Shopware Shop absichern: Anleitung gegen Hacker und Datenklau

Es ist der Freitag vor dem Black-Friday-Wochenende. Die Werbung läuft, die Lager sind voll, das Team ist im Endspurt. Und dann geht plötzlich nichts mehr: Die Startseite zeigt fremde Werbung, im Checkout tauchen Formulare auf, die niemand eingebaut hat, und die ersten Kund:innen melden verdächtige Abbuchungen. Genau so beginnt für viele Shop-Betreiber:innen der Moment, in dem ihnen klar wird, dass sie ihren Shopware Shop absichern hätten sollen, bevor es zu spät war.

Diese Szenarien sind kein Einzelfall. Onlineshops sind für Angreifer:innen attraktiv, weil dort Kreditkartendaten, Adressen und Zugänge zu Zahlungssystemen zusammenlaufen. Anders als bei einer klassischen Firmenwebsite lohnt sich hier automatisierter Angriff im großen Stil: Bots klopfen rund um die Uhr an Login-Formulare, testen alte Plugin-Lücken durch und suchen nach offenen Türen. Wer glaubt, "uns trifft das schon nicht", verwechselt oft Sichtbarkeit mit Sicherheit. Kleine und mittlere Shops sind sogar häufiger betroffen als große, weil bei ihnen seltener jemand hauptberuflich auf die Absicherung schaut.

Die gute Nachricht: Shopware Sicherheit ist kein Hexenwerk und erfordert kein eigenes IT-Team. Es sind vor allem Gewohnheiten und ein paar klare Regeln, die den Unterschied machen. In diesem Artikel bekommen Sie eine praxisnahe Anleitung, mit welchen Maßnahmen Sie Ihren Shop wirklich wirksam schützen, von Updates über Zugänge und Server bis zum Notfallplan für den Fall, dass doch einmal etwas passiert.

Updates und Plugin-Pflege als Basis-Schutz

Der wichtigste und zugleich am häufigsten vernachlässigte Baustein der Shopware Sicherheit ist simpel: Software aktuell halten. Jede Woche werden weltweit Sicherheitslücken in Content-Management-Systemen, Plugins und Bibliotheken entdeckt und veröffentlicht. Sobald eine Lücke öffentlich bekannt ist, wissen auch Angreifer:innen davon, oft binnen Stunden. Automatisierte Scanner durchsuchen dann das Internet gezielt nach Shops, die genau diese veraltete Version noch einsetzen. Ein Shop, der drei Versionen hinter dem aktuellen Stand hängt, ist kein Randfall, sondern ein leicht zu findendes Ziel.

Bei Shopware betrifft das zwei Ebenen, die beide gepflegt werden müssen:

• Shopware-Kern: Jede neue Version schließt bekannt gewordene Lücken und bringt oft auch Performance-Verbesserungen mit. Sicherheitsrelevante Patch-Releases sollten Sie zeitnah einspielen, nicht erst beim nächsten großen Versionswechsel.

• Plugins und Erweiterungen: Jedes zusätzliche Plugin ist zusätzlicher Code, der gewartet werden muss. Ein verwaistes Plugin, dessen Hersteller die Pflege eingestellt hat, wird mit der Zeit zum größten Risiko im ganzen System, weil dort niemand mehr Lücken schließt.

Ein praktischer Umgang damit: legen Sie einen festen Rhythmus fest, zum Beispiel einmal im Monat einen Update-Termin, an dem Kern und Plugins geprüft und wo nötig aktualisiert werden. Testen Sie Updates vorher auf einer Staging-Umgebung, also einer Kopie des Shops, die nicht live ist, damit ein fehlerhaftes Update nicht direkt den produktiven Betrieb lahmlegt. Wie ein solches Update konkret Schritt für Schritt abläuft, erklärt unser Beitrag zum Shopware Update durchführen im Detail.

Räumen Sie außerdem regelmäßig auf: Deinstallieren Sie Plugins, die Sie nicht mehr nutzen, komplett, statt sie nur zu deaktivieren. Ein deaktiviertes, aber installiertes Plugin kann trotzdem eine Angriffsfläche bieten. Wer diese Pflege nicht selbst leisten kann oder will, sollte sie fest in einen Wartungsvertrag einbinden. Was zu einer sinnvollen laufenden Betreuung gehört, einschließlich Update-Management, lesen Sie in unserem Artikel zur Shopware Wartung.

