WooCommerce Sicherheit: Shop und Kundendaten wirksam schützen
von Tobias Berger
updated 07.08.2026
7 Min. Lesezeit
Ein WooCommerce-Shop speichert mehr als nur Produktbilder und Texte: Kundendaten, Bestellungen und oft auch Zahlungsinformationen laufen hier zusammen. Genau das macht ihn zu einem lohnenden Ziel für automatisierte Angriffe. Mit ein paar soliden Grundmaßnahmen lässt sich das Risiko spürbar senken.
Wie sicherst du deinen WooCommerce-Shop wirklich ab? Die wichtigste Basis sind aktuelle Updates, ein SSL-Zertifikat, starke Zugangsdaten mit Zwei-Faktor-Schutz und ein regelmäßig getestetes Backup außerhalb des Live-Servers. Diese Grundmaßnahmen wehren die meisten automatisierten Angriffsversuche zuverlässig ab.
1. Warum WooCommerce-Shops ein beliebtes Angriffsziel sind
WooCommerce ist eines der meistgenutzten Shopsysteme weltweit – und genau diese Verbreitung macht es interessant für automatisierte Angriffe. Bots durchsuchen ständig das Netz nach Websites mit veralteten Plugin-Versionen oder bekannten Sicherheitslücken. Sobald eine Schwachstelle in einem verbreiteten Plugin öffentlich wird, kann es nur wenige Stunden dauern, bis automatisierte Scans gezielt nach ungepatchten Installationen suchen.
Anders als eine reine Info-Website verarbeitet ein Onlineshop zusätzlich Bestell-, Kunden- und teils Zahlungsdaten. Ein erfolgreicher Angriff bedeutet deshalb nicht nur einen möglichen Ausfall, sondern im schlimmsten Fall auch den Verlust oder Missbrauch sensibler Daten deiner Kund:innen. Häufige Angriffsarten sind Brute-Force-Versuche auf den Login-Bereich, veraltete Erweiterungen als Einfallstor und schwache oder mehrfach verwendete Passwörter.
2. Grundschutz: SSL, Updates und starke Zugangsdaten
Ein Großteil der erfolgreichen Angriffe lässt sich mit wenigen, konsequent umgesetzten Grundmaßnahmen verhindern. Diese Basis sollte bei jedem WooCommerce-Shop stehen, bevor über weitere Absicherung nachgedacht wird:
- SSL-Zertifikat: verschlüsselt die Verbindung zwischen Server und Besucher:innen und ist bei einem Shop mit Zahlungsdaten unverzichtbar.
- Regelmäßige Updates: WordPress, WooCommerce, Theme und alle Plugins zeitnah aktualisieren, da bekannte Lücken sonst gezielt ausgenutzt werden.
- Starke, einzigartige Zugangsdaten: kein wiederverwendetes Passwort, idealerweise ergänzt um eine Zwei-Faktor-Absicherung für den Login-Bereich.
- Begrenzte Login-Versuche: Nach mehreren fehlgeschlagenen Anmeldeversuchen wird der Zugang vorübergehend gesperrt, was Brute-Force-Angriffe deutlich erschwert.
Keine dieser Maßnahmen ist für sich genommen aufwendig – die Kombination aus allen vieren blockt aber bereits die überwiegende Mehrheit automatisierter Angriffsversuche zuverlässig ab.
3. Typische Einfallstore erkennen und schließen
Neben den Grundmaßnahmen lohnt sich ein Blick auf die konkreten Stellen, an denen WooCommerce-Shops in der Praxis am häufigsten angegriffen werden. Veraltete oder schlecht gepflegte Drittanbieter-Plugins sind dabei die mit Abstand häufigste Ursache – oft nicht, weil das Kernsystem unsicher ist, sondern weil eine zusätzliche Erweiterung seit Monaten kein Update mehr erhalten hat.
Ein typisches Beispiel: Ein Shop nutzt ein kostenloses Bewertungs-Plugin, das seit über einem Jahr nicht mehr gepflegt wird. Wird darin eine Lücke bekannt, reicht ein automatisierter Scan, um betroffene Installationen zu finden – unabhängig davon, wie gut WordPress selbst abgesichert ist.
Weitere häufige Einfallstore sind offene Registrierungsformulare ohne Spam-Schutz, unzureichend abgesicherte Admin-Bereiche sowie eine fehlende Web Application Firewall, die verdächtigen Traffic gar nicht erst filtert. Eine regelmäßige Bestandsaufnahme, welche Plugins wirklich noch aktiv genutzt und gepflegt werden, reduziert die Angriffsfläche spürbar.
4. Backups als letzte Absicherung
Selbst mit sauberem Grundschutz bleibt ein Restrisiko – deshalb ist ein aktuelles, extern gespeichertes Backup die letzte und wichtigste Absicherung. Geht trotz aller Vorsichtsmaßnahmen etwas schief, lässt sich der Shop damit auf einen funktionierenden Stand zurücksetzen, statt Bestellungen, Kundendaten oder den kompletten Produktkatalog dauerhaft zu verlieren.
Wie oft ein Backup sinnvoll ist und wo es am besten gespeichert wird, hängt vom Bestellaufkommen und der genutzten Infrastruktur ab – das haben wir im Detail im Artikel Onlineshop Backup und Sicherheit beschrieben. Für die Sicherheitsstrategie insgesamt gilt: Ein Backup ersetzt keine der oben genannten Grundmaßnahmen, ergänzt sie aber um ein wichtiges Sicherheitsnetz.
