Zahlungssicherheit in Ihrem Webshop: PCI, Card Testing und was Ihr Hoster dafür tut

Wer Online-Zahlungen entgegennimmt, bekommt es mit den Sicherheitsregeln der Kartengesellschaften (PCI DSS) zu tun, mit Kriminellen, die Kartendaten stehlen wollen, und mit Card Testing: dem Ausprobieren gestohlener Karten in Ihrem Shop. Dieser Artikel erklärt, was das für einen kleinen Webshop bedeutet, was Sie selbst tun und was Ihr Hoster für Sie regelt und was nicht.

Die Grundregel: Kartendaten gelangen nie in Ihren Shop

Eine Kartennummer, das Ablaufdatum und den Sicherheitscode gibt der Kunde bei Ihrem Zahlungsanbieter ein, nicht in Ihrem eigenen Shop. Ihr Shop erfährt nur, ob bezahlt wurde. Das bedeutet auch:

• nie ein eigenes Formularfeld für Kartennummern, auch nicht für eine telefonische Bestellung;
• nie Kartendaten per E-Mail, Chat oder Telefon entgegennehmen und in einer Notiz zu einer Bestellung speichern;
• kein Plugin, das Kartendaten in Ihrer eigenen Datenbank speichert.

PCI DSS und SAQ A in einfacher Sprache

PCI DSS (Payment Card Industry Data Security Standard) ist der Sicherheitsstandard der Kartengesellschaften; die aktuelle Version ist v4.0.1. Ein Unternehmen, das selbst Kartendaten verarbeitet, bekommt damit ein umfangreiches Paket an Anforderungen. Ein kleiner Shop, der die Zahlung vollständig auslagert, weist mit einem kurzen Fragebogen nach, dass er die Anforderungen erfüllt: dem SAQ A (Self-Assessment Questionnaire A). Ihr Zahlungsanbieter fragt manchmal danach.

Auslagern kann auf zwei Arten erfolgen:

1. Weiterleitung: Nach der Bestellung gelangt der Kunde zur Zahlungsseite des Anbieters und anschließend wieder zurück.
2. Ein eingebettetes Zahlungsfeld: Das Zahlungsfeld befindet sich auf Ihrer Bezahlseite, ist aber ein Teil der Seite (iframe) des Anbieters.

Seit dem 31. März 2025 gilt eine neue Version von SAQ A. Wer ein eingebettetes Zahlungsfeld verwendet, muss darin bestätigen, dass seine Website nicht anfällig für Angriffe mit Skripten ist, die die Zahlung beeinträchtigen können. Wer weiterleitet, fällt nicht unter diese Bedingung. Fragen Sie Ihren Zahlungsanbieter, welcher Fragebogen zu Ihrer Anbindung passt.

Die Bezahlseite schützen

• Halten Sie die Bezahlseite schlank. Jedes Skript auf dieser Seite kann grundsätzlich mitlesen, was der Kunde eingibt (E-Skimming): Chat-Widgets, Tag-Manager, Werbe-Pixel. Laden Sie dort nur, was für die Zahlung notwendig ist.
• Wenige Plugins, und immer aktualisiert. Schädliche Skripte gelangen meist über eine Lücke in einem Plugin oder ein gestohlenes Administratorpasswort hinein.
• https überall, mit Weiterleitung von http nach https und HSTS. Siehe Besucher zwingend zu https weiterleiten und HSTS und Sicherheitsheader für Ihre Website.

Card Testing erkennen und eindämmen

Beim Card Testing platzieren Kriminelle automatisch viele kleine Bestellungen, um zu sehen, welche gestohlenen Karten funktionieren. Sie erkennen es an vielen Bestellungen in kurzer Zeit, oft für dasselbe günstige Produkt, mit wechselnden Namen und vielen Bestellungen mit dem Status Fehlgeschlagen. Es kostet Sie Transaktionsgebühren und Rückbuchungen, und im schlimmsten Fall sperrt Ihr Zahlungsanbieter Ihr Konto.

• Rate Limiting (eine Begrenzung der Anzahl der Anfragen pro Zeiteinheit). WooCommerce hat dies für die Checkout-Blöcke eingebaut, es ist jedoch standardmäßig deaktiviert. Aktivieren Sie es unter WooCommerce > Einstellungen > Erweitert > Funktionen, Option Rate limiting Checkout block and Store API.
• Ein Captcha beim Bezahlen. Angreifer wechseln häufig die IP-Adresse; Rate Limiting und ein Captcha zusammen wirken am besten.
• Die Betrugsfilter Ihres Zahlungsanbieters. Aktivieren Sie sie und prüfen Sie, was sie melden.
• 3-D Secure, die zusätzliche Bestätigung in der Banking-App, erschwert den Missbrauch gestohlener Karten.

Was Ihr Hoster erledigt, und was nicht

Bei WebOké geregelt:

• Ein kostenloses Let's Encrypt-Zertifikat für https
• HSTS ist auf den meisten Servern standardmäßig aktiviert
• Die Web Application Firewall ist standardmäßig aktiviert und hält bekannte Angriffe ab
• Imunify360 prüft neue Dateien sofort auf Schadsoftware und scannt Ihr Paket regelmäßig
• Jede Nacht eine Sicherungskopie Ihres gesamten Pakets, 30 Tage aufbewahrt, in einem anderen Rechenzentrum

Bleibt bei Ihnen (oder Ihrem Webentwickler):

• WordPress, WooCommerce, Theme und Plugins aktualisieren (Installatron kann das automatisch erledigen, siehe Updates und automatische Updates)
• Die Anbindung und die Betrugseinstellungen bei Ihrem Zahlungsanbieter
• Welche Skripte auf Ihrer Bezahlseite vorhanden sind
• Starke Passwörter und Zwei-Faktor-Authentifizierung für Administratoren
• Rate Limiting, Captcha und das Überprüfen verdächtiger Bestellungen

Software, die Sie selbst installieren, auch über Installatron, verwalten Sie selbst. Wird Ihre Website dennoch gehackt, folgen Sie dem Stufenplan Meine Website wurde gehackt: Stufenplan. Sind durch einen Einbruch personenbezogene Daten von Kunden betroffen, lesen Sie auch Ist das eine Datenpanne und muss ich sie melden?

Weiterführende Informationen

• Kostenloser Kurs Sicher online, Lektion 4.2 Ihre Website: https, HSTS und Sicherheitsheader
• PCI Security Standards Council über SAQ A (Englisch)
• WooCommerce über Card Testing und Rate Limiting (Englisch)