Ein weiterer, oft übersehener Punkt ist die Herkunft von Plugins. Laden Sie Erweiterungen ausschließlich aus dem offiziellen Shopware Store oder von bekannten, seriösen Anbietern. Ein Plugin von einer unbekannten Quelle, das zufällig günstiger ist, kann im schlechtesten Fall bereits schädlichen Code mitbringen, noch bevor überhaupt eine Sicherheitslücke ausgenutzt werden müsste. Prüfen Sie vor der Installation, wie aktiv ein Plugin gepflegt wird: Wann gab es das letzte Update, wie reagiert der Hersteller auf Support-Anfragen, passt die Versionsnummer zur aktuellen Shopware-Version? Diese kurze Prüfung dauert wenige Minuten und erspart im Zweifel wochenlangen Ärger.

Sinnvoll ist außerdem eine einfache Inventarliste aller eingesetzten Plugins mit Versionsnummer und Verantwortlichkeit. Bei größeren Shops mit zehn oder mehr Erweiterungen verliert man sonst schnell den Überblick, welches Plugin überhaupt noch aktiv gebraucht wird und welches nur historisch gewachsen ist. Diese Liste ist auch bei der Übergabe an eine neue Agentur oder einen neuen Kollegen im Team eine große Erleichterung, weil sie den aktuellen Stand auf einen Blick zeigt, statt dass jemand das System erst mühsam durchsuchen muss.

Zugänge absichern: 2FA, Passwörter, Rechte

Selbst der bestgepflegte Shop ist nur so sicher wie sein schwächster Zugang. In der Praxis ist das oft nicht der Server, sondern ein Mitarbeiter-Account mit einem einfachen Passwort. Deshalb sollte die Absicherung der Backend-Zugänge ganz oben auf Ihrer Liste stehen, direkt neben den Updates.

Der wirksamste einzelne Hebel ist die Zwei-Faktor-Authentifizierung, kurz 2FA. Dabei reicht ein gestohlenes oder erratenes Passwort allein nicht mehr aus, um sich einzuloggen. Zusätzlich wird ein zweiter Code abgefragt, zum Beispiel aus einer App auf dem Smartphone. Selbst wenn ein Passwort durch Phishing oder ein Datenleck bei einem anderen Dienst bekannt wird, bleibt der Zugang ohne diesen zweiten Faktor verschlossen. Shopware bringt eine 2FA-Funktion für das Backend mit, sie muss lediglich aktiviert und für alle Accounts verpflichtend gemacht werden, nicht nur für die Geschäftsführung.

Bei Passwörtern gilt: lang schlägt kompliziert. Ein Passwort aus vier zufälligen Wörtern ist für Menschen leichter zu merken und für Computer trotzdem sehr schwer zu erraten. Vermeiden Sie Namen, Geburtsdaten und Wörter, die auch anderswo im Unternehmen verwendet werden. Ein Passwort-Manager, der für jeden Account ein eigenes, zufälliges Passwort erzeugt und speichert, nimmt Mitarbeitenden diese Last komplett ab.

Genauso wichtig wie starke Passwörter ist eine durchdachte Rechteverwaltung. Nicht jede Person im Team braucht Zugriff auf alles. Shopware erlaubt es, Rollen mit genau abgestuften Rechten anzulegen: Die Person im Kundenservice braucht Einblick in Bestellungen, aber keinen Zugriff auf Zahlungseinstellungen oder Plugin-Verwaltung. Je weniger Menschen weitreichende Rechte haben, desto kleiner ist die Angriffsfläche, wenn einmal ein einzelner Account kompromittiert wird. Ergänzend dazu sollten ausgeschiedene Mitarbeitende sofort aus dem System entfernt werden, ein "vergessener" alter Account ist eine offene Hintertür, an die niemand mehr denkt.

