Die meisten E-Commerce-Teams beschäftigen sich mit Performance, UX und Konversionsraten. Nur sehr wenige machen sich Gedanken darüber, was tatsächlich in den Browsern ihrer Kunden läuft.
In dieser Folge des Ecom Ops Podcasts erklärt Simon Wijckmans, CEO von C/SIDE (CSIDE), erklärt, warum der Browser zu einem der größten blinden Flecken in der modernen E-Commerce-Sicherheit geworden istund warum die meisten Unternehmen gar nicht wissen, welche Skripte, Tools und Codes von Drittanbietern auf ihrer Website laufen.
Von vergessenen Skripten und veralteten Plugins bis hin zu unsichtbaren Angriffen auf der Client-Seite – dieses Gespräch deckt eine Risikoebene auf, die die meisten Teams erst dann wahrnehmen, wenn etwas kaputtgeht. Oder Schlimmeres.
Über den Gast
Simon Wijckmans ist Gründer und CEO von c/side (cside), einem Sicherheitsunternehmen, das sich auf clientseitige Sicherheit konzentriert – also den Teil des Webs, der im Browser des Nutzers läuft. Bevor er c/side gründete, arbeitete er an Sicherheitsprodukten bei Cloudflarean Sicherheitsprodukten, darunter Page Shield und Bot Management, und später bei Vercel, wo er sich auf Unternehmenssicherheit, Compliance und Identitäts- und Zugriffsmanagement konzentrierte. Seine Arbeit basiert auf einer einfachen, aber immer dringlicher werdenden Erkenntnis: Während die meisten Unternehmen stark in den Schutz von Servern und Infrastruktur investieren, bleibt der Browser eine der mächtigsten und am wenigsten verstandenen Angriffsflächen. Im Jahr 2025 wurde Simon in die Forbes 30 Under 30 Liste.
c/side ist ein Web-Sicherheitsunternehmen der nächsten Generation, das entwickelt wurde, um das zu schützen, was die meisten herkömmlichen Tools übersehen: die Client-Seite. Die Plattform hilft Unternehmen dabei, alles zu erkennen und zu kontrollieren, was in den Browsern der Besucher läuft – einschließlich Skripten von Drittanbietern – und Angriffe wie Kreditkarten-Skimming, Datenlecks, Betrug und Datenschutzverletzungen zu stoppen, bevor sie den Nutzer erreichen. Durch die Kombination von Echtzeitüberwachung, KI-gestützter Erkennung und automatisierter Compliance-Unterstützung für Standards wie PCI DSS bietet c/side Teams bessere Transparenz und schnelleren Schutz im Browser – dort, wo viele moderne Bedrohungen heute auftreten.
Die wichtigsten Erkenntnisse
Der Browser ist das neue schwächste Glied
Die meisten Investitionen in die Sicherheit konzentrieren sich nach wie vor auf Server und Infrastruktur. Doch moderner E-Commerce läuft nicht mehr nur auf Servern, sondern zu einem großen Teil im Browser. Als sich die Sicherheit im Backend verbesserte, haben Angreifer einfach das nächste Schwachstelle ins Visier genommen:
die clientseitigen Umgebungen.
Du weißt nicht, was auf deiner Website läuft
Hier ist die unangenehme Wahrheit: Die meisten Unternehmen können eine einfache Frage nicht beantworten:
Welche Skripte laufen gerade in den Browsern deiner Nutzer?
Marketing-Tools, Analyse-Skripte, Chat-Widgets und Integrationen von Drittanbietern sammeln sich mit der Zeit an, und viele davon geraten in Vergessenheit, werden nicht mehr gepflegt oder gehören sogar Anbietern, die es gar nicht mehr gibt.
Simon erwähnt, dass es noch Tausende von Skripten gibt, die von Unternehmen stammen, die es längst nicht mehr gibt. Das gilt als Sicherheitsrisiko.
Mehr Skripte = größere Angriffsfläche
Jedes Skript, das du hinzufügst, erhöht dein „Supply-Chain“-Risiko. Und Angreifer brauchen keine ausgeklügelten Methoden, wenn einfache schon funktionieren:
- Ablaufende Domains kaufen, die in Skripten verwendet werden
- das Einschleusen von Schadcode in alte Plugins
- die Nutzung von Tools von Drittanbietern
Manchmal kostet der Angriff weniger als 10 Dollar. Und funktioniert trotzdem.
Moderne Angriffe sind überraschend einfach
Nicht alle Angriffe sind raffiniert. Manche sind fast schon… peinlich einfach.
Zum Beispiel:
- gefälschte Zahlungsformulare, die über echte gelegt wurden
- Kreditkartendaten erfassen, bevor die eigentliche Bezahlung angezeigt wird
- Login-Daten oder Sitzungstoken stehlen
Das Beunruhigende daran? Die Nutzer bemerken oft gar nichts Ungewöhnliches.
