Shopware-Shop absichern: Was Du heute für mehr Sicherheit tun kannst

Die PHP-Sicherheitslücken rund um PHP2Shell haben im Oktober 2026 gezeigt, wie schnell auch ein funktionierender Onlineshop unter Handlungsdruck geraten kann. Die Schwachstellen betrafen die technische Grundlage vieler Websites und Shops. Am 21. Oktober veröffentlichte das PHP-Projekt entsprechende Sicherheitsupdates. Hintergrund: PHP Foundation

Für Dich als Shopbetreiber ist die wichtigste Frage aber nicht nur, was bei diesem Vorfall passiert ist. Sondern: Was kann ich tun, damit mein Shop künftig besser geschützt ist und wir beim nächsten Sicherheitsproblem schneller reagieren können?

Die gute Nachricht: Du musst dafür kein Sicherheitsexperte werden. Entscheidend sind ein Überblick über den technischen Zustand, klare Zuständigkeiten und regelmäßige Pflege. In diesem Beitrag zeigen wir Dir sieben konkrete Maßnahmen und erklären, wie Frosh Tools sowie unser Sicherheitspaket für Shopware 6 Dich dabei unterstützen.

Falls der PHP2Shell-Patchstand Deines Shops noch ungeklärt ist: Lass ihn unmittelbar durch Deinen Hoster oder technischen Dienstleister prüfen. Die folgenden Empfehlungen zur Vorsorge ersetzen nicht die Behebung einer bereits bekannten Sicherheitslücke. Aktuelle Hinweise findest Du bei CERT-EU.

Sicherheit beginnt nicht erst beim nächsten Angriff

Solange Bestellungen eingehen und der Checkout funktioniert, wirkt ein Shop oft technisch gesund. Ob Sicherheitsupdates fehlen, eine PHP-Version aus dem Support läuft oder ehemalige Mitarbeitende noch Administratorzugänge besitzen, ist von außen jedoch kaum erkennbar.

Deshalb sollte Sicherheit genauso zum Betrieb gehören wie die Pflege von Produkten, Preisen und Zahlungsarten.

Dabei geht es um drei Ziele:

• Angriffsflächen reduzieren: Veraltete Software, unnötige Zugänge und problematische Einstellungen vermeiden.

• Probleme früher erkennen: Versionsstände und auffällige Aktivitäten im Blick behalten.

• Handlungsfähig bleiben: Zuständigkeiten, Backups und Notfallabläufe vorbereiten.

Kein einzelnes Plugin kann das alles abdecken. Die Maßnahmen müssen zusammenpassen.

1. Verschaffe Dir einen Überblick über Deinen Shop

Der erste Schritt ist eine einfache Bestandsaufnahme. Du solltest wissen, welche Shopware-Version eingesetzt wird, welche Plugins installiert sind und mit welcher PHP-Version Dein Shop arbeitet.

Ebenso wichtig: Wer kümmert sich um welchen Teil?

Denke auch an Testshops, Subdomains und alte Installationen. Sie sollten nicht unbemerkt online bleiben, während nur der Hauptshop gepflegt wird.

Frosh Tools hilft bei der Versionsprüfung

Für Shopware 6 ist die kostenlose Erweiterung Tools von Friends of Shopware, häufig Frosh Tools genannt, eine hilfreiche Unterstützung.

Der Systemstatus prüft unter anderem die PHP-Version. Außerdem enthält die Erweiterung Warnungen zu veralteten Shopware-Versionen. Dadurch kannst Du Hinweise auf Aktualisierungsbedarf direkt in der Administration erkennen und gezielt mit Deinem Dienstleister besprechen.

👉 Frosh Tools im Shopware Store ansehen

Auch Frosh Tools sollte aktuell und mit Deiner Shopware-Version kompatibel sein. Die Ergebnisse hängen vom Stand der enthaltenen Prüfungen ab. Ein grüner Status ist keine Garantie, dass sämtliche Sicherheitslücken ausgeschlossen sind; beispielsweise müssen zurückportierte Hoster-Patches gesondert eingeordnet werden.

Dein erster Schritt: Prüfe mit Deinem Dienstleister den Systemstatus und lasse offene Hinweise in konkrete Aufgaben übersetzen.

