Monatelang sorgte eine Schlagzeile für Unruhe: Anthropics KI-Modell Claude habe im Rahmen interner Sicherheitstests Tausende bislang unbekannter Schwachstellen in weit verbreiteter Software gefunden. Schnell war vom „Knacken des Internets“ die Rede. Stimmt nicht. Was stimmt: Maschinen finden Lücken inzwischen schneller, als Menschen sie schließen. Für Betreiber von Onlineshops ist das keine Science-Fiction, sondern ein Betriebsproblem.
Denn die Angriffsseite nutzt dieselbe Technik. Sicherheitsforscher beobachten bereits, dass KI-gestützte Scanner verwundbare Shop-Installationen deutlich schneller identifizieren als noch vor zwei Jahren. Das Fenster zwischen dem Bekanntwerden einer Lücke und ihrer automatisierten Ausnutzung schrumpft von Tagen auf Stunden. Wer seinen Patch-Zyklus noch am Kalender ausrichtet, fährt mit angezogener Handbremse gegen Maschinen.
Warum trifft das gerade Shopbetreiber härter als andere?
Ein Onlineshop ist kein Blog. Er verarbeitet Zahlungsdaten, Adressen, Bestellhistorien – und läuft auf Software-Stacks, die aus Shopsystem, Theme, zwanzig Plugins und einem Hosting-Paket zusammengestückelt sind. Jede dieser Komponenten ist ein potenzieller Einstiegspunkt. Die Antwort auf die Frage, warum Händler besonders exponiert sind, lautet schlicht: weil Angriffe auf Shops sich direkt monetarisieren lassen, etwa durch Skimming im Checkout.
Das ist keine Theorie. Magecart-Angriffe, bei denen Angreifer Schadcode in die Bezahlstrecke einschleusen, gehören laut den Analysen von Sansec und dem Verizon Data Breach Investigations Report seit Jahren zu den häufigsten realen Schadensfällen im Handel. Betroffen sind selten die Plattform-Kerne selbst – Shopify, Shopware oder Adobe Commerce patchen zentral und zügig. Die Schwachstellen sitzen in veralteten Extensions, ungepflegten Themes und Admin-Konten ohne Zwei-Faktor-Authentifizierung.
Verschlüsselung, Passwörter, Zuständigkeiten: der Realitätscheck
Drei Baustellen sollte kein Händler mehr auf die lange Bank schieben. Erstens die Transportverschlüsselung: TLS 1.3 gehört zum Standard, veraltete Protokolle wie TLS 1.0 und 1.1 haben im Checkout nichts verloren – PCI DSS 4.0 verlangt das ohnehin und macht es zur Haftungsfrage. Zweitens die Zugänge: Passwörter allein reichen nicht. Zwei-Faktor-Authentifizierung für jeden Admin-Zugang, sauber vergebene Rollen statt geteilter Logins, und im Backend gespeicherte Passwort-Hashes auf aktuellem Stand – bcrypt oder Argon2, nicht MD5-Altlasten aus einer Migration von 2017.
Die dritte Baustelle ist die unangenehmste, weil sie keine Software löst: Zuständigkeit. In vielen Unternehmen ab einer Million Euro Umsatz liegt die Shop-Sicherheit faktisch zwischen Agentur, Host und internem Team – und damit nirgendwo. Wenn ein Patch am Freitag erscheint, muss feststehen, wer ihn bis Montag einspielt und wer das verifiziert. Ohne diese Absprache ist jede Firewall Deko.
Was Händler diese Woche konkret tun können
Der pragmatische Einstieg kostet kein Budget, nur Zeit: Plugin- und Extension-Liste durchgehen und alles deinstallieren, was nicht aktiv genutzt wird – jedes tote Modul ist unbeobachtete Angriffsfläche. Danach prüfen, ob das Shopsystem auf dem aktuellen Patch-Stand ist; Shopware-Händler nutzen dafür das offizielle Security Plugin, das kritische Fixes auch für ältere Versionen nachliefert. Wer Magento oder Adobe Commerce betreibt, sollte zusätzlich einen Skimming-Scanner wie Sansec einrichten, der Schadcode im Frontend erkennt, bevor Kundendaten abfließen.
Die Claude-Debatte wird wieder abflauen, die nächste Schlagzeile kommt bestimmt. Bleiben wird der strukturelle Befund: Angriffe industrialisieren sich, die Verteidigung vieler Shops nicht. Händler, die jetzt ihre Patch-Prozesse, Zugänge und Verantwortlichkeiten festzurren, kaufen sich keine absolute Sicherheit – aber sie stellen sicher, dass der eigene Shop nicht das leichteste Ziel im Netz ist. Mehr braucht es für den Anfang nicht.