UK E-Commerce-Sicherheitscheckliste 2026
17. August 2026
Checkliste zur E-Commerce-Sicherheit 2026 für Großbritannien: PCI DSS, UK GDPR, PSD2 SCA, Betrugsprävention und praktische Schritte zum Schutz Ihres Online-Shops.
Erfüllen Sie die britischen Rechts- und Compliance-Anforderungen
Jeder Online-Händler im Vereinigten Königreich muss sich im Rahmen des Gesetzes bewegen. Im Zentrum Ihrer Checkliste stehen die britische DSGVO (UK GDPR) und der Data Protection Act 2018, die von der ICO (Information Commissioner’s Office) überwacht werden. Sie müssen sich bei der ICO registrieren (sofern keine Ausnahme greift) und dokumentieren, wie Sie mit personenbezogenen Daten umgehen. Darüber hinaus unterliegen Kartenzahlungen dem PCI DSS, einem globalen Standard, der für alle Unternehmen gilt, die Kartendaten speichern, verarbeiten oder übertragen. Wenn Sie EU- oder UK-Karten akzeptieren, müssen Sie außerdem PSD2 und die starke Kundenauthentifizierung (SCA) einhalten. Werden diese Pflichten nicht erfüllt, drohen Bußgelder, Rufschädigung und ein höheres Betrugsrisiko. Machen Sie Compliance daher zur Priorität – und nicht zum nachträglichen Gedanken.
Sichern Sie Ihre Zahlungsprozesse
Ihr Zahlungsablauf ist ein bevorzugtes Ziel für Cyberkriminelle. Nutzen Sie einen seriösen Zahlungsdienstleister (PSP), der PCI-DSS-Level-1-konform ist. Speichern Sie niemals vollständige Kartennummern, CVV-Codes oder Daten des Magnetstreifens auf Ihren Servern. Verwenden Sie stattdessen Tokenisierung und überlassen Sie die Verarbeitung sensibler Daten Ihrem PSP. Implementieren Sie 3-D Secure v2, um die SCA-Anforderungen zu erfüllen und die Haftung bei Rückbuchungen zu reduzieren. Überprüfen Sie regelmäßig Ihr Zahlungsgateway und testen Sie es auf Schwachstellen. Stellen Sie außerdem sicher, dass Ihr Checkout auf eine HTTPS-Seite weiterleitet und dass die Zahlungsdaten Ihrer Kunden während der Übertragung verschlüsselt sind. Ein sicherer Zahlungsprozess schafft Vertrauen und verringert Ihr Risiko von Datenschutzverletzungen.
Schützen Sie Kundendaten mit technischen Sicherheitsvorkehrungen
Die Absicherung der Infrastruktur Ihrer Website ist unerlässlich. Installieren Sie ein SSL/TLS-Zertifikat und erzwingen Sie HTTPS für Ihre gesamte Domain, einschließlich aller Subdomains. Verwenden Sie eine starke Verschlüsselung für ruhende Daten, beispielsweise AES-256, und schützen Sie Datenbanksicherungen. Implementieren Sie Zugriffskontrollen, sodass nur autorisiertes Personal auf vertrauliche Informationen zugreifen kann, und aktivieren Sie die Multi-Faktor-Authentifizierung (MFA) für alle Administratorkonten. Fügen Sie Sicherheits-Header wie Content-Security-Policy, X-Frame-Options und Strict-Transport-Security hinzu. Halten Sie Ihr Content-Management-System, Ihre Plugins und Ihre Serversoftware gepatcht und aktuell. Führen Sie regelmäßig Schwachstellenscans durch und erwägen Sie Penetrationstests, um Schwachstellen zu identifizieren, bevor Kriminelle sie ausnutzen können.
Verhindern und Aufdecken von Betrug
Betrugsprävention ist ein zentraler Bestandteil der E-Commerce-Sicherheit. Nutzen Sie Adressprüfung (AVS) und Prüfziffernprüfung (CVV), um Kartendaten zu bestätigen. Richten Sie Geschwindigkeitsregeln ein, um schnelle oder ungewöhnlich wiederholte Transaktionen zu blockieren. Implementieren Sie 3-D Secure, um bei berechtigten Transaktionen die Haftung für Betrugsfälle von sich abzuwenden. Ziehen Sie Betrugserkennungstools in Betracht, die Verhaltensanalysen und maschinelles Lernen einsetzen, um verdächtige Aktivitäten zu erkennen. Überwachen Sie Bestellungen auf Warnsignale wie nicht übereinstimmende IP-Adressen, ungewöhnliche Lieferadressen oder Bestellungen mit hohem Wert von Neukunden. Denken Sie daran, dass KI inzwischen ein zweischneidiges Schwert ist – sie hilft auch Betrügern, daher müssen Ihre Gegenmaßnahmen immer einen Schritt voraus sein.
Plan für Vorfälle und Wiederherstellungen
Kein Sicherheitssystem ist perfekt, also bereiten Sie sich auf den schlimmsten Fall vor. Erstellen Sie einen klaren Incident-Response-Plan, der Schritte zur Eindämmung, Untersuchung und Wiederherstellung beschreibt. Gemäß der UK-GDPR müssen Sie die ICO innerhalb von 72 Stunden nach Bekanntwerden einer Datenschutzverletzung informieren und möglicherweise auch betroffene Kunden benachrichtigen. Sichern Sie regelmäßig Ihre Website und Datenbanken, verschlüsseln Sie die Backups und lagern Sie sie extern. Testen Sie Verfahren zur Notfallwiederherstellung, um sicherzustellen, dass Sie den Betrieb schnell wiederherstellen können. Schulen Sie Ihre Mitarbeiter darin, Phishing-E-Mails und Social-Engineering-Versuche zu erkennen. Ein gut geübter Plan kann die finanziellen und reputationsbezogenen Auswirkungen eines Sicherheitsvorfalls erheblich reduzieren.
FAQ
Ja. Der PCI DSS gilt für jedes Unternehmen, das Kartenzahlungen akzeptiert – unabhängig von der Größe. Allerdings können Sie möglicherweise einen Fragebogen zur Selbsteinschätzung nutzen, um die Einhaltung nachzuweisen. Die Nutzung eines konformen Zahlungsgateways, das Kartendaten verarbeitet, kann Ihre Verantwortlichkeiten reduzieren, aber Sie müssen Ihre Website weiterhin absichern und die Sicherheitskontrollen in Ihrem SAQ entsprechend darlegen.