Webshop-Penetrationstest für E-Commerce & Handel

Ihr Tagesgeschäft hat Vorrang – darauf richten wir den Test aus. Wo möglich, testen wir auf einer Staging-Umgebung mit identischem Code; im Live-Shop arbeiten wir mit Testkonten, abgestimmten Testbestellungen und zu Zeiten außerhalb Ihrer Umsatzspitzen. Techniken, die viele Anfragen in kurzer Zeit erzeugen, etwa automatisierte Login-Versuche, setzen wir nur nach Rücksprache ein.

Ja. Bei selbst betriebenen Systemen wie Shopware, Magento oder WooCommerce prüfen wir neben Storefront und Checkout auch Admin-Zugänge, Erweiterungen, Updatestand und Server. Bei gehosteten Plattformen wie Shopify konzentrieren wir uns auf den Teil, den Sie verantworten: Theme-Anpassungen, Apps, eigene Schnittstellen und Konfiguration. Die Vorgaben des Plattformbetreibers für Sicherheitstests prüfen wir vorab.

Das hängt von Ihrer Zahlungsintegration ab. Lagern Sie die Kartenzahlung per Weiterleitung oder iFrame vollständig an einen Zahlungsdienstleister aus, sind die Anforderungen geringer, als wenn Ihr Shop Zahlungsformulare selbst ausliefert oder Kartendaten verarbeitet. Gilt Anforderung 11.4 für Sie, testen wir interne und externe Systeme samt Segmentierung. Die vierteljährlichen Scans durch einen Approved Scanning Vendor (ASV) sind eine separate Anforderung.

Ja – gerade dort steckt oft das größte Betrugspotenzial. Typische Schwachstellen sind Gutscheine, die sich durch parallele Anfragen mehrfach einlösen lassen, fremde Bestellungen, die über eine geänderte Bestellnummer abrufbar sind, oder Bonuspunkte, die nach einer Retoure nicht zurückgebucht werden. Für den Test benötigen wir mehrere Testkonten und, wo nötig, Testgutscheine.

Ihre Seite der Integration – etwa Webhooks, Rückmeldungen zum Zahlungsstatus und die Weitergabe von Bestelldaten – prüfen wir im vereinbarten Umfang. Systeme der Anbieter selbst testen wir nur mit deren ausdrücklicher Zustimmung.

Ja. Wir prüfen Filialnetz, Kassensysteme und WLAN – vor allem, ob das Gäste-WLAN sauber vom Kassennetz getrennt ist und Kartenterminals isoliert arbeiten. Auf Wunsch ergänzen wir physische Tests, etwa ob Unbefugte an Netzwerkdosen oder Back-Office-Rechner gelangen.

Vor einem Relaunch, nach größeren Updates oder einem Wechsel von Plugins und Zahlungsanbietern – und rechtzeitig vor dem Weihnachtsgeschäft oder dem Black Friday, damit genug Zeit für Korrekturen und den kostenlosen Retest bleibt. Als Basis empfehlen wir mindestens einen Test pro Jahr.