2. Mache Updates zu einem festen Ablauf

„Wir aktualisieren, wenn etwas nicht mehr funktioniert“ ist keine ausreichende Sicherheitsstrategie. Sicherheitslücken können bestehen, obwohl der Shop weiterhin problemlos Bestellungen annimmt.

Lege deshalb fest:

• Wer verfolgt relevante Sicherheitsmeldungen?

• Wer bewertet, ob Dein Shop betroffen ist?

• Wer darf Updates freigeben und einspielen?

• Welche Funktionen werden anschließend geprüft?

• Wie wird bei Problemen reagiert?

Kritische Sicherheitsupdates benötigen einen schnelleren Ablauf als normale Funktionserweiterungen. Regelmäßige Wartungstermine sind sinnvoll, dürfen im Ernstfall aber keine Wartefrist sein. Das BSI beschreibt Patch- und Änderungsmanagement entsprechend als kontrollierten Betriebsprozess. Quelle: BSI

Automatische Updates brauchen passende Prüfungen

Automatische Plugin-Updates können helfen, Aktualisierungen zeitnah einzuspielen. Welche Erweiterungen automatisch aktualisiert werden, sollte auf den Shop abgestimmt werden.

Nach einem Update reicht ein Blick auf die Startseite nicht aus. Wichtig sind die vereinbarten Kernabläufe: etwa Anmeldung, Produktauswahl, Warenkorb, Checkout und Bestellverarbeitung. Eine dokumentierte Checkliste schafft hierfür eine verlässliche Grundlage.

Das Shopware-Sicherheitsplugin aktuell halten

Das Shopware-Sicherheitsplugin stellt Schutzmaßnahmen für die jeweils abgedeckten Shopware-Schwachstellen bereit. Es kann besonders dann helfen, wenn ein vollständiges Plattformupdate nicht unmittelbar möglich ist. Maßgeblich bleibt der konkrete Sicherheitshinweis von Shopware. Quelle: Shopware

Es ersetzt jedoch weder dauerhaft die Pflege des Shopsystems noch Sicherheitsupdates für PHP oder den Server.

Dein nächster Schritt: Vereinbare einen Updateprozess mit einem gesonderten Ablauf für kritische Sicherheitsmeldungen.

3. Prüfe PHP unabhängig von Shopware

PHP ist die Laufzeitumgebung, in der wesentliche Teile Deines Shops ausgeführt werden. Ein aktueller Shopware-Shop kann trotzdem mit einer veralteten oder ungepatchten PHP-Version laufen.

Genau darin liegt eine wichtige Lehre aus PHP2Shell: Sicherheitsprobleme können unterhalb der Anwendung entstehen. Ein Shopware- oder Plugin-Update behebt sie dann nicht.

Lass deshalb regelmäßig prüfen:

• Welche PHP-Version verwendet der Webserver tatsächlich?

• Wird dieser Versionszweig noch mit Sicherheitsupdates versorgt?

• Sind relevante Korrekturen installiert?

• Verwenden Hintergrundprozesse gegebenenfalls eine andere PHP-Version?

• Ist ein Versionswechsel mit Shopware und den Erweiterungen kompatibel?

Bei Hosting- und Distributionspaketen können Sicherheitskorrekturen in ältere Versionsstände zurückportiert sein. Die sichtbare Versionsnummer allein genügt dann nicht; entscheidend ist der bestätigte Paket- und Patchstand. Hintergrund: PHP-Sicherheitsmeldung

Plane notwendige Versionswechsel frühzeitig. Wenn eine alte Erweiterung das Upgrade blockiert, sollte diese Abhängigkeit gezielt gelöst werden.

Dein nächster Schritt: Lass Dir den aktiven PHP-Patchstand und die Zuständigkeit für künftige Updates bestätigen.

4. Schütze die Zugänge zu Deiner Administration

Nicht jeder Angriff nutzt eine technische Sicherheitslücke. Auch gestohlene oder weitergegebene Zugangsdaten sind ein Risiko. Deshalb gehören sichere Konten zum grundlegenden Schutz Deines Shops.

Sinnvolle Maßnahmen sind:

• persönliche Konten statt gemeinsam verwendeter Administratorzugänge,

• nur die Rechte, die für die jeweilige Aufgabe benötigt werden,

• individuelle, starke Passwörter,

• Zwei-Faktor-Authentifizierung,

• das zeitnahe Entfernen nicht mehr benötigter Zugänge.

