Fake-Kundenkonten im Shop: Bot-Registrierungen stoppen

Bietet der Shop die Newsletteranmeldung direkt im Registrierungsformular an, landen Scheinkonten auch in der Empfängerliste. Für den Versand bedeutet das zweierlei: Adressen, die es nicht gibt, kommen als Bounce zurück. Echte Adressen, die ein Skript fremden Menschen untergeschoben hat, erhalten Werbung, die sie nicht bestellt haben, und melden sie als Spam.

Rechtlich ist der zweite Fall heikel. Nach § 7 Abs. 2 Nr. 2 UWG ist Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten eine unzumutbare Belästigung (UWG). Die Ausnahme für Bestandskunden in § 7 Abs. 3 UWG setzt unter anderem voraus, dass der Unternehmer die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten hat (UWG). Ein Konto ohne Bestellung erfüllt das nicht. Beruht der Versand auf einer Einwilligung, muss der Verantwortliche nach Art. 7 Abs. 1 DSGVO zudem nachweisen können, dass sie erteilt wurde (DSGVO). Ein Häkchen, das ein Skript gesetzt hat, ist dafür ein schwacher Beleg.

Auch die Zustellbarkeit leidet. Google verlangt in seinen Richtlinien für E-Mail-Absender von allen, die an Gmail-Konten senden, die in den Postmaster Tools gemessene Spamrate unter 0,3 Prozent zu halten (Google). Als Richtwert empfiehlt dieselbe Seite, unter 0,10 Prozent zu bleiben und 0,30 Prozent gar nicht erst zu erreichen (Google). Für Absender, die mehr als 5.000 Nachrichten pro Tag an Gmail-Konten schicken, gelten seit dem 1. Februar 2024 zusätzliche Anforderungen (Google). Dieselbe Seite rät, jede Empfängeradresse vor der Aufnahme in eine Liste zu bestätigen und Empfänger mit mehreren Bounces automatisch auszutragen (Google). Der Branchenverband M3AAWG (Messaging, Malware and Mobile Anti-Abuse Working Group) wird konkreter: Wie viele Versendungen und welchen Zeitraum er ansetzt, entscheidet jeder Absender selbst; als bewährte Praxis gilt aber allgemein, eine Adresse von der Liste zu nehmen, wenn sie mindestens zweimal in Folge über zwei Wochen oder länger als unzustellbar zurückkommt (M3AAWG). Wie Authentifizierung und Zustellbarkeit der Shop-Mails zusammenhängen, beschreibt der Beitrag zu DMARC und Shop-Mails.

Der dritte Schaden ist leiser. Scheinkonten blähen die Zahl der Neukunden auf und drücken das Verhältnis von Registrierung zu Erstbestellung. Wer Kampagnen nach Neuregistrierungen bewertet, bewertet dann teilweise Skripte. Ist ein Willkommensrabatt an das neue Konto gebunden, lässt er sich über viele Konten mehrfach abholen. Wie sich Neukundencodes dagegen absichern lassen, steht im Beitrag zu Rabattcodes in der Black Week; hier geht es um das Konto selbst.

Die Reihenfolge der Maßnahmen entscheidet darüber, wer sie zu spüren bekommt. Sinnvoll ist ein Aufbau, der mit Schutz beginnt, den echte Kunden gar nicht bemerken. Der Branchenverband M3AAWG empfiehlt ausdrücklich, mehrere Lösungen zu kombinieren, weil ein Formular mit mehreren Hürden schwerer für Missbrauch einzuspannen ist (M3AAWG).

Ein Mensch registriert sich einmal, ein Skript schickt das Formular in Serie ab. Eine Ratenbegrenzung je Netzadresse setzt genau an diesem Unterschied an. M3AAWG empfiehlt Grenzen, die das wiederholte Absenden von derselben IP-Adresse innerhalb eines Zeitraums verhindern (M3AAWG). In nginx übernimmt das Modul ngx_http_limit_req_module diese Aufgabe: Es begrenzt die Verarbeitungsrate von Anfragen je Schlüssel, insbesondere je IP-Adresse (nginx-Dokumentation). Langsame Raten werden dort pro Minute angegeben, und Anfragen mit leerem Schlüssel zählt das Modul nicht mit (nginx-Dokumentation). Damit lässt sich die Grenze auf das Absenden des Formulars beschränken, während der Seitenaufruf frei bleibt.