5. So setzen wir das bei BSC um
Bei BSC ist Sicherheit kein nachträglicher Schritt, sondern fester Bestandteil jedes WooCommerce-Projekts. Wir aktivieren SSL von Beginn an, halten WordPress, WooCommerce und alle eingesetzten Plugins über unsere Wartungspakete aktuell und richten automatisierte Backups über UpdraftPlus ein, statt Updates und Datensicherung dem Zufall zu überlassen. Mehr zum Ablauf eines WooCommerce-Projekts findest du in unserem Artikel WooCommerce Shop erstellen lassen.
Bei laufender Betreuung prüfen wir außerdem regelmäßig, welche Plugins tatsächlich noch benötigt werden – nicht mehr genutzte Erweiterungen deaktivieren oder entfernen wir, weil jede zusätzliche Erweiterung eine zusätzliche potenzielle Angriffsfläche bedeutet.
6. Was im Ernstfall zu tun ist
Trotz guter Vorsorge kann es passieren, dass ein Shop kompromittiert wird. Wichtig ist dann vor allem schnelles, strukturiertes Handeln statt Aktionismus:
- 1. Shop absichern: Website vom Netz nehmen bzw. in den Wartungsmodus versetzen, um weiteren Schaden zu verhindern.
- 2. Backup einspielen: sauberes, funktionierendes Backup identifizieren und den Shop darauf zurücksetzen.
- 3. Zugangsdaten ändern: Admin-Logins, FTP/SFTP-, Datenbank- und Hosting-Zugang vollständig erneuern.
- 4. Betroffenheit prüfen: abklären, ob Kundendaten betroffen sein könnten, und rechtliche Meldepflichten einordnen (siehe dazu auch DSGVO im Onlineshop).
- 5. Ursache schließen: betroffenes Plugin oder Theme identifizieren und vor dem erneuten Livegang aktualisieren oder entfernen.
Updates, Backups und Sicherheits-Checks gehören zur laufenden Pflege jedes Shops. WooCommerce Wartung und Pflege
Auch sichere, vertrauenswürdige Zahlungsanbieter zahlen auf die Sicherheit deines Shops ein. Zahlungsarten im Onlineshop
BSC-Checkliste: WooCommerce-Sicherheit auf einen Blick
- 1. SSL aktiv? Zertifikat eingerichtet, Verbindung durchgehend verschlüsselt.
- 2. Updates aktuell? WordPress, WooCommerce, Theme und Plugins auf dem neuesten Stand.
- 3. Zugangsdaten stark? Einzigartige Passwörter plus Zwei-Faktor-Schutz für den Login.
- 4. Login-Schutz aktiv? Begrenzte Anmeldeversuche bzw. Brute-Force-Schutz eingerichtet.
- 5. Backup extern und getestet? Automatisierte Sicherung außerhalb des Live-Servers, Wiederherstellung geprüft.
- 6. Plugins ausgemistet? Nicht mehr genutzte Erweiterungen deaktiviert oder entfernt.
Fazit: Sicherheit ist eine laufende Aufgabe, keine Einmalmaßnahme
Ein sicherer WooCommerce-Shop entsteht nicht durch eine einzelne Maßnahme, sondern durch das Zusammenspiel aus SSL, aktuellen Updates, starken Zugangsdaten und getesteten Backups. Wer diese Grundlagen konsequent umsetzt und regelmäßig prüft, blockt die überwiegende Mehrheit automatisierter Angriffe zuverlässig ab und schützt gleichzeitig das Vertrauen seiner Kund:innen.
Wenn du deinen WooCommerce-Shop besser gegen Angriffe absichern und laufend pflegen lassen möchtest, unterstützt dich BSC Webdesign, dein Team aus Wien bei Einrichtung, Updates und Betreuung.
Häufige Fragen
Die wichtigsten Fragen rund um die Sicherheit von WooCommerce-Shops kurz beantwortet.
Braucht mein WooCommerce-Shop unbedingt ein SSL-Zertifikat?
Ja. Ein SSL-Zertifikat verschlüsselt die Verbindung zwischen Server und Besucher:innen und ist bei einem Shop, der Bestell- und Zahlungsdaten verarbeitet, eine der grundlegendsten Sicherheitsmaßnahmen überhaupt. Ohne SSL warnen moderne Browser Besucher:innen zudem aktiv vor der Website.
Was ist die häufigste Sicherheitslücke bei WooCommerce-Shops?
In der Praxis sind es meist veraltete oder schlecht gepflegte Drittanbieter-Plugins, nicht das WooCommerce-Kernsystem selbst. Sobald eine Lücke in einem verbreiteten Plugin bekannt wird, suchen automatisierte Scans gezielt nach ungepatchten Installationen.
Wie oft sollte ich Backups erstellen?
Für die meisten aktiven Shops ist ein tägliches, automatisiertes Backup sinnvoll, ergänzt um eine zusätzliche Sicherung vor jedem größeren Update. Wichtig ist zusätzlich, dass das Backup extern gespeichert und regelmäßig auf Wiederherstellbarkeit getestet wird.
Was tue ich, wenn mein Shop gehackt wurde?
Zuerst den Shop vom Netz nehmen oder in den Wartungsmodus versetzen, dann ein sauberes Backup einspielen und alle Zugangsdaten ändern. Anschließend solltest du die Ursache identifizieren und prüfen, ob Kundendaten betroffen sein könnten.
Reicht ein Sicherheits-Plugin allein aus?
Nein. Ein Sicherheits-Plugin ist ein sinnvoller Baustein, ersetzt aber nicht die Grundlagen wie aktuelle Updates, starke Zugangsdaten und ein extern gespeichertes Backup. Erst die Kombination mehrerer Maßnahmen bietet zuverlässigen Schutz.
