Betrieb & Technik · Shopware Hub

Wie hält man einen Shopware-Shop sicher?

Auch: Shop-Sicherheit · Security Shopware · Härtung

Kurzantwort

Ein Onlineshop ist ein lohnendes Angriffsziel: Er verarbeitet Zahlungs- und Kundendaten, ist öffentlich erreichbar – und wird von automatisierten Scannern permanent auf bekannte Lücken abgeklopft. Die vier Verteidigungslinien: Software aktuell halten, Zugänge härten, den Server absichern und den Betrieb beobachten – in dieser Reihenfolge der Wirksamkeit. Die unbequeme Statistik dahinter: Eingebrochen wird selten über Zero-Days, fast immer über längst gepatchte Lücken und schwache Zugangsdaten – Sicherheit ist zu 80 Prozent Disziplin.

Angreifer nehmen die unterste unverschlossene Tür – die vier Linien sorgen dafür, dass es keine gibt.

Die Praxis der vier Linien – und der Plan für den Tag X

Linie eins ist die Update-Disziplin aus der eigenen Frage dieser Kategorie – ergänzt um zwei Security-Spezifika: die offiziellen Shopware Security Advisories abonnieren (ab Veröffentlichung einer Lücke scannen Bots das Netz binnen Stunden danach) und das offizielle Sicherheits-Plugin kennen, das kritische Fixes für noch nicht vollzogene Versionssprünge bereitstellt – eine Brücke, kein Dauerzustand. Linie zwei kostet nichts außer Konsequenz: Zwei-Faktor-Authentifizierung für jedes Administrations-Konto, Passwort-Manager statt Passwort-Kreativität, je Mitarbeiter ein eigenes Konto mit minimalen Rechten (die Rollenverwaltung gibt das her), Ex-Mitarbeiter-Zugänge am letzten Arbeitstag deaktiviert – und dieselbe Strenge für die Nebeneingänge: FTP/SSH-Zugänge, Datenbank-Tools und das Hosting-Panel sind Admin-Zugänge, auch wenn sie nicht so heißen. Linie drei gehört zur Hosting-Auswahl: TLS erzwungen, aktuelle Serversoftware, Firewall, isolierte Kundensysteme – die Prüfliste der Hosting-Frage deckt das ab; eine Web Application Firewall ist die sinnvolle Zubuchung für exponierte Shops. Linie vier unterscheidet Glück von Sicherheit: Wer Login-Anomalien, unerwartete Datei-Änderungen und Ausfälle gemeldet bekommt, entdeckt Vorfälle in Stunden statt Wochen. Und für den Tag X existiert ein geschriebener Plan: Systeme vom Netz beziehungsweise in Wartung, Zugangsdaten komplett rotieren, sauberen Stand aus dem unveränderlichen Backup wiederherstellen, Einfallstor identifizieren und schließen – und die Rechtspflichten prüfen: Bei kompromittierten Kundendaten läuft die 72-Stunden-Meldefrist der DSGVO; der Notfall ist der falsche Moment, das zum ersten Mal zu lesen.

Kurz-Fakten

Realistische Bedrohung: automatisierte Scans auf bekannte Lücken + schwache Zugänge – nicht Hollywood-Hacker.
Linie 1: Updates zeitnah, Security Advisories abonnieren, offizielles Sicherheits-Plugin als Brücke kennen.
Linie 2: 2FA für ALLE Admin-Zugänge (inkl. Hosting/SSH/DB), Einzelkonten mit Minimalrechten, Offboarding am Tag X.
Linie 3: Server-Härtung = Hosting-Qualität – TLS, Firewall, Isolation; WAF als Zubuchung für Exponierte.
Linie 4: Monitoring mit Alarmen (Logins, Datei-Änderungen, Ausfälle) – Entdeckung in Stunden statt Wochen.
Tag-X-Plan: isolieren → Zugänge rotieren → aus unveränderlichem Backup wiederherstellen → Einfallstor schließen → DSGVO-Meldefrist (72 h) prüfen.

Einordnung

Shop-Sicherheit ist unspektakulärer, als ihre Schlagzeilen vermuten lassen: kein Duell mit Genies, sondern ein Wettbewerb im Türenschließen gegen Automaten, die nur offene finden wollen. Die vier Linien kosten Disziplin statt Budget – und wer sie hält, hat aus dem Tag X einen geprobten Handgriff gemacht statt einer Existenzfrage.

Wie hält man einen Shopware-Shop sicher?

Die Praxis der vier Linien – und der Plan für den Tag X

Kurz-Fakten

Einordnung

Verwandte Fragen