Der bekannte Rat lautet: Den Admin-Zugang mit Mehr-Faktor-Anmeldung absichern. Das ist richtig -- schützt aber nur die Betreiberseite. Der eigentliche Massenangriff läuft an anderer Stelle: an den Kundenlogins des Shops. Bei einem mittelgroßen Händler standen 2026 pro Monat rund 38 Millionen (Security Boulevard, Account Takeover Statistics 2026) Angriffs-Anmeldungen nur etwa 11 Millionen (Security Boulevard 2026) echten Logins gegenüber -- 69 Prozent (Security Boulevard 2026) des gesamten Login-Verkehrs stammten von Bots. Credential-Stuffing macht aus jedem geleakten Passwort einen Nachschlüssel-Versuch, und die Rechnung geht für Angreifer erfahrungsgemäß oft auf, weil viele Menschen dieselben Zugangsdaten mehrfach verwenden. Dieser Leitfaden zeigt, wie sich Kundenkonten mit Login-Monitoring und Bot-Abwehr schützen lassen, ohne echte Käufer auszusperren -- als wiederkehrender Baustein der laufenden Shop-Wartung.
Das Wichtigste in Kürze
- Mehr-Faktor-Anmeldung im Backend schützt die Betreiberseite, nicht die Kundenlogins. Bei einem mittelgroßen Händler standen 2026 pro Monat rund 38 Millionen (Security Boulevard 2026) Angriffs-Anmeldungen etwa 11 Millionen (Security Boulevard 2026) echten gegenüber.
- Credential-Stuffing lebt von der Passwort-Wiederverwendung: Rund 65 Prozent (Google/Harris Poll) der Nutzer nutzen dasselbe Passwort mehrfach, und in den Leck-Sammlungen liegen über 14 Milliarden (Have I Been Pwned) kompromittierte Zugangsdaten bereit.
- Eine Angriffswelle hinterlässt Spuren: Login-Spitzen zu ungewöhnlichen Zeiten, sprunghafte Fehlerquoten und geografische Sprünge. Wer den Login-Verkehr strukturiert beobachtet, erkennt sie, bevor der erste echte Schaden entsteht.
- Pauschale Sperren, Rätsel vor jeder Anmeldung und vorschnelle Konto-Sperrungen treffen vor allem zahlende Kundschaft. Wirksamer Schutz ist abgestuft: Unauffällige Anmeldungen laufen ohne Hürde durch, nur erhöhtes Risiko führt zu zusätzlichen Prüfungen.
- Kundenkonten enthalten personenbezogene Daten; die DSGVO verlangt Maßnahmen nach dem Stand der Technik. Dokumentierte Schutz- und Wartungsmaßnahmen erfüllen die Rechenschaftspflicht und dienen zugleich als Nachweis gegenüber Versicherern.
Was Account-Takeover im Shop wirklich bedeutet
Account-Takeover, kurz ATO, beschreibt die Übernahme eines bestehenden Kundenkontos durch einen Angreifer -- typischerweise mit gestohlenen Zugangsdaten. Anders als beim reinen Datenklau bricht hier niemand die Datenbank auf; der Angreifer meldet sich schlicht mit gültigen Daten an, so wie es der echte Kunde tun würde. Genau das macht ATO so schwer zu erkennen: Auf den ersten Blick ist es ein normaler Login. Erst das Muster dahinter -- Millionen Versuche aus tausenden Quellen -- verrät den Angriff.
Für den Betreiber ist ein übernommenes Konto teuer. Darin stecken gespeicherte Zahlungsmittel, Adressen, Bestellhistorie, Gutscheine und Treuepunkte. Ein Angreifer kann auf fremde Rechnung bestellen, Guthaben abziehen, die Lieferadresse ändern oder das Konto für weiteren Betrug missbrauchen. Es folgen Rückbuchungen, Support-Aufwand, Streit über die Haftung und ein Vertrauensverlust bei der betroffenen Kundschaft. Die weltweiten Schäden durch Kontoübernahme summierten sich zuletzt auf über 15 Milliarden US-Dollar (Security Boulevard 2026) und trafen rund 6 Millionen (Security Boulevard 2026) Verbraucher allein in den USA -- ein Risiko, das mit dem Umsatz wächst. Hinzu kommt der indirekte Schaden: Jeder öffentlich gewordene Vorfall kostet Vertrauen, und die Aufarbeitung bindet Support und Technik über Wochen.
