Wer einen Online-Shop betreibt, hat selten Zeit, sich mit IT-Sicherheit im Detail zu beschäftigen. Das Tagesgeschäft läuft, Bestellungen kommen rein, der Shop funktioniert – warum sich also mit einem Thema befassen, das abstrakt und technisch wirkt? Ein Blick in die Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zeigt: Ganz so abstrakt ist das Thema nicht, und die Antwort darauf ist überraschend konkret.
Was ist das BSI überhaupt?
Das Bundesamt für Sicherheit in der Informationstechnik ist die zentrale Cyber-Sicherheitsbehörde Deutschlands, angesiedelt beim Bundesinnenministerium. Gegründet 1991, ist es unter anderem dafür zuständig, die IT-Systeme des Bundes abzusichern, vor aktuellen Bedrohungen zu warnen und Standards für IT-Sicherheit zu entwickeln – etwa für Behörden, aber auch als Orientierung für Unternehmen jeder Größe. Bekannt ist das BSI vielen vor allem aus Warnmeldungen zu neuen Sicherheitslücken oder aus der Berichterstattung zur Lage der IT-Sicherheit in Deutschland, die es jährlich veröffentlicht.
Eines der zentralen Werke des BSI ist das sogenannte IT-Grundschutz-Kompendium: eine umfangreiche Sammlung von Sicherheitsanforderungen, aufgeteilt in einzelne Themenbausteine – von Netzwerken über Server bis hin zu einzelnen Anwendungstypen. Diese Bausteine sind keine Gesetzestexte, sondern Empfehlungen, die sich in der Praxis als Maßstab etabliert haben – auch außerhalb von Behörden, gerade weil sie unabhängig und fachlich fundiert sind, statt von einem einzelnen Hersteller zu stammen.
Was das BSI tatsächlich sagt
Im IT-Grundschutz-Kompendium gibt es einen eigenen Baustein für Webanwendungen: APP.3.1. Dort steht wörtlich:
„Institutionen SOLLTEN Web Application Firewalls (WAF) einsetzen.”
Das ist keine Marketingaussage eines Herstellers, sondern eine Empfehlung der Bundesbehörde, die in Deutschland für IT-Sicherheitsstandards zuständig ist. Zur Einordnung, weil Genauigkeit hier wichtig ist: Es handelt sich um eine „SOLLTE”-Anforderung, keine zwingende „MUSS”-Vorschrift. Im BSI-Sprachgebrauch bedeutet das: eine dringende Empfehlung für ein solides Sicherheitsniveau, aber keine gesetzliche Pflicht. Trotzdem ist es bemerkenswert, dass eine Behörde, die für Zurückhaltung und Genauigkeit bekannt ist, hier so eindeutig wird.
Zwei Anforderungen, die noch weiter gehen
Im selben Baustein finden sich zwei weitere Anforderungen, die sogar als verbindliches „MUSS” eingestuft sind:
Erstens: Webanwendungen müssen vor unerlaubter automatisierter Nutzung geschützt werden – also vor Bots, die massenhaft Formulare absenden, Logins durchprobieren oder Preise auslesen. Zweitens: Wer eine Upload-Funktion anbietet (etwa für Produktbilder oder Kundendokumente), muss Dateigröße, Dateityp und Speicherort wirksam einschränken.
Beides klingt technisch, betrifft aber sehr alltägliche Situationen: den Login-Bereich, über den sich jemand per Skript in Ihr Kundenkonto einloggen will. Das Kontaktformular, das plötzlich hunderte Male pro Minute abgeschickt wird. Den Upload-Button, über den jemand versucht, eine ausführbare Datei statt eines Bildes hochzuladen.
Kein Theoriethema – ein aktuelles Beispiel
Wie real das ist, zeigt ein aktueller Fall aus der JTL-Shop-Welt: JTL hat am 17. Juni 2026 eine kritische Sicherheitslücke in JTL-Shop 5 gepatcht (CVE-2026-54390, CVSS 9,8) – über eine präparierte Betreffzeile in einer E-Mail lässt sich dabei unter Umständen Schadcode in den Shop einschleusen. Erste Angriffsfälle wurden bereits kurz danach, ab Ende Juni 2026, beobachtet – bei ungepatchten Shops ist das also kein hypothetisches Risiko aus einem Lehrbuch, sondern etwas, das nachweislich ausgenutzt wurde.
Genau für solche Fälle ist eine WAF gedacht: Sie prüft eingehende Anfragen, bevor sie den Shop überhaupt erreichen, und blockt bekannte Angriffsmuster automatisch – ohne dass der Shopbetreiber selbst jede neue Sicherheitsmeldung lesen und einordnen muss.
Was das für Sie bedeutet
Sie müssen nicht selbst zum Sicherheitsexperten werden, um die BSI-Empfehlung umzusetzen. Wichtig ist, dass jemand diese drei Punkte im Blick hat: Schutz vor bekannten Angriffsmustern, Schutz vor automatisiertem Missbrauch, und eine saubere Kontrolle über das, was Kunden auf Ihren Server hochladen können. Das ist der Kern dessen, was eine Web Application Firewall wie unsere für JTL-Shop 5 abdeckt – direkt im Shop, ohne zusätzliche Infrastruktur.
Sicherheit im E-Commerce ist selten eine Frage von Alles-oder-nichts. Es sind die Grundlagen, konsequent umgesetzt, die den Unterschied machen – und dafür gibt es inzwischen sogar eine klare Empfehlung vom BSI.