Die Werte im Beispiel sind ein Ausgangspunkt, keine Vorgabe für jeden Shop. Ohne eigene Angabe antwortet nginx abgewiesenen Anfragen mit dem Status 503 (nginx-Dokumentation). Passender ist 429 Too Many Requests: Der Code zeigt an, dass in einem bestimmten Zeitraum zu viele Anfragen gesendet wurden (RFC 6585). Die Antwortseite sollte die Lage in Klartext erklären, und Antworten mit diesem Status dürfen nicht von einem Cache gespeichert werden (RFC 6585). Mit limit_req_dry_run lässt sich die Regel zunächst im Probebetrieb fahren: Anfragen werden nicht begrenzt, Überschreitungen aber gezählt (nginx-Dokumentation).

Zwei Fallstricke gehören zur Einrichtung. Steht ein Proxy oder Lastverteiler vor dem Shop, muss nginx die echte Besucheradresse kennen, sonst teilen sich alle Kunden einen Zähler. Und Shopware nimmt Registrierungen nicht nur über das Formular der Storefront an, sondern auch über die Store-API; die Begrenzung muss beide Wege abdecken. Eine WAF mit Bot-Schutz ergänzt die Ratenbegrenzung um allgemeinere Regeln gegen automatisierte Zugriffe.

Eine Adresse, deren Domain keine Mail annimmt, kann kein Konto bestätigen. RFC 7505 beschreibt dafür den sogenannten Null-MX-Eintrag: Eine Domain, die keine E-Mail annimmt, veröffentlicht einen einzigen MX-Eintrag mit der Präferenz 0 und einem leeren Ziel, geschrieben als Punkt (RFC 7505). Das Fehlen eines MX-Eintrags allein ist dagegen kein Ablehnungsgrund, denn die Zustellung fällt dann auf den A- oder AAAA-Eintrag der Domain zurück (RFC 7505). Abweisen lassen sich also Domains mit Null-MX und Domains, die gar nicht auflösen, nicht aber jede Domain ohne MX-Eintrag.

Bei Wegwerf-Domains ist Zurückhaltung angebracht. Sperrlisten veralten schnell und treffen auch Kunden, die solche Adressen bewusst zum Schutz ihrer Daten nutzen. Sinnvoller ist, die Bestätigung zu verlangen und Vorteile wie einen Willkommensrabatt erst mit der ersten bezahlten Bestellung freizugeben. Dann lohnt sich ein Scheinkonto für den Rabatt nicht mehr, und der Kunde mit Einmal-Adresse kann trotzdem kaufen.

Ist eine Welle durchgelaufen, bleiben die Konten im Bestand. Löschen ist richtig, aber nicht pauschal. Art. 5 Abs. 1 lit. d DSGVO verlangt, dass personenbezogene Daten sachlich richtig sind und unrichtige Daten unverzüglich gelöscht oder berichtigt werden (DSGVO). Ein Konto mit erfundenem Namen und fremder Adresse ist genau ein solcher Datensatz, sofern es eine echte Person betrifft. Der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO begrenzt zugleich die Analyse: Ausgewertet wird, was zum Nachweis des Musters nötig ist (DSGVO).

Meldet sich ein Mensch, dessen Adresse ohne sein Wissen verwendet wurde, und verlangt Auskunft oder Löschung, läuft die Frist aus Art. 12 Abs. 3 DSGVO: Informationen über die ergriffenen Maßnahmen sind unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags zu geben (DSGVO). Eine vorbereitete Antwort für genau diesen Fall spart dann Zeit und Rückfragen. Für die Auswertung einer Welle werden außerdem Server-Logs gebraucht; wie lange IP-Adressen dort liegen dürfen, beschreibt der Beitrag Server-Logs im Shop.

Registrierungsschutz ist keine einmalige Einstellung. Updates können Formulare verändern, Erweiterungen öffnen neue Anmeldewege, etwa ein Newsletterfeld im Fußbereich, und Angreifer passen ihre Skripte an die Abwehr an. Sicherheitsaktualisierungen für Shopsystem und Erweiterungen spielen wir über die Sicherheitsupdates nach einem Test auf einer Staging-Umgebung ein und prüfen danach die Funktionen des Shops. In der Shopware-Wartung läuft jedes Update zuerst auf einer Staging-Umgebung, ergänzt um manuelle Tests für individuelle Anpassungen; dort gehört die Registrierung samt Bestätigungsmail auf die Prüfliste. In der WordPress-Wartung zählen Formulare ausdrücklich zu den automatisierten Prüfungen.

Im Monitoring lassen sich Neuregistrierungen und Bestätigungsquote als anwendungsspezifische Kennzahlen mit eigener Alarmschwelle führen, kalibriert am Lastprofil des Shops. Bei Double-Opt-in und Löschfristen unterstützen die DSGVO-Updates. Welche Leistungen in welchem Umfang enthalten sind, regelt der SLA-Wartungsvertrag; einen Überblick über alle Bausteine gibt die Seite Leistungen.