Wenn Sie Tausende von „Ausstehenden“ Spenden schnell erscheinen sehen, sind Sie wahrscheinlich Opfer eines „Karten-Test“-Angriffs. Hierbei testen Bots Ihr Spendenformular mit gestohlenen Kreditkartennummern, um zu sehen, welche gültig sind.

Dieser Leitfaden behandelt die Bereinigung von Spam-Spenden und allgemeine Tipps für Lite- und Pro-Benutzer. Weitere Informationen darüber, wie Charitable weiterhin an Anti-Spam-Maßnahmen arbeitet, finden Sie gerne in unserem Blog.

⚠️ Wichtig: Backups & Verantwortung Bevor Sie Plugins zur Massenlöschung oder benutzerdefinierte Datenbank-Skripte ausführen, müssen Sie ein vollständiges Backup Ihrer Website erstellen. Wenn ein Bereinigungsvorgang unbeabsichtigt Daten entfernt oder die oben genannten Vorschläge das Problem nicht lösen, ist Ihr Sicherheitsnetz die Wiederherstellung Ihrer Website auf eine Version, die vor den Änderungen gespeichert wurde. Bitte beachten Sie, dass die Ausführung von Datenbankabfragen und Skripten von Drittanbietern auf eigenes Risiko erfolgt; WP Charitable ist nicht verantwortlich für Datenverlust, der aus diesen Vorgängen resultiert. Wenn Sie sich nicht sicher sind, wie Sie diese Tools verwenden, empfehlen wir dringend, einen Webentwickler zu konsultieren oder unser Support-Team zu kontaktieren, um Anleitung zu erhalten, bevor Sie fortfahren.

Inhaltsverzeichnis

Ausstehende Spenden entfernen

Wenn Sie eine große Menge an Spam-Spenden haben, wird nicht empfohlen, diese manuell im WordPress-Dashboard zu löschen. Dies wird wahrscheinlich Ihren Browser zum Absturz bringen oder Ihren Server überlasten.

Methode 1: Erweiterte Einstellungen von Charitable (Empfohlen)

Wenn Sie Charitable Pro (oder das Lite-Plugin mit dem Spam Blocker Add-on) verwenden, gibt es in den Einstellungen von Charitable -> Einstellungen -> Erweitert/Sonstiges eine Option „Spenden massenhaft entfernen“, mit der ALLE fehlgeschlagenen und ausstehenden Spenden in Ihrer WordPress-Installation entfernt werden können. Beachten Sie, dass dies auch legitime Spenden entfernen könnte, daher ist es am besten, vor der Verwendung dieser Funktion eine Prüfung durchzuführen.

Warnung: Dies entfernt dauerhaft alle Spenden aus allen Kampagnen.

Methode 2: Ein Plugin zur Massenlöschung verwenden (Empfohlen)

Der einfachste Weg, diese Datensätze zu entfernen, ohne Code anzufassen, ist die Verwendung eines kostenlosen Plugins, das für diesen Zweck entwickelt wurde. Wir empfehlen diese Option auch, da einige Plugins mehr Kontrolle darüber bieten, welche Elemente massenhaft gelöscht werden sollen.

1. Gehen Sie zu Plugins > Installieren und suchen Sie nach „Bulk Delete“ (ein solches Plugin ist WP Bulk Delete, aber verwenden Sie, was Ihren Bedürfnissen am besten entspricht).
2. Installieren und aktivieren Sie das Plugin.
3. Gehen Sie zu Bulk WP > Bulk Delete Posts.
4. Post-Typ auswählen: Wählen Sie Donations.
5. Post-Status auswählen: Wählen Sie Pending (oder charitable-pending).
6. Aktion wählen: Wählen Sie „In den Papierkorb verschieben“ oder „Dauerhaft löschen“.
7. Führen Sie die Löschung durch. Hinweis: Möglicherweise müssen Sie dies in Stapeln ausführen, wenn Ihr Server langsam ist.

Methode 3: Ein benutzerdefiniertes Skript verwenden (Fortgeschritten)

Wenn das Plugin mit dem Volumen Schwierigkeiten hat oder Sie eine codebasierte Lösung bevorzugen, können Sie unser Bereinigungsskript verwenden.

