Shop gehackt — hier geht es nicht nur um die Website.

Warum ein Shop anders ist.

Drei Unterschiede zu einer normalen Website. Erstens die Daten: Namen, Adressen, Bestellhistorien, teils Zahlungsinformationen — personenbezogene Daten in Menge. Zweitens das Motiv: Angreifer wollen bei Shops selten Werbung platzieren, sondern Daten abgreifen oder Zahlungen umleiten. Drittens die Folgen: Neben dem Aufräumen kommen Meldepflichten, Information der Betroffenen und möglicherweise Haftungsfragen dazu.

Das allgemeine Vorgehen bei einem Einbruch steht in WordPress gehackt — was tun. Diese Seite ergänzt, was im Shop zusätzlich gilt.

Anzeichen erkennen.

Der zweite Punkt wird oft übersehen: Eine Welle kleiner Bestellungen mit unterschiedlichen Karten, die meist fehlschlagen, ist kein zufälliger Betrug, sondern das systematische Testen gestohlener Kartendaten über deine Kasse. Das kostet dich Gebühren und gefährdet deinen Händlerstatus.

Der Angriff an der Kasse.

Die gefährlichste Variante ist eingeschleuster Code, der im Hintergrund mitliest, was Kunden in die Kasse eintippen, und die Daten an einen fremden Server sendet. Der Shop funktioniert dabei völlig normal — Bestellungen gehen ein, Zahlungen laufen, nichts sieht verdächtig aus. Genau deshalb bleibt es oft wochenlang unentdeckt.

Erkennen lässt es sich an zusätzlichen Skripten, die auf der Kassenseite geladen werden. Öffne mit F12 die Entwicklerwerkzeuge, geh in den Netzwerk-Reiter und sieh dir an, welche Adressen die Kasse anfragt. Alles, was du nicht zuordnen kannst, gehört geprüft. Ein wichtiger Schutz vorab: Kartendaten sollten nie über deinen Server laufen, sondern in Feldern liegen, die der Zahlungsanbieter einbettet. Wer das umbaut, um das Aussehen anzupassen, schafft genau diese Angriffsfläche (Stripe-Fehler).

Sofortmaßnahmen in der richtigen Reihenfolge.

1. Nicht sofort löschen. Zuerst eine vollständige Sicherung des befallenen Zustands ziehen — Dateien und Datenbank. Sie ist die einzige Grundlage, um später zu rekonstruieren, was passiert ist.
2. Protokolle sichern: Zugriffs- und Fehlerprotokolle des Servers, bevor sie überschrieben werden.
3. Shop in den Wartungsmodus, damit keine weiteren Daten abfließen (Wartungsmodus).
4. Alle Passwörter ändern: Backend, FTP, Datenbank, Hoster, Zahlungsanbieter. Und die Schlüssel der Zahlungsanbindungen neu erzeugen.
5. Zahlungsanbieter informieren, sobald der Verdacht auf abgegriffene Zahlungsdaten besteht.
6. Meldepflichten prüfen — die Frist läuft ab Kenntnis, nicht ab Behebung.
7. Erst dann bereinigen.

Punkt eins und sechs sind die, die unter Druck am häufigsten übersprungen werden — und die, die später am meisten Ärger machen.

Meldepflichten.

Wenn personenbezogene Daten betroffen sein könnten, greift die Pflicht zur Meldung an die zuständige Datenschutzaufsicht, grundsätzlich innerhalb von 72 Stunden ab Kenntnis. Maßgeblich ist der begründete Verdacht, nicht der Beweis — wer wartet, bis alles geklärt ist, versäumt die Frist. Besteht ein hohes Risiko für die Betroffenen, etwa bei abgegriffenen Zahlungsdaten, kommt zusätzlich die Pflicht hinzu, die betroffenen Personen zu informieren.

Was konkret zu melden ist und ob im Einzelfall eine Ausnahme greift, gehört mit einem Datenschutzbeauftragten oder einer Fachanwältin geklärt — am besten am selben Tag. Dokumentiere parallel alles: Wann hast du was bemerkt, welche Schritte hast du wann unternommen? Diese Dokumentation ist Teil der Pflicht und entlastet dich später (DSGVO-Checkliste).

Bereinigen.

