WooCommerce-Spam-Bestellungen entstehen, wenn Bots oder Betrüger gefälschte Bestellungen aufgeben. Diese Bestellungen verstopfen die Datenbank deines WordPress Shops, verschwenden deine Zeit und führen sogar zu finanziellen Verlusten durch Rückbuchungen. Im Gegensatz zu Spam bei der Benutzerregistrierung wirken sich diese Spam-Bestellungen direkt auf deinen Umsatz und deine Geschäfte aus.
Dieses Problem ist oft auf schwache Sicherheitseinstellungen zurückzuführen, z. B. offene Gastkassen, fehlender Bot-Schutz und schlechte Validierung.
Da WooCommerce keine integrierten Tools zur Verhinderung von Spam-Bestellungen enthält, musst du zusätzliche Maßnahmen ergreifen, um sie zu blockieren. Kommen wir gleich zu den besten Methoden, um sie zu stoppen.
1. Richte Cloudflare ein: deine erste Verteidigungslinie
Wenn es darum geht, WooCommerce Bestellspam zu stoppen, ist Cloudflare dein effektivstes Werkzeug, denn es kann Spam stoppen, bevor er deine Website erreicht.
Während andere Lösungen wie CAPTCHA, Anti-Spam-Plugins und Betrugspräventionstools Spam filtern, nachdem Bots mit deinem Shop interagiert haben, blockiert Cloudflare den unerwünschten Datenverkehr bereits an der Grenze und verhindert so, dass Bots deine Kassen- und Registrierungsseiten erreichen.
Cloudflare ist mehr als nur ein Content Delivery Network (CDN); es ist ein Kraftpaket in Sachen Sicherheit. Es bietet einen Bot Fight Mode, Web Application Firewall (WAF)-Regeln und IP-Blockierung, die alle die Belastung deines Shops reduzieren, deine Ressourcen schützen und verhindern, dass betrügerische Bestellungen durchschlüpfen.
Warum ein persönliches Cloudflare-Konto einrichten, wenn Kinsta Cloudflare bereits enthält?
Während wir diesen Artikel schrieben, haben wir den Support-Technikern von Kinsta genau diese Frage gestellt. Ihre Antwort? Die Cloudflare-Integration von Kinsta bietet starke Sicherheit auf Unternehmensebene, aber wenn du dein eigenes Cloudflare-Konto einrichtest, hast du mehr Kontrolle.
Die integrierte Web Application Firewall (WAF) und der Bot-Schutz von Kinsta wenden plattformweite Sicherheitsregeln an, die alle bei uns gehosteten Websites schützen. Mit einem persönlichen Cloudflare-Konto kannst du jedoch die Sicherheitseinstellungen für deinen WooCommerce-Shop individuell anpassen.
Unser Support-Team empfiehlt Kunden oft, ihr eigenes Cloudflare-Konto vor dem von Kinsta einzurichten. So kannst du:
- Benutzerdefinierte WAF-Regeln erstellen, um verdächtige Besucher auf Checkout- und Registrierungsseiten abzuweisen.
- Ganze Länder blockieren oder nur die Regionen zulassen, in denen dein Unternehmen tätig ist.
- Zusätzliche Bot-Filterung anwenden, bevor der Datenverkehr überhaupt deinen Website-Container erreicht.
Aber auch ohne dein eigenes Cloudflare-Konto kann das Support-Team von Kinsta bei Bedarf bestimmte Bots oder IPs auf Containerebene blockieren. Wenn du jedoch mehr Kontrolle und proaktiven Schutz möchtest, ist es am besten, Cloudflare selbst zu konfigurieren.
So richtest du Cloudflare für den WooCommerce-Spamschutz ein
Der erste Schritt besteht darin, dich für ein kostenloses Cloudflare-Konto anzumelden, falls du noch keins hast. Sobald du angemeldet bist, gelangst du zum Cloudflare-Dashboard.
Klicke auf das Dropdown-Menü + Hinzufügen, klicke auf Vorhandene Domain und gib dann die Domain deines WooCommerce Shops ein. So kann Cloudflare den Datenverkehr verwalten und Sicherheitsregeln auf deine Website anwenden.
