Shopware 5 nach dem Support-Ende: In sieben Schritten absichern

Warum „läuft doch“ kein Argument ist

Ein Shopware-5-Shop merkt nichts vom Support-Ende. Bestellungen kommen rein, der Admin funktioniert, Kunden beschweren sich nicht. Das Problem ist unsichtbar: Jede Lücke, die seit Juli 2024 in Shopware 5 oder einem seiner Bestandteile gefunden wird, bleibt offen. Und gefunden werden sie – nicht, weil Shopware 5 schlecht wäre, sondern weil die Software unter dem Shop weiterlebt: PHP, Symfony-Komponenten, JavaScript-Bibliotheken, Plugins.

Konkret wurde das im Oktober 2026: Eine kritische Lücke in PHP (CVSS 9.2, CVE-2026-109618 und -109619; Quelle) betraf praktisch alle PHP-Versionen. Ein Shopware-Update hilft in so einem Fall nicht. Es hilft nur ein PHP-Update – und das setzt voraus, dass der Shop auf einer PHP-Version läuft, die überhaupt noch Updates bekommt. Viele Shopware-5-Shops laufen auf PHP 7.4 oder 8.1. Beide sind seit Langem ohne Sicherheitsupdates.

Was Haftung und Zahlungsanbieter dazu sagen

Wer Kundendaten auf Software verarbeitet, für die es bekanntermaßen keine Sicherheitsupdates mehr gibt, trägt im Schadensfall ein höheres Risiko – gegenüber Kunden, gegenