Stellen Sie sich vor, ein Kunde tippt seine Kreditkartennummer in Ihren Checkout – und ein Unbekannter liest mit. Genau das passiert seit April 2026 in Tausenden Online-Shops. Eine groß angelegte Angriffswelle trifft derzeit Shops auf Basis von Magento Open Source und Adobe Commerce, warnt der Händlerbund. Auch deutsche Händler sind betroffen, darunter kleinere Mittelständler, die den Einbruch erst bemerkten, als Kunden über ungewöhnliche Belastungen klagten.
Was genau passiert gerade bei Magento-Shops?
Die Angreifer nutzen bekannte, aber ungepatchte Sicherheitslücken in veralteten Shop-Versionen aus. Über diese dringen sie ohne Admin-Login in die Server ein und betten JavaScript-basierten Schadcode in den Bestellprozess ein. Dieser sogenannte Web-Skimmer – in der Szene unter dem Begriff Magecart bekannt – kopiert Zahlungsinformationen direkt beim Bestellvorgang und leitet sie auf Server der Täter weiter. Kreditkartendaten, Adressen, teils Login-Passwörter: Alles, was Kunden eingeben, landet potenziell in fremden Händen.
Das Perfide: Der Skimming-Code lässt sich mit bloßem Auge kaum entdecken. Der Shop läuft weiter, Bestellungen gehen ein, die Conversion stimmt. Erst Malware-Scans oder auffällige Fremdskripte in den Templates verraten den Einbruch. Betroffene Händler berichten, dass Angreifer zusätzlich Backdoors hinterlegen – wer nur den sichtbaren Schadcode entfernt, bleibt kompromittiert.
Warum trifft es ausgerechnet ältere Installationen?
Adobe veröffentlicht für Commerce regelmäßig Sicherheitspatches, zuletzt im Rahmen der Patch-Tage 2025 und 2026. Das Problem liegt weniger beim Hersteller als im Shop-Alltag: Updates kosten Agenturstunden, Custom-Themes brechen nach Patches, und mancher Betreiber läuft noch auf Versionen aus dem 2.4er-Zweig, die längst aus dem Support gefallen sind. Genau diese Systeme scannen die Angreifer gezielt ab – automatisiert und rund um die Uhr.
Ein zweiter Risikofaktor: veraltete Extensions. Module von Drittanbietern, die nicht mehr gepflegt werden, öffnen oft die erste Tür. Hier lohnt ein harter Blick in die Modulliste – und konsequentes Deinstallieren statt bloßem Deaktivieren. Wer zusätzlich eine Web Application Firewall einsetzt, etwa die Lösungen von Sansec oder die von Cloudflare, kann viele Angriffsmuster blockieren, bevor sie den Server erreichen. Sansec gilt im Magento-Umfeld als Spezialist für Skimming-Erkennung.
Ein gehackter Checkout ist kein IT-Problem, sondern ein Vertrauensproblem. Kunden verzeihen vieles – geklaute Kreditkartendaten gehören nicht dazu.
Was Shopbetreiber jetzt konkret tun müssen
Zuerst: prüfen. Dateisystem und Datenbank auf unbekannte Skripte scannen, Cronjobs kontrollieren, Admin-Konten auf fremde Nutzer durchsuchen. Dann patchen – auf die aktuellste unterstützte Version, nicht nur das nächste Minor-Release. Alle Admin-Passwörter und API-Zugangsdaten gehören zurückgesetzt, Zwei-Faktor-Authentifizierung aktiviert.
Wer tatsächlich betroffen ist, muss rechtlich handeln: Der Diebstahl von Zahlungsdaten ist eine meldepflichtige Datenschutzverletzung nach Artikel 33 DSGVO. Die Aufsichtsbehörde erwartet die Meldung binnen 72 Stunden nach Bekanntwerden, betroffene Kunden sind bei hohem Risiko direkt zu informieren. Mehrere deutsche Händler haben genau das in den vergangenen Monaten getan – mit Sicherheitshinweisen im Shop und proaktiver Kundenansprache.
Der Handlungsimpuls für alle, die Magento oder Adobe Commerce betreiben: Updatestand prüfen, Scan laufen lassen, Patchfenster einplanen. Wer das seit Monaten vor sich herschiebt, spielt mit dem Kerngeschäft. Die nächste Welle dieser Art ist keine Frage des Ob, sondern des Wann – und die Angreifer patchen ihre Exploits schneller, als manche Agentur ihr Ticket-System abarbeitet.
Quellen zur Recherche: [Golem: Hacker kapern Onlineshops und schleusen Schadcode ein](https://www.golem.de/news/verheerende-angriffswelle-hacker-kapern-onlineshops-und-schleusen-schadcode-ein-2604-207368.html), betroffener Händler-Fall [Labu24 Sicherheitshinweis](https://www.labu24.de/brennholz-holzbriketts-rechner).