Admin-MFA schützt die Kundenlogins nicht
Credential-Stuffing: die Mechanik hinter der Übernahme
Credential-Stuffing nutzt einen einfachen Umstand aus: In den Sammlungen aus früheren Datenlecks liegen inzwischen über 14 Milliarden (Have I Been Pwned) kompromittierte Zugangsdaten bereit. Angreifer laden diese Listen aus Benutzername-Passwort-Paaren in automatisierte Werkzeuge und probieren sie in großer Zahl an den Login-Formularen aus. Die Trefferquote pro Versuch ist gering -- in der Regel deutlich unter zwei Prozent (OWASP) -- aber bei Millionen Versuchen bleibt am Ende eine relevante Menge übernommener Konten übrig.
Rentabel wird das Ganze durch die Passwort-Wiederverwendung: Rund 65 Prozent (Google/Harris Poll) der Nutzer verwenden dasselbe Passwort für mehrere oder alle Konten. Ein Leck bei einem beliebigen Dienst wird so zum Schlüssel für den Shop-Login. Kein Wunder, dass gestohlene Zugangsdaten laut der jährlichen Auswertung von Verizon über die vergangenen zehn Jahre an rund 31 Prozent (Verizon DBIR 2024) aller untersuchten Sicherheitsvorfälle beteiligt waren. Die Angreifer arbeiten dabei verteilt: Sie wechseln IP-Adressen, nutzen Wohn-Proxys und imitieren echte Browser, sodass fast die Hälfte des weltweiten Web-Verkehrs auf automatisierte Zugriffe entfällt (Imperva Bad Bot Report). Ein nennenswerter Teil davon entfällt auf ausdrücklich schädliche Bots, die gezielt Login- und Bezahlseiten ansteuern (Imperva Bad Bot Report).
Eine Credential-Stuffing-Welle hinterlässt trotzdem Spuren. Wer den Login-Verkehr strukturiert beobachtet, erkennt sie an wiederkehrenden Merkmalen -- lange bevor der erste echte Schaden entsteht.
Login-Spitzen
Plötzlich vielfach höhere Zahl an Anmeldeversuchen, oft außerhalb der üblichen Tageszeiten und Kaufmuster.
Hohe Fehlerquote
Auffällig viele fehlgeschlagene Logins, weil die meisten geprüften Passwörter nicht zum Konto passen.
Verteilte Quellen
Tausende IP-Adressen mit je nur wenigen Versuchen, um klassische Sperren pro Adresse zu umgehen.
Geo-Sprünge
Anmeldungen zu einem Konto aus vielen Ländern innerhalb von Minuten -- physikalisch unmöglich.
Auffällige Signaturen
Veraltete oder untypische Browser-Kennungen und Automatisierungs-Muster im Anfrageverhalten.
Folgeaktionen
Nach einem Treffer schnelle Adressänderung, neues Zahlungsmittel oder Bestellung -- der eigentliche Missbrauch.
Wie groß das Problem 2026 ist
Die Zahlen aus dem eingangs genannten Beispiel sind kein Einzelfall, sondern die neue Normallast: 38 Millionen (Security Boulevard 2026) Angriffs-Logins gegen 11 Millionen (Security Boulevard 2026) echte -- ein Verhältnis von rund 3,5 zu 1 (Security Boulevard 2026). Für einen Shop bedeutet das, dass die Login-Infrastruktur den größten Teil ihrer Arbeit für Angreifer leistet, nicht für Kunden. Das kostet Rechenzeit, verzerrt Kennzahlen und erhöht das Risiko, dass ein erfolgreicher Treffer im Rauschen untergeht. Im deutschen Online-Handel, der 2025 rund 83,1 Milliarden Euro (bevh) mit Verbrauchern umsetzte, ist jedes übernommene Konto zugleich ein möglicher Betrugsfall mit realem Warenwert.
