In der Entwicklung stehen gerade fünf Themen nebeneinander. Sie hängen zusammen, keines ist nur der Anhang eines anderen: die Identitätsfeststellung an der Kasse, die Abwehr gezielter Angriffe, das KI-System im Support, der Telefonagent und der Meilenstein für Version 3.0 der Shop-Software.
Die ausführlichen Punktwerte der Identitätsfeststellung stehen zusätzlich in einem eigenen Beitrag: Identitätsfeststellung: geltende Regeln, Score und Prüfpartner. Wo sich die beiden Texte widersprechen, gilt dieser Beitrag. Er ist der neuere Stand.
Identitätsfeststellung
Seit dem 29. September 2026 bewerten wir Bestellungen im Privatkundenbereich mit einem Score von 0 bis 100. Der Score ist ein internes Maß dafür, wie gut die Angaben einer Bestellung zusammenpassen. Er ist kein Urteil über dich als Person.
Punkte entstehen aus der Verbindung, aus Ländern, aus Namen, aus Adressen und aus der Bestellhäufigkeit. Jede Auffälligkeit zählt einmal, und zwar mit ihrem höchsten Wert. Über 100 hinaus wird nichts gespeichert.
- Unter 80 Punkten, ohne besonderen Anlass: an der Kasse ändert sich nichts. Auch 25 oder 50 Punkte halten die Bestellung nicht an. Eine Warnung ist ein Hinweis für uns, keine Sperre für dich.
- Ab 80 Punkten, oder wenn wir die Prüfung aus einem konkreten Anlass anfordern: die Bestellung geht weiter, sobald die Identität festgestellt ist. Solange die angeforderte Prüfung nicht durch ist, kommt diese Bestellung nicht zustande.
- Du bist schon festgestellt: wir fragen nicht bei jeder Bestellung neu. Liegt später ein neuer Anlass vor, können wir die Feststellung erneut verlangen.
- Mengengrenzen aus dem September-Artikel gelten noch nicht. Ein Startdatum nennen wir vorher, nicht erst wenn es schon gilt.
Unter 80 Punkten können wir die Prüfung trotzdem verlangen, wenn ein konkreter Anlass vorliegt. Zum Beispiel passen Angaben nicht zusammen, jemand anderes benutzt das Konto, oder es gibt einen Treffer auf der Sperrliste. Ohne solchen Anlass verlangen wir sie nicht. Das steht in § 18 der AGB. Hältst du die Entscheidung für falsch, schreib ein Support-Ticket. Wir prüfen den Vorgang dann noch einmal.
Die Prüfung läuft nicht im Shop, sondern bei einem Partner. Aktuell ist das Stripe Identity. Der Shop kann auch einen anderen Partner nutzen, zum Beispiel IDnow. Im Ablauf siehst du, wer die Schritte führt.
Von dir brauchen wir ein Ausweisdokument mit Foto, also Führerschein, Personalausweis oder Reisepass, und ein Selfie, das live mit der Kamera deines Geräts aufgenommen wird. Fertige Bilder hochzuladen reicht nicht. Ausweisbild und Selfie bleiben beim Partner. Wir speichern das Ergebnis, den Namen des Partners und eine Vorgangsnummer. Zusätzlich bestätigst du E-Mail-Adresse und Telefonnummer mit einem Code.
Sperrliste und Sanktionen
- E-Mail, Benutzername oder Telefonnummer passen zu einem gesperrten Konto: die Bestellung nehmen wir nicht an.
- Die Adresse steht auf unserer Sperrliste: die Identität muss festgestellt sein, bevor es weitergeht. Das gilt besonders, wenn der Name derselbe ist.
- Der Name ähnelt nur einem Eintrag: das ergibt 80 Punkte. Auch dann ist die Feststellung nötig.
- Sanktionsliste: stehen Name oder Adresse auf einer Liste, die für uns gilt, ist die Feststellung ebenfalls nötig. Die Bestellung können wir ablehnen. Bisher ist das nicht vorgekommen. Wir liefern nicht in Länder, die Deutschland sanktioniert.
Eine unauffällige Bestellung mit zusammenpassenden Angaben läuft weiter wie bisher. Die Feststellung ist die Ausnahme mit Anlass, nicht der Normalfall an der Kasse.
Gezielte Angriffe
Wir werden dauerhaft gezielt angegriffen. Das sind keine zufälligen Massenscans, wie sie jedes größere Angebot im Netz treffen. Die Versuche wiederholen sich, werden enger und zielen auf dieselben Stellen. Nach diesem Muster gehen wir davon aus, dass jemand mit viel IT-Know-how, Zeit und Geld es auf uns abgesehen hat.
