Digitale Produkte mit WooCommerce: Downloads schützen

Eine kostenpflichtige PDF-Datei oder ein ZIP-Paket an ein Produkt anzuhängen und den Link zu verstecken, reicht nicht aus. Der sichere Verkauf digitaler Produkte mit WooCommerce braucht eine Kundenberechtigung, einen geschützten Speicherort und eine funktionierende Dateiauslieferung. Bei richtiger Einrichtung erhält der Käufer die Datei, sobald die Zugangsbedingungen seiner Bestellung erfüllt sind. Wer nur die gewöhnliche Dateiadresse kennt, darf den Kauf dagegen nicht umgehen können.

Testen Sie deshalb zunächst die direkte URL in einem privaten Browserfenster, statt eine weitere Erweiterung zu kaufen. Öffnet sich die kostenpflichtige Datei ohne Prüfung, müssen Speicherung und Auslieferung angepasst werden. Dieser Leitfaden behandelt den technischen Dateizugriff, nicht Lizenzbedingungen oder Verbraucherrecht. Eine geschützte Auslieferung verhindert auch nicht, dass ein Kunde eine bereits heruntergeladene Datei kopiert.

Drei Kontrollen, die Sie auseinanderhalten müssen

Die Berechtigung bestimmt, ob eine konkrete Bestellung Downloads erlaubt. Der Speicherort bestimmt, wo das Original liegt und wer es direkt abrufen kann. Die Auslieferung bestimmt, wie die Datei einen berechtigten Kunden erreicht. Ein funktionierender Link im Kundenkonto belegt nur einen Teil des Ablaufs.

WooCommerce empfiehlt, kostenpflichtige Dateien über die Produktbearbeitung hochzuladen, statt sie aus der gewöhnlichen WordPress-Mediathek auszuwählen. Dadurch landen sie im Verzeichnis woocommerce_uploads. Auch dieses Verzeichnis garantiert jedoch nicht automatisch Schutz: Entscheidend sind der Server und seine Konfiguration; NGINX benötigt eine ausdrückliche Regel. Einzelheiten nennt der offizielle Leitfaden zu digitalen Produkten.

Genehmigte Download-Verzeichnisse haben eine andere Aufgabe. Sie beschränken die Speicherorte, die für Produktdateien verwendet werden dürfen. Eine Liste erlaubter Speicherorte sperrt aber keine öffentliche URL. Die Dokumentation zu genehmigten Verzeichnissen weist ausdrücklich darauf hin, dass die Mediathek öffentlich ist. Verlangen Sie bei der Planung eines individuellen Onlineshops deshalb Tests für beides: die Speicherregeln und den tatsächlichen Dateizugriff.

Die passende Download-Methode wählen

Sie finden die Einstellung unter WooCommerce → Einstellungen → Produkte → Herunterladbare Produkte. Die Bezeichnungen können je nach Übersetzung der Verwaltung abweichen. Wählen Sie anhand Ihres Hostings und der tatsächlichen Dateien, nicht danach, welche Option gerade eine Fehlermeldung verschwinden lässt.

Methode	Funktionsweise und Abwägung	Was zu prüfen ist
Downloads erzwingen	PHP liefert die Datei aus. Große Dateien oder ein leistungsschwacher Server können Zeitüberschreitungen verursachen.	Vollständiger Download der größten verkauften Datei und Abweisung der direkten URL.
X-Accel-Redirect/X-Sendfile	Der Webserver sendet die Datei; dafür sind Unterstützung und korrekte Konfiguration beim Hoster erforderlich.	Bestätigung des Anbieters sowie Tests für berechtigten und unberechtigten Zugriff.
Nur weiterleiten	Der Kunde erhält eine direkte URL. Wer sie kennt, kann ohne Anmeldung auf die Datei zugreifen.	Für geschützte kostenpflichtige Inhalte nicht als Abkürzung wählen.

Diese Eigenschaften beschreibt die Dokumentation der Download-Methoden. Sie warnt auch vor der optionalen Weiterleitung als Notlösung, wenn eine entfernte Datei nicht ausgeliefert werden kann: Dabei besteht dasselbe Risiko, die URL offenzulegen. Wenn Sie eine geschützte Auslieferung verlangen, ist diese Ausweichlösung keine harmlose Fehlerbehebung.

