Zahlen wir kurz Tribut an die Ehrlichkeit: Christopher Jones hat auf woocommerce.com am 30. Juli 2026 einen der ungewöhnlichsten Sicherheitsartikel veröffentlicht, den eine E-Commerce-Plattform je geschrieben hat. Kein Produktpitch, kein neues Security-Feature, kein „wir kümmern uns drum“. Stattdessen die Anweisung, sich diese Woche mit dem Team hinzusetzen und handschriftlich zu dokumentieren, wie viele Bestellungen pro Tag normal sind, wie hoch die typische Retourenquote ist, welche Admin-Konten existieren. Ein internationaler Softwarekonzern, Tochter des Automattic-Imperiums, empfiehlt seinen Kunden faktisch ein Strichlisten-Heft als erste Verteidigungslinie gegen Cybercrime.
Meine These dazu ist einfach und unbequem: Dieser Artikel ist gleichzeitig der beste und der beschämendste Text, den WooCommerce je über Sicherheit veröffentlicht hat. Best, weil er die Realität benennt. Beschämend, weil er die Realität benennt — und daraus keinerlei Konsequenz für die Plattform zieht.
Der ehrlichste Satz, den eine Plattform je geschrieben hat
Jones beschreibt das Kernproblem präziser als die meisten Sicherheitsvorträge auf Fachkonferenzen:
„Support watches tickets, ops watches orders, your agency watches uptime. A card-testing run looks like background noise in each of those views — a few odd tickets, a bump in failed payments, nothing on the uptime chart — and only looks like an attack when someone sees all three at once. Most teams have no one positioned to see all three at once.“
Übersetzt: Ein Card-Testing-Angriff ist kein singuläres Ereignis, sondern ein Muster, das über drei Verantwortungsbereiche verteilt ist. Der Support sieht merkwürdige Tickets. Das Operations-Team sieht einen Anstieg fehlgeschlagener Zahlungen. Die Agentur sieht — nichts, denn der Uptime-Chart ist grün. Der Angriff existiert nur in der Schnittmenge, und in der Schnittmenge sitzt niemand.
Halten wir das fest: Die einzige Stelle, die strukturell alle drei Datenströme gleichzeitig sieht — Bestellungen, Zahlungen, Nutzerkonten, Plugin-Änderungen — ist die Plattform selbst. WooCommerce sitzt in der Schnittmenge. Und genau diese Plattform schreibt jetzt einen Blogartikel, der den Händlern erklärt, sie mögen bitte die Schnittmenge manuell rekonstruieren. Mit WooCommerce Analytics, mit dem Blick in die Bestellhistorie, mit wöchentlichen Teammeetings.
Sicherheit als Hausaufgabe ist keine Strategie
Verstehen Sie mich richtig. Alles, was Jones empfiehlt, ist richtig. Baselines kennen, Admin-Konten prüfen, auf unbezahlte Bestellungen achten, die als abgeschlossen markiert sind, Refund-Spitzen ernst nehmen. Wer einen Shop betreibt und das nicht tut, fährt ohne Licht durch die Nacht. Der Aufhänger des Artikels — der Account-Breach bei The North Face, bei dem Angreifer schlicht gestohlene Login-Daten nutzten, ganz ohne spektakulären Hack — zeigt, wie banal moderne Angriffe sind. Credential Stuffing braucht keine Zero-Days. Es braucht nur einen Händler, der nicht hinschaut.
Aber genau hier liegt die Asymmetrie, die der Artikel elegant umschifft. Der Händler in Deutschland, der neben Steuerrecht, DSGVO, Lieferengpässen und einem Google-Shopping-Konto, das mal wieder die Hälfte seiner Produkte abgelehnt hat, jetzt auch noch wöchentlich Sicherheitsbaselines dokumentieren soll, ist nicht die richtige Adresse für dieses Problem. Er ist die billigste Adresse. Es kostet WooCommerce nichts, ihm eine Checkliste zu schreiben. Es würde WooCommerce sehr viel kosten, Card-Testing-Muster plattformweit zu erkennen und automatisiert zu blockieren — obwohl die Plattform die Daten dafür als Einzige vollständig besitzt.
Stripe und WooPayments, immerhin im Artikel erwähnt, machen vor, wie es geht: Fraud Protection als eingebauter Default, nicht als Hausaufgabe. Ein Payment-Provider erkennt einen Card-Testing-Run in Minuten, weil er Millionen Transaktionen quer über alle Händler sieht. Kein einzelner Shopbetreiber der Welt kann diese Sichtbarkeit mit WooCommerce Analytics replizieren, egal wie diszipliniert er seine Strichliste führt.
Was das für Händler in Deutschland konkret heißt
Erstens: Nehmen Sie die Hausaufgaben trotzdem ernst, und zwar diese Woche. Nicht weil WooCommerce recht hat mit der Zuständigkeit, sondern weil Ihnen im Ernstfall niemand hilft. Bei einem deutschen Shop kommt zur wirtschaftlichen Schädigung ein Problem dazu, das der US-Artikel gar nicht kennt: die Meldepflicht nach DSGVO. Ein Account-Breach wie bei The North Face bedeutet hierzulande binnen 72 Stunden eine Meldung an die Aufsichtsbehörde, im Zweifel Benachrichtigung der Betroffenen, danach die Frage des Landesdatenschützers, warum Sie den Angriff erst von einem Kunden erfahren haben. „Wir hatten niemanden in der Schnittmenge“ ist vor der Behörde keine Verteidigung, sondern ein Schuldeingeständnis.
Zweitens: Prüfen Sie, wo Ihre Zahlungen tatsächlich abgesichert sind. Wenn Ihr Gateway keine echte Fraud Protection mitbringt — Velocity-Checks, automatische Blockierung von Card-Testing-Mustern —, dann ist das kein Detail für das Entwicklerteam, sondern eine Entscheidung auf Geschäftsführungsebene. Der billigste Payment-Anbieter ist der teuerste, wenn er Ihnen den Angriffserkennungs-Job komplett überlässt.
Drittens, und das ist der eigentliche Skandal: Hören Sie auf, Plattform-Sicherheit als gegeben anzunehmen. Der WooCommerce-Artikel ist die schriftliche Bestätigung, dass die Plattform die Verantwortung für die Angriffserkennung bei Ihnen sieht. Nicht bei sich. Wer diesen Text gelesen hat, kann nie wieder behaupten, er hätte nicht gewusst, dass er allein ist.
Bleibt die Frage, die Jones‘ Artikel unausgesprochen aufwirft: Wenn die Plattform die einzige Instanz ist, die einen Angriff überhaupt vollständig sehen kann — warum bezahlen wir sie dann dafür, dass sie uns erklärt, wir mögen bitte selbst hinschauen?