Ergänzen Sie diese Maßnahmen um Rate-Limits gegen sogenannte Brute-Force-Angriffe. Dabei probiert ein Script automatisiert tausende Passwort-Kombinationen durch, in der Hoffnung, irgendwann die richtige zu treffen. Ein Rate-Limit sperrt eine IP-Adresse oder einen Account nach einer bestimmten Zahl von Fehlversuchen für einige Minuten. Das macht solche automatisierten Angriffe praktisch wirkungslos, ohne dass legitime Nutzer:innen im Alltag etwas davon merken.

Server und Infrastruktur richtig härten

Backend-Zugänge sind die eine Seite der Medaille, die Infrastruktur darunter die andere. Selbst mit perfekten Passwörtern bleibt ein Shop angreifbar, wenn der Server selbst schlecht konfiguriert ist. Diese Ebene betrifft meist Ihr Hosting-Unternehmen oder Ihre Agentur, Sie sollten aber wissen, worauf es ankommt, um im Gespräch die richtigen Fragen zu stellen.

Ganz oben steht HTTPS, also die verschlüsselte Verbindung zwischen dem Browser Ihrer Kund:innen und Ihrem Server, erkennbar am Schloss-Symbol in der Adressleiste. Ohne ein korrekt eingerichtetes SSL-Zertifikat könnten Daten wie Login-Informationen oder Zahlungsdetails auf dem Weg zwischen Kund:in und Server theoretisch mitgelesen werden. Wichtig ist dabei nicht nur das Vorhandensein von HTTPS, sondern auch die richtige Konfiguration: Alle Aufrufe über das unverschlüsselte HTTP sollten automatisch auf HTTPS weiterleiten, und das Zertifikat muss rechtzeitig vor Ablauf erneuert werden. Ein abgelaufenes Zertifikat wirkt auf Kund:innen wie eine Alarmglocke und schreckt Käufe ab, ganz unabhängig vom tatsächlichen Risiko.

Weitere Punkte, die zur Server-Härtung gehören:

• PHP-Einstellungen: Shopware läuft auf PHP. Veraltete PHP-Versionen erhalten keine Sicherheitsupdates mehr und sollten nicht mehr im Einsatz sein. Auch Einstellungen wie das Anzeigen ausführlicher Fehlermeldungen sollten in der produktiven Umgebung deaktiviert sein, da solche Meldungen Angreifer:innen unnötig viele Details über die Systemarchitektur verraten.

• Offene Ports: Ein Server sollte nur die Netzwerk-Ports offen haben, die tatsächlich gebraucht werden, üblicherweise für Web-Traffic. Administrative Zugänge wie Datenbank-Ports gehören nicht öffentlich ins Internet, sondern hinter eine Firewall oder einen abgesicherten Zugang, etwa per VPN.

• Webserver-Header: HTTP-Header wie "Content-Security-Policy" oder "X-Frame-Options" geben dem Browser Anweisungen, welche Inhalte er laden darf und wie er mit der Seite umgehen soll. Richtig gesetzt, erschweren sie bestimmte Angriffsarten erheblich, etwa das Einschleusen von fremdem Code in Formulare.

• Server-Software-Versionen: Nicht nur Shopware und PHP, auch der Webserver selbst, die Datenbank und das Betriebssystem brauchen laufende Sicherheitsupdates. Das ist einer der Gründe, warum eine seriöse Hosting-Umgebung mehr wert ist als der billigste verfügbare Tarif.

Ergänzend dazu gehört zu einer soliden Härtung auch laufendes Monitoring: automatisierte Checks, die etwa prüfen, ob der Shop erreichbar ist, ob Zertifikate bald ablaufen oder ob ungewöhnlich viele fehlgeschlagene Login-Versuche auftreten. Solche Checks schlagen Alarm, bevor aus einer kleinen Auffälligkeit ein handfestes Problem wird, und geben Ihnen die Chance, frühzeitig gegenzusteuern statt erst zu reagieren, wenn der Schaden schon da ist.

Ein oft unterschätzter Baustein ist zudem eine Web Application Firewall, kurz WAF. Sie prüft eingehende Anfragen an Ihren Shop, noch bevor diese Shopware überhaupt erreichen, und blockiert typische Angriffsmuster, etwa manipulierte Formulareingaben oder bekannte Angriffs-Signaturen. Eine WAF ersetzt keine gepflegte Software, ist aber eine sinnvolle zusätzliche Schutzschicht, ähnlich einer zweiten verschlossenen Tür hinter der ersten. Fragen Sie Ihr Hosting-Unternehmen gezielt danach, viele professionelle Shopware-Hosting-Angebote bringen eine solche Firewall bereits mit oder können sie einrichten.

