Seit dem 29. September 2026 bewerten wir Bestellungen im Privatkundenbereich mit einem Score. Die Schwelle steht jetzt fest. Wo dieser Text von der damaligen Beschreibung abweicht, gilt dieser Text. Den früheren Artikel findest du hier: Bestellbeschränkungen für Privatkunden.
Was sich an der Kasse ändert
- Unter 80 Punkten, ohne besonderen Anlass: an der Kasse ändert sich nichts.
- Ab 80 Punkten, oder wenn wir die Prüfung anfordern: die Bestellung geht weiter, sobald die Identität festgestellt ist.
- Du bist schon festgestellt: wir fragen nicht bei jeder Bestellung neu. Bei einem neuen Anlass können wir es erneut tun.
- Mengengrenzen aus dem September-Artikel gelten noch nicht. Ein Startdatum nennen wir vorher.
Ab wann wir prüfen
Der Score läuft von 0 bis 100. Jede Auffälligkeit zählt einmal, und zwar mit ihrem höchsten Wert. Über 100 hinaus wird nichts gespeichert.
- 25 Punkte: auffällig. Die Bestellung läuft weiter.
- 50 Punkte: hoch. Die Bestellung läuft weiter.
- 80 Punkte: wir halten die Bestellung an, bis die Identität festgestellt ist.
Eine Warnung ab 25 Punkten hält die Bestellung nicht an. Das hatten wir im September noch anders beschrieben.
Unter 80 Punkten können wir die Prüfung trotzdem verlangen, wenn ein konkreter Anlass vorliegt. Zum Beispiel passen Angaben nicht zusammen, jemand anderes benutzt das Konto, oder es gibt einen Treffer auf der Sperrliste. Ohne solchen Anlass verlangen wir sie nicht. Das steht in den AGB. Hältst du die Entscheidung für falsch, schreib ein Support-Ticket.
Solange die angeforderte Prüfung nicht durch ist, kommt diese Bestellung nicht zustande.
Was wir von dir brauchen
Die Prüfung läuft nicht im Shop, sondern bei einem Partner. Aktuell ist das Stripe Identity. Der Shop kann auch einen anderen Partner nutzen, zum Beispiel IDnow. Im Ablauf siehst du, wer die Schritte führt.
Von dir fordern wir dabei ausdrücklich:
- ein gültiges Ausweisdokument mit Foto: Führerschein, Personalausweis oder Reisepass
- ein Selfie, das mit dem Lichtbild auf dem Dokument abgeglichen wird
- die Aufnahme live mit der Kamera deines Geräts. Fertige Bilder hochzuladen reicht nicht.
- die Bestätigung deiner E-Mail-Adresse mit einem Code
- die Bestätigung deiner Telefonnummer mit einem Code
Ausweisbild und Selfie bleiben beim Partner. Wir speichern nur das Ergebnis, den Namen des Partners und eine Vorgangsnummer.
Welche Punkte es gibt
Verbindung
- Tor: 40
- VPN: 25
- Proxy, wenn nicht schon als VPN gezählt: 20
- Rechenzentrum oder Hosting, wenn nicht schon Tor oder VPN: 15
- IP-Adresse, die als missbräuchlich markiert ist: 15
Länder
- Verbindung und Rechnung weichen ab: 20
- Verbindung und Lieferung weichen ab, und das Lieferland ist nicht das Rechnungsland: 15
- Rechnung und Lieferung liegen in verschiedenen Ländern: 15
- Verbindung und das im Shop gewählte Land weichen ab, und das Shop-Land ist nicht das Rechnungsland: 10
- Der Shop ist auf Deutsch, die Verbindung kommt aber nicht aus Deutschland, Österreich, der Schweiz oder Liechtenstein: 10
Name. Punkte gibt es, wenn zwei Namen zu weniger als 60 Prozent übereinstimmen. Passt der Nachname, zählen nur die halben Punkte.
- Konto und Rechnung: 20
- Konto und Lieferung: 15
- Rechnung und Lieferung: 15
Adresse. Weichen Rechnung und Lieferung im selben Land ab, gibt das 10 Punkte. Eine Packstation oder Filiale zählt nicht als abweichende Adresse.
Bestellhäufigkeit. Es gilt nur die höchste passende Stufe. Die Bestellung, die du gerade abschließt, zählt mit.
- 2 Bestellungen in 72 Stunden: 50
- 3 Bestellungen in 72 Stunden: 80
- 3 Bestellungen in 7 Tagen: 60
- 5 Bestellungen in 7 Tagen: 80
- 7 Bestellungen in 7 Tagen: 100
Sperrliste und Sanktionen
- E-Mail, Benutzername oder Telefonnummer passen zu einem gesperrten Konto: die Bestellung nehmen wir nicht an.
- Die Adresse steht auf unserer Sperrliste: die Identität muss festgestellt sein, bevor es weitergeht. Das gilt besonders, wenn der Name derselbe ist.
- Der Name ähnelt nur einem Eintrag: 80 Punkte. Auch dann ist die Feststellung nötig.
- Sanktionsliste: stehen Name oder Adresse auf einer Liste, die für uns gilt, ist die Feststellung ebenfalls nötig. Die Bestellung können wir ablehnen. Bisher ist das nicht vorgekommen. Wir liefern nicht in Länder, die Deutschland sanktioniert.
Warum wir das tun
Wir werden dauerhaft gezielt angegriffen. Das sind keine zufälligen Massenscans, wie sie jedes größere Angebot treffen. Die Versuche wiederholen sich, werden enger und zielen auf dieselben Stellen. Nach diesem Muster gehen wir davon aus, dass jemand mit viel IT-Know-how, Zeit und Geld es auf uns abgesehen hat.
Dazu gehören SQL-Injection, Cross-Site-Scripting und Scans nach Umgebungs- und Passwortdateien. Die Anfragen werden über die Zeit genauer, nicht breiter. Technische Details, wie eine einzelne Anfrage aussieht, veröffentlichen wir nicht.
Heute früh, am Dienstag, 13. Oktober 2026, hat ein Angriff auf unsere Caching-Infrastruktur die Seite kurz lahmgelegt. Der Shop war danach wieder erreichbar. Auch dazu veröffentlichen wir keine technischen Details.
Wir verlassen uns dabei nicht allein auf Cloudflare. Die Logs der Webserver werden permanent überwacht. Verdächtige Anfragen nehmen wir in unsere eigene WAF auf. Ein eigenes KI-System wertet diese Muster mit aus. Die Server stehen in unserer eigenen Infrastruktur. Steigt die Last, können wir vertikal skalieren, also mehr Leistung auf den bestehenden Servern bereitstellen.
Falls du diesen Text liest, weil du die Angriffe fährst: das ist verschwendetes Geld, verschwendete Zeit und verschwendete Energie. Jeder weitere Versuch läuft in dieselbe Überwachung und macht die Abwehr nur enger. Davon wird ein Durchbruch nicht wahrscheinlicher.
Die Identitätsfeststellung ist einer der Schritte, mit denen wir Konten davor schützen, in dieses Muster zu geraten. Eine unauffällige Bestellung ist davon nicht betroffen.
AGB und Datenschutz
Die Regel steht in § 18 der AGB. Welche Daten der Partner verarbeitet und was wir speichern, steht in der Datenschutzerklärung.
Unsere Produkte bleiben ausschließlich für wissenschaftliche, analytische und Laborforschung bestimmt.
Euer Remicals.de Team