Die saubere Variante ist der Neuaufbau: WordPress und alle Plugins frisch aus den offiziellen Quellen installieren, nicht aus dem befallenen Bestand kopieren. Übernommen werden nur die Datenbank nach Prüfung und der Ordner mit den Uploads, ebenfalls nach Prüfung auf fremde Dateien. Alles andere wird ersetzt. Ein Zurücksetzen auf ein Backup von vor dem Einbruch ist nur dann der schnellere Weg, wenn du sicher weißt, wann der Einbruch stattfand — und das weiß man selten.

Besonders zu prüfen sind im Shop: Benutzerkonten mit Administratorrechten, geplante Aufgaben, die regelmäßig Code nachladen, Einträge in der Datenbank mit eingeschleusten Skripten, und die Zahlungseinstellungen. Letztere werden gern manipuliert, um Auszahlungen umzuleiten — ein Blick auf die hinterlegte Bankverbindung beim Zahlungsanbieter gehört dazu.

Zahlungsanbieter und Bank.

Informiere deinen Zahlungsanbieter früh und von dir aus. Das ist unangenehm, aber besser, als wenn er es selbst bemerkt — dann drohen Sperrung des Zugangs und Rückhaltung von Auszahlungen. Lass die Schlüssel neu erzeugen und prüfe die hinterlegten Rückmeldeadressen. Gab es eine Welle von Testbestellungen mit fremden Karten, rechne mit Rückbuchungen und den zugehörigen Gebühren; auch hier hilft frühe Kommunikation. Prüfe zusätzlich im Konto, ob Bankverbindung oder Benachrichtigungsadressen verändert wurden.

Kunden informieren.

Wenn ein hohes Risiko besteht, ist die Information Pflicht — und unabhängig davon oft die bessere Entscheidung. Was in eine solche Nachricht gehört: was passiert ist, welche Daten betroffen sein können, was du bereits unternommen hast, was der Kunde tun sollte, und ein Ansprechpartner. Keine Beschönigung, keine technischen Ausflüchte. Erfahrungsgemäß reagieren Kunden auf eine offene, frühe Information deutlich gelassener als auf eine späte Entdeckung über Dritte. Lass den Text rechtlich gegenlesen, bevor er rausgeht.

Was danach zu tun ist.

• Alle Sitzungen beenden, damit alte Anmeldungen ungültig werden.
• Zwei-Faktor-Anmeldung für alle Backend-Konten einrichten.
• Benutzer aufräumen: Jeder Zugang, der nicht gebraucht wird, verschwindet.
• Dateirechte prüfen — 777 ist ein offenes Tor (Dateirechte).
• Datei-Editor im Backend abschalten.
• Google Search Console prüfen auf Sicherheitsmeldungen und eine Überprüfung beantragen.
• Überwachung einrichten, die Dateiänderungen meldet.

Vorbeugen im Shop.

Die Angriffswege sind fast immer dieselben: veraltete Plugins, schwache Passwörter, ein nicht mehr gepflegtes Theme und zu viele Zugänge mit zu vielen Rechten. Für einen Shop kommt dazu, dass er sich Ausfälle schlecht leisten kann — was dazu verführt, Updates aufzuschieben. Genau das ist der häufigste Grund für einen Einbruch.

Die Antwort ist eine Routine statt Einzelmaßnahmen: regelmäßige Updates, zuerst in einer Kopie getestet; tägliche Sicherung außerhalb des Servers; Zwei-Faktor-Anmeldung; und ein Blick auf die Benutzerliste alle paar Monate. Das lässt sich selbst machen oder abgeben (WordPress absichern, WooCommerce-Wartung, Sicherheitscheck).

Wenn du nicht weiterkommst.

Bei einem gehackten Shop zählt die Reihenfolge. Ich sichere Beweise, begrenze den Schaden und bereinige — und sage dir, was du melden musst. Ich finde die Ursache, behebe sie und erkläre dir, was passiert ist: WooCommerce-Support, bei einem Ausfall im laufenden Verkauf der Notfall-Support. Damit es gar nicht erst so weit kommt: WooCommerce-Wartung.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, WordPress-Entwickler aus Quakenbrück. Seit 2020 baue und betreue ich WordPress-Websites — für Handwerksbetriebe, Industrie, Gastronomie, Start-ups und Vereine —, entwickle eigene Plugins und unterrichte WordPress als Dozent an der KW Design Akademie. Das heißt: Ich kenne die typischen Fehler nicht nur aus Foren, sondern aus eigenen Projekten, und ich kann sie so erklären, dass du sie beim nächsten Mal selbst erkennst. Du erreichst mich direkt, ohne Ticketsystem.