Am Ende dieser Ebene steht die Frage nach der Verantwortung: Wer bei Ihnen im Team oder auf Seiten der Agentur kümmert sich konkret um Server-Härtung und Monitoring, und wie oft wird der aktuelle Stand überprüft? Ohne eine klar benannte Zuständigkeit bleiben selbst gute Vorsätze oft liegen, weil sich alle Beteiligten darauf verlassen, dass "das schon jemand macht".

Backups und der Notfallplan

Selbst wenn Sie alle bisherigen Punkte umsetzen, bleibt ein Restrisiko. Sicherheit ist nie hundertprozentig, und genau deshalb braucht jeder Shop einen Plan B. Dieser Plan B heißt in den allermeisten Fällen: ein funktionierendes Backup.

Ein Backup ist eine vollständige Kopie Ihres Shops, also der Datenbank mit allen Bestellungen, Kundendaten und Produkten sowie der Dateien mit Bildern, Vorlagen und Konfiguration. Entscheidend ist dabei nicht nur, dass ein Backup existiert, sondern wie es organisiert ist:

• Regelmäßigkeit: Tägliche Backups sind für die meisten Shops das sinnvolle Minimum. Wer viele Bestellungen pro Tag hat, sollte über häufigere Datenbank-Sicherungen nachdenken, damit im Ernstfall möglichst wenig zwischen Backup und Ausfall verloren geht.

• Getrennte Aufbewahrung: Ein Backup, das auf demselben Server liegt wie der Shop selbst, hilft im Ernstfall wenig, wenn genau dieser Server kompromittiert wird. Backups sollten deshalb an einem separaten Ort gespeichert werden, idealerweise räumlich und technisch getrennt vom produktiven System.

• Regelmäßige Tests: Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung, kein verlässlicher Schutz. Testen Sie in ruhigen Zeiten, ob sich aus dem Backup tatsächlich ein funktionierender Shop wiederherstellen lässt, und wie lange dieser Vorgang dauert.

Aus dem Backup allein wird aber erst dann ein echter Notfallplan, wenn auch klar ist, wer im Ernstfall was tut. Halten Sie schriftlich fest: Wer wird informiert, wenn der Shop ausfällt oder ein Angriff vermutet wird? Wer hat Zugriff auf die Backups und darf eine Wiederherstellung anstoßen? Welches Hosting- oder Agentur-Kontakt wird zuerst kontaktiert, und über welchen Kanal, falls das übliche E-Mail-Postfach betroffen ist? Ein solcher Plan muss nicht lang sein, eine Seite mit klaren Namen, Telefonnummern und Reihenfolge reicht meist aus. Wichtig ist, dass er existiert, bevor er gebraucht wird, denn im Ernstfall fehlt die Zeit, ihn erst zu erfinden.

Ein Notfallplan sollte außerdem festhalten, wie schnell der Shop im schlimmsten Fall wieder online sein muss. Für einen kleinen Nebenshop mag ein Tag Ausfall verkraftbar sein, für einen Shop mit täglich hohem Umsatz kann bereits eine Stunde Ausfall spürbar wehtun. Diese Frage sollten Sie einmal in Ruhe mit Ihrer Agentur oder Ihrem Hosting-Partner klären, statt sie erst während eines laufenden Vorfalls zu beantworten.

Was ein Sicherheitsvorfall wirklich kostet

Sicherheitsmaßnahmen kosten Zeit und manchmal auch Geld. Deshalb lohnt sich ein ehrlicher Blick darauf, was die Alternative kostet, nämlich ein tatsächlicher Vorfall. Die Zahlen und Pflichten dahinter sind kein Grund für Panik, aber ein guter Grund für echten Handlungsdruck.

