WooCommerce: Kartentests und Bot-Bestellungen stoppen
Wenn über Nacht Hunderte kleine Bestellungen mit abgelehnten Zahlungen eingehen, testet sehr wahrscheinlich jemand gestohlene Kreditkarten in Ihrem Shop. WooCommerce und OWASP nennen dafür mehrere Bausteine, die sich ergänzen: ein Limit für Anfragen an die Store API, keine Gastbestellungen oder zumindest eine Prüfung an der Kasse, und 3D Secure beim Zahlungsanbieter. Bei Captcha-Plugins kommt es darauf an, ob Ihr Shop die klassische oder die blockbasierte Kasse nutzt.
Was beim Kartentest passiert
WooCommerce beschreibt Kartentests als Betrug, bei dem jemand einen großen Bestand gestohlener Kartendaten besitzt und herausfinden will, welche Karten noch gültig sind. Andere Namen sind „Carding“ oder „Card Checking“; OWASP führt das Muster als OAT-001. Die Täter brauchen einen Shop, der Zahlungen ohne viele Hürden autorisiert, und schicken die Versuche automatisiert in großer Zahl.
WooCommerce stellt in seiner Dokumentation klar, dass Händler für ihre eigenen Betrugsmaßnahmen verantwortlich sind. Auch WooPayments bringt nach Angabe von WooCommerce eigene Schutzmaßnahmen mit, nimmt dem Shop diese Verantwortung aber nicht ab.
Neben Kartentests kommen Bots für Kundenkonten (OAT-019 „Account Creation“) und für die Anmeldung mit gestohlenen Passwörtern. Dazu mehr im Beitrag zu Credential Stuffing.
Maßnahmen nach Wirkung
| Maßnahme | Wirkt gegen | Aufwand | Hinweis |
|---|---|---|---|
| Rate Limit der Store API einschalten | automatisierte Bestellversuche über die Block-Kasse | gering | laut WooCommerce eingebaut, aber ab Werk aus; einschalten per Filter woocommerce_store_api_rate_limit_options |
| Gastbestellung abschalten | Einmal-Bestellungen ohne Konto | gering | kostet Umsatz bei echten Gästen; WooCommerce nennt es als Option |
| 3D Secure beim Zahlungsanbieter | Autorisierung gestohlener Karten | gering bis mittel | OWASP nennt es ausdrücklich gegen Carding |
| Captcha an der Kasse | automatisierte Bestellungen über das Formular | gering | nur wirksam, wenn es die tatsächlich genutzte Kasse prüft |
| Limit pro Sitzung, Nutzer, IP und Gerät | wiederholte Versuche | mittel | OWASP empfiehlt mehrere Schlüssel, nicht nur die IP |
| Bot-Schutz oder WAF vor dem Shop | Angriffe auf Kasse, Login und API gleichzeitig | mittel | entlastet auch den Server |
WooCommerce schreibt selbst, dass kein System Betrug vollständig verhindert. Ziel ist, den Angriff so teuer zu machen, dass die Täter weiterziehen.
Klassische Kasse oder Block-Kasse
Seit WooCommerce 8.3 bekommen neue Shops standardmäßig die blockbasierte Kasse. Sie spricht mit dem Server über die Store API, nicht über das klassische Formular. Viele Captcha-Plugins hängen sich aber an Hooks der klassischen Kasse, die es in der Block-Kasse nicht gibt; WooCommerce führt etwa den Hook vor dem Bestell-Button für die Block-Kasse als nicht unterstützt.
Das WooCommerce-Team hat Ende 2024 Captcha-Plugins geprüft und schreibt, dass sie die Block-Kasse beziehungsweise die Store API in einigen Fällen nicht geschützt haben und ungültige Prüfungen durchgingen. Rate Limit und Captcha seien zwei wirksame Mittel gegen Kartentests, das Rate Limit der Store API sei aber standardmäßig deaktiviert.
Prüfen Sie deshalb zuerst, welche Kasse Ihr Shop nutzt. Öffnen Sie die Kassenseite im Editor: Enthält sie den Shortcode [woocommerce_checkout], ist es die klassische Kasse, sonst in aller Regel der Kassen-Block. Testen Sie danach mit einem Werkzeug wie den Entwicklertools des Browsers, ob eine Bestellung ohne gültiges Captcha-Token abgelehnt wird. Dass ein Widget sichtbar ist, heißt noch nicht, dass der Server prüft.
