Karten-Skimming im Checkout: wie es funktioniert und wie Sie es verhindern

Digitales Skimming bedeutet, ein kleines Skript in die Zahlungsseite einzuschleusen, das kopiert, was der Kunde eintippt (Kartennummer, Ablaufdatum, CVV), und es an einen Server des Angreifers schickt. Der Kunde zahlt ganz normal und merkt nichts. Wochen später erkennt seine Bank den Betrug.

Wie das Skript hineinkommt

• Ein verwundbares Modul, das Schreibzugriff auf die Datenbank oder das Hochladen von Dateien erlaubt.
• Gestohlene Backoffice-Zugangsdaten: Der Angreifer fügt das Skript in einen Textblock oder in die Konfiguration ein.
• Eine kompromittierte Drittanbieter-Bibliothek, die Ihr Shop von außen lädt.

Die wirksamste Verteidigung: Die Karte läuft nicht über Ihre Website

Nutzen Sie Zahlungsanbieter, bei denen die Kartendaten in ein Formular eingegeben werden, das der Anbieter selbst hostet (eine externe Zahlungsseite oder ein von seiner Domain eingebettetes Feld, etwa Stripe Elements oder das Redsys-Formular). Selbst wenn jemand ein Skript in Ihren Shop einschleust, kann er diese Felder dann nicht auslesen.

Weitere Maßnahmen

• Updates von PrestaShop und Modulen, besonders von Zahlungs- und Checkout-Modulen.
• Zwei-Faktor-Authentifizierung im Backoffice.
• Content Security Policy (CSP): begrenzt, von welchen Domains die Zahlungsseite laden und an welche sie Daten senden darf.
• Überwachung von Änderungen an JS-Dateien und an Datenbankfeldern, die HTML erlauben.
• Die Skripte der Zahlungsseite prüfen, mindestens einmal im Monat: Wissen Sie, was jedes davon tut?