Nachdem du deine Domain eingegeben hast, bittet dich Cloudflare, einen Tarif auszuwählen. Der kostenlose Plan ist für die meisten WooCommerce Shops ausreichend, da er den Bot Fight Mode, einen grundlegenden DDoS-Schutz und Sicherheitsregeln beinhaltet. Wähle den kostenlosen Plan und klicke dann auf Weiter.
Als nächstes scannt Cloudflare deine aktuellen DNS-Einträge. Du siehst eine Liste von Einträgen, die automatisch von deinem Hosting-Provider übernommen wurden. Vergewissere dich, dass deine Hauptdomain und deine Subdomains korrekt aufgeführt sind. Klicke auf Weiter, um fortzufahren.
Cloudflare wird dir nun neue Nameserver zur Verfügung stellen. Um die Sicherheitsfunktionen von Cloudflare zu aktivieren, musst du die Nameserver deiner Domain bei deinem Domain-Registrar aktualisieren.
Nachdem du deine Nameserver aktualisiert hast, kehrst du zu Cloudflare zurück und klickst auf Fertig, Nameserver prüfen. Es kann ein paar Minuten dauern, bis Cloudflare die Änderungen erkennt. Sobald deine Website bei Cloudflare aktiv ist, kannst du Regeln zum Bot-Schutz einrichten.
Aktiviere den Bot Fight Mode, um bösartige Bots zu blockieren
Eine der integrierten Sicherheitsfunktionen von Cloudflare ist der Bot Fight Mode, der bekannte bösartige Bots blockiert, bevor sie mit deinem WooCommerce-Shop interagieren können.
Um ihn zu aktivieren, navigiere in deinem Cloudflare Dashboard zu Sicherheit > Bots. Suche den Bot Fight Mode und schalte ihn ein.
Dies hilft sofort, automatisierte Spam-Bestellungen zu reduzieren, indem Bots daran gehindert werden, deine Kassen- und Registrierungsseiten zu erreichen.
Wenn du den Bot Fight Mode aktivierst, solltest du auch die Option Block AI Bots aktivieren, die sich direkt daneben befindet. Unsere Support-Techniker weisen darauf hin, dass diese Einstellung zwar nicht unbedingt für den Spamschutz von WooCommerce benötigt wird, aber bei Leistungsspitzen helfen kann, die durch KI-Bots verursacht werden, die deine Website aggressiv scannen. Diese Bots senden oft eine große Anzahl von nicht zwischengespeicherten Anfragen, die deine Website verlangsamen können. Indem du die Funktion „KI-Bots blockieren“ aktivierst, reduzierst du den durch Spam verursachten Datenverkehr und verhinderst eine unnötige Belastung deines Servers, damit dein WooCommerce-Shop reibungslos läuft.
Erstelle eine benutzerdefinierte WAF-Regel für den WooCommerce-Spamschutz
Mit der WAF von Cloudflare kannst du Regeln aufstellen, um Spamverkehr herauszufiltern, bevor er deinen WooCommerce-Shop erreicht. Unsere Support-Ingenieure haben Beispiele für zwei nützliche Regeln erstellt: eine, die verdächtige Besucher auf wichtigen Seiten abweist, und eine andere, die den Traffic aus bestimmten Ländern blockiert.
Für den Schutz beim Checkout und bei der Registrierung sollte die Regel sowohl auf den URI-Pfad als auch auf den URL-Query-String abzielen. Erstelle in Cloudflare’s Security > WAF eine Regel namens WooCommerce Spam Protection. Lege den URI-Pfad so fest, dass er /checkout/ und /my-account/ enthält, und füge hinzu, dass der URL-Query-String wc-ajax=checkout enthält. Die Aktion sollte eine Managed Challenge sein, die verdächtige Nutzer dazu zwingt, sich zu vergewissern, dass sie ein Mensch sind, bevor sie fortfahren.
Für die länderbasierte Sperrung erstellst du eine separate Regel unter Sicherheit > WAF und setzt das Feld Land auf nicht gleich United States, Canada und United Kingdom (oder jedes andere von deinem Shop unterstützte Land). Setze die Aktion auf Blockieren, damit nur Besucher aus zugelassenen Ländern auf deine Website zugreifen können.
Diese Regeln helfen, sowohl automatisierte Spam-Bots als auch betrügerische Bestellungen aus Hochrisikoregionen zu verhindern und gleichzeitig legitime Kunden zuzulassen.
