Marktplatz sicher betreiben: Hosting, Backups, DSGVO

Ein Marktplatz, der an einem Samstagabend ausfällt, verliert die Buchungen des Wochenendes und ein Stück Vertrauen seiner Anbieter. Stabilität wählt man vor der Eröffnung: wer die Website hostet, wer sie aktualisiert, wo die Daten liegen und was die DSGVO dafür verlangt, wer das Geld anfasst, was Sie mitnehmen, wenn Sie eines Tages gehen. Dieser Ratgeber des Teams von Marketplace Factory, das vollständige Marktplätze aus einem Satz erstellt und für seine Kunden hostet, geht durch das, was einen Marktplatz zu Fall bringt, die fünf Garantien, die Sie von jedem Werkzeug verlangen sollten, was wir übernehmen, was bei Ihnen bleibt, und wie Sie mit allem gehen können.

Was einen Marktplatz zu Fall bringt

Spektakuläre Ausfälle sind selten. Was einen Marktplatz zu Fall bringt, sind fast immer einfache Dinge, für deren Überwachung niemand zuständig war:

1. Ein vergessenes Update. Eine Website aus CMS, Theme und Erweiterungen muss den Sicherheitsupdates jedes Teils folgen; eine verwaiste Erweiterung, oder ein Update, das eine andere bricht, genügt, um die Zahlungen zu blockieren.
2. Ein gestohlenes Administratorkonto. Ein anderswo wiederverwendetes Passwort, keine Zwei-Faktor-Authentifizierung, und jemand veröffentlicht, löscht oder ändert an Ihrer Stelle.
3. Verlorene Daten ohne brauchbare Sicherung. Ein Bedienfehler, eine beschädigte Datenbank, und die letzte Sicherung ist einen Monat alt, oder wurde nie getestet.
4. Geld, das falsch fließt. Für Ihre Anbieter über Ihr eigenes Bankkonto zu kassieren, rückt Sie in die Nähe erlaubnispflichtiger Zahlungsdienste; unser Artikel zur Zahlungsabwicklung auf einem Marktplatz erklärt, wie Sie das vermeiden.
5. Eine Verkehrsspitze. Ein Fernsehauftritt, eine erfolgreiche Kampagne, und ein zu knappes Hosting gibt im schlechtesten Moment nach.
6. Eine Schlüsselperson, die geht. Der Entwickler mit den Zugängen, die Domain auf seinen Namen, die einzige Kopie des Codes auf seinem Rechner.

Keiner dieser Ausfälle ist Schicksal. Jedem beugt eine Frage vor, gestellt, bevor Sie Ihr Werkzeug wählen.

Die fünf Garantien, die Sie von jedem Werkzeug verlangen sollten

Stellen Sie vor der Wahl einer Software, eines Hosters oder einer Agentur diese fünf Fragen. Die Antworten müssen schriftlich vorliegen, in einem Vertrag oder auf einer öffentlichen Seite, nicht nur am Telefon versprochen.

1. Wer hostet, und wer wartet?

Die Website muss von jemandem gehostet und aktualisiert werden, dessen Beruf das ist, mit einer schriftlichen Reaktionszeit bei Problemen. Vorsicht bei „Updates inklusive“, die sich als Stundenkontingent entpuppen: Fragen Sie, wer ein Sicherheitsupdate einspielt, und in welcher Frist.

2. Wo liegen die Daten, und bei wem?

Ihre Daten und die Ihrer Nutzer müssen in einem Rahmen bleiben, den Sie erklären können: Hosting in der Europäischen Union, benannte Auftragsverarbeiter, geregelte Übermittlungen außerhalb der Union. Im Sinne der DSGVO sind Sie Verantwortlicher für die Daten Ihrer Nutzer und der Anbieter Ihres Werkzeugs Ihr Auftragsverarbeiter: Nach Artikel 28 verarbeitet er sie nur auf Ihre dokumentierte Weisung und zieht weitere Auftragsverarbeiter nur mit Ihrer Genehmigung hinzu. Seine Zusagen und die Liste seiner eigenen Auftragsverarbeiter müssen schriftlich vorliegen. Ihre übrigen Pflichten stehen in unserem Ratgeber zu den rechtlichen Pflichten eines Marktplatzes.

3. Die Sicherungen: wie oft, wie lange?

Die DSGVO verlangt in Artikel 32 unter anderem „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“. Fragen Sie nach Häufigkeit, Aufbewahrungsdauer und Art der Wiederherstellung: Eine Sicherung, die man nicht wiederherzustellen weiß, schützt vor nichts.

