Magecart: was es ist und wie Sie Ihren Onlineshop schützen

Magecart ist der Name für Angriffe, die Schadcode in die Zahlungsseite eines echten Onlineshops einschleusen, um abzuzweigen, was der Kunde eingibt oder bezahlt. Jahrelang war die Kartennummer das Ziel. Im September 2026 zeigte eine Kampagne in Brasilien, wie dieselbe Art von Code den QR-Code von Pix (dem Sofortzahlungssystem der brasilianischen Zentralbank) austauschte. Der Shop bleibt online, mit der richtigen Marke und dem richtigen Preis, und der Kunde bemerkt nichts.

Woher der Name kommt

Der Name setzt sich aus Mage für Magento und cart, englisch für Warenkorb, zusammen. Forscher verwendeten ihn ab Mitte des vergangenen Jahrzehnts für die Gruppen, die Warenkörbe dieser Plattform angriffen. Mit der Zeit wurde der Begriff zur Bezeichnung der Technik selbst, auf jeder E-Commerce-Plattform, im eigenen Shop ebenso wie bei Diensten von Drittanbietern.

Was einen Magecart-Angriff ausmacht, ist nicht das verwendete Werkzeug, sondern der Ort: die Seite, auf der der Kunde angibt, wie er bezahlen will.

So funktioniert ein Magecart-Angriff

1. Einstieg. Der Code kommt über eine nicht behobene Lücke in der Plattform, ein verwundbares Plugin oder Theme, ein geleaktes Passwort für den Admin-Bereich oder ein kompromittiertes Drittanbieter-Skript. Im Juni 2024 begann ein einziger Skriptdienst, den mehr als 100.000 Websites nutzten, nach einem Eigentümerwechsel Schadcode auszuliefern.
2. Tarnung. Das Fragment besteht meist aus wenigen verschleierten Zeilen und steckt in einer legitimen Datei, einem Bild oder einem Dienst, den der Shop bereits für vertrauenswürdig hält. Im April 2026 fanden Forscher den Code in rund 100 Shops, versteckt in einem unsichtbaren Bild. Im Juni speicherte eine andere Familie den Code und die gestohlenen Daten in einem bekannten Zahlungsdienst, damit der Datenverkehr normal aussah.
3. Aktiv nur im Checkout. Auf den anderen Seiten bleibt der Code still. Erreicht der Kunde die Zahlung, liest er die Felder für Kreditkarte oder Debitkarte aus oder tauscht den QR-Code, den Pix Copia e Cola (den Zahlungscode als Text, den der Kunde kopiert und in die Banking-App einfügt) oder die linha digitável (die Nummer) des Boletos (des brasilianischen Bankzahlscheins) aus.
4. Ausgang. Bei der Karte gehen die Daten an einen Server des Angreifers und werden später verwendet. Bei Pix schickt der Kunde das Geld selbst sofort auf das falsche Konto.

Die Fälle, die das Problem geprägt haben

• British Airways, 2018. Ein verändertes Skript auf der Website und in der App kopierte etwa zwei Wochen lang Zahlungsdaten. Die britische Datenschutzbehörde zählte 429.612 Betroffene und verhängte im Oktober 2020 eine Geldbuße von 20 Millionen Pfund.
• Europol, 2023. Eine von Europol koordinierte Aktion benachrichtigte Hunderte Onlineshops in mehreren Ländern, auf deren Zahlungsseite Code zum Diebstahl von Kartendaten aktiv war, die meisten ohne es zu wissen.
• 2026. Die Untersuchungen des Jahres zeigen, wie der Code an Orte wandert, die gängige Schutzmaßnahmen nicht im Blick haben: in Bilder und legitime Zahlungsdienste, wo der Shop selten nachsieht.
• Brasilien, September 2026. Der unabhängige Forscher, der unter dem Namen eremit4 bekannt ist, entdeckte 90 kleine und mittlere Shops mit Code, der im Checkout QR-Code und Pix Copia e Cola tauschte, und Kaspersky bestätigte den Fund. Wählte der Kunde Karte, kopierte derselbe Code die Daten. Der Forscher nannte den Fall „das neue brasilianische Magecart“. Ausführlich behandeln wir diesen Fall in Magecart bei Pix.

Warum der Shop es spät bemerkt

Bei der Karte wird der Kauf genehmigt und das Geld geht ein. Der Schaden zeigt sich Wochen später auf der Abrechnung des Kunden, und erst wenn die kartenausgebende Bank mehrere Fälle abgleicht, kommt sie zu dem Schluss, dass alle im selben Shop gekauft haben.