Wenn du fertig bist, klicke auf Deploy Rule. Cloudflare wird nun verdächtigen Datenverkehr auf diesen Seiten prüfen und automatisierte Spam-Bots blockieren, während echte Kunden durchgelassen werden.
Auch wenn Cloudflare die beste erste Verteidigungslinie ist, kann es sein, dass du zusätzliche Filter auf der Ebene der Website benötigst. Plugins sind nützlich, wenn du Daten in WooCommerce selbst analysieren musst, z. B:
- Prüfen von Kundendaten, bevor du eine Bestellung blockierst.
- Herausfiltern von Spam-Registrierungen anhand von E-Mail-Domänen oder IP-Historie.
- Verhinderung von gefälschten Bestellungen, die am Bot-Schutz vorbeigehen.
Unsere Support-Techniker empfehlen, wo immer möglich Cloudflare zu verwenden, um Spam zu blockieren, bevor er die Website erreicht. Wenn Cloudflare allein jedoch nicht ausreicht oder du die Spamfilterung lieber direkt in WordPress vornehmen möchtest, findest du hier einige andere Möglichkeiten, um Spam-Bestellungen bei WooCommerce zu verhindern.
2. Füge CAPTCHA zu Bestell- und Anmeldeformularen hinzu
Eine der einfachsten und effektivsten Möglichkeiten, Spam-Bestellungen zu verhindern, ist das Hinzufügen eines CAPTCHAs zu den wichtigsten Formularen in deinem WooCommerce-Shop.
CAPTCHA steht für Completely Automated Public Turing test to tell Computers and Humans Apart. Es ist eine Sicherheitsmaßnahme, die Bots und Spammer davon abhält, auf deine Website zuzugreifen. CAPTCHA stellt Nutzer/innen vor einfache Aufgaben wie das Auswählen von Bildern, das Ankreuzen eines Kästchens oder das Eingeben von verzerrtem Text, die für Menschen leicht, für Bots aber schwer zu lösen sind.
Auf diese Weise verhindert CAPTCHA, dass automatisierte Bots gefälschte Bestellungen aufgeben, während echte Kunden ihre Einkäufe ohne Probleme abschließen können.
Um Bestellspam wirksam zu verhindern, solltest du CAPTCHA hinzufügen:
- Checkout-Formularen – Hält Bots davon ab, gefälschte Bestellungen aufzugeben.
- Registrierungsformulare – Verhindert, dass Spam-Kundenkonten erstellt werden.
- Anmeldeformulare – Verhindert Brute-Force-Angriffe, bei denen Bots versuchen, sich Zugang zu Konten zu verschaffen.
Mehrere Plugins machen es einfach, CAPTCHA in deine WooCommerce-Website zu integrieren, aber wir empfehlen die Verwendung von Simple Cloudflare Turnstile oder Advanced Google reCAPTCHA. Du brauchst nur eines zu implementieren. Im Folgenden erklären wir dir beide Optionen.
Option 1: Einfaches Cloudflare Turnstile verwenden
Cloudflare Turnstile ist eine datenschutzfreundliche Alternative zu Google reCAPTCHA. Es verifiziert Nutzer/innen automatisch, ohne dass sie Rätsel lösen müssen, und macht so den Checkout-Prozess reibungsloser.
Um Cloudflare Turnstile in deiner WordPress-Website zu verwenden, musst du dich auf der Cloudflare-Website anmelden oder einloggen. Sobald du das getan hast, wirst du zu deinem Cloudflare-Dashboard weitergeleitet. In deinem Dashboard suchst du nach Turnstile. Wenn du es zum ersten Mal benutzt, klicke auf die Schaltfläche Widget hinzufügen.
Benenne dein Widget (z.B. WooCommerce Checkout CAPTCHA), damit du es später identifizieren kannst. Danach klickst du auf Hostnamen hinzufügen, um deine Website hinzuzufügen.
Scrolle nun nach unten, um den verwalteten Widget-Modus auszuwählen, und klicke dann auf Erstellen.
Sobald das Widget erstellt ist, generiert Cloudflare API-Schlüssel, die du in deinem WordPress-Dashboard benötigst. Kopiere sowohl den Site Key als auch den Secret Key von dieser Seite.
Es gibt mehrere Plugins, um Turnstile CAPTCHA zu WordPress hinzuzufügen, aber Simple Cloudflare Turnstile ist eine kostenlose und sehr empfehlenswerte Option.
Um es zu verwenden, gehe zu Plugins > Neues Plugin hinzufügen. Gib in der Suchleiste Simple Cloudflare Turnstile ein. Installiere und aktiviere dann das Plugin.
Nachdem du das Plugin aktiviert hast, gehe zu Einstellungen > Cloudflare Turnstile. Füge den Site Key und den Secret Key, die du zuvor kopiert hast, in die entsprechenden Felder ein.
Scrolle nun nach unten und markiere die Formulare, für die du Turnstile CAPTCHA aktivieren möchtest. Wie unten gezeigt, wähle WooCommerce Login, Registrierung und Checkout.
Klicke auf Änderungen speichern, und du bist fertig. Wenn du deine WooCommerce-Kassenseite öffnest, siehst du, dass die CAPTCHA-Abfrage erscheint.
Option 2: Verwendung des erweiterten Google reCAPTCHA
Google reCAPTCHA ist eines der am häufigsten verwendeten Tools zum Schutz vor Spam. Es bietet reCAPTCHA v2 (Checkbox-Verifizierung) und reCAPTCHA v3 (Hintergrundverifizierung).
Um Google reCAPTCHA zu verwenden, melde dich in deinem Google-Konto an. Sobald du eingeloggt bist, navigierst du zur Seite reCAPTCHA Products und klickst auf Get Started. Dadurch gelangst du in den Verwaltungsbereich, wo du eine neue Seite registrieren kannst, indem du auf + Erstellen klickst. Gib ein Label ein, um das CAPTCHA zu identifizieren, und wähle dann einen Aufforderungstyp. Für diesen Leitfaden wählst du reCAPTCHA v2 und wählst die Option Ich bin kein Roboter.
Nachdem du den Aufforderungstyp ausgewählt hast, gibst du die Domain deiner Website ohne Präfixe ein (wie example.com). Dann klickst du auf Absenden und kopierst den für dich generierten Site Key und Secret Key.
Als nächstes kehrst du zu deinem WordPress Dashboard zurück. Gehe zu Plugins > Neu hinzufügen, suche nach Advanced Google reCAPTCHA und klicke dann auf Jetzt installieren und aktivieren.
Nach der Aktivierung navigierst du zu Einstellungen > Advanced Google reCAPTCHA. Wähle das Captcha aus und füge den Site Key und den Secret Key von Google in die entsprechenden Felder ein.
Wähle außerdem aus, wie das CAPTCHA angezeigt werden soll, und wechsle dann zur Registerkarte Wo angezeigt werden soll. Aktiviere hier reCAPTCHA auf Formularen und wähle WooCommerce Checkout und WooCommerce Registration. Zum Schluss klickst du auf Änderungen speichern, um die Einstellungen zu übernehmen.
Wenn du diese Einstellungen vorgenommen hast, öffne die Kassenseite deines Shops, um zu überprüfen, ob das CAPTCHA funktioniert. Wenn alles richtig konfiguriert ist, sollte das Kontrollkästchen Ich bin kein Roboter jetzt an den erforderlichen Stellen erscheinen.
3. Anti-Spam-Plugins verwenden
Das CAPTCHA hilft zwar, Bots daran zu hindern, Spam-Bestellungen aufzugeben, aber es reicht nicht immer aus, vor allem, wenn du es mit ausgefeilteren Spam-Taktiken zu tun hast. Deshalb brauchst du Anti-Spam-Plugins. Diese Plugins filtern automatisch Spam-E-Mails heraus, blockieren verdächtige IP-Adressen und erkennen betrügerische Bestellmuster, bevor sie deine WooCommerce-Datenbank erreichen.
Da WooCommerce keinen eingebauten Spam-Schutz für Bestellungen bietet, kann ein spezielles Plugin Spam erheblich reduzieren, ohne dass es für deine Kunden zu Problemen kommt.
Es gibt mehrere wirksame Anti-Spam-Plugins, aber zwei der besten Optionen für WooCommerce Shops sind CleanTalk Spam Protect und Akismet. Wir zeigen dir, wie du CleanTalk installierst und konfigurierst. CleanTalk wurde speziell für die Spamabwehr bei WooCommerce-Bestellungen entwickelt.