Reihenfolge für einen akuten Angriff
- Rate Limit der Store API einschalten und Gastbestellungen vorübergehend abschalten.
- Beim Zahlungsanbieter 3D Secure erzwingen und dessen Betrugsregeln schärfen; WooPayments bringt laut WooCommerce eigene Maßnahmen mit.
- Verdächtige Bestellungen stornieren und die betroffenen Zahlungen beim Anbieter melden.
- Danach eine dauerhafte Prüfung an der Kasse einbauen, passend zur Kasse Ihres Shops, und den Login schützen.
Myra EU CAPTCHA im Shop
Das WordPress-Plugin „EU-Captcha“ von Myra hat eine Option „WooCommerce-Kasse“, die sich in die klassische Kasse einhängt und die Bestellung serverseitig prüft. Für die Block-Kasse hat das Plugin keine eigene Integration; die genutzten Hooks führt WooCommerce dort als nicht unterstützt. Testen Sie vor dem Einsatz, ob Bestellungen ohne gültiges Token abgelehnt werden. Login, Registrierung und „Passwort vergessen“ unter „Mein Konto“ deckt das Plugin ebenfalls nicht ab. Wer die Block-Kasse nutzt, setzt besser auf Rate Limit, 3D Secure und Schutz vor dem Shop. Myra bietet außerdem Bot Management an.
Wie Sie Formulare in WordPress allgemein gegen Spam absichern, steht im Beitrag Spam im Kontaktformular verhindern.
Häufige Fragen
Woran erkenne ich einen Kartentest in WooCommerce?
Ein häufiges Bild sind viele Bestellungen oder Zahlungsversuche in kurzer Zeit mit wechselnden Karten und vielen abgelehnten Zahlungen. WooCommerce beschreibt Kartentests als Betrug, bei dem jemand mit einem großen Bestand gestohlener Kartendaten prüft, welche Karten noch gültig sind.
Schützt ein Captcha-Plugin auch die Block-Kasse?
Nicht automatisch. WooCommerce schreibt, dass bei einer Prüfung von Captcha-Plugins die Store API der Block-Kasse in einigen Fällen nicht geschützt war und ungültige Captcha-Prüfungen umgangen wurden. Fragen Sie beim Anbieter ausdrücklich nach der Block-Kasse und testen Sie sie selbst.
Wer ist für den Schutz vor Kartentests verantwortlich?
WooCommerce stellt klar, dass Händler für ihre eigenen Maßnahmen gegen Betrug verantwortlich sind. Was bei Rückbuchungen und Gebühren gilt, regelt Ihr Vertrag mit dem Zahlungsanbieter.
Unterstützt Myra EU CAPTCHA die WooCommerce-Kasse?
Das WordPress-Plugin „EU-Captcha“ hat eine Option „WooCommerce-Kasse“ für die klassische Kasse. Für die blockbasierte Kasse gibt es keine eigene Integration; testen Sie Ihre Kasse vor dem Einsatz. Anmeldung, Registrierung und „Passwort vergessen“ unter „Mein Konto“ deckt das Plugin nicht ab.
Quellen
- WooCommerce, How do I prevent and respond to card testing attacks?, abgerufen am 11.10.2026
- WooCommerce, WooPayments: Card testing, abgerufen am 11.10.2026
- WooCommerce Developer Blog, Card testing attacks and the Store API (18.12.2024), abgerufen am 11.10.2026
- WooCommerce Developer Blog, FAQ: Extending Cart and Checkout Blocks (06.11.2023), abgerufen am 11.10.2026
- WooCommerce, Hook alternatives for Cart and Checkout blocks, abgerufen am 11.10.2026
- OWASP Automated Threats, OAT-001 Carding, abgerufen am 11.10.2026
- OWASP Automated Threats, OAT-019 Account Creation, abgerufen am 11.10.2026
- OWASP Automated Threat Handbook v1.30, abgerufen am 11.10.2026
- OWASP Bot Management and Anti-Automation Cheat Sheet, abgerufen am 11.10.2026
- EU CAPTCHA Dokumentation, WordPress-Plugin, abgerufen am 11.10.2026