Bei der Zwei-Faktor-Authentifizierung wird zusätzlich zum Passwort ein weiterer Faktor verlangt, beispielsweise ein Code aus einer Authenticator-App. Das erschwert den Missbrauch eines gestohlenen Passworts.

Eine individuelle Admin-URL kann ergänzend einfache automatisierte Scans nach dem Standardpfad reduzieren. Sie ersetzt aber keine wirksame Anmeldung oder Zugriffskontrolle.

Wichtig: Diese Maßnahmen schützen den Zugang zur Administration. Sie beheben keine PHP-Schwachstelle, die ohne Anmeldung ausgenutzt werden kann.

Dein nächster Schritt: Überprüfe die Benutzerliste und richte 2FA für die Administration ein.

5. Mache ungewöhnliche Zugriffe und Änderungen nachvollziehbar

Wenn ein neuer Administrator angelegt oder eine wichtige Einstellung verändert wurde, solltest Du nachvollziehen können, wann das passiert ist und welchem Konto die Aktion zugeordnet ist.

Dafür helfen zwei Arten von Protokollen:

• Anmeldeprotokolle: erfolgreiche Anmeldungen und fehlgeschlagene Loginversuche.

• Änderungsprotokolle: dokumentierte Eingriffe in unterstützten Bereichen der Administration.

Solche Informationen erleichtern die Untersuchung von Auffälligkeiten. Sie sind allerdings nur dann nützlich, wenn klar ist, wer sie bei Bedarf auswertet. Protokollierung allein verhindert keinen Angriff und erkennt nicht automatisch jeden Vorfall.

Zugriff und Aufbewahrungsdauer sollten ebenfalls geregelt sein.

Dein nächster Schritt: Kläre, welche Aktivitäten bereits protokolliert werden und wer Auffälligkeiten untersucht.

6. Sorge dafür, dass Dein Shop wiederhergestellt werden kann

Ein Backup ist wichtig. Noch wichtiger ist die Gewissheit, dass es im Ernstfall tatsächlich funktioniert.

Prüfe mit Deinem Hostingpartner:

• Werden Datenbank, Dateien und relevante Konfigurationen gesichert?

• Sind die Sicherungen vom laufenden System getrennt geschützt?

• Wie aktuell wäre der wiederhergestellte Stand?

• Wie lange würde eine Wiederherstellung voraussichtlich dauern?

• Wurde der Ablauf bereits getestet?

Gerade bei Onlineshops ist der mögliche Verlust neuer Bestellungen ein wichtiger Faktor. Die Sicherungsstrategie muss deshalb zum Geschäft passen.

Das BSI empfiehlt regelmäßige Datensicherungen, aktuelle Systeme und festgelegte Zuständigkeiten für Sicherheitsvorfälle. Quelle: BSI

Ein Backup ersetzt trotzdem keinen Patch. Nach einer Wiederherstellung muss die Schwachstelle geschlossen sein, bevor der Shop wieder öffentlich erreichbar wird. Bei einem Angriff muss außerdem geprüft werden, ob auch Sicherungen bereits manipulierte Inhalte enthalten.

Dein nächster Schritt: Lass eine Wiederherstellungsprobe durchführen und dokumentiere das Ergebnis.

7. Kläre vor dem Ernstfall, wer handelt

Bei einer kritischen Sicherheitsmeldung sollte nicht erst diskutiert werden, wer verantwortlich ist.

Ein kurzer Notfallplan sollte beantworten:

• Wer ist beim Hoster und bei der betreuenden Agentur erreichbar?

• Wer bewertet die Betroffenheit?

• Wer darf Schutzmaßnahmen oder eine Abschaltung freigeben?

• Wer prüft die Funktion nach der Behebung?

• Wer informiert intern und gegebenenfalls die Kunden?

Auch zusätzliche Schutzmaßnahmen wie eine Web Application Firewall, getrennte Systeme oder eingeschränkte Serverrechte können sinnvoll sein. Welche davon passen, sollte anhand Deiner Hostingumgebung entschieden werden. Sie ergänzen Updates, ersetzen sie aber nicht.

Bei konkreten Anzeichen eines Angriffs reicht das nachträgliche Einspielen eines Updates nicht aus. Eine bereits erfolgte Manipulation muss untersucht und bereinigt werden. Dafür sollten Spuren gesichert und Fachleute hinzugezogen werden.

