Konten & Rollen
Registrierung, Login, Passwort-Reset, Gastbestellung und administrative Rollen auf Übernahmen und unzulässige Zugriffe prüfen.
Testobjekt E-Commerce
Webshop-Sicherheit gezielt testen
Ein Shop besteht nicht nur aus sichtbaren Produktseiten. Kundenkonten, Geschäftslogik, Zahlungsübergaben, APIs und Backoffice müssen als zusammenhängende Angriffsfläche betrachtet werden.
Redaktionell geprüft: 25. August 2026 7 Min. Lesezeit
Angriffsfläche
Vier Bereiche, die ein Shop-Test abdecken kann
Der konkrete Umfang hängt von Architektur, Risiko und Freigaben ab. Ein Scanner allein untersucht die Geschäftslogik nicht zuverlässig.
Checkout & Zahlungen
Preis-, Rabatt-, Warenkorb- und Bestelllogik sowie Übergaben an Zahlungsdienstleister gezielt testen.
APIs & Integrationen
Shop-API, ERP, Warenwirtschaft, CRM, Versand und Webhooks sind Teil der Angriffsfläche, sofern sie freigegeben sind.
Plattform & Betrieb
Shop-System, Plugins, Cloud-Konfiguration, Datei-Uploads und administrative Oberflächen in den Scope einbeziehen.
Vor dem Angebot
Diese Informationen braucht der Anbieter
- Shop-System, Hosting-Modell und relevante Plugins
- Domains, APIs und angebundene Systeme
- Testkonten für Kundenservice, Händler und Administration
- Zahlungsarten und zuständige Zahlungsdienstleister
- Erlaubte Bestellungen, Stornos und Rückerstattungen
- Produktiv- oder Testumgebung sowie Sperrzeiten
Compliance richtig einordnen
Der Pentest prüft Technik – nicht automatisch die gesamte Konformität
Ein technischer Test kann Nachweise für das Sicherheitsmanagement liefern. Er bestätigt jedoch nicht pauschal DSGVO- oder PCI-DSS-Konformität. PCI DSS gilt für Organisationen, die Karteninhaberdaten speichern, verarbeiten oder übertragen; die konkrete Prüfform hängt vom Anwendungsfall ab.
PCI Security Standards Council: PCI DSSWebshop-Test strukturiert vorbereiten
Klären Sie Scope und Rahmenbedingungen, bevor Sie Angebote vergleichen.