Widerrufsbutton: einfach bedienen, Missbrauch erschweren

Ein Kunde möchte seine Online-Bestellung widerrufen. Er findet den passenden Button, gibt die nötigen Angaben ein und sendet seinen Widerruf ab. So soll es funktionieren. Für den Shop entsteht dahinter eine zweite Aufgabe: die Erklärung zuverlässig erfassen und verhindern, dass jemand fremde Bestellungen manipuliert.

Die Lösung ist nicht, den Widerruf möglichst schwierig zu machen. Entscheidend ist, was das System mit den eingegebenen Daten tut. Dieser Beitrag trennt den gesetzlichen Ablauf von technischen Empfehlungen. Stand: 19. September 2026.

Was der Widerrufsbutton leisten muss

Die neue elektronische Widerrufsfunktion gilt seit dem 19. Juni 2026 für die erfassten Online-Fernabsatzverträge mit Verbrauchern. Sie schafft kein Widerrufsrecht für jeden beliebigen Vertrag. Ob Ihr Angebot erfasst ist und welche Ausnahmen gelten, muss vor der Umsetzung geklärt sein. Grundlage sind § 356a BGB und die Richtlinie (EU) 2023/2673.

1. Einstieg finden: Die Funktion muss während der Widerrufsfrist hervorgehoben, leicht zugänglich und durchgehend verfügbar sein, etwa mit der Beschriftung „Vertrag widerrufen“.
2. Angaben machen oder bestätigen: Erfasst werden Name, Angaben zum betroffenen Vertrag oder Vertragsteil und ein elektronischer Kontaktweg für die Eingangsbestätigung.
3. Widerruf absenden: Eine klar beschriftete Bestätigungsfunktion, etwa „Widerruf bestätigen“, übermittelt die Erklärung.
4. Eingang bestätigen: Anschließend erhält der Verbraucher unverzüglich eine Bestätigung auf einem dauerhaften Datenträger. Sie enthält den Inhalt der Erklärung sowie Datum und Uhrzeit des Eingangs.

Eine Eingangsbestätigung ist nicht dasselbe wie eine zusätzliche Freigabe durch den Kunden. Sie ist nach dem Absenden unverzüglich zu übermitteln. Ein späterer Freigabeklick des Kunden ist dafür nicht der gesetzlich vorgesehene Auslöser.

Warum ein Login nicht die ganze Antwort ist

Wer als Gast bestellt, soll zum Widerruf nicht erst ein Konto anlegen müssen. Die Gesetzesbegründung auf Seite 38 beschreibt den Zugang grundsätzlich ohne Login. Bei bereits angemeldeten Kunden können vorhandene Angaben die Zuordnung erleichtern. Zusätzliche Identitätsprüfungen müssen zum konkreten Ablauf passen und rechtlich geprüft werden.

Wo ein schlecht gebautes Formular angreifbar wird

Stellen wir uns einen Shop vor, der allein nach Bestellnummer und E-Mail-Adresse entscheidet. Sind die Nummern fortlaufend und einige Kundendaten bekannt, könnte jemand passende Kombinationen ausprobieren. Löst jeder Treffer sofort Änderungen an Bestellungen aus, kann daraus Schaden entstehen. Das ist ein mögliches Fehlerszenario, kein zwangsläufiges Problem jeder Widerrufsfunktion.

Unsere Empfehlung: Den Eingang der Erklärung, ihre Zuordnung und die nachfolgenden Arbeitsschritte bewusst getrennt planen. Verdächtige Angaben müssen nachvollziehbar bearbeitet werden können. Die Eingangsbestätigung und gesetzliche Fristen dürfen dabei nicht von einer späteren internen Prüfung abhängig werden.

Drei Punkte für die technische Umsetzung

1. Eine Bestellnummer ist kein Passwort

Zufällige, ausreichend lange Kennungen erschweren das Erraten. Ein kurzer Buchstabenzusatz vor einer laufenden Nummer macht sie aber nicht automatisch sicher. Auch eine schwer erratbare Kennung ersetzt keine serverseitige Prüfung, welche Daten und Aktionen zugänglich sein dürfen. Diesen Grundsatz erläutert OWASP zum Schutz direkter Objektzugriffe.

Bevor Sie Nummern ändern, prüfen Sie deren Verwendung in Shop, Warenwirtschaft und Buchhaltung. Eine neue öffentliche Referenz sollte nicht versehentlich Rechnungsnummern oder bestehende Verknüpfungen verändern.

2. Automatisierte Versuche erkennen

Viele ähnliche Anfragen in kurzer Zeit sollten auffallen. Eine Begrenzung der Anfragerate kann automatisierten Missbrauch erschweren. OWASP beschreibt solche Maßnahmen gegen Überlastung. Für den Widerruf müssen sie so abgestimmt werden, dass echte Kunden nicht ausgesperrt werden.

Unsere praktische Prüffrage: Helfen Fehlermeldungen beim Korrigieren einer Eingabe, ohne fremde Bestelldaten offenzulegen? Und kann Ihr Team einen auffälligen Vorgang nachvollziehen, ohne unnötig personenbezogene Daten zu protokollieren?

3. Schutzmaßnahmen mit echten Nutzern testen

Ein CAPTCHA oder externer Schutzdienst ist keine pauschale Lösung. Vor einem Einsatz gehören Zugänglichkeit, Datenübertragung, Ausfälle und die rechtliche Zulässigkeit geprüft. Testen Sie den vollständigen Weg auch mit Tastatur, am Smartphone und mit fehlerhaften Eingaben. Ein Schutz, der berechtigte Widerrufe verhindert, verfehlt den Zweck.

Erst den Ablauf klären, dann den Button bauen

Ein guter Widerrufsprozess ist für Kunden kurz und für Ihr Team nachvollziehbar. Dazu müssen Formular, Bestellzuordnung, Bestätigung und interne Bearbeitung zusammenpassen. Wir unterstützen Sie bei der technischen Planung und Umsetzung. Die rechtliche Bewertung Ihres konkreten Angebots gehört in die Hände qualifizierter Rechtsberatung.

Widerrufsfunktion mit SOULSURF besprechen