Sichern Sie Ihren Checkout vor der Hochsaison

Magecart-Skimming beginnt mit XSS

Die meisten Magecart-Angriffe zum Abgreifen von Kartendaten beginnen mit einer Stored-XSS-Schwachstelle, die ein Skript in die Checkout-Seite einschleust. Penetrify findet XSS, einschließlich Stored XSS in Produktbewertungen, Nutzerprofilen und CMS-Feldern, bevor Angreifer es zur Waffe machen.

Fehler in der Checkout-Logik kosten direkt Umsatz

Preismanipulation, Gutscheinmissbrauch und das Überschreiben der Warenkorbsumme sind Schwachstellen der Geschäftslogik, auf die DAST-Scanner nicht testen. Die KI von Penetrify versteht Anwendungsabläufe: sie prüft, ob Ihre Preislogik umgangen werden kann, nicht nur, ob Ihr Server ein bekanntes CVE hat.

PCI DSS interessiert nicht, dass es ein Plugin war

Wenn ein Drittanbieter-Plugin die Schwachstelle eingeschleppt hat, die zur Offenlegung von Kartendaten führte, stehen Sie trotzdem in der PCI-DSS-Untersuchung. Verlangt werden regelmäßige Penetrationstests, nicht nur vierteljährliche Netzwerkscans, und die Verantwortung liegt unabhängig von der Herkunft des Codes bei Ihnen.

Anforderung 11.4.1: dokumentierte Pentest-Methodik; Tests mindestens alle 12 Monate und nach wesentlichen Änderungen an der Karteninhaberdatenumgebung

Anforderungen 6.4.3 & 11.6.1: Inventarisierung und Autorisierung von Skripten auf Zahlungsseiten sowie Manipulationserkennung, verpflichtend seit 31. März 2025

Artikel 32: Regelmäßige Überprüfung technischer Maßnahmen zum Schutz personenbezogener Daten

CC6.1: Logische Zugriffskontrollen mit Nachweisen über Penetrationstests

PCI DSS 4.0 nimmt Magecart ins Visier: Anforderungen 6.4.3 und 11.6.1

Seit dem 31. März 2025 sind zwei zuvor aufgeschobene Anforderungen aus PCI DSS 4.0 verpflichtend, und beide existieren wegen E-Skimming. Anforderung 6.4.3 verlangt, dass jedes auf Ihren Zahlungsseiten geladene Skript inventarisiert, autorisiert und auf Integrität geprüft wird, einschließlich Drittanbieter-Tags, die Sie nicht geschrieben haben. Anforderung 11.6.1 verlangt einen Mechanismus zur Änderungs- und Manipulationserkennung, der bei unautorisierten Änderungen an Skripten der Zahlungsseite und an sicherheitsrelevanten HTTP-Headern alarmiert, so wie der Browser des Verbrauchers sie empfängt.

Das sind Anti-Magecart-Controls: sie unterstellen, dass der Angreifer ein Skript in Ihren Checkout bekommt, und sorgen dafür, dass Sie es merken. Penetrationstests setzen einen Schritt davor an: beim Stored XSS im Bewertungsfeld, beim verwundbaren Adminpanel oder beim injizierbaren CMS-Block, der dem Angreifer die Skriptausführung überhaupt erst ermöglicht. Ein Checkout, in den nichts eingeschleust werden kann, ist die Kontrolle, die die Alarme aus 6.4.3 und 11.6.1 still hält.

Wenn Sie Zahlungen über ein iframe oder eine gehostete Zahlungsseite annehmen, lesen Sie die Anforderungen trotzdem genau: SAQ-A-Händler sind von der Skriptverwaltungslogik auf der Seite, die das iframe einbettet, nicht ausgenommen, und Ihr Acquirer wird danach fragen.

Checkout-Logik: die Schwachstellen ohne CVE

Die wertvollsten E-Commerce-Schwachstellen sind Geschäftslogik, nicht fehlende Patches: Warenkorbsummen, die clientseitig berechnet und serverseitig geglaubt werden, Gutscheincodes, die sich stapeln lassen, weil jeder Codepfad unabhängig validiert, Race Conditions, mit denen sich ein Gutscheinguthaben zweimal ausgeben lässt, und Bestell-APIs, die über fortlaufende IDs Adressen anderer Kunden preisgeben. Nichts davon steht in einer CVE-Datenbank, scannerbasierte Tools können es also strukturell nicht finden.

Der KI-Agent von Penetrify testet diese Abläufe so, wie ein Betrüger sie bearbeitet: er manipuliert Preise und Mengen in jedem Schritt zwischen Warenkorb und Zahlungserfassung, wiederholt Requests und schickt sie parallel, sondiert Gutschein- und Loyalty-Logik und läuft Bestell-IDs über Konten hinweg ab. Vor jeder Hochsaison ist das der Test, den Ihr Checkout wirklich braucht.

Penetrify prüft systematisch jedes nutzergesteuerte Eingabefeld (Produktbewertungen, Profilfelder, CMS-Inhalte, Adressformulare) auf Stored und Reflected XSS. XSS zu finden, bevor es Ihren Checkout erreicht, ist der Unterschied zwischen einem behobenen Bug und einer Breach-Meldung.

Preismanipulation, Umgehungen der Gutscheinlogik und das Überschreiben der Warenkorbsumme sind Schwachstellen der Geschäftslogik, die für header-prüfende Scanner unsichtbar sind. Die KI von Penetrify prüft, ob Ihre Checkout-Abläufe Preisregeln über alle Codepfade hinweg konsistent durchsetzen.

Penetrify erzeugt strukturierte Pentest-Berichte mit Schweregradbewertung und Hinweisen zur Behebung. Sie gehen mit dokumentierten Nachweisen laufender Sicherheitstests in die QSA-Bewertung, statt kurzfristig ein Projekt organisieren zu müssen.

Die Hochsaison ist der schlechteste Zeitpunkt, um eine Schwachstelle zu entdecken. Führen Sie sechs Wochen vor Ihrem Traffic-Peak einen vollständigen Penetrationstest im Staging durch und danach nach jedem wichtigen Release. Mit $1,700/month für 20 Scans passen Sicherheitstests in den E-Commerce-Kalender.