Der Unterschied zwischen normalem Betrieb und einer laufenden Angriffswelle lässt sich an klaren Merkmalen festmachen. Wer diese Merkmale überwacht, verwandelt ein diffuses Sicherheitsgefühl in konkrete, überprüfbare Signale.
| Merkmal | Normaler Betrieb | Credential-Stuffing-Welle |
|---|---|---|
| Anmeldeversuche | gleichmäßig, an Öffnungs- und Kaufzeiten orientiert | sprunghaft, oft nachts und in Schüben |
| Fehlerquote | niedrig, meist Tippfehler echter Nutzer | sehr hoch, weil Passwörter geraten werden |
| Herkunft | wenige, wiederkehrende IP-Bereiche | tausende verteilte Adressen und Proxys |
| Konto-Bezug | ein Nutzer, ein Standort | ein Konto, viele Länder in kurzer Zeit |
Der falsche Reflex: alles hart sperren
Warum echte Käufer nicht ausgesperrt werden dürfen
Sicherheit am Login ist eine Abwägung. Jede zusätzliche Hürde senkt zwar das Angriffsrisiko, kostet aber auch echte Nutzer. Ein Rätsel vor jeder Anmeldung, eine erzwungene Passwortänderung im falschen Moment oder eine vorschnelle Konto-Sperrung führen dazu, dass zahlende Kundschaft abspringt. Weil bereits ein kleiner Teil solcher Abbrüche im Umsatz spürbar wird, darf Bot-Abwehr die Conversion nicht beschädigen. Das Ziel ist nicht die maximale Zahl an Hürden, sondern die richtige Hürde zur richtigen Zeit -- für den verdächtigen Versuch, nicht für den Stammkunden. Genau diese Balance entscheidet darüber, ob Sicherheit den Umsatz schützt oder ihn selbst beschädigt.
Sicherheit, die im Hintergrund bleibt
Bausteine der Login-Absicherung
Ein belastbarer Schutz besteht nicht aus einer einzelnen Maßnahme, sondern aus mehreren Schichten, die zusammenwirken. Jede Schicht erhöht die Kosten für den Angreifer und senkt zugleich das Risiko für den echten Nutzer, versehentlich getroffen zu werden. Die folgenden Bausteine bilden den Kern einer laufenden Login-Absicherung.
MFA für Kundenkonten
Ein zweiter Faktor bei Anmeldung oder sensiblen Aktionen. Nach Microsoft-Analysen blockiert Mehr-Faktor-Anmeldung über 99 Prozent (Microsoft) der automatisierten Übernahme-Versuche.
Rate-Limiting
Begrenzung der Versuche pro Konto, IP und Zeitfenster, damit Massenangriffe ausgebremst werden, ohne echte Wiederholungen zu blockieren.
Bot-Erkennung
Verhaltens- und Signatur-basierte Abwehr, wie sie die WAF- und Bot-Schutz-Wartung beschreibt, trennt Automatisierung von echten Nutzern.
Passwort-Abgleich
Prüfung gegen bekannte Leck-Listen mit datensparsamem Verfahren, damit kompromittierte Passwörter gar nicht erst gültig bleiben.
Login-Monitoring
Strukturierte Beobachtung mit Alerting, wie beim Log-Monitoring für Shops, macht Angriffswellen früh sichtbar.
Konto-Wiederherstellung
Sichere Benachrichtigung bei verdächtigen Logins und ein klarer, geprüfter Weg zurück ins Konto für betroffene Kunden.
So läuft Managed-Login-Monitoring im Betrieb
Login-Monitoring ist kein einmaliges Setup, sondern ein laufender Prozess mit klaren Schritten. Ziel ist, Angriffswellen früh zu erkennen, automatisch zu bremsen und nur in echten Verdachtsfällen einen Menschen einzuschalten. Der folgende Ablauf zeigt, wie sich das im Alltag umsetzen lässt -- eng verzahnt mit der übrigen Überwachung des Shops.
- Login-Ereignisse zentral erfassen: erfolgreiche und fehlgeschlagene Versuche mit Zeit, Herkunft und Kennung protokollieren.
- Normalzustand bestimmen: übliche Volumina, Zeiten und Fehlerquoten als Vergleichsbasis festhalten.