Dazu gehören SQL-Injection, Cross-Site-Scripting und Scans nach Umgebungs- und Passwortdateien. Über die Zeit werden die Anfragen genauer, nicht breiter. Wären das die üblichen Massenscans, würden wir darüber nicht schreiben. Technische Details, wie eine einzelne Anfrage aussieht, veröffentlichen wir nicht. Solche Details helfen dem nächsten Versuch und den Kundinnen nicht.
Heute früh, am Dienstag, 13. Oktober 2026, hat ein Angriff auf unsere Caching-Infrastruktur die Seite kurz lahmgelegt. Der Shop war danach wieder erreichbar. Auch dazu veröffentlichen wir keine technischen Details. Betroffen war die Erreichbarkeit der Seiten, nicht dein Konto und nicht eine einzelne Bestellung.
Wir verlassen uns dabei nicht allein auf Cloudflare. Die Logs der Webserver werden permanent überwacht. Verdächtige Anfragen nehmen wir in unsere eigene WAF auf. Ein eigenes KI-System wertet diese Muster mit aus. Die Server stehen in unserer eigenen Infrastruktur. Steigt die Last, können wir vertikal skalieren, also mehr Leistung auf den bestehenden Servern bereitstellen.
DDoS-Angriffe bleiben daneben ein eigenes Thema. Sie zielen nicht auf eine einzelne Lücke in der Software, sondern darauf, den Shop durch schiere Last unerreichbar zu machen. Das ist kein einmaliger Vorfall, den wir mit dem heutigen Morgen gleichsetzen. Es ist ein dauerhaftes Thema neben den gezielten Zugriffen auf die Anwendung. Auch dafür gilt: die Abwehr hängt nicht allein an Cloudflare. Die eigene Infrastruktur können wir vertikal skalieren, wenn die Last steigt. Eine Garantie, dass jede Welle folgenlos bleibt, geben wir nicht. Wir sagen, worauf die Abwehr steht und dass wir sie mit der Last mitziehen.
Falls du diesen Text liest, weil du die Angriffe fährst: das ist verschwendetes Geld, verschwendete Zeit und verschwendete Energie. Jeder weitere Versuch läuft in dieselbe Überwachung und macht die Abwehr enger. Davon wird ein Durchbruch nicht wahrscheinlicher. Für alle anderen gilt: eine gewöhnliche Bestellung ist nicht der Gegenstand dieser Angriffe.
KI im Support
Im Support nutzen wir ein KI-System, das wir selbst betreiben. Es besteht aus lokalen Modellen, einem LLM-Router und einem Privacy-Proxy. Diese drei Teile laufen auf unserer eigenen Infrastruktur. Nicht jeder Prompt verlässt unsere Server. Was ein lokales Modell beantwortet, bleibt bei uns.
Geht ein Prompt an einen externen Dienst, etwa die API von OpenAI oder Anthropic, läuft er über den Privacy-Proxy. Vorher werden Kundendaten pseudonymisiert. Name, E-Mail-Adresse, Telefonnummer und Anschrift stehen in diesem Prompt nicht im Klartext. Pseudonymisiert heißt nicht anonym. Ein Bezug kann bei uns weiter bestehen. Beim externen Dienst soll er aus dem Prompt selbst nicht mehr herstellbar sein.
Ein konkreter Einsatz ist die Zusammenfassung von Support-Tickets. Die Zusammenfassung hilft uns, eine längere Anfrage schneller zu erfassen und gleichmäßig zu bearbeiten. Sie ersetzt nicht deine Schilderung und sie entscheidet nicht, ob eine Bestellung angenommen oder abgelehnt wird. Die Entscheidung über eine Bestellung bleibt ein eigener Vorgang, den du über den Support beanstanden kannst.
Welche Daten dabei verarbeitet werden, auf welcher Rechtsgrundlage, und wer Empfänger ist, steht in der Datenschutzerklärung, im Abschnitt zum selbst betriebenen KI-System.
Telefon
Am Telefon erreichst du den KI-Telefonagenten von Sipgate. Er ergänzt die Erreichbarkeit. Er ersetzt weder ein Support-Ticket noch die Kasse.
Beim Start des Gesprächs liegt ihm der öffentliche Stand des Shops vor. Dazu gehören Geschäftszeiten, Schließzeiten und Firmenurlaub, aktuelle News, häufige Fragen und die Rechtstexte. Außerdem die aktiven Versand- und Zahlungsarten mit Beschreibung, die Versandpreise und Gebühren, und bei Produkten mit Bestand oder Vorbestellung die Verfügbarkeit sowie die Preise je Variante, netto und brutto. Stückzahlen nennt er nicht. Gruppenpreise gelten erst für ein bestätigtes Konto und stehen in diesem ersten Abruf nicht.