So richtest du CleanTalk Spam Protect für WooCommerce ein
CleanTalk ist ein Premium-Anti-Spam-Dienst, der Spam-Bestellungen filtert, gefälschte Konten blockiert und Bot-Registrierungen verhindert – und das alles ohne CAPTCHA. Er arbeitet unbemerkt im Hintergrund und gleicht Bestellungen und Formulareingaben mit seiner globalen Spam-Datenbank ab.
Um loszulegen, gehe zu deinem WordPress-Dashboard und navigiere zu Plugins > Neu hinzufügen. Gib in der Suchleiste CleanTalk Spam Protect ein. Sobald du es gefunden hast, klicke auf Jetzt installieren und dann auf Aktivieren.
Nach der Aktivierung gehst du zu Einstellungen > Anti-Spam by CleanTalk. Du wirst aufgefordert, einen Zugangsschlüssel einzugeben. Da CleanTalk ein kostenpflichtiger Dienst ist, musst du ein Konto auf der CleanTalk-Website erstellen und ein Abonnement abschließen.
Nach der Registrierung erhältst du von CleanTalk einen Zugangsschlüssel, den du kopieren und in die Plugin-Einstellungen einfügen musst.
Sobald du den Schlüssel eingegeben hast, kannst du überprüfen, ob dies auch für deine WooCommerce-Kassenformulare funktioniert, indem du auf den Link Erweiterte Einstellungen klickst und zum Abschnitt WooCommerce scrollst.
Sobald du diese Einstellungen aktiviert hast, klicke auf Änderungen speichern. Dein WooCommerce-Shop ist jetzt vor Spam-Bestellungen und gefälschten Anmeldungen geschützt.
4. Deaktiviere den Gast-Checkout
Eine Ursache für WooCommerce-Spam-Bestellungen ist die standardmäßig aktivierte Gastbestellung.
Wenn du Kunden die Möglichkeit gibst, Bestellungen aufzugeben, ohne ein Konto anzulegen, beschleunigt das zwar den Bestellvorgang, aber es ermöglicht Bots und Betrügern auch, ungehindert gefälschte Bestellungen aufzugeben.
Wenn du die Gastbestellung deaktivierst, musst du ein Konto erstellen, bevor du eine Bestellung aufgeben kannst. Dieser einfache Schritt erhöht die Sicherheit, denn Bots haben oft Probleme, die zusätzlichen Felder für die Registrierung auszufüllen, vor allem in Kombination mit CAPTCHA oder E-Mail-Verifizierung.
Bevor du den Gast-Checkout deaktivierst, solltest du jedoch überlegen, wie sich das auf deinen Umsatz auswirken könnte. Manche Kunden bevorzugen ein reibungsloses Einkaufserlebnis und brechen ihren Einkaufswagen ab, wenn sie gezwungen sind, ein Konto zu erstellen. Wenn dein Shop viele Einmalkäufer hat, solltest du andere Sicherheitsmaßnahmen in Erwägung ziehen, bevor du den Gast-Checkout ganz abschaltest.
Um den Gast-Checkout zu deaktivieren, gehe in dein WordPress-Dashboard und navigiere zu WooCommerce > Einstellungen. Im Einstellungsmenü klickst du auf die Registerkarte Konten & Datenschutz.
Wenn du fertig bist, scrolle nach unten und klicke auf Änderungen speichern.
Sobald der Gast-Checkout deaktiviert ist, können Kunden nicht mehr als Gast auschecken. Stattdessen werden sie aufgefordert, sich entweder in ein bestehendes Konto einzuloggen oder ein neues Konto zu erstellen, bevor sie ihren Einkauf abschließen können.
5. Anti-Betrugs-Plugins verwenden
Trotz CAPTCHA und Anti-Spam-Maßnahmen können immer noch einige betrügerische Transaktionen durchgelassen werden. Dies ist besonders häufig bei Betrügern der Fall, die gestohlene Kreditkarten, gefälschte Kundendaten oder massenhaft generierte Bestellungen verwenden, um WooCommerce-Shops auszunutzen.
Betrugsbekämpfungs-Plugins bieten eine zusätzliche Sicherheitsebene, indem sie verdächtige Transaktionen blockieren, bevor sie abgeschlossen werden.
