Nein, eine KI hat nicht das Internet geknackt. Die Schlagzeilen rund um Anthropics Claude und angeblich gebrochene Verschlüsselung haben sich bei näherer Prüfung als das entpuppt, was sie meist sind: ein aufgeheizter Kurznachrichten-Loop ohne belastbare Substanz. Kein geknackter TLS-Standard, kein gebrochener Passwort-Hash, kein Grund zur Panik. Und trotzdem sollten Shopbetreiber den Fall nicht abhaken – denn die Debatte offenbart, wie dünn das tatsächliche Sicherheitsfundament vieler Webshops ist.
Webshop-Sicherheit scheitert im Alltag selten an superintelligenten Angriffen. Sie scheitert an Admin-Konten ohne Zwei-Faktor-Authentifizierung, an Passwörtern wie „Sommer2024!“, an Shop-Updates, die seit acht Monaten aufgeschoben werden. Der aktuelle Verizon Data Breach Investigations Report zeigt es seit Jahren konstant: Kompromittierte Zugangsdaten gehören zu den häufigsten Einfallstoren überhaupt, weit vor jedem exotischen Zero-Day-Exploit.
Warum ist der Claude-Fall trotzdem ein Weckruf für Händler?
Weil die Angst vor der KI-Attacke vom eigentlichen Problem ablenkt – und das sitzt im eigenen Backend. KI-Modelle wie Claude machen das Finden bekannter Schwachstellen schneller und billiger. Was bislang Spezialwissen erforderte, wird zum Textprompt. Ein Angreifer muss 2026 keine Verschlüsselung brechen, wenn er mit automatisierten Scans in zwanzig Minuten den WooCommerce-Shop findet, dessen Payment-Plugin seit zwei Versionen nicht gepatcht wurde.
Die direkte Antwort auf die Frage, ob Claude Webshops knacken kann, lautet also: nicht direkt, aber indirekt. Das Modell senkt die Einstiegshürde für Angriffe auf längst dokumentierte Lücken. Wer seine Angriffsfläche klein hält, für den ändert sich praktisch nichts. Wer sie großzügig offen lässt, für den wird es ungemütlicher.
Verschlüsselung, Passwörter, Zuständigkeiten: Der Realitätscheck
Ein Blick in die Praxis genügt, um die Schwachstellen zu benennen. Bei der Verschlüsselung laufen viele Shops noch mit veralteten TLS-Konfigurationen, obwohl TLS 1.3 längst Standard sein sollte – ein Zustand, den das BSI in seinen technischen Leitlinien ausdrücklich nicht empfiehlt. Bei den Passwörtern fehlt häufig jede Policy: keine Mindestlänge, kein HIBP-Check gegen geleakte Zugangsdaten, keine Rotation nach Mitarbeiterwechsel.
Am kritischsten ist die dritte Baustelle: Zuständigkeit. In Shops ab einer Million Euro Jahresumsatz liegt die Sicherheit oft diffus zwischen Agentur, H