Sicherheitstools sehen nicht das ganze Bild
Herkömmliche Sicherheitstools konzentrieren sich auf Netzwerkverkehr und serverseitigen Schutz. Das Verhalten im Browser ist jedoch eine völlig andere Umgebung.
Viele Tools:
- Ich verstehe nicht, was Skripte eigentlich bewirken
- kann keine dynamischen oder standortbezogenen Nutzdaten erkennen
- sich auf unvollständige Sicht verlassen
Das schafft eine gefährliche Illusion: „Wir sind geschützt.“
Das serverseitige Tracking hat das Problem nicht gelöst
Auch mit dem Aufkommen des serverseitigen Trackings bleibt das Kernproblem bestehen: Die meisten Skripte werden nach wie vor im Browser ausgeführt.
Auch wenn sich die Erkennungsmethoden geändert haben, ist die Angriffsfläche nicht verschwunden, sie hat sich lediglich verlagert.
Marketingteams verursachen versehentlich Risiken
Jetzt wird es für die Betreiber ernst.
Marketingteams:
- Skripte hinzufügen
- Testwerkzeuge
- Tags einfügen
- Vergiss, was gerade läuft
Die Technik hat nicht die volle Kontrolle darüber. Das Marketing verfolgt es nicht lückenlos.
Und das Ergebnis? Eine Lücke, für die niemand verantwortlich ist.
Wenn du glaubst, du würdest einen Angriff bemerken, würdest du es wahrscheinlich nicht
Die meisten Händler gehen davon aus, „Wir würden es merken, wenn etwas nicht stimmt.“
Aber Simon stellt diese Annahme direkt in Frage. Denn wenn du nicht weißt, was auf deiner Website läuft, weißt du auch nicht, wann sich etwas ändert.
Die Lösung liegt nicht in der Komplexität, sondern im Bewusstsein
Mehr Sicherheit beginnt nicht mit mehr Tools.
Es beginnt mit dem Bewusstsein:
- wissen, welche Skripte ausgeführt werden
- ihr Verhalten verstehen
- Änderungen in Echtzeit überwachen
Denn man kann nicht schützen, was man nicht sieht.
Erwähnte Ressourcen
- cside – Eine clientseitige Sicherheitsplattform, die das Browserverhalten überwacht und bösartige Skripte in Echtzeit erkennt.
- Cloudflare PageShield – Ein Tool, das versucht, Skripte zu überwachen, aber keinen vollständigen Einblick in deren Verhalten bietet.
- Google Tag Manager – Ein gängiger Einstiegspunkt für Skripte, aber nur ein Teil des gesamten Risikobildes
- Inkrementalitätstests – Experimente, mit denen ermittelt werden soll, ob eine Marketingmaßnahme tatsächlich zusätzliche Einnahmen generiert.
- Magento-/WordPress-/React-Ökosysteme – Häufige Ursachen für Sicherheitslücken durch veraltete Plugins, Themes und Abhängigkeiten.
Fazit
Moderner E-Commerce läuft nicht nur auf deiner Infrastruktur. Er läuft im Browser deiner Kunden. Und genau diese Umgebung ist oft der am wenigsten verstandene und am wenigsten geschützte Teil des gesamten Systems.
Wie Simon erklärt, sind ausgeklügelte Angriffe nicht immer das größte Risiko. Es ist vielmehr die Anhäufung kleiner, vergessener, unsichtbarer Code-Schnipsel, die niemand mehr im Blick hat.
Denn letztendlich geht es bei der Sicherheit nicht nur darum, Bedrohungen abzuwehren. Es geht darum, zu wissen, was auf deiner Website tatsächlich vor sich geht.
Der eCom Operations-Hack Nr. 1
„Je mehr Inhalte du auf deiner Website hinzufügst, desto umfangreicher wird deine Lieferkette und desto höher ist das Risiko von Sicherheitsproblemen.“
Diese Folge wird euch präsentiert von B2Bware
B2Bware von SyncSpider ist ein Self-Service-B2B-Portal für Hersteller, Händler und Großhändler, die auf komplexe Preisgestaltung, ERP-Daten und umfangreiche Produktkataloge angewiesen sind und keine weiteren Skripte hinzufügen möchten. Vereinbare deine kostenlose Beratung
Wir sehen uns in der Show!
Hat dir diese Folge gefallen? Abonnieren Sie den eCom Ops Podcast für weitere Gespräche mit führenden Persönlichkeiten aus den Bereichen eCommerce, Technik und Betrieb. Wenn du deine Geschichte in der Sendung erzählen möchtestdann schreib uns eine Nachricht. Wir sind immer auf der Suche nach klugen Köpfen, die sinnvolle Arbeit leisten.
Bis zum nächsten Mal!