Diese Plugins analysieren verschiedene Risikofaktoren, wie z. B. IP-Adressen, E-Mail-Domänen, Rechnungsdaten und ungewöhnliches Bestellverhalten, um potenziellen Betrug zu erkennen. Wenn eine Bestellung als hochriskant eingestuft wird, kann das Plugin sie automatisch blockieren, zur manuellen Überprüfung zurückhalten oder den Shop-Administrator benachrichtigen.
Eine der besten Optionen für WooCommerce ist Fraud Prevention For WooCommerce and EDD (früher Woo Blocker Lite). Wir zeigen dir, wie du sie einrichtest.
So richtest du Fraud Prevention für WooCommerce ein
Fraud Prevention For WooCommerce und EDD ist ein einfaches, aber leistungsfähiges Plugin, das gefälschte Bestellungen und Spam-Transaktionen verhindert. Es ermöglicht Shopbetreibern, eigene Regeln zur Betrugsprävention zu erstellen, Details zu Nutzern auf der schwarzen Liste einzusehen und Betrugsberichte zu erstellen – und das alles, ohne dass echte Kunden davon betroffen sind.
Um es zu installieren, gehst du in dein WordPress-Dashboard, navigierst zu Plugins > Neu hinzufügen und suchst nach Fraud Prevention For WooCommerce and EDD. Sobald du es gefunden hast, klicke auf Jetzt installieren und dann auf Aktivieren.
Nach der Aktivierung wird dir ein Demo-Video angezeigt, in dem erklärt wird, was das Plugin kann. Die Einstellungsseite für die Betrugsbekämpfung findest du unter Dotstore Plugins > Betrugsbekämpfung. Hier kannst du die Einstellungen für die Betrugserkennung in deinem Shop konfigurieren.
Entscheide, ob du betrügerische Nutzer bei der Registrierung, beim Checkout oder bei beidem blockieren willst, indem du die entsprechenden Optionen im Abschnitt Blacklist-Einstellungen auswählst. Aktiviere die Kästchen, je nachdem, wann du möchtest, dass das Plugin betrügerische Aktivitäten erkennt und verhindert.
Du kannst auch bestimmte Nutzer/innen auf der Grundlage ihrer E-Mail-Adresse, IP-Adresse, ihres Bundeslandes oder ihrer Postleitzahl manuell auf eine schwarze Liste setzen. Wenn du feststellst, dass von einer bestimmten Quelle wiederholt Betrugsversuche ausgehen, kannst du diese Person auf die schwarze Liste setzen, um zukünftige Spam-Bestellungen zu verhindern.
Außerdem bietet das Plugin einen detaillierten Betrugsbericht, mit dem du verdächtige Aktivitäten überwachen und blockierte Bestellungen verfolgen kannst. So können Shopbetreiber/innen schnell Muster in betrügerischen Transaktionen erkennen und proaktiv Maßnahmen zur Sicherung ihrer WooCommerce-Website ergreifen.
Sobald du die notwendigen Einstellungen vorgenommen hast, klicke auf Änderungen speichern. Dein Shop ist jetzt vor gängigen Betrugsmethoden und Spam-Bestellungen geschützt.
Zusammenfassung
WooCommerce-Bestellspam kann ein ernstes Problem sein, aber mit den richtigen Sicherheitsmaßnahmen kannst du deinen Shop schützen.
Bei Kinsta helfen unser 24/7/365-Sicherheitsteam, dreiminütige Malware-Scans und der Cloudflare-Schutz der Enterprise-Klasse dabei, Spam und betrügerische Aktivitäten zu verhindern, bevor sie deinen Shop erreichen. Unser hochleistungsfähiges WooCommerce-Hosting kann die Geschwindigkeit deines Shops um bis zu 200 % erhöhen und sorgt für reibungslose und sichere Transaktionen.
Wenn dein aktueller Hoster nicht ausreicht, solltest du das WooCommerce-Hosting von Kinsta ausprobieren, um schnellere Geschwindigkeiten und bessere Sicherheit zu erhalten.
Joel ist Frontend-Entwickler und arbeitet bei Kinsta als Technical Editor. Er ist ein leidenschaftlicher Lehrer mit einer Vorliebe für Open Source und hat über 200 technische Artikel geschrieben, die sich hauptsächlich um JavaScript und seine Frameworks drehen.
