WooCommerce-Sicherheit: Konten, Checkout und Kundendaten schützen
Ein WooCommerce-Shop basiert auf WordPress, ergänzt aber Kundenkonten, Bestellungen, Checkout, Zahlungsanbieter und weitere externe Integrationen. Sicherheit braucht deshalb besondere Aufmerksamkeit, ohne Kaufprozess oder Zahlungen kaputtzukonfigurieren.
Was hat höchste Priorität?
Schütze privilegierte Konten mit 2FA, begrenze Brute-Force-Versuche, halte Plugins und Themes aktuell, teste Security Header sorgfältig mit Checkout und Zahlungen, pflege zuverlässige Backups und überwache unerwartete Dateiänderungen. Externe Integrationen sollten nur notwendige Rechte erhalten.
Admin- und Kundenkonten
Shopmanager und Administratoren können Bestellungen, Kundendaten und Einstellungen ändern. Eine gestohlene Sitzung kann deshalb direkte geschäftliche Auswirkungen haben. Schütze Konten mit hohen Rechten besonders.
Auch Kundenkonten sind Ziel von Credential-Stuffing. Rate Limits und Captcha können Missbrauch reduzieren, ohne jeden Käufer unnötig zu belasten.
- 2FA für Administratoren und Shopmanager.
- Temporäre Sperren nach wiederholten Fehlversuchen.
- Keine gemeinsam genutzten Administratorkonten.
- Regelmäßig erhöhte Berechtigungen prüfen.
Checkout und Zahlungsanbieter
Securitymaßnahmen dürfen Verkäufe nicht blockieren. CSP, Captcha und strenge Firewallregeln können Zahlungsfelder, Callbacks oder externe Skripte beeinflussen. Änderungen kontrolliert ausrollen und echte Zahlungsabläufe testen.
Nutze gepflegte, vertrauenswürdige Zahlungsintegrationen und halte sie aktuell.
- Warenkorb, Checkout und Bestellbestätigung nach Änderungen testen.
- Mobilen Checkout separat testen.
- Veraltete Zahlungsintegrationen entfernen.
- Webhooks/Callbacks nach Firewall- oder Headeränderungen erneut testen.
Plugins und Lieferkette
WooCommerce-Shops nutzen häufig zusätzliche Plugins für Versand, Feeds, Rechnungen, Marketing und Analytics. Jede Erweiterung bringt Code und Updates mit.
Installiere Software nur aus vertrauenswürdigen Quellen, entferne Testplugins und prüfe ZIP- oder individuellen Code vor Aktivierung.
- Ungenutzte Erweiterungen reduzieren.
- Changelogs prüfen und kritische Updates zeitnah installieren.
- Vor großen Updates ein wiederherstellbares Backup erstellen.
- Individuelle und ZIP-Dateien auf verdächtige Muster prüfen.
Kundendaten, Logs und Backups
Bestellungen enthalten personenbezogene Daten. Logs können zusätzlich IPs, Fehler und technische Details speichern. Sichere Backups und Debuglogs gegen öffentlichen Zugriff.
Ein Backup ist nur wertvoll, wenn es sich wiederherstellen lässt. Bewahre mehrere Generationen und mindestens eine Kopie außerhalb desselben Servers auf.
- debug.log nicht öffentlich erreichbar lassen.
- Backupdateien gegen Webzugriff schützen.
- Wiederherstellung regelmäßig testen.
- Zugriff auf Hosting, Datenbank und SFTP begrenzen.
Kontinuierlich prüfen
Security ist keine einmalige Installation. Prüfe Updates, File Integrity und Loginaktivität regelmäßig, aber vermeide sehr schwere Scans während hoher Verkaufsaktivität.
Der externe Merqivio Security Check zeigt die öffentliche Angriffsfläche, das Plugin ergänzt internen Schutz und Monitoring.
Prüfe die öffentliche Security deines WooCommerce-Shops.
Starte kostenlos. Der Deep Scan zeigt anschließend alle Befunde, Nachweise und priorisierten Empfehlungen.