Beispiel: kostenpflichtiger Leitfaden und Vorlagenpaket

Veranschaulichendes Beispiel, keine Fallstudie: Ein Unternehmen verkauft einen PDF-Leitfaden und ein größeres ZIP-Paket mit Arbeitsvorlagen. Die öffentliche Produktseite bietet eine kurze Vorschau. Die vollständigen Dateien gehören an einen getrennten, geschützten Speicherort. Die Vorschau darf öffentlich sein; das Original darf nicht dieselbe öffentliche Adresse verwenden.

Die geschäftliche Anforderung lautet: Ein zahlender Kunde erhält beide Dateien, eine unbezahlte Bestellung nicht, und die Kenntnis der Originaladresse umgeht den Kauf nicht. Der Betreiber entscheidet außerdem, ob Gastbestellungen zulässig sind. Der Support muss wissen, wo Bestellung und Berechtigung geprüft werden, damit er nicht als vermeintliche Lösung einen öffentlichen Link zum Original verschickt.

Bei einer kleineren PDF-Datei können Sie mit erzwungenen Downloads beginnen und das Ergebnis testen. Bei einem größeren ZIP-Paket klären Sie zuerst die serverseitige Auslieferung mit dem Hoster. Entscheiden Sie nicht nach Dateiendung: Maßgeblich ist die tatsächliche Übertragung in der Zielumgebung. Erfolg bedeutet, dass die vollständige Datei heruntergeladen wird und sich öffnen lässt, nicht nur, dass der Browser irgendeinen Download startet.

Einführung ohne versehentliche Veröffentlichung

Erfassen Sie Dateien und Verwendungszweck. Trennen Sie öffentliche Vorschauen, kostenpflichtige Originale und ältere Versionen. Ordnen Sie jeder Datei einen Verantwortlichen und einen Speicherort zu. Prüfen Sie, ob nach dem Verschieben einer Kopie das ursprüngliche Original weiterhin öffentlich erreichbar ist.
Stimmen Sie die Auslieferung mit dem Hoster ab. Lassen Sie sich die Unterstützung der gewählten Methode und die Sperre des direkten Zugriffs bestätigen. Übernehmen Sie Serverregeln nicht ungeprüft in den Produktivbetrieb.
Laden Sie die Datei über das Produkt hoch. Kennzeichnen Sie das Produkt als herunterladbar und hinterlegen Sie das richtige Original. Beschriften Sie die öffentliche Vorschau verständlich und halten Sie sie getrennt.
Prüfen Sie genehmigte Verzeichnisse. Erlauben Sie die benötigten Speicherorte, nicht wegen einer einzelnen Datei eine ganze fremde Domain. Legen Sie fest, wer die Liste und Produktdateien ändern darf.
Bestimmen Sie den Freigabezeitpunkt. Entscheiden Sie, ob digitale Inhalte nach Zahlung bereits während der Bestellbearbeitung oder erst nach Abschluss verfügbar werden. Prüfen Sie den Ablauf mit Ihrer verwendeten Zahlungsart.
Testen Sie und übergeben Sie eine Support-Anleitung. Dokumentieren Sie erwartete Ergebnisse, tatsächliche Resultate und Verantwortliche. Schließen Sie die Einführung erst nach positiven und negativen Zugriffstests ab.

Laut Dokumentation zu genehmigten Verzeichnissen umfasst eine Verzeichnisregel auch Unterverzeichnisse. Fügt ein Administrator eine Datei außerhalb bestehender Regeln hinzu, kann außerdem automatisch eine neue Regel entstehen. Kontrollieren Sie die Liste regelmäßig; sie ersetzt keine organisatorische Kontrolle darüber, wer Produkte verändert.

Die Freigabe nach Zahlung ermöglicht Downloads während der Bearbeitung, statt auf den Abschluss der Bestellung zu warten. Das ist bei Bestellungen mit physischen und digitalen Waren hilfreich. Die Einstellung, die eine Anmeldung verlangt, gilt laut WooCommerce-Leitfaden nicht für Gastkäufe. Soll jeder Käufer ein Konto haben, müssen auch die Einstellungen für Gastbestellungen dazu passen.

Abnahmetests vor dem Start

Situation	Erwartetes Ergebnis
Bezahlte Testbestellung	Der berechtigte Käufer lädt die richtigen vollständigen Dateien herunter und öffnet sie.
Bestellung wartet auf Zahlung	Der kostenpflichtige Inhalt ist gemäß der festgelegten Geschäftsregel noch nicht verfügbar.
Direkte Original-URL im privaten Fenster	Die Datei wird nicht ohne autorisierte Auslieferung bereitgestellt.
Anderer angemeldeter Kunde ohne Kauf	Ein Konto allein berechtigt nicht zum Zugriff auf einen fremden Kauf.
Größtes ZIP-Paket bei langsamerer Verbindung	Die Übertragung wird abgeschlossen und das Archiv lässt sich öffnen.
Öffentliche Vorschau und frühere Dateiadresse	Die Vorschau funktioniert; die alte URL liefert das kostenpflichtige Original nicht aus.

