Den kompletten Kaufweg nachvollziehen

Erfassen Sie Shopsoftware, PHP-Laufzeit, Erweiterungen und eingebundene Skripte. Dazu kommen Zahlungsintegration, Produktfeeds, Versandmodule und administrative Zugänge. Besonders wichtig ist, wer Änderungen am Checkout veröffentlichen darf und wie solche Änderungen bemerkt werden. Ein externer Zahlungsanbieter macht die eigene Website nicht automatisch irrelevant.

Ein hypothetischer Shop könnte unverändert aussehen, während ein unbekanntes Skript auf der Zahlungsseite erscheint. In diesem Fall reicht es nicht, die Startseite zu bereinigen. Die Herkunft des Skripts, betroffene Zeiträume und mögliche Auswirkungen auf den Kaufprozess müssen gesondert untersucht werden.

Betrieb und Untersuchung zusammenbringen

Bei Auffälligkeiten werden betroffene Funktionen mit den Zuständigen eingegrenzt. Je nach Befund kann eine Einschränkung des Checkouts sinnvoller sein als eine pauschale Abschaltung aller Informationsseiten. Entscheidungen werden dokumentiert, damit Kundenservice und Fulfillment wissen, welche Bestellungen weiterhin bearbeitet werden können.

Nach Änderungen benötigt der Shop einen kontrollierten Funktionstest. Prüfen Sie Testbestellung, Zahlungsübergabe, Bestätigung, Lagerbewegung und Stornierung. Dabei sollten keine echten Kartendaten in unnötige Testumgebungen gelangen. Der Betreiber und die betreuenden Anbieter legen fest, welche Testverfahren für ihre Integration vorgesehen sind.

Ein prüfbarer Auftrag statt allgemeiner Zusagen

Als Ergebnis sollten Sie eine Liste untersuchter Komponenten, konkrete Änderungen und offene Abhängigkeiten erhalten. Ein wichtiger Punkt ist die Abnahme des Kaufwegs durch Ihr Team. Technische Erreichbarkeit bedeutet noch nicht, dass Gutscheine, Steuern, Versandarten und Zahlungsrückmeldungen richtig funktionieren.

Welche PCI-Anforderungen oder Fragebögen passen, hängt unter anderem von der konkreten Zahlungsintegration ab. Die PCI SSC erläutert hierzu Unterschiede zwischen eingebetteten Zahlungsformularen und Weiterleitungen. Klären Sie die Einordnung mit Zahlungsanbieter beziehungsweise zuständiger akzeptierender Stelle, statt pauschal vollständige Konformität anzunehmen.

Ihre Checkliste für den nächsten Schritt

  • Checkout und externe Skripte inventarisieren.
  • Shop-, Zahlungs- und ERP-Verantwortliche benennen.
  • Kaufweg nach Änderungen kontrolliert abnehmen.

Häufige Fragen

Ist der Shop sicher, wenn die Zahlung extern erfolgt?

Das reduziert bestimmte Aufgaben, ersetzt aber keine Prüfung des Shops, seiner Konten und seiner Einbindungen. Die genaue Zahlungsarchitektur ist massgeblich.

Können Bestellungen während der Untersuchung weiterlaufen?

Das wird nach Befund entschieden. Bei möglicher Gefährdung des Checkouts kann eine zeitweise Einschränkung erforderlich sein.

Quellen & weiterführende Informationen

PCI SSC: Sicherheit eingebetteter Zahlungsseiten ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.