche Kundendaten für die Bestellung benötigt werden. Der Hosting-Anbieter stellt die technische Umgebung bereit. Der Zahlungsdienst verarbeitet die Zahlung nach seinen eigenen Sicherheits- und Datenschutzvorgaben. Für den Händler entsteht daraus keine vollständige Haftungs- oder Prüfungsfreiheit.
Vor der Auswahl eines Zahlungsdienstes sollten die Vertragsunterlagen und die technische Einbindung geprüft werden. Relevant sind unter anderem:
Die Aufgaben sollten schriftlich dokumentiert werden. Eine kurze Verantwortlichkeitsübersicht hilft bei der Fehlersuche und verhindert, dass sich mehrere Beteiligte gegenseitig für eine Sicherheitsmaßnahme zuständig halten.
Die sicherste Zahlungsinformation ist für einen kleinen Händler häufig diejenige, die nicht im eigenen System ankommt. Bei einer Weiterleitung wird der Kunde für den Bezahlvorgang auf eine geschützte Zahlungsseite geführt. Bei eingebetteten Verfahren kann die Zahlungsoberfläche in den Shop integriert sein, während die sensiblen Eingaben technisch an den Zahlungsdienst übermittelt werden. Entscheidend ist die konkrete technische Umsetzung, nicht die sichtbare Gestaltung im Browser.
Bei der Prüfung einer Integration sollten Händler den Datenfluss nachvollziehen:
Testbestellungen sollten kontrollieren, ob Zahlungsdaten in Protokolldateien, Fehlermeldungen, E-Mail-Benachrichtigungen, Datenbanktabellen oder Backups auftauchen. Auch Browser-Entwicklerwerkzeuge und die vom Shop bereitgestellten Exportfunktionen können Hinweise liefern. Vollständige Kartennummern oder Sicherheitscodes gehören weder in Notizen noch in Support-Tickets.
Die Datenschutz-Grundverordnung verlangt unter anderem, personenbezogene Daten angemessen gegen unbefugte oder unrechtmäßige Verarbeitung sowie gegen Verlust und Beschädigung zu schützen. Welche Maßnahmen angemessen sind, hängt vom Risiko, vom Umfang der Verarbeitung und von der technischen Umgebung ab. Für einen Onlineshop gehören dazu mindestens Zugangsschutz, Verschlüsselung, sichere Aktualisierung, Datensparsamkeit und ein Verfahren für Sicherheitsvorfälle.
Der Händler sollte außerdem die Vorgaben des eingesetzten Zahlungsdienstes und des jeweils relevanten Kartenumfelds beachten. Der Payment Card Industry Data Security Standard, kurz PCI DSS, beschreibt Sicherheitsanforderungen für Umgebungen, in denen Zahlungskartendaten verarbeitet, übertragen oder gespeichert werden. Auch wenn ein Dienstleister den Zahlungsverkehr übernimmt, kann eine Selbstauskunft oder eine bestimmte Bestätigung verlangt werden. Umfang und Form hängen von der eingesetzten Zahlungsart und der technischen Einbindung ab.
Als praktische Orientierung können Veröffentlichungen des Bundesamtes für Sicherheit in der Informationstechnik, der Datenschutzaufsichtsbehörden und die Dokumentation des Zahlungsdienstes dienen. Diese Quellen ersetzen keine rechtliche Prüfung des Einzelfalls. Sie helfen jedoch, technische Mindestmaßnahmen zu erkennen und die eigene Dokumentation nachvollziehbar aufzubauen.
Die Verbindung zwischen Browser und Shop sollte mit aktueller Transportverschlüsselung geschützt sein. Das Zertifikat muss für die tatsächlich verwendeten Domains gelten und darf nicht abgelaufen sein. Händler sollten nicht nur die Startseite, sondern auch Warenkorb, Kundenkonto, Kontaktformulare und Administrationsbereich prüfen.
Zur technischen Grundkonfiguration gehören:
Ein Zertifikat verschlüsselt die Verbindung, schützt aber nicht vor gestohlenen Zugangsdaten, manipulierten Erweiterungen oder einer kompromittierten Shop-Installation. TLS ist daher eine notwendige Grundlage, kein vollständiges Sicherheitskonzept.