Testen Sie auch den Weg aus der Bestell-E-Mail und bei Käufen mit Konto den Download-Bereich. Halten Sie fest, ob Sie ein Konto oder einen Gastkauf verwendet haben. Andernfalls könnten Sie einen Ablauf freigeben, der nur für Administratoren funktioniert. Veröffentlichen Sie zugangsgewährende Testlinks weder in öffentlichen Berichten noch auf Screenshots.

Häufige Fehler und der Umgang mit Download-Problemen

Der grundlegende Denkfehler besteht darin, einen versteckten Link mit einer geschützten Datei gleichzusetzen. Ein weiterer Fehler ist, einen gescheiterten Transfer durch Umschalten auf Weiterleitung zu beheben, ohne die Folgen zu prüfen. Auch der Test einer kleinen PDF-Datei reicht nicht, wenn Kunden große Archive kaufen.

Meldet ein Kunde ein Problem, gehen Sie von der Bestellung über die Berechtigung zur Auslieferung vor. Prüfen Sie zuerst Zahlung und Bestellstatus, dann die zugeordnete Datei und den Kundenzugriff. Erst danach untersuchen Sie Speicherort, genehmigtes Verzeichnis und serverseitige Übertragung. Ändern Sie nicht wegen einer einzelnen ungeprüften Anfrage die globalen Sicherheitseinstellungen.

Bei externem Speicher verlangen Sie einen Test der konkreten URL mit der gewählten Methode. Der WooCommerce-Leitfaden weist darauf hin, dass nicht jeder Cloud-Dienst die gewünschte geschützte Auslieferung unterstützt. Ist eine individuelle Anbindung erforderlich, gehören deren Grenzen in die Anforderungen einer API-Integration, nicht in eine improvisierte öffentliche Dateifreigabe.

Checkliste für Shopbetreiber

Öffentliche Vorschauen sind von kostenpflichtigen Originalen getrennt.
Direkte und alte Original-URLs umgehen die Berechtigung nicht.
Der Hoster hat die Konfiguration bestätigt; die vollständige Übertragung wurde tatsächlich getestet.
Bestellstatus und Gastkaufregeln entsprechen dem Kundenversprechen.
Genehmigte Verzeichnisse haben einen klaren Zweck und Verantwortliche.
Der Support kennt die Diagnose, ohne kostenpflichtige Dateien offenzulegen.

Wenn unklar ist, ob Ihr Shop nur den Link oder auch die Datei selbst kontrolliert, kontaktieren Sie Webiant. Halten Sie für die Prüfung Speicherverfahren, Hosting-Angaben, Produkttyp und eine Beschreibung des fehlgeschlagenen Tests bereit. Das Ziel ist eine funktionierende Auslieferung für Käufer und eine nachweisbare Zugriffsgrenze, nicht ein unnötig komplizierter Einkauf.

Häufig gestellte Fragen

Reicht es, die Datei in die Mediathek hochzuladen und den Link zu verstecken?

Nein. Die Mediathek ist standardmäßig öffentlich. Laden Sie über das Produkt hoch und prüfen Sie den Schutz des Speicherorts sowie der direkten URL. Einen Link von der Seite zu entfernen, sperrt den Dateizugriff nicht.

Muss sich jeder Kunde vor dem Download anmelden?

Das hängt vom gewählten Kaufmodell ab. Die Anmeldeanforderung gilt nicht für Gastkäufe. Wenn Sie von allen ein Konto verlangen, stimmen Sie die Bestelleinstellungen darauf ab und testen Sie den Kundenweg.

Verhindert die Liste genehmigter Verzeichnisse Downloads ohne Zahlung?

Nicht allein. Sie steuert die erlaubten Speicherorte von Produktdateien. Der Zugriff auf ein konkretes Original hängt außerdem vom Server, vom Speicher und von der Auslieferungsmethode ab.

Verhindert diese Einrichtung die Weitergabe einer gekauften PDF-Datei?

Nein. Sie regelt die Dateiausgabe aus Ihrem Shop. Nach dem Download kann ein Kunde eine Kopie erstellen. Lizenzbedingungen und mögliche weitere Maßnahmen sind eigenständige Themen; versprechen Sie keinen absoluten Schutz.