Anthropics KI-Modell Claude hat nicht das Internet geknackt. Doch die Debatte um dessen Fähigkeiten bei der Analyse von Sicherheitslücken zeigt etwas Wichtigeres: Die Webshop-Sicherheit vieler Händler würde einem gezielten Angriff kaum standhalten. Für Shopbetreiber ab einer Million Euro Jahresumsatz ist das kein Theoretiker-Problem, sondern ein Betriebsrisiko mit Umsatzrelevanz.
Was bedeutet der Claude-Fall konkret? KI-Modelle erreichen mittlerweile ein Niveau, auf dem sie bekannte Schwachstellen in Shopsoftware systematisch aufspüren und Angriffsschritte skripten können. Die Hürde für Angreifer sinkt. Wer bislang auf Obscurity setzte – „mein kleiner Shop interessiert keinen Hacker“ –, kalkuliert neu: Automatisierte Scans unterscheiden nicht zwischen klein und groß, sondern zwischen gepatcht und ungepatcht.
Warum KI den Angriffsdruck auf Onlineshops erhöht?
Die Antwort ist nüchtern: KI senkt die Kosten pro Angriffsversuch auf nahe null. Ein Magecart-artiger Skimming-Angriff, bei dem Schadcode Kreditkartendaten im Checkout abgreift, erforderte früher manuelle Recherche. Heute lassen sich Tausende Shops parallel auf veraltete Plugin-Versionen, offene Admin-Endpunkte oder fehlerhafte CSP-Header prüfen. Die britische Datenschutzbehörde ICO hatte schon bei früheren Skimming-Wellen Bußgelder in Millionenhöhe verhängt – in der EU drohen zusätzlich DSGVO-Strafen von bis zu vier Prozent des Jahresumsatzes.
Die schlechte Nachricht zuerst: Niemand kann seine Angriffsfläche auf null bringen. Die gute: Die meisten erfolgreichen Angriffe nutzen keine ausgeklügelten Zero-Days, sondern banale Versäumnisse. Ungepatchte Shopware- oder WooCommerce-Installationen, Admin-Konten ohne Zwei-Faktor-Authentifizierung, wiederverwendete Passwörter im Team.
Verschlüsselung und Passwörter: Der Realitätscheck für Shopbetreiber
Drei Punkte gehören in den nächsten Sprint-Plan, nicht auf die Roadmap für irgendwann. Erstens die Admin-Absicherung: Passkeys oder zumindest TOTP-basierte 2FA für jedes Konto mit Backend-Zugriff – ohne Ausnahme für Agenturen und Freelancer. Shopware 6 und aktuelle WooCommerce-Versionen bringen die Grundlagen mit; für ältere Setups decken Extensions wie Wordfence oder dedizierte 2FA-Plugins die Lücke ab.
Zweitens die Zahlungsstrecke. Seit PCI DSS 4.0 vollständig verbindlich ist, sind Integrity-Checks auf Checkout-Skripte Pflicht. Wer Zahlungsdienstleister wie Stripe, Adyen oder Mollie per gehostetem Feld anbindet, reduziert den eigenen Scope deutlich – ein unterschätzter Vorteil gegenüber Eigenintegrationen.
Drittens die Zuständigkeiten. In der Praxis scheitert Sicherheit selten an Technik, sondern an der Frage, wer eigentlich zuständig ist. Agentur, Hoster, interne IT? Ein dokumentierter Notfallplan – wer sperrt, wer informiert, wer meldet innerhalb der 72-Stunden-Frist der DSGVO – kostet einen Nachmittag und entscheidet im Ernstfall über den Schaden.
Automatisierte Angriffe warten nicht auf Ihr nächstes Release-Meeting. Patchzyklen von Wochen sind ein Einfallstor, Tage die neue Normalität.
Was der Fall für die Branche verändert
Plattformanbieter ziehen bereits nach. Shopify setzt als gehostetes System weiter auf zentrale Absicherung und wirbt zunehmend mit verwalteter Compliance, während die Betreiber selbst gehosteter Lösungen – von Shopware 6 über Magento/Adobe Commerce bis PrestaShop – die Verantwortung vollständig tragen. Für Händler wird das zu einer echten Architekturfrage: Managed Hosting mit automatischen Sicherheitsupdates kostet mehr, verlagert aber genau das Risiko, das der Claude-Fall sichtbar gemacht hat.
Meine Einschätzung: Der Fall ist kein Grund zur Panik, aber ein bequemer Anlass, aufgeschobene Hausaufgaben zu erledigen. Wer diese Woche die Admin-Zugänge auditiert, offene Updates einspielt und den Notfallplan schriftlich fixiert, gehört nicht mehr zur Gruppe der leichten Ziele. Genau darum geht es – nicht um absolute Sicherheit, sondern darum, teurer anzugreifen zu sein als der Nachbar-Shop.