Angriffe auf Onlineshops beginnen häufig nicht an der Kasse, sondern bei einem schlecht geschützten Administrationskonto. Ein gemeinsames Konto für mehrere Personen erschwert die Nachvollziehbarkeit und erhöht das Risiko, dass ein ehemaliger Dienstleister weiterhin Zugriff besitzt. Jede Person sollte ein eigenes Konto mit der geringsten erforderlichen Berechtigung erhalten.
Ein belastbarer Ablauf sieht so aus:
Besonders geschützt werden müssen Konten, die Rückzahlungen auslösen, Zahlungsmethoden ändern, Bestellungen freigeben oder Kundendaten exportieren können. Ein Angreifer benötigt nicht zwingend vollständige Zahlungsdaten, wenn er über ein solches Konto finanzielle Abläufe manipulieren kann.
Ein Onlineshop besteht meist aus einer Kernsoftware, Erweiterungen, Themes, Schnittstellen und der zugrunde liegenden Serverumgebung. Jede Komponente kann Sicherheitsfehler enthalten. Veraltete Erweiterungen sind besonders problematisch, wenn sie direkt auf Bestellungen, Kundendaten oder Administrationsfunktionen zugreifen.
Für Updates sollte ein geplanter Prozess bestehen. Zuerst wird eine aktuelle Sicherung erstellt. Danach wird das Update in einer Testumgebung oder zumindest außerhalb der Hauptgeschäftszeiten geprüft. Nach der Aktualisierung werden Anmeldung, Warenkorb, Bezahlvorgang, Rückerstattung, E-Mail-Versand und Administrationsfunktionen kontrolliert. Die verwendeten Versionen und das Ergebnis der Prüfung sollten dokumentiert werden.
Nicht mehr benötigte Erweiterungen sollten entfernt und nicht nur deaktiviert werden, wenn sie weiterhin Dateien oder Bibliotheken auf dem Server hinterlassen. Themes und individuelle Anpassungen benötigen besondere Aufmerksamkeit, weil ein Update dort unerwartete Änderungen verursachen kann. Sicherheitsmeldungen des Herstellers der Shopsoftware, des Hosters und der eingesetzten Erweiterungen sollten an einer festen Stelle gesammelt werden.
Automatische Updates können bei sicherheitskritischen Komponenten sinnvoll sein, sofern Backups und eine Wiederherstellungsmöglichkeit vorhanden sind. Ohne getestete Sicherung kann ein automatisches Update zwar eine Sicherheitslücke schließen, zugleich aber einen Ausfall des Bestellprozesses verursachen.
Protokolle helfen zu erkennen, wann ein Konto verwendet, eine Einstellung geändert oder eine ungewöhnliche Anfrage ausgelöst wurde. Sie sollten gegen nachträgliche Manipulation geschützt und nur so lange aufbewahrt werden, wie es für Sicherheit, Nachweise und rechtliche Pflichten erforderlich ist. Da Protokolle personenbezogene Daten enthalten können, gehören Aufbewahrung und Zugriff in das Datenschutzkonzept.
Händler sollten insbesondere auf folgende Signale achten:
Backups müssen mehr enthalten als die Produktdatenbank. Je nach System gehören auch Konfigurationen, Vorlagen, Uploads, Protokolle und verschlüsselte Schlüssel dazu. Mindestens eine Sicherung sollte getrennt von der produktiven Umgebung aufbewahrt werden. Eine Sicherung gilt erst dann als verlässlich, wenn eine Wiederherstellung getestet wurde. Der Test sollte festhalten, wie lange die Wiederherstellung dauert und welche Funktionen danach geprüft werden müssen.
Datensparsamkeit reduziert die Folgen eines Sicherheitsvorfalls. Ein Shop sollte nur Daten erfassen, die für Bestellung, Zahlung, Versand, Kundenservice oder gesetzliche Nachweise tatsächlich benötigt werden. Freiwillige Angaben sollten als solche erkennbar sein. Zahlungsdaten dürfen nicht aus Bequemlichkeit in einem zusätzlichen System, einer Tabellenkalkulation oder einem unverschlüsselten Export gesammelt werden.
