Warum der gefährlichste Angriff auf einen kleinen Shop durch das Rückgabeportal läuft, nicht durch die Firewall
Die ganze Sicherheitsberatung für kleine Shops dreht sich um Technik. Firewalls, Updates, Phishing-Schulungen. Das ist richtig. Nur fängt keine dieser Maßnahmen die Bedrohung ab, die einen kleinen Webshop am zuverlässigsten Geld kostet. Sie taucht in keinem Angriffs-Log auf, weil sie durch völlig legale Funktionen läuft: das Widerrufsrecht und dein eigenes Retourenportal.
Ich habe diese Klasse von Bedrohungen in einer Studie untersucht und nenne sie verhaltensbasierte Bedrohungen. Gemeint ist jedes Verhalten, das deinem Shop systematisch Wert entzieht, indem es rechtliche Ansprüche, großzügige Regeln oder Informationslücken ausnutzt, ganz ohne illegalen Zugriff.
Sieben Muster, kein einziger Hack
Darunter fallen sieben Typen. Serienretoure, also Kaufen mit der festen Absicht, zurückzuschicken. Wardrobing, das Tragen und Zurückgeben. Bracketing, das Bestellen mehrerer Varianten, um eine zu behalten. Friendly Fraud, die falsche Behauptung, die Ware sei nie angekommen. Sabotage durch Mitbewerber, die große Mengen kaufen und am letzten Tag komplett zurückgeben. Dazu Bots, die Warenkörbe blockieren oder Preise abgreifen.
Keines davon ist ein Hack. Deine Firewall sieht nichts, dein Intrusion-Detection-System schweigt. Und genau deshalb fehlt das Thema in fast jeder Sicherheitsberatung für kleine Betriebe.
Fünf Kunden, fast die halbe Marge
Das eigentliche Problem ist die Konzentration. Nicht alle Kunden machen das, sondern ein paar wenige. Verschiedene Auswertungen zeigen, dass zwei bis fünf Prozent der Konten den Großteil der Retourenverluste verursachen.
Rechne es an einem typischen kleinen Shop durch. 500 Bestellungen im Monat, 80 Euro Warenkorb, 30 Prozent Marge. Fünf Konten, also ein Prozent der Kundschaft, bestellen dreimal im Monat und schicken 70 Prozent zurück. Das ergibt rund 558 Euro Belastung pro Monat aus Bearbeitung und Wertverlust, fast 6.700 Euro im Jahr. Der Umsatz dieser fünf Konten liegt bei etwa 14.400 Euro. Unterm Strich fressen sie fast die Hälfte der Marge dieses Segments. Fünf Leute, die sich vollkommen im Rahmen ihrer Rechte bewegen.
Warum es die Kleinen härter trifft
Das ist kein Zufall. Große Händler führen für jedes Kundenkonto ein Retouren-Scoring, teilen Betrugsdaten über Branchendatenbanken und beschäftigen eigene Teams. Zalando und Amazon sehen den Serienretournierer sofort. Der kleine Shop sieht ihn nicht, weil er pro Konto gar nicht misst.
In der Sprache der Kriminologie fehlt dem kleinen Shop der fähige Wächter. Je besser sich die Großen schützen, desto mehr weicht der Missbrauch auf die leichteren Ziele aus. Genau das ist dokumentiert, es gibt sogar Dienstleister, die Retourenbetrug im Auftrag abwickeln.
Das Widerrufsrecht ist eine Grenze, aber keine Falle
In der EU hast du eine Besonderheit, die US-Händler nicht kennen. Das vierzehntägige Widerrufsrecht nach Richtlinie 2011/83 und den Paragrafen 355 und 312g BGB gilt ohne Angabe von Gründen. Das kannst du per AGB nicht verkürzen.
Ausgeliefert bist du dem trotzdem nicht. Der Europäische Gerichtshof hat 2023 entschieden, dass ein nachweislich missbräuchlich ausgeübtes Widerrufsrecht seine Wirkung verlieren kann. Der BGH hat 2024 nachgezogen. Voraussetzung ist, dass du das Muster dokumentierst: Häufigkeit, Timing kurz vor Fristende, Verhalten, das nicht zur bloßen Prüfung der Ware passt. Ohne Doku kein Gegenargument.
Die billigste Verteidigung, die es gibt
Die gute Nachricht steckt genau da. Die Daten, die du brauchst, hast du längst. Jede Shop-Plattform speichert Retouren pro Konto. Es fehlt nur der Blick darauf.
Fang mit einer monatlichen Auswertung an. Retourenquote pro Konto, Rückgabegründe, Timing, auffällige Produkte. Damit springst du vom Nichtsehen zum Sehen. Danach kommen die günstigen Hebel. Rücksendekosten dem Kunden auferlegen, sauber vorab ausgewiesen. Eine Fotopflicht im Retourenportal, bevor du eine Erstattung für angeblich defekte Ware freigibst. Eine abgestufte Rückgaberegel nur für die wenigen auffälligen Konten. Gegen Bots reicht oft die kostenlose Stufe von Cloudflare mit Ratelimit und Geofilter, wobei du Suchmaschinen-Crawler durchlässt.
In meinem Modell senkt allein die Kombination aus Rücksendekosten und Fotopflicht die monatliche Belastung um rund 40 Prozent, bei etwa 100 Euro Aufwand. Das rechnet sich im ersten Monat.
Zum Mitnehmen
Ein kleiner Shop kann jede technische Sicherheitsempfehlung umsetzen und bleibt für diese Bedrohung trotzdem komplett offen. Verhaltensbasierte Bedrohungen sind ein wirtschaftliches und rechtliches Problem, kein technisches. Der erste Schritt kostet nichts außer einer halben Stunde im Monat: Schau dir die Retourenquote pro Kunde an. Die fünf Namen, die dir dann auffallen, kennst du bisher nur als schwierige Kunden. In Wahrheit sind sie dein größtes Margenleck.
Zur Studie
Das vollständige Paper „Behavioural Threats to SME Webshops Under EU Law“ ist am 2. November 2026 im Global Journal of Business and Integral Security, Vol. 9, Nr. 2, erschienen und frei zugänglich: zum Paper bei GBIS.
So zitierst du das Paper (APA, Angabe von GBIS):
Wilfahrt, P. (2026). Behavioural Threats To SME Webshops Under EU Law. Global Journal of Business and Integral Security, 9(2). Retrieved from https://gbis.ch/index.php/gbis/article/view/1028