Zunächst der direkte Schaden: Ist der Shop nicht erreichbar, entgehen Ihnen in jeder Minute Bestellungen, besonders schmerzhaft an umsatzstarken Tagen wie dem Black-Friday-Wochenende oder kurz vor Weihnachten. Dazu kommt der Aufwand für die Wiederherstellung selbst, oft mehrere Arbeitstage für Analyse, Bereinigung und Tests, je nachdem, wie tief ein Angreifer in das System eingedrungen ist.

Deutlich teurer wird es, wenn personenbezogene Daten betroffen sind, also Namen, Adressen, E-Mail-Adressen oder Zahlungsdaten von Kund:innen. In diesem Fall greift die Datenschutz-Grundverordnung, kurz DSGVO. Sie verpflichtet Sie, eine solche Datenschutzverletzung binnen 72 Stunden nach Kenntnisnahme der zuständigen Aufsichtsbehörde zu melden, in bestimmten Fällen auch die betroffenen Kund:innen direkt zu informieren. Wer diese Meldepflicht versäumt oder zu spät reagiert, riskiert zusätzlich zum eigentlichen Vorfall ein eigenständiges Bußgeld allein für die verspätete Meldung. Die Bußgelder für Datenschutzverstöße können, je nach Schwere und Unternehmensgröße, empfindlich hoch ausfallen und stehen in keinem Verhältnis zu den Kosten einer vorbeugenden Absicherung. Wie eng Datenschutz und der laufende Betrieb eines Shops zusammenhängen, zeigt sich auch an anderer Stelle, etwa beim Umgang mit Cookies und Tracking, den wir im Beitrag zur DSGVO Cookie-Einwilligung ausführlich erklären.

Der wohl am schwersten zu beziffernde, aber langfristig teuerste Posten ist der Vertrauensverlust. Kund:innen, die einmal von einem Datenleck bei Ihrem Shop betroffen waren, kaufen häufig nicht wieder. Presse- oder Social-Media-Berichterstattung über einen gehackten Shop verbreitet sich schnell und bleibt in Suchergebnissen oft lange sichtbar. Neue Kund:innen zu gewinnen, ist ohnehin aufwendiger und teurer als bestehende zu halten, ein Sicherheitsvorfall reißt genau in diesem empfindlichen Bereich ein Loch, das sich nur langsam wieder schließt.

Nicht zu unterschätzen ist außerdem der interne Aufwand, den ein Vorfall auslöst, unabhängig von Bußgeldern. Interne Kommunikation, Rückfragen von Kund:innen, ein möglicher Austausch mit Zahlungsdienstleistern oder Banken bei betroffenen Kartendaten, dazu die eigentliche technische Bereinigung: All das bindet für Tage die Aufmerksamkeit von Personen, die sonst am Tagesgeschäft arbeiten würden. Gerade in kleineren Teams ohne eigene IT-Abteilung fehlt diese Kapazität an anderer Stelle dann besonders schmerzhaft.

Gegen all das steht ein vergleichsweise kleiner, planbarer Aufwand: regelmäßige Updates, 2FA, ein durchdachtes Backup-Konzept und ein bisschen Aufmerksamkeit für die Server-Konfiguration. Diese Investition ist fast immer günstiger als selbst der günstigste denkbare Vorfall.

Einen Shopware Shop absichern heißt nicht, einmalig eine Checkliste abzuhaken und das Thema dann zu vergessen. Es ist eine laufende Aufgabe, die sich aber gut in feste Routinen einbauen lässt: monatliche Updates, verpflichtende Zwei-Faktor-Authentifizierung, eine saubere Rechteverwaltung, gehärtete Server-Einstellungen und getestete Backups mit einem klaren Notfallplan. Keine dieser Maßnahmen ist für sich genommen kompliziert, ihre Kombination macht aus Ihrem Shop aber ein deutlich unattraktiveres Ziel für automatisierte Angriffe.

Der entscheidende Unterschied zwischen Shops, die einen Vorfall glimpflich überstehen, und solchen, die tagelang stillstehen, liegt selten im Zufall. Er liegt darin, ob die Grundlagen vorher solide aufgesetzt wurden. Wer sich unsicher ist, wo der eigene Shop aktuell steht, sollte diese Frage nicht auf die lange Bank schieben, sondern lieber jetzt einmal von außen prüfen lassen, bevor der nächste umsatzstarke Termin näher rückt.