Auch der interne Umgang mit Bestellungen verdient Aufmerksamkeit. Rechnungen, Versandlisten und Support-Nachrichten können personenbezogene Daten enthalten. Der Zugriff sollte auf die jeweiligen Aufgaben beschränkt sein. Geräte, auf denen Administrations- oder Zahlungszugänge genutzt werden, brauchen aktuelle Sicherheitsupdates, eine Bildschirmsperre und einen Schutz vor Schadsoftware. Öffentliche oder gemeinsam genutzte Computer sind für administrative Tätigkeiten ungeeignet.
Im Kundenservice sollten keine vollständigen Zahlungsdaten abgefragt werden. Wenn eine Zahlung geprüft werden muss, sind die vom Zahlungsdienst vorgesehenen Referenzen und Statusinformationen zu verwenden. Mitarbeiter benötigen klare Vorgaben, wie sie mit verdächtigen E-Mails, Rückzahlungswünschen und angeblichen dringenden Änderungen an Bank- oder Zahlungsinformationen umgehen.
Ein Notfallplan muss nicht umfangreich sein, aber er sollte vor einem Vorfall erstellt werden. Er nennt die zuständigen internen Personen, die technischen Dienstleister, den Zahlungsdienst und die Datenschutzverantwortlichen. Zusätzlich sollten die wichtigsten Kontaktdaten offline oder außerhalb des möglicherweise betroffenen Systems verfügbar sein.
Bei einem Verdacht auf einen Angriff gelten folgende erste Schritte:
Nach Artikel 33 der Datenschutz-Grundverordnung muss eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde grundsätzlich ohne unangemessene Verzögerung und möglichst innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden, sofern voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Die Frist und die Bewertung sollten mit der zuständigen Datenschutzstelle oder einer fachkundigen Beratung eingeordnet werden. Ein Vorfall sollte außerdem nachbereitet werden, damit Zugangsdaten, Prozesse und technische Kontrollen angepasst werden können.
Die folgende Reihenfolge eignet sich für eine erste Bestandsaufnahme. Sie ersetzt keine individuelle Risikoanalyse, macht aber sichtbar, wo kurzfristiger Handlungsbedarf besteht.
Die Prüfung sollte anschließend in einem festen Rhythmus wiederholt werden. Nach Änderungen am Shop, einem neuen Zahlungsdienst, einem Providerwechsel oder einer Erweiterung des Teams ist eine zusätzliche Kontrolle sinnvoll. Entscheidend ist nicht die Zahl der Sicherheitswerkzeuge, sondern ob die Maßnahmen im täglichen Betrieb zuverlässig umgesetzt und überprüft werden.
Nein. Viele Zahlungsmodelle ermöglichen eine Weiterleitung oder eine technische Einbindung, bei der sensible Zahlungsdaten beim Zahlungsdienst verbleiben. Der konkrete Datenfluss muss geprüft werden. Bestell- und Zahlungsstatus können trotzdem im Shop gespeichert werden und benötigen angemessenen Schutz.
Nein. Die verschlüsselte Verbindung schützt die Übertragung, nicht jedoch vor gestohlenen Konten, veralteter Software, manipulierten Erweiterungen oder unberechtigten Datenexporten. Zugangsschutz, Updates, Backups, Protokollierung und ein Notfallverfahren gehören ebenfalls zum Sicherheitskonzept.
Das hängt von der Shopsoftware ab. Neben der Datenbank können Produktdaten, Bestellungen, Konfigurationen, Vorlagen, Uploads und wichtige Protokolle erforderlich sein. Eine Sicherung sollte getrennt aufbewahrt und durch eine Wiederherstellung geprüft werden.
Das hängt vom Vorfall und den Verträgen ab. In Betracht kommen der Hosting-Anbieter, der Zahlungsdienst, interne Verantwortliche und gegebenenfalls die zuständige Datenschutzaufsichtsbehörde sowie betroffene Personen. Die Bewertung sollte dokumentiert und bei Unsicherheit fachkundig begleitet werden.