1. Installieren Sie das kostenlose WPCode Plugin.
2. Verwenden Sie den folgenden Code-Schnipsel, um ausstehende Spenden sicher direkt aus der Datenbank zu löschen:
   • Bereinigungsschnipsel in der WPCode-Bibliothek anzeigen

Wichtig: Sobald die Bereinigung abgeschlossen ist, denken Sie daran, den Schnipsel zu deaktivieren, damit er nicht weiter ausgeführt wird.

Schritte zur weiteren Prävention

Wir empfehlen, die Maßnahmen in dieser Reihenfolge zu implementieren:

DNS & Server (Die beste Verteidigung)

Der beste Ort, um einen Bot zu stoppen, ist, bevor er überhaupt Ihre WordPress-Website erreicht.

• Cloudflare: Wir empfehlen dringend, Ihre Website hinter Cloudflare zu schalten (deren kostenloser Plan ist ausgezeichnet). Er beinhaltet den „Bot Fight Mode“ und Ratenbegrenzung, die diese Angriffe auf DNS-Ebene blockieren können.
• Ihr Hosting-Anbieter: Kontaktieren Sie Ihren Hoster sofort. Er kann oft Angriffsmuster erkennen (z. B. Traffic aus einem bestimmten Land) und diese IP-Adressen auf Serverebene blockieren.

Allgemeine WordPress-Sicherheit

• Sicherheits-Plugins: Plugins wie Wordfence oder Solid Security verfügen über Traffic-Überwachungstools, die aggressives Bot-Verhalten erkennen und deren IPs automatisch blockieren können.

Charitable-spezifische Einstellungen

Wenn Sie eine kostenpflichtige Lizenz besitzen und Charitable (nicht das Pro-Plugin) verwenden, stellen Sie sicher, dass Sie die Spam Blocker-Erweiterung installiert haben.

• Ratenbegrenzung: Hilft, schnelle Einreichungen zu verhindern.
• CAPTCHA: Fügt Google reCAPTCHA oder hCaptcha zu Ihren Formularen hinzu.
• IP-Protokollierung: Protokolliert die IP-Adressen von Spendern, sodass Sie bestimmte Täter blockieren können.

Wenn Sie die kostenlose Version (Charitable Lite) verwenden, können Sie diese Einstellungen und Code-Schnipsel verwenden, um Barrieren zu schaffen:

• Mindestspendenbetrag erhöhen: Bots testen oft mit sehr kleinen Beträgen (z. B. 1,00 €), um die Transaktionen unbemerkt zu halten.
  • Gehen Sie zu Ihrem Kampagnen-Editor.
  • Suchen Sie den Tab Spendenoptionen.
  • Erhöhen Sie den Betrag für Vorgeschlagene Mindestspende (z. B. erhöhen Sie ihn von 1 € auf 5 € oder 10 €).
  • Hinweis: Obwohl hilfreich, können ausgefeilte Bots sich daran anpassen. Verlassen Sie sich also nicht ausschließlich darauf als Ihre einzige Verteidigung.
• Nach E-Mail-Muster blockieren: Wenn die Bots ein bestimmtes E-Mail-Muster verwenden (z. B. zufällige Buchstaben oder bestimmte Domains), können Sie diesen Schnipsel verwenden, um sie zu blockieren:
  • E-Mail-Blockierungs-Schnipsel anzeigen
• URL ändern: Das vorübergehende Ändern der URL Ihrer Spendenseite kann manchmal einen Bot stoppen, der auf einen bestimmten Link abzielt.

Beachten Sie, dass Charitable Pro-Benutzer einen „Sicherheit“-Tab haben, der viele der oben genannten Funktionen enthält. Zum Beispiel hier ist eine Anleitung zur erweiterten E-Mail-Validierung.

Schutz des Zahlungs-Gateways (Stripe & PayPal)

Ihr Zahlungsabwickler verfügt oft über erweiterte Tools, die Betrug blockieren können, bevor er Ihre Website überhaupt benachrichtigt. Beachten Sie, dass die untenstehenden Informationen zum Zeitpunkt der Erstellung korrekt sind – für die aktuellsten Informationen überprüfen Sie bitte die Websites Ihrer eigenen Gateway-Anbieter.

Stripe-Nutzer: Stripe Radar Stripe hat ein integriertes Tool zur Betrugserkennung namens Radar.

• Standard Radar (kostenlos): Ist in allen Stripe-Konten enthalten. Es verwendet maschinelles Lernen, um verdächtig aussehende Zahlungen zu blockieren. Sie können auch manuell bestimmte E-Mail-Adressen oder Karten zu einer „Blockierliste“ in Ihrem Stripe Dashboard unter Betrug & Risiko > Listen hinzufügen.
• Radar für Betrugsteams (kostenpflichtiges Upgrade): Diese Version ermöglicht es Ihnen, benutzerdefinierte Regeln zu schreiben.
  • Tipp: Wenn Sie feststellen, dass Bots dieselbe E-Mail-Domain verwenden (z. B. [email protected] oder [email protected]), können Sie eine Regel erstellen, um diese gesamte Domain zu blockieren.
  • KI-Assistent: Die kostenpflichtige Version enthält einen KI-Assistenten, mit dem Sie Anfragen in natürlicher Sprache eingeben können, wie z. B. „Alle Zahlungen blockieren, bei denen die E-Mail-Domain example.com lautet“, und er generiert die Regel für Sie.
  • Lesen Sie hier mehr über Stripe Radar.

PayPal-Nutzer: Betrugsschutz PayPal bietet ähnliche Schutzmaßnahmen für Geschäftskonten.

• Betrugsschutz: Gehen Sie zu Geschäftstools > Risiko verwalten > Betrugsschutz. PayPal bietet derzeit einen kostenlosen Betrugsschutzplan mit möglichen Upgrades.
• Sie können Filter einrichten, um Transaktionen basierend auf hohen Beträgen, Adressabweichungen (AVS) oder fehlgeschlagenen Karten-Sicherheitscode-Prüfungen (CVV) zu kennzeichnen oder abzulehnen. Wenn Sie feststellen, dass bestimmte E-Mail-Adressen oder IP-Adressen Sie wiederholt ins Visier nehmen, können Sie diese zu Ihren Negativlisten in den PayPal-Betrugsschutz-Einstellungen hinzufügen.
• Lesen Sie hier mehr über das PayPal-Betrugsmanagement.

Wir empfehlen, Ihre Website in den ersten 24-48 Stunden nach der Umsetzung von Änderungen genau zu beobachten. Wenn Sie feststellen, dass der Spam erneut beginnt, schalten Sie den Status Ihrer Kampagne sofort wieder auf „Entwurf“ zurück und erhöhen Sie Ihre Sicherheitseinstellungen (z. B. aktivieren Sie den „Under Attack Mode“ in Cloudflare).

Überprüfen Sie Ihre Stripe/PayPal Dashboards Während „Ausstehende“ Spenden in Charitable normalerweise darauf hinweisen, dass die Zahlung abgebrochen oder fehlgeschlagen ist, sollten Sie immer Ihr Stripe- oder PayPal-Dashboard direkt überprüfen. Stellen Sie sicher, dass während des Angriffs keine erfolgreichen Abbuchungen durchgegangen sind. Wenn Sie erfolgreiche unbefugte Abbuchungen feststellen, erstatten Sie diese sofort über den Zahlungsabwickler zurück, um spätere Streitgebühren oder Rückbuchungen zu vermeiden.

Ein Hinweis zu „Kartentests“ Bitte denken Sie daran, dass „Kartentests“ ein häufiges Problem sind, das die gesamte E-Commerce- und Spendenbranche betrifft und nicht nur Ihre spezifische Website. Bots suchen nach jedem offenen Formular, um gestohlene Daten zu testen. Durch die Kombination von serverseitiger Blockierung (wie Cloudflare) und den oben beschriebenen On-Site-Beschränkungen machen Sie Ihre Website zu einem unattraktiven Ziel und ermutigen die Bots, weiterzuziehen.

Sonstige Anfragen

Wenn Sie eine Version von Charitable, einschließlich Charitable Lite, verwenden und unser Support-Team zu Themen kontaktieren müssen, die nicht oben behandelt werden, können Sie gerne unser Support-Formular verwenden. Wenn die Anfrage sich auf Stripe bezieht, geben Sie gerne einen Geschäftsnamen und Informationen an, die mit dem Konto verbunden sind, das Sie zum Verbinden Ihrer Website mit Stripe über Charitable verwendet haben. Dies stellt sicher, dass ausgetauschte Informationen privat und sicher bleiben.