Zahlungssicherheit in PrestaShop: PCI Compliance, 3D Secure und Betrugsprävention

David Miller 05.05.2025 Recht & Compliance 472 Aufrufe 4 Min. Lesezeit

Zahlungssicherheit ist keine Option – sie ist eine gesetzliche Pflicht und eine geschäftliche Notwendigkeit. Ein einziger Datenverstoß kann zu Bußgeldern, Rückbuchungen und einem dauerhaften Vertraünsverlust bei Kunden führen. Die gute Nachricht: Moderne Zahlungslösungen übernehmen den Großteil der Arbeit, aber Shop-Betreiber müssen die Zusammenhänge dennoch verstehen.

PCI DSS: Was es für Sie bedeutet

Der Payment Card Industry Data Security Standard (PCI DSS) gilt für jedes Unternehmen, das Kreditkartendaten verarbeitet, speichert oder überträgt. Es gibt vier Compliance-Stufen je nach Transaktionsvolumen, aber die Anforderungen gelten für alle.

Der einfachste Weg zur Compliance

Der einfachste Weg, Ihren PCI-Umfang zu minimieren, ist es, niemals Kartendaten zu berühren. Verwenden Sie ein Payment Gateway mit gehosteten Zahlungsfeldern oder einer Weiterleitung beim Checkout:

Stripe Elements / Checkout – Kartendaten werden in einem iframe eingegeben, der von Stripe gehostet wird. Ihr Server sieht die Kartennummer nie.
PayPal – leitet zur Zahlung an PayPal weiter. Keine Kartendaten auf Ihrem Server.
Mollie – gehostete Zahlungsseite für alle unterstützten Zahlungsmethoden.
Adyen Drop-in – eingebettete Komponente, die Kartendaten clientseitig verarbeitet.

Mit gehosteten Zahlungsfeldern müssen Sie nur SAQ A ausfüllen (den einfachsten Selbstbewertungsfragebogen) – etwa 20 Ja/Nein-Fragen statt der vollständigen SAQ D mit über 300 Punkten.

3D Secure 2.0

3D Secure (3DS) fügt Online-Kartenzahlungen einen Authentifizierungsschritt hinzu. Version 2.0 (3DS2) ist eine deutliche Verbesserung gegenüber dem Original:

Frictionless Flow – die meisten Transaktionen werden stillschweigend mittels Device Fingerprinting und Risikoanalyse authentifiziert. Kein Popup oder Redirect nötig.
Challenge Flow – Transaktionen mit hohem Risiko zeigen weiterhin einen Authentifizierungsbildschirm (SMS-Code, Biometrie, App-Bestätigung)
Liability Shift – bei Verwendung von 3DS geht die Haftung für Rückbuchungen vom Händler auf den Kartenherausgeber über
SCA Compliance – 3DS2 erfüllt die Anforderungen der EU an Strong Customer Authentication (SCA) gemäss PSD2

Die meisten modernen Zahlungsmodule für PrestaShop unterstützen 3DS2 standardmässig. Stellen Sie sicher, dass Ihr Modul auf dem neüsten Stand ist.

Maßnahmen zur Betrugsprävention

Address Verification (AVS)

AVS prüft die vom Kunden angegebene Rechnungsadresse gegen die beim Kartenherausgeber hinterlegte Adresse. Aktivieren Sie es in den Einstellungen Ihres Payment Gateways – es erkennt einen erheblichen Anteil betrügerischer Transaktionen.

Velocity Checks

Überwachen Sie verdächtige Muster:

Mehrere fehlgeschlagene Zahlungsversuche von derselben IP
Mehrere Bestellungen an verschiedene Adressen mit derselben Karte
Ungewöhnlich grosse Bestellungen von neuen Kunden
Bestellungen, bei denen Rechnungs- und Lieferland unterschiedlich sind

Device Fingerprinting

Dienste wie Signifyd, Riskified oder die integrierten Betrugserkennungstools Ihres Payment Gateways analysieren die Geräteeigenschaften des Kunden, um das Risiko einzuschätzen. Dies erkennt Betrüger, die gestohlene Kartendaten verwenden, effektiver als Adressprüfungen allein.

PrestaShop-spezifische Sicherheit

PrestaShop aktuell halten – Sicherheitspatches werden regelmäßig veröffentlicht
SSL/TLS überall – HTTPS auf allen Seiten erzwingen, nicht nur beim Checkout
Admin-Sicherheit – Admin-Verzeichnis umbenennen, starke Passwörter verwenden, Zwei-Faktor-Authentifizierung aktivieren
Dateiberechtigungen – korrekte Berechtigungen setzen (644 für Dateien, 755 für Verzeichnisse, nirgendwo 777)
Modul-Prüfung – nur Module vom offiziellen Marktplatz oder vertraünswuerdigen Entwicklern installieren. Schädliche Module sind der häufigste Angriffsvektor.

Incident Response

Trotz aller Vorsichtsmassnahmen sollten Sie einen Plan haben, falls etwas schiefgeht: Erwägen Sie reCAPTCHA- oder hCaptcha-Schutz und ein Sicherheitsmodul zur Erkennung verdächtiger Aktivitäten.

Wie erkennen Sie einen Verstoss? (Monitoring, Alarme, Kundenberichte)
Wen kontaktieren Sie? (Zahlungsanbieter, Hosting-Provider, Rechtsberatung)
Wie kommunizieren Sie mit betroffenen Kunden?
Wie sieht Ihr Prozess zur Beweissicherung aus?

Zahlungssicherheit ist ein fortlaufender Prozess, kein einmaliges Setup. Überprüfen Sie Ihre Sicherheitslage vierteljährlich, halten Sie alle Software aktuell und behandeln Sie jedes Stück finanzieller Kundendaten so, als hänge Ihr Geschäft davon ab – denn das tut es. Ein modernes One-Page-Checkout-Modul integriert sich nahtlos mit gehosteten Zahlungsfeldern.

Zahlungssicherheit in PrestaShop: PCI Compliance, 3D Secure und Betrugsprävention