Während des Gesprächs kann er live im Shop nachsehen. Das sind die Funktionen, nicht mehr:
- Konto und Status. Name, E-Mail und deine letzten Bestellungen. Auf Nachfrage auch, ob dein Konto aktiv ist, ob die E-Mail bestätigt ist, welche Kundengruppe gilt, ob die Zwei-Faktor-Anmeldung an ist, ob die Altersprüfung durch ist, welche Sprache gilt und seit wann das Konto besteht.
- Bestellungen. Eine bestimmte Bestellung, die letzte oder eine Liste deiner Bestellungen. Eine Bestellung lässt sich auch über eine Ticketnummer oder eine Sendungsnummer finden. Genannt werden die kurze Referenz, der Status und, ob bezahlt und ob versendet. Den Betrag nur, wenn du danach fragst.
- Sendung. Ob eine Sendungsnummer vorliegt, der aktuelle Status, ob das Paket zugestellt ist, und der Tracking-Link, wenn du ihn hören willst. Liegt keine Sendung vor, sagt er das und kann ein Ticket anbieten.
- Bestehende Tickets. Die offenen Anfragen zu deinem Konto, oder ein einzelnes Ticket anhand der Nummer, mit Status und der letzten öffentlichen Nachricht.
- Neues Ticket. Nur wenn du E-Mail, Betreff und Text gehört hast und ja sagst. Danach nennt er die Ticketnummer. Eine bloße Frage legt kein Ticket an.
Die Telefonnummer findet ein Konto, wenn sie dort hinterlegt ist.
Adressen, Zahlungsreferenzen und interne Notizen gibt er nicht heraus. Erstattungen, Adressänderungen und Stornos führt er nicht aus.
Wenn etwas unklar bleibt, die Auskunft nicht zu deiner Bestellung passt oder du eine Entscheidung beanstanden willst, erreichst du uns weiter über ein Ticket. Nenne dort die Bestellnummer und den Zeitpunkt des Anrufs.
Shop-Software 3.0
Wir haben mit dem Meilenstein für Version 3.0 der Shop-Software angefangen. Das ist der Beginn der Arbeit, nicht die Veröffentlichung. Ein Termin steht noch nicht. Bis dahin läuft der Shop in der Fassung, die du heute benutzt. Diese Fassung bleibt erreichbar, bis der Umzug fertig ist.
Heute ist der Shop eine Anwendung. Sie liefert die Seite an den Browser und setzt sie im Moment des Aufrufs zusammen. Dafür fragt sie Inhalte, Kundendaten und die Anmeldung ab, auch dann, wenn die Seite davon kaum etwas braucht. Zusätzlich wartet sie auf Schnittstellen anderer Anbieter. Solange eine davon nicht antwortet, ist die Seite nicht fertig. Diese Abfragen laufen nacheinander im selben Aufruf. Das Ergebnis legt sie in einen Cache, damit der nächste Aufruf schnell ist. Ist der Cache noch leer, oder hat sich der Inhalt geändert, dauert genau dieser Aufruf sehr lange. Die Seite wird dann erst in diesem Moment zusammengesetzt, und sie wartet dabei auf diese Schnittstellen. Danach lädt sie aus dem Cache zügig. Fällt der Cache aus, fällt die Seite mit aus. Das war am Dienstag, 13. Oktober 2026 der Fall, als ein Angriff auf genau diese Schicht den Shop kurz unerreichbar gemacht hat.
In Version 3.0 wird diese Anwendung zur Business-API. Technisch bleibt das Phalcon, aber sie liefert kein HTML mehr an den Browser. Die Fachlogik sitzt dort an einer Stelle. Das Shop-Frontend wird ein schlankes Astro.js. Es stellt nur dar, was die API liefert. Es kennt keine Fachregeln und spricht Inhalte, Anmeldung, Kundendaten und die übrigen Dienste nicht direkt an.
Ein Aufruf an die Business-API liefert Inhalt und Daten fertig. Seiteninhalte kommen mit bereits eingesetzten Variablen, so wie du die Seite heute siehst. Was heute nacheinander von anderen Schnittstellen geholt wird, bündelt die API in diesem einen Aufruf. Damit fallen die langen Wartezeiten weg, die entstehen, weil Formulare und Seiten im selben Aufruf nacheinander auf fremde Schnittstellen warten.
Das Ziel sind kürzere Ladezeiten, auch beim ersten Aufruf nach einer Änderung. Die Seite wartet nicht mehr selbst, Abfrage für Abfrage, auf fremde Schnittstellen. Die API wird das bündeln.
Wo das steht
Die Identitätsfeststellung steht in § 18 der AGB. Das KI-System, der Telefonagent und die dafür verarbeiteten Daten stehen in der Datenschutzerklärung.
Unsere Produkte bleiben ausschließlich für wissenschaftliche, analytische und Laborforschung bestimmt.
Euer Remicals.de Team