Wie sicher ist eine Ticketing-Plattform wirklich? Die Fragen, die du jedem Anbieter stellen solltest

Wenn Veranstalter:innen eine Ticketing-Plattform vergleichen, geht die Checkliste meist so: Wie hoch ist die Gebühr? Wie schnell kommt das Geld an? Gibt es Rabattcodes, mehrere Ticketkategorien, eine ordentliche Statistik? Sicherheit taucht auf dieser Liste selten auf – bis zu dem Moment, in dem etwas schiefgeht. Dann ist es zu spät, danach zu fragen.

Dabei hängt an einem Veranstalter-Account bei einer Ticketing-Plattform mehr, als man auf den ersten Blick denkt: Zugriff auf alle Käuferdaten deiner Fans, auf deine Event- und Umsatzhistorie, im schlimmsten Fall sogar mittelbar auf Zahlungsflüsse. Ein kompromittierter Account ist kein abstraktes IT-Problem, sondern ein sehr konkretes Risiko für dein Geschäft und für die Menschen, die bei dir ein Ticket gekauft haben.

Dieser Artikel ist kein Vergleich zwischen Anbietern und nennt auch keine Namen. Er ist eine Checkliste: vier konkrete Fragen, die du jedem Ticketing-Anbieter stellen kannst, bevor du dich entscheidest – plus, wie TCKTNEST sie beantwortet.

Frage 1: Wie werden Passwörter gespeichert?

Das ist die grundlegendste Frage überhaupt, und trotzdem stellt sie kaum jemand. Der Punkt dahinter: Passwörter sollten niemals im Klartext oder in einer umkehrbaren Form gespeichert werden, sondern immer über ein Hash-Verfahren. Ein guter Hash lässt sich nicht zurückrechnen – selbst wer die komplette Datenbank in die Hände bekommt, sieht keine Passwörter, sondern nur unbrauchbare Zeichenketten.

Wichtig dabei ist nicht nur, dass gehasht wird, sondern wie. Veraltete oder zu schnelle Hash-Verfahren lassen sich mit genug Rechenleistung durchprobieren. Etablierte, für genau diesen Zweck gebaute Verfahren mit ausreichend hohem "Kostenfaktor" machen das absichtlich langsam und damit für Angreifer unattraktiv.

Wie TCKTNEST das beantwortet: Passwörter werden bei uns mit bcrypt gehasht, mit einem Kostenfaktor von 12. Im Klartext gespeichert wird nie irgendetwas – nicht in der Datenbank, nicht in Logs, nicht in Backups. Selbst wir als Betreiber sehen dein Passwort zu keinem Zeitpunkt.

Was du fragen solltest: "Womit werden Passwörter gehasht, und mit welchem Aufwandsfaktor?" Eine vage Antwort wie "das ist verschlüsselt" ist kein gutes Zeichen – Verschlüsselung und Hashing sind zwei unterschiedliche Dinge, und bei Passwörtern will man Letzteres.

Frage 2: Wer verarbeitet die Zahlungsdaten – und sieht die Plattform Kartendaten?

Bei Ticketverkauf fließt Geld, meist per Kreditkarte oder Lastschrift. Die entscheidende Frage ist, wer die eigentlichen Zahlungsdaten – Kartennummer, Ablaufdatum, CVC – tatsächlich zu Gesicht bekommt. Je weniger Stellen diese Daten je berühren, desto kleiner die Angriffsfläche. Die Referenz dafür ist der PCI-DSS-Standard, an den sich große, spezialisierte Zahlungsdienstleister halten.

Wie TCKTNEST das beantwortet: Kartendaten laufen bei uns niemals über eigene Server. Die gesamte Zahlungsabwicklung übernimmt Stripe, ein PCI-DSS-zertifizierter Zahlungsdienstleister. TCKTNEST bekommt vom eigentlichen Bezahlvorgang nur die Information "Zahlung erfolgreich" oder "fehlgeschlagen" zurück – nie die Kartendaten selbst. Das Geld landet über Stripe Connect zudem direkt auf deinem eigenen Stripe-Konto, nicht auf einem Sammelkonto der Plattform.

Was du fragen solltest: "Verarbeitet ihr Kartendaten selbst, oder läuft das komplett über einen zertifizierten Zahlungsdienstleister?" Eine Plattform, die eigene Kartendatenformulare baut statt auf einen zertifizierten Anbieter zu setzen, sollte zumindest erklären können, warum, und mit welcher Zertifizierung.

Frage 3: Gibt es Zwei-Faktor-Authentifizierung (2FA)?

Ein Passwort allein ist immer nur eine einzelne Barriere. Wird es durch Phishing, ein wiederverwendetes Passwort aus einem anderen Datenleck oder schlicht durch Erraten kompromittiert, ist der Account offen – es sei denn, es gibt eine zweite, unabhängige Sicherheitsstufe. Genau das leistet 2FA: ein zusätzlicher Code aus einer Authenticator-App, den ein Angreifer selbst mit dem richtigen Passwort nicht hat.