Bei Pix kommt der Verkauf einfach nicht an. Der Admin-Bereich zeigt eine offene oder abgebrochene Bestellung, und die Beschwerde kommt Tage später, wenn die Ware nicht verschickt wurde. Händler, die 2026 betroffen waren, bemerkten zuerst mehr Kaufabbrüche, bevor sie verstanden, was geschah.

In allen Fällen kann der Server sauber wirken. Kommt der Code von außen oder wird er im Browser zusammengesetzt, ändern sich die Dateien des Shops nicht. Was sich ändert, ist das, was der Kunde sieht.

Was PCI DSS verlangt

Seit dem 31. März 2025 sind die Anforderungen 6.4.3 und 11.6.1 des PCI DSS für alle verpflichtend, die online Kartenzahlungen annehmen. 6.4.3 verlangt ein Inventar der Skripte auf der Zahlungsseite, mit Begründung und Integritätssicherung für jedes einzelne. 11.6.1 verlangt einen Mechanismus, der unautorisierte Änderungen an der Seite und an den Sicherheits-Headern erkennt, mit mindestens wöchentlicher Prüfung.

Beide wurden wegen Magecart bei Karten geschrieben. Pix und Boleto erwähnen sie nicht, obwohl der Code, der einen QR-Code tauscht, auf derselben Seite und über denselben Weg läuft.

So schützen Sie Ihren Onlineshop vor Magecart

1. Schließen Sie die Einfallstore. Aktualisieren Sie Plattform, Theme und Plugins und entfernen Sie, was Sie nicht nutzen. Die meisten Kampagnen nutzen bekannte, längst behobene Lücken.
2. Schützen Sie den Admin-Bereich. Zwei-Faktor-Authentifizierung für alle Administratoren, Überprüfung der Konten mit Zugriff und neue Passwörter für Integrationen.
3. Reduzieren Sie, was im Checkout läuft. Jedes Skript auf der Zahlungsseite braucht einen Verantwortlichen und einen Grund. Chat, Heatmap und Werbepixel gehören dort nur selten hin.
4. Setzen Sie auf Kartenfelder, die der Anbieter hostet. Sie verringern das Risiko, dass Daten direkt kopiert werden, aber die Seite drumherum kann trotzdem ein gefälschtes Formular anzeigen. Siehe was gehostete Kartenfelder lösen und was nicht.
5. Begrenzen Sie, wohin die Seite Daten senden darf. Eine gut konfigurierte Content Security Policy erschwert das Senden an unbekannte Server. Sie hilft nicht, wenn der Angreifer einen Dienst nutzt, den der Shop bereits freigegeben hat.
6. Überwachen Sie die Seite so, wie der Kunde sie sieht. Die Datei auf dem Server kann stimmen und der Bildschirm trotzdem falsch sein. Siehe Änderungen im Checkout überwachen.
7. Prüfen Sie den angezeigten Zahlungscode. Bei Pix, Boleto und Stablecoin-Wallet vergleichen Sie, was der Bildschirm zeigt, mit dem, was der Shop ausgestellt hat, bevor der Kunde bezahlt.
8. Haben Sie einen Plan für den Ernstfall. Wer schaltet die betroffene Zahlungsart ab, wer spricht mit dem Anbieter, wie werden Kunden informiert und wie werden Beweise gesichert.

Anzeichen, dass der Shop betroffen sein könnte

• Mehr offene Pix-Zahlungen, ohne entsprechenden Rückgang der Besuche im Checkout.
• Kunden, die sagen, sie hätten bezahlt und die Bestellung sei nicht freigegeben worden, mit Beleg auf den Namen einer anderen Firma.
• Hinweise des Zahlungsanbieters oder des Acquirers auf Karten, die nach Käufen im Shop für Betrug genutzt wurden.
• Geänderte Dateien, obwohl niemand etwas veröffentlicht hat, oder ein Administrator, den niemand kennt.
• Die Zahlungsseite sendet Daten an Domains, die das Team nicht kennt.

Treten zwei dieser Anzeichen gemeinsam auf, behandeln Sie es als Sicherheitsvorfall, bis das Gegenteil bewiesen ist.

Wo Proteside ins Spiel kommt

Proteside ist eine Cybersicherheitsschicht, die auf dem Bildschirm des Zahlenden prüft, ob die Zahlungsdaten die vom Verkäufer ausgestellten sind, und den Tausch vor der Bestätigung blockiert. Es erstellt das Skriptinventar, das PCI DSS verlangt, und geht weiter: Bei jeder Bestellung vergleicht es QR-Code, Copia e Cola, linha digitável und Kartenformular mit dem, was der Shop erzeugt hat, und protokolliert jeden Versuch als Nachweis. Sehen Sie, wie es für die Kreditkarte und für die PCI-DSS-Konformität funktioniert.