Dein nächster Schritt: Halte Ansprechpartner, Zuständigkeiten und Freigabewege schriftlich fest.

Deine Checkliste: Wie gut ist Dein Shop vorbereitet?

Du musst nicht alles selbst technisch umsetzen. Diese Fragen solltest Du aber beantworten können:

• Wir kennen den aktuellen Shopware-, Plugin- und PHP-Stand.

• Hinweise aus Frosh Tools werden regelmäßig geprüft und bearbeitet.

• Für Updates und kritische Sicherheitsmeldungen gibt es Verantwortliche.

• Nach Updates werden die wichtigen Shopfunktionen getestet.

• Administratorzugänge sind persönlich vergeben und zusätzlich abgesichert.

• Anmeldungen und relevante Änderungen sind nachvollziehbar.

• Backups sind geschützt und die Wiederherstellung wurde getestet.

• Für einen Sicherheitsvorfall gibt es klare Ansprechpartner und Abläufe.

Wo Du kein Häkchen setzen kannst, besteht konkreter Prüf- oder Handlungsbedarf.

Das Nimbits-Sicherheitspaket: Unterstützung im laufenden Betrieb

Im Tagesgeschäft fehlt häufig die Zeit, Versionsstände, Plugin-Updates und Zugriffsrechte selbst im Blick zu behalten. Mit unserem Sicherheitspaket für Shopware 6 unterstützen wir Dich dabei, zentrale Sicherheitsaufgaben in einen betreuten Ablauf zu bringen.

Update-Management und Funktionsprüfungen

Wir richten konfigurierbare automatische Updates für Shopware-Plugins ein, insbesondere für das Shopware-Sicherheitsplugin. Anhand einer individuell abgestimmten Checkliste prüfen wir die vereinbarten Kernfunktionen nach Updates und halten die Ergebnisse in einem Prüfungsbericht fest.

PHP-Check und Einordnung des Handlungsbedarfs

Wir prüfen den eingesetzten PHP-Stand auf Aktualisierungsbedarf und bewerten notwendige Schritte im Zusammenhang mit Deinem Shop. Falls erforderlich, wird der Patchstand mit dem Hostingpartner abgeglichen.

Dabei unterscheiden wir zwischen Prüfung und Umsetzung: Eine notwendige Aktualisierung der PHP-Laufzeit wird mit dem zuständigen Hostingpartner abgestimmt. Größere Shopware-Versionswechsel, Plugin-Anpassungen oder Servermigrationen werden gesondert bewertet.

Zusätzliche Absicherung der Administration

Weitere Bausteine sind:

• Zwei-Faktor-Authentifizierung, bei Bedarf verpflichtend für die Benutzer.

• Änderung der Standard-Admin-URL als ergänzende Schutzmaßnahme.

• Protokollierung von Anmeldungen und fehlgeschlagenen Loginversuchen.

• Backend-Änderungsprotokolle für unterstützte Bereiche wie Produkte, Bestellungen, Kunden, Kategorien und Benutzerverwaltung.

Dein Vorteil: Du erhältst Unterstützung bei konkreten Sicherheitsaufgaben und eine nachvollziehbare Prüfung der vereinbarten Abläufe.

Das Paket ist ein Baustein des Sicherheitskonzepts, keine Garantie gegen alle Angriffe. Backups, Infrastrukturpflege und Notfallzuständigkeiten müssen ergänzend abgestimmt sein.

Fazit: Mehr Sicherheit entsteht durch konsequente Pflege

Du kannst nicht verhindern, dass neue Sicherheitslücken entdeckt werden. Du kannst aber beeinflussen, wie gut Dein Shop darauf vorbereitet ist.

Der wichtigste Schritt ist, Sicherheit nicht erst bei einer Warnmeldung zu behandeln. Mit aktuellen Versionen, einem geregelten Updateprozess, abgesicherten Zugängen und einem getesteten Wiederherstellungsplan reduzierst Du vermeidbare Risiken.

Frosh Tools hilft Dir beim Überblick. Unser Sicherheitspaket unterstützt Dich bei Update-Management, PHP-Check und zusätzlichen Schutzmaßnahmen für Deine Administration.

Du möchtest wissen, wo Dein Shop steht und welche Maßnahmen als Nächstes sinnvoll sind? Gemeinsam prüfen wir Deinen aktuellen Stand und besprechen die passende Absicherung.