WordPress-Wartung · Tag 7: WooCommerce sicher betreiben

Willkommen zu Tag 7 unserer Serie WordPress-Wartung & Betrieb. Ein WooCommerce-Shop ist eine WordPress-Seite mit erhöhtem Einsatz: Hier fließt Geld, hier liegen Kundendaten, hier bedeutet jede Stunde Ausfall direkten Umsatzverlust. Alles aus den bisherigen Folgen gilt weiterhin — Updates, Backups, Härtung, Performance —, aber es kommt eine Schicht dazu, die man bei einer reinen Info-Seite nicht hat. Genau darum geht es heute.

Was ist bei einem Shop anders?

Drei Dinge verändern die Lage. Erstens die Daten: Ein Shop verarbeitet personenbezogene und zahlungsnahe Informationen, was höhere Anforderungen an Datenschutz und Sicherheit stellt. Zweitens die Verfügbarkeit: Ein Ausfall trifft nicht das Image, sondern die Kasse — und das rund um die Uhr. Drittens die Dynamik: Anders als eine statische Seite lässt sich ein Shop nicht einfach komplett cachen, weil Warenkorb, Login und Checkout für jeden Besucher individuell sind. Das macht sowohl Sicherheit als auch Performance anspruchsvoller.

Zahlungsdaten: die wichtigste Regel

Die zentrale Sicherheitsregel für jeden Shop lautet: Speichere niemals selbst Kreditkarten- oder Zahlungsdaten. Diese Verantwortung gehört zum Zahlungsdienstleister, der auf genau diese Aufgabe spezialisiert und dafür zertifiziert ist (PCI-DSS). In der Praxis heißt das, Zahlungen laufen über etablierte Anbieter, bei denen die sensiblen Daten den eigenen Server gar nicht erst berühren — der Shop erhält nur die Bestätigung. Das reduziert das eigene Risiko dramatisch: Was man nicht speichert, kann auch nicht gestohlen werden. Wer versucht, Zahlungsdaten selbst zu verwalten, übernimmt eine Haftung und einen Compliance-Aufwand, den kein kleiner oder mittlerer Shop tragen sollte.

Wo Angreifer bei Shops zuerst hinschauen

Shops sind ein attraktiveres Ziel als gewöhnliche Seiten, entsprechend gezielter die Angriffe. Besonders im Fokus stehen der Checkout und die Kundenkonten. Ein verbreiteter Angriff versucht, unbemerkt Schadcode in den Bezahlprozess einzuschleusen, der Eingaben abgreift — deshalb ist die Integrität des Checkouts, also die Gewissheit, dass dort nur läuft, was laufen soll, so wichtig. Kundenkonten wiederum sind Ziel von automatisierten Anmeldeversuchen mit geleakten Passwörtern aus anderen Diensten. Der Schutz ist derselbe wie an Tag 4, nur mit höherem Einsatz: starke Logins, Zwei-Faktor mindestens für die Verwaltung, begrenzte Anmeldeversuche und eine Firewall davor.

Erweiterungen als Einfallstor

Shops leben von Erweiterungen — Zahlungsarten, Versand, Konfiguratoren, Marketing. Jede davon ist Code mit Zugriff auf sensible Abläufe. Gerade hier zahlt sich die Update-Disziplin aus Tag 2 aus, und gerade hier ist es besonders wichtig, nur gepflegte, vertrauenswürdige Erweiterungen einzusetzen und verwaiste konsequent zu ersetzen. Eine Lücke in einer Zahlungs- oder Checkout-Erweiterung wiegt schwerer als anderswo.

Backups und Verfügbarkeit — umsatzkritisch

Bei einem Shop bekommen zwei Themen aus dieser Serie besonderes Gewicht. Erstens Backups: Weil laufend Bestellungen eingehen, kostet jede verlorene Stunde echte Aufträge. Ein Shop braucht deshalb sehr häufige, besser kontinuierliche Sicherungen — nicht die tägliche Sicherung, die im schlimmsten Fall einen ganzen Verkaufstag kostet. Zweitens die Verfügbarkeit: Uptime-Monitoring ist hier keine Kür. Fällt der Checkout aus, muss das sofort auffallen, nicht erst, wenn sich der erste frustrierte Kunde meldet. Ein Shop, der zur besten Verkaufszeit unbemerkt down ist, verliert Geld in Echtzeit.

So gehst du vor

• Zahlungen auslagern: keine Kartendaten selbst speichern, alles über zertifizierte Zahlungsdienstleister.
• Checkout und Konten härten: starke Logins, Zwei-Faktor für die Verwaltung, Rateversuche begrenzen, Firewall davor.
• Erweiterungen kuratieren: nur gepflegte, vertrauenswürdige Plugins, Updates zeitnah über Staging, verwaiste ersetzen.
• Häufig sichern: Backup-Frequenz an die Bestellrate koppeln, nicht an einen starren Tagesrhythmus.
• Verfügbarkeit überwachen: Monitoring mit Alarm, damit ein Ausfall in Minuten statt Stunden bemerkt wird.

Fazit

Ein WooCommerce-Shop erbt alle Wartungsthemen einer WordPress-Seite und legt eine umsatzkritische Schicht darüber. Die wichtigste Regel ist, Zahlungsdaten niemals selbst zu speichern, sondern der zertifizierten Infrastruktur des Zahlungsdienstleisters zu überlassen. Checkout und Kundenkonten sind die bevorzugten Ziele und verdienen entsprechenden Schutz, Erweiterungen sind das häufigste Einfallstor, und Backups wie Verfügbarkeit sind hier direkt in Umsatz messbar. Kurz: Bei einem Shop ist Wartung keine Frage der Sorgfalt, sondern der Kasse.

Das war Tag 7. Morgen schließen wir die Serie mit der ehrlichen Frage, die am Anfang steht: Wartungsvertrag oder selbst machen — was lohnt sich für wen? Alle Folgen in der Serien-Übersicht. Wenn du einen Shop betreibst und den sicheren Betrieb nicht dem Zufall überlassen willst, sieh dir unsere WooCommerce-Wartung an oder sprich uns an.