Wie TCKTNEST das beantwortet: Organisatoren können 2FA auf TOTP-Basis in den Einstellungen aktivieren – kompatibel mit Google Authenticator, Authy, 1Password und jeder anderen Standard-Authenticator-App. Die Einrichtung zeigt einen QR-Code; nach Bestätigung mit einem gültigen 6-stelligen Code ist 2FA aktiv, und du bekommst acht Backup-Codes, die genau einmal angezeigt werden – für den Fall, dass du keinen Zugriff auf dein Gerät mit der Authenticator-App hast. Ist 2FA einmal aktiv, braucht der Login Passwort und Code. Deaktivieren lässt sich 2FA nur mit erneuter Eingabe des aktuellen Passworts. Die Funktion ist optional und muss von dir selbst eingeschaltet werden – sie ist kein Zwang, aber verfügbar, sobald du sie willst.

Was du fragen solltest: "Gibt es 2FA für den Organizer-Account, und wie ist der Wiederherstellungsprozess bei einem verlorenen Gerät geregelt?" Backup-Codes oder ein vergleichbarer Fallback-Mechanismus sind hier der entscheidende Unterschied zwischen einer durchdachten Umsetzung und einer, die dich im Ernstfall aussperrt.

Frage 4: Wie sind Sessions abgesichert?

Nach dem Login bekommt dein Browser eine Session – ein Token, das ihn als "eingeloggt" markiert, ohne dass du bei jedem Klick erneut das Passwort eingeben musst. Die Sicherheit dieses Mechanismus hängt daran, wie dieses Token erzeugt wird. Ist es vorhersagbar oder leicht zu erraten (etwa eine simple, hochzählende ID), kann sich im schlimmsten Fall jemand als du ausgeben, ohne dein Passwort je zu kennen.

Wie TCKTNEST das beantwortet: Sessions basieren auf zufällig generierten Tokens, die serverseitig in der Datenbank abgelegt und geprüft werden – keine vorhersagbaren Werte, keine reinen Client-seitigen Annahmen. Ein Session-Token lässt sich nicht aus einer anderen bekannten Information ableiten oder erraten.

Was du fragen solltest: "Wie werden Sessions erzeugt und validiert?" Eine konkrete, technische Antwort ist hier ein gutes Zeichen – Ausweichen oder "das managt unser Framework automatisch, keine Ahnung genau wie" eher nicht.

Eine ticketing-spezifische Zusatzfrage: Können QR-Codes gefälscht werden?

Neben den vier allgemeinen Fragen gibt es eine, die speziell fürs Ticketing gilt: Wie ist eigentlich sichergestellt, dass ein QR-Code am Einlass nicht einfach kopiert, leicht abgeändert oder mit einer erratenen ID nachgebaut werden kann?

Wie TCKTNEST das beantwortet: Jeder QR-Code ist kryptographisch signiert (HMAC). Das bedeutet, ein gültiges Ticket lässt sich nicht durch Raten einer ID oder Manipulation der Daten fälschen – ohne den geheimen Schlüssel, der nur serverseitig existiert, ist eine gültige Signatur nicht erzeugbar.

Was du fragen solltest: "Sind QR-Codes signiert, oder reicht eine erratbare ID, um ein Ticket vorzutäuschen?"

Der eigentliche Punkt: Frag konkret, nicht allgemein

Die meisten Anbieter werden dir auf die allgemeine Frage "Ist eure Plattform sicher?" mit "Ja, natürlich" antworten – das ist keine Information. Der Unterschied zeigt sich erst bei den konkreten Nachfragen: Welches Hash-Verfahren, welcher Zahlungsdienstleister, welche 2FA-Umsetzung, welche Session-Logik. Eine Plattform, die diese Fragen ohne Ausweichen und mit konkreten technischen Details beantworten kann, hat sich damit wahrscheinlich tatsächlich befasst. Eine, die nur mit Marketing-Formulierungen antwortet, möglicherweise nicht.

Das heißt nicht, dass jeder Anbieter, der auf eine dieser Fragen keine sofortige Antwort hat, automatisch unsicher ist – aber es ist eine faire und notwendige Frage vor der Wahl eines Tools, über das am Ende Geld und persönliche Daten deiner Fans laufen.

Kurz zusammengefasst

• Sicherheit gehört auf die Checkliste bei der Anbieterwahl, nicht nur Gebühren und Features.
• Stell konkrete Fragen zu Passwort-Hashing, Zahlungsdatenverarbeitung, 2FA und Session-Sicherheit – vage Antworten sind ein Warnsignal.
• Bei TCKTNEST: bcrypt (Kostenfaktor 12) für Passwörter, Zahlungsabwicklung komplett über den PCI-DSS-zertifizierten Anbieter Stripe, optionale TOTP-2FA mit Backup-Codes, zufällig generierte und serverseitig geprüfte Session-Tokens, sowie kryptographisch signierte QR-Codes gegen Ticketfälschung.
• Diese Fragen kannst du jedem Anbieter stellen, den du in Betracht ziehst – unabhängig davon, für welche Plattform du dich am Ende entscheidest.

Jetzt kostenlos registrieren und selbst nachfragen →