Kraftsy ist ein Onlineshop aus Weyhe für personalisierte Mülltonnenaufkleber, Magnete und 3D-Druck. Anfang Oktober fiel dort eine Bestellung auf, die nicht ins Bild passte. Alles war auf Englisch, die Berliner Adresse wirkte merkwürdig, und bezahlt war die Bestellung auch nicht. Ein verwirrter Kunde? Wir haben nachgesehen.
Was die Daten zeigen
Bestellt war ein einzelner Aufkleber für 8 €. Die Bestellung hatte den Status „Fehlgeschlagen“, weil der Zahlungsanbieter die Kartenzahlung abgelehnt hatte. Es ist kein Geld geflossen und nichts verschickt worden.
Aufschlussreich war der Weg dorthin. Beim Besuch am Nachmittag vergingen vom ersten Seitenaufruf bis zur fertigen Bestellung 11 Sekunden. In dieser Zeit tippt kein Mensch Name, Adresse und Kartendaten ein. Schon in der Nacht davor hatte dieselbe IP-Adresse die Kasse unter „/checkout“ gesucht, der englischen Standard-Seitenadresse von WooCommerce, der Shop-Software hinter Kraftsy. Auch „/cart/“ probierte das Programm aus. Beides gibt es bei Kraftsy nicht, der Shop nutzt deutsche Seitenadressen wie „/kasse/“ und „/warenkorb/“.
Aufgehalten hat das den Bot nicht. Er schickte die Bestellung direkt an die technische Schnittstelle, über die auch die normale Kasse arbeitet. Das spricht für ein vorgefertigtes Programm, das auf WooCommerce-Shops zugeschnitten ist. Deutsche Seitenadressen allein schützen einen Shop also nicht.
Die Angaben passten nicht zusammen
Die IP-Adresse gehört zu einem Internetanbieter in Brasilien, die Rechnungsadresse lag in Berlin. Die Anschrift war auf Englisch geschrieben, mit „Road“ im Straßennamen und „Apt“ für Apartment, und die Telefonnummer begann mit einer Vorwahl, die es in Deutschland nicht gibt. Dazu ein kleiner Betrag für einen einzigen Artikel.
Alles spricht für einen sogenannten Kartentest: Wer gestohlene Kartendaten besitzt, probiert mit kleinen Bestellungen aus, ob eine Karte noch funktioniert. Dafür eignet sich jeder Shop mit Kartenzahlung, auch ein kleiner.
Was wir am Betrugsschutz geändert haben
Diesmal hat der Zahlungsanbieter abgelehnt. Darauf, dass das jedes Mal klappt, wollten wir uns nicht verlassen. Kartenzahlungen laufen bei Kraftsy über WooPayments, den Zahlungsdienst von WooCommerce. Dort gibt es einen eingebauten Betrugsschutz in mehreren Stufen, und der stand auf der niedrigsten. Wir haben ihn eine Stufe höher gestellt, auf „Standard“. Seitdem wird eine Kartenzahlung blockiert, wenn
- das Land der IP-Adresse nicht zum Land der Rechnungsadresse passt,
- der Betrag über 1.000 € liegt oder
- mehr als zehn Artikel im Warenkorb liegen.
Auf diese Bestellung trifft die erste Regel genau zu: IP-Adresse aus Brasilien, Rechnungsadresse in Berlin. PayPal und Vorkasse laufen unabhängig davon weiter.
Warum nicht die Stufe „Hoch“
Die nächste Stufe ist strenger, wir haben sie aber bewusst nicht gewählt. Sie blockiert unter anderem Bestellungen mit nur einem Artikel und solche, bei denen Liefer- und Rechnungsadresse verschieden sind. Bei Kraftsy wäre das ein Problem: Ein einzelner Aufkleber ist eine ganz normale Bestellung, und wer ihn verschenkt, lässt ihn an eine andere Adresse liefern. Ein Schutz, der viele echte Käufer aussperrt, kostet mehr, als er bringt.
Auch die Stufe „Standard“ ist ein Kompromiss. Wer im Auslandsurlaub mit Karte bestellt, kann ebenfalls blockiert werden, weil die IP-Adresse dann aus einem anderen Land kommt als die Rechnungsadresse. Für diese Fälle bleiben PayPal und Vorkasse.
Woran Sie Fake-Bestellungen erkennen
- Das Tempo. Wenige Sekunden vom ersten Seitenaufruf bis zur Bestellung schafft kaum ein Mensch, der Adresse und Kartendaten selbst eintippt. Mit Apple Pay oder gespeicherten Daten geht es schneller, deshalb zählt das Tempo nur zusammen mit den anderen Anzeichen. Sichtbar ist es in den Protokollen des Servers.
- Angaben, die nicht zusammenpassen. Ausländische IP-Adresse und deutsche Anschrift, Straßennamen auf Englisch, Telefonnummern mit einer Vorwahl, die es nicht gibt. Jedes Anzeichen für sich kann harmlos sein, mehrere zusammen sind es selten.
- Kleiner Betrag, ein Artikel. Für sich genommen ganz normal, zusammen mit den anderen Anzeichen aber typisch: So prüft man am unauffälligsten, ob eine Karte funktioniert.
- Der Zahlungsstatus. Steht eine Bestellung auf „Fehlgeschlagen“, ist kein Geld angekommen. Verschicken Sie dann nichts, egal wie echt die Bestellung aussieht.
Ein einzelner Versuch ist noch kein Grund zur Sorge, und bei Kraftsy ist seitdem keine weitere fehlgeschlagene Bestellung dazugekommen. Kommen dagegen mehrere an einem Tag und von verschiedenen IP-Adressen, spricht das für einen Angriff, und dann lohnen sich weitere Sperren.
So machen wir es
Ein Shop ist mit dem Start nicht fertig. Ungewöhnliche Bestellungen wollen eingeordnet werden, und der Schutz sollte Betrüger bremsen und dabei möglichst wenige echte Kunden stören. Bots klopfen übrigens nicht nur an der Kasse an: Wie wir das Kontaktformular desselben Shops ohne Captcha abgesichert haben, steht im Beitrag Spam im Kontaktformular stoppen. Und wie wir dieselbe Kasse von 27 auf 4 Sekunden beschleunigt haben, beschreibt der Beitrag WooCommerce-Kasse langsam.
Wenn Sie einen Shop planen, finden Sie unser Angebot unter Onlineshop erstellen lassen. Für laufende WooCommerce-Shops und andere WordPress-Seiten gibt es die WordPress-Wartung mit Updates und Datensicherungen. Sie haben selbst eine seltsame Bestellung im Shop? Schicken Sie uns den Link zu Ihrem Shop und beschreiben Sie kurz, was Ihnen aufgefallen ist. Namen, Adressen oder Kartendaten aus der Bestellung brauchen wir dafür nicht. Wir sehen uns das kostenlos an und sagen Ihnen, welcher Schutz sich bei Ihnen lohnt.