- Schwellen und Muster definieren: ab wann ein Anstieg, eine Fehlerhäufung oder ein Geo-Sprung als Verdacht gilt.
- Automatisch reagieren: verdächtige Quellen drosseln, zusätzliche Prüfung nur für auffällige Versuche einblenden.
- Alarmieren und einordnen: bei einer klaren Welle das Wartungsteam benachrichtigen und Gegenmaßnahmen dokumentieren.
- Nachbereiten: betroffene Konten prüfen, Kunden informieren und Regeln anhand der Erkenntnisse nachschärfen.
Bot-Abwehr ohne Reibung für echte Nutzer
Der Schlüssel zu einer Bot-Abwehr, die niemanden aussperrt, ist die abgestufte Reaktion. Statt jeden Login gleich zu behandeln, bewertet das System jeden Versuch anhand von Signalen wie Herkunft, Verhalten und Häufung. Unauffällige Anmeldungen laufen ohne jede Hürde durch. Nur bei erhöhtem Risiko folgt eine zusätzliche Prüfung, etwa ein zweiter Faktor oder eine kurze Verzögerung. So bleibt der Kauf für die große Mehrheit reibungslos, während der automatisierte Angriff spürbar teurer wird. Wichtig ist, dass die Bewertung fortlaufend nachjustiert wird, denn Angreifer ändern ihre Muster, sobald eine Methode nicht mehr durchkommt.
Bot-Verkehr belastet außerdem den Server: Millionen Anmeldeversuche verbrauchen Rechenzeit und Bandbreite, ähnlich wie die wachsende Last durch KI-Crawler das Tempo eines Shops drücken kann. Wer den schädlichen Anteil früh filtert, schützt also nicht nur Konten, sondern auch die Leistung und die Kosten des Betriebs. Zur Grundlage gehört zudem eine saubere, aktuelle Transportverschlüsselung -- gerade seit die Laufzeiten kürzer werden und eine automatisierte TLS-Erneuerung zur Pflicht wird, damit Login-Daten geschützt übertragen werden.
Haftung, Datenschutz und Nachweise
Kundendaten sind personenbezogene Daten, und ihr Schutz ist nicht optional. Die Datenschutz-Grundverordnung verlangt technische und organisatorische Maßnahmen nach dem Stand der Technik; ein wirksamer Schutz der Kundenlogins gehört erkennbar dazu. Kommt es trotzdem zu einer Kontoübernahme mit Datenabfluss, greift die Meldepflicht: Ein meldepflichtiger Vorfall muss der Aufsichtsbehörde in der Regel innerhalb von 72 Stunden (DSGVO Art. 33) angezeigt werden. Wer Login-Ereignisse sauber protokolliert und Gegenmaßnahmen dokumentiert, kann im Ernstfall belegen, was wann geschah und wie reagiert wurde.
Diese Dokumentation zahlt doppelt ein. Sie erfüllt die Rechenschaftspflicht gegenüber der Aufsicht und dient zugleich als Nachweis gegenüber Versicherern. Viele Policen setzen belegte Schutz- und Wartungsmaßnahmen voraus -- genau die Art von Nachweisen, die auch die Wartungsdokumentation für Cyber-Versicherungen verlangt. Login-Monitoring liefert diese Belege als Nebenprodukt des laufenden Betriebs.
Ein sicheres Kundenkonto entsteht nicht durch eine einmalige Einstellung, sondern durch die dauerhafte Beobachtung dessen, was am Login wirklich passiert -- und durch die richtige Reaktion im richtigen Moment.
Account-Takeover-Schutz gehört damit in denselben Wartungsrahmen wie Updates, Backups und Verfügbarkeits-Monitoring. Wer die passende Betreuung sucht, findet in unseren Wartungspaketen und im SLA-Wartungsvertrag den Rahmen für Login-Monitoring und Bot-Abwehr als wiederkehrenden Baustein. Am Anfang steht eine Bestandsaufnahme: Wie sieht der Login-Verkehr heute aus, welche Schutzschichten sind aktiv, und wo besteht Handlungsbedarf? Diese Analyse lässt sich unverbindlich anfragen.