WooCommerce gehackt? So stoppen Sie den Kartendiebstahl.

Woran erkennen Sie einen Skimmer im Shop?

1. Kunden melden Kartenmissbrauch kurz nach dem Einkauf bei Ihnen^{5 8}.
2. Ihr Zahlungsanbieter meldet gestohlene Karten aus Ihrer Kasse⁶.
3. Kartenfelder erscheinen doppelt oder schon bei der Rechnungsadresse⁷.
4. In der Kasse steht ein fremdes Zahlungsformular oder lädt eine unbekannte Adresse⁵.
5. Die Kasse hakt zeitweise, auf dem Server liegen unbekannte Dateien⁸.
6. Ein Plugin für eigenen Code ist aktiv, das Sie nicht installiert haben^{7 9}.

Warum sehen Sie selbst oft nichts?

Skimmer laufen meist nur auf der Kassen-Seite. Dort kaufen Betreiber selten selbst ein, und Scanner von außen übersehen sie leicht⁶. Manche Varianten verstecken sich vor Admins und fehlen in der Plugin-Liste¹⁰. Die Bestellung läuft normal durch⁹. Kunden merken oft nicht, dass sie ein falsches Formular ausfüllen⁵.

Schritt 1: Zahlungsanbieter sofort informieren

Melden Sie den Verdacht heute noch Ihrem Zahlungsanbieter oder Ihrer Händlerbank. Kartennetzwerke verlangen bei Verdacht eine sofortige Meldung und können eine forensische Untersuchung fordern³. Notieren Sie Datum, Uhrzeit und Ansprechpartner jedes Gesprächs. Diese Angaben brauchen Sie später für die Meldung nach DSGVO¹.

Schritt 2: Den Shop vorübergehend vom Netz nehmen

Solange der Skimmer läuft, kann jeder neue Kunde seine Kartendaten verlieren. Nehmen Sie den Shop vorübergehend vom Netz, am einfachsten über Ihren Hoster. Das BSI rät, betroffene Systeme vom Netz zu trennen⁴. Nur die Kartenzahlung abzuschalten reicht nicht sicher: Ein eingeschleustes Formular kann trotzdem erscheinen⁹.

Schritt 3: Alle Zugänge ändern

1. WordPress: neue Passwörter für alle Admins, Zwei-Faktor-Anmeldung einschalten^{4 6}.
2. Hosting und SFTP: neue Passwörter, auch für Agentur und Helfer⁷.
3. Datenbank: Passwort nur zusammen mit der wp-config.php ändern, sonst fällt der Shop aus¹⁷.
4. Nach der Bereinigung erneut ändern: Manche Skimmer stehlen auch Admin-Passwörter beim Anmelden¹⁰.
5. Die übrigen Schritte stehen im Ratgeber WordPress gehackt – was tun?

Schritt 4: Sichern, nichts löschen

Lassen Sie Dateien und Datenbank kopieren, auch im befallenen Zustand. Diese Spuren braucht jede Untersuchung^{3 4}. Halten Sie geplante Backups an, damit sie ältere Kopien nicht überschreiben⁴. Löschen Sie keinen Code und spielen Sie kein Backup ein. Heben Sie Screenshots und Kundenmails auf⁴.

Müssen Sie den Vorfall melden?

Meist ja. Skimmer greifen neben der Karte auch Name, Adresse, E-Mail und Telefon ab⁹. Melden Sie das der Datenschutz-Aufsichtsbehörde Ihres Bundeslands¹⁶: unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon erfahren¹. Fehlende Angaben dürfen Sie nachreichen¹. Ausnahme: voraussichtlich kein Risiko für die Betroffenen¹.

Müssen Sie Ihre Kunden informieren?

Ja, wenn voraussichtlich ein hohes Risiko besteht, und zwar unverzüglich². Bei abgeflossenen Kreditkartendaten sieht der Europäische Datenschutzausschuss in einem Beispielfall ein hohes Risiko: Kunden sollen ihre Karten sperren können¹¹. Die Nachricht muss klar und einfach sein². Keine Rechtsberatung: Den Text klären Sie mit Ihrem Datenschutzbeauftragten oder Anwalt.

Warum senkt eine externe Zahlungsseite das Risiko?

Bei einer Weiterleitung oder einem eingebetteten Zahlungsfeld (Hosted Fields) tippen Kunden die Karte direkt beim Zahlungsanbieter ein. Ihr Shop verarbeitet die Kartendaten dann nicht selbst, das senkt das Risiko deutlich^{12 13}. Sicher ist es nicht: Wer Ihren Shop kapert, kann ein gefälschtes Formular oder eine falsche Zahlungsseite davorschalten^{9 12}.

Wann brauchen Sie einen Profi?

1. Kartendaten könnten schon abgeflossen sein.
2. Der Zahlungsanbieter verlangt eine Untersuchung³.
3. Sie finden keinen Code, aber Kunden melden weiter Missbrauch.
4. Neben dem Skimmer kann eine Hintertür stecken, über die er zurückkommt^{8 10}.
5. Für die Meldung brauchen Sie die Zahl der Betroffenen und die Folgen¹.
6. Ihnen fehlen Zeit oder Erfahrung mit Dateien und Datenbank.