4. Sind die Zugänge geschützt?

Zwei-Faktor-Authentifizierung für Administratoren, getrennte Rollen für die, die verwalten, und die, die moderieren, verschlüsselte Geheimnisse. Das BSI empfiehlt die Zwei-Faktor-Authentisierung und schreibt, dass vor allem hardwaregestützte Verfahren ein hohes Maß an Sicherheit bieten, ergänzend zu einem starken Passwort.

5. Wer fasst das Geld an?

Das Geld Ihrer Käufer muss über einen zugelassenen Zahlungsdienstleister laufen, auf ein Konto auf Ihren Namen, nie auf das des Softwareanbieters. Und Kartennummern dürfen nie über Ihre Website laufen. Stripe zum Beispiel ist nach PCI Service Provider Level 1 zertifiziert, laut Stripe die strengste Zertifizierungsstufe der Zahlungsbranche; auf einem mit Marketplace Factory erstellten Marktplatz wird die Karte auf der sicheren Seite von Stripe eingegeben, und keine Kartendaten laufen über Ihre Website.

Was Marketplace Factory übernimmt

Hosting und Wartung

Ihr Marktplatz wird für Sie gehostet und gewartet: nichts zu installieren, nichts zu aktualisieren, keine Zeile Code. Ihr Impressum nennt Marketplace Factory als Hosting-Anbieter. Der Support antwortet per Ticket aus Ihrem Konto, binnen 48 Arbeitsstunden bei „Start“ und „Pro“; bei „Dedicated“ per WhatsApp und Ticket, sieben Tage die Woche von 9 bis 20 Uhr, mit einer ersten Antwort binnen 4 Stunden in diesen Zeiten.

Daten in Europa, benannte Auftragsverarbeiter

API, Datenbank und Dateien laufen bei Amazon Web Services in Stockholm; die Anwendung wird von Vercel ausgeliefert, mit ihren Funktionen in Stockholm, und die Seiten über das weltweite Netz von Vercel, damit sie schnell bei jedem Besucher ankommen; für Übermittlungen in die USA stützt sich Vercel auf Standardvertragsklauseln und den EU-US-Datenschutzrahmen. Zahlungen laufen über Stripe, E-Mails über Brevo, die künstliche Intelligenz über Anthropic und Google, die nur erhalten, was die Aufgabe erfordert, niemals Ihre Konto- oder Zahlungsdaten. Jeder Auftragsverarbeiter, seine Rolle und sein Verarbeitungsort stehen in unserer Datenschutzerklärung, mit unseren Sicherheitsmaßnahmen: verschlüsselte Übertragungen, irreversibel verschlüsselte Passwörter, getrennte Daten für jeden Marktplatz, beschränkte und protokollierte Zugriffe.

Sicherungen jeden Tag

Ihre Daten werden jeden Tag automatisch gesichert. Die Datenschutzerklärung nennt die Details: Datenbanksicherungen werden dreißig Tage aufbewahrt, minutengenau wiederherstellbar, und danach gelöscht; ein gelöschtes Foto bleibt dreißig Tage lang wiederherstellbar.

Geschützte Zugänge, ein verschlüsselter Stripe-Schlüssel

• Die Zwei-Faktor-Authentifizierung für jeden Administrator: Einmal aktiviert, bleibt das Backoffice ohne den Code geschlossen.
• Ein Team mit Rollen: eingeladene Administratoren und Moderatoren, jeweils mit eigener Rolle; 2 Administratoren inklusive bei „Start“, 10 bei „Pro“.
• Ihr Stripe-Schlüssel, sofort beim Empfang verschlüsselt: Wir zeigen nur noch die letzten vier Zeichen, nur der Kontoinhaber kann ihn verbinden oder ändern, und der Bildschirm lässt höchstens fünf Schlüsselversuche pro Stunde zu, damit er nie zum Testen gestohlener Schlüssel dient.
• Trennen ohne Spuren: Trennen Sie Stripe, wird der Schlüssel gelöscht, nichts von uns bleibt auf Ihrem Stripe-Konto, und Ihre Website wechselt in den Anfragemodus.

Das Geld auf Ihrem Stripe, nie bei uns

Die Zahlungen landen auf Ihrem eigenen Stripe-Konto, mit Stripe Connect: Ihre Anbieter aktivieren ihre Auszahlungen in ihrem Bereich, und Ihre Provision, von 0 bis 50 %, wird bei jeder Zahlung automatisch einbehalten. Marketplace Factory berührt das Geld Ihrer Verkäufe nie. Unser Anteil, 2 % bei „Start“, 1,5 % bei „Pro“, 1 % bei „Dedicated“, betrifft nur, was Ihre Kunden online bezahlen; er wird Ihnen einmal im Monat gesondert in Rechnung gestellt und kommt nie zu dem Preis hinzu, den Ihre Kunden zahlen. Bei einer Vermietung, einem Aufenthalt oder einer Leistung wird der Anbieter nach Beginn oder Ende der Leistung bezahlt: Meldet ein Kunde vor dieser Auszahlung ein Problem, wartet das Geld auf die Entscheidung Ihres Teams.

Was jeder Tarif enthält

Die Details stehen auf der Preisseite. Während der Beta testen Sie alles, ohne etwas zu bezahlen: Die Zahlungen laufen im Testmodus.

Was bei Ihnen bleibt

Ein solides Werkzeug schützt nicht vor einem Passwort auf einem Klebezettel. Fünf Handgriffe gehören Ihnen:

1. Halten Sie die Liste Ihres Teams aktuell. Laden Sie nur die Personen ein, die es braucht, geben Sie jeder die richtige Rolle (moderieren ist nicht verwalten), und entziehen Sie den Zugang von Personen, die gehen, sofort.
2. Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihr Konto, und bitten Sie jeden Administrator, seine zu aktivieren.
3. Wählen Sie lange, einzigartige Passwörter, verwaltet in einem Passwortmanager. Das BSI gibt eine Orientierung: 8 bis 12 Zeichen mit vier Zeichenarten, oder 20 bis 25 Zeichen mit zwei, und jedes Passwort nur für einen Zugang.
4. Schützen Sie Ihr Stripe-Konto wie ein Bankkonto. Stripe bietet mehrere Formen der Mehr-Faktor-Authentifizierung an und empfiehlt Passkeys oder Hardware-Sicherheitsschlüssel, weil sie gegen Phishing geschützt sind.
5. Behalten Sie die Hand auf Ihrer Domain, wenn Sie ab „Pro“ eine anbinden: auf den Namen Ihres Unternehmens registriert, bei Ihrem Registrar automatisch verlängert.

Eine Gewohnheit dazu: Exportieren Sie Ihre Daten einmal im Monat und legen Sie das Archiv zu Ihren Buchhaltungsunterlagen. Sie sollten es nie brauchen; an dem Tag, an dem Sie es brauchen, ist es da.

Mit allem gehen können

Ein solider Marktplatz ist auch einer, den man verlassen kann. Bei Marketplace Factory:

• Ihre Daten gehören Ihnen. „Meine Daten exportieren“ liefert Ihre Inserate, Bestellungen, Kunden, Zahlungen und Nachrichten als Tabellen, die sich in Excel öffnen lassen, und Ihre Fotos in einem Archiv, in jedem Tarif und wann Sie wollen.
• Kündigen nimmt Sie nicht in Geiselhaft. „Start“ und „Pro“ sind bei monatlicher Zahlung jederzeit kündbar, wirksam zum Ende des bezahlten Monats; Ihr Marktplatz geht dann offline, und der Export bleibt dreißig Tage offen.
• Die Pause statt der Schließung. Für ein Saisongeschäft, mit einem Monatsabo, kostet die Pause 29 € netto im Monat, höchstens sechs Monate im Jahr: Die Website zeigt eine Rückkehr-Nachricht, Ihre Daten, Fotos und Ihre Domain bleiben erhalten, und Sie öffnen mit einem Klick wieder.
• Der Quellcode, zu einem vorab bekannten Preis. Wollen Sie eines Tages den Code Ihres Marktplatzes übernehmen, mit den Funktionen seiner Branche, ohne Studio und ohne Generator, kostet er sechsunddreißig Monate „Dedicated“, im Voraus bezahlt, mit einer optionalen Wartung für 20 % dieses Preises pro Jahr.

Zum Vergleich: Ein Marktplatz auf WordPress lässt Ihnen den Code, aber auch Hosting, Updates, Sicherungen und Sicherheit. Eine Individualentwicklung lässt Ihnen alles, auch die Pflege jeder Zeile. Den vollständigen Vergleich der Lösungen finden Sie in unserem Vergleich der Marktplatz-Software.

Kurz gesagt

Ein Marktplatz, der hält, ist zuerst ein Marktplatz, um den sich jemand jeden Tag kümmert. Mit Marketplace Factory sind Hosting, Wartung, Sicherungen und der Schutz der Zugänge unser Beruf; das Geld bleibt auf Ihrem Stripe-Konto, Ihre Daten in Europa, und die Tür nach draußen bleibt offen. Ihre Zeit gehört dem, was einen Marktplatz lebendig macht: Ihren Anbietern und Ihren Kunden. Für die Regeln, die Ihre Nutzer bei der Anmeldung akzeptieren, lesen Sie unseren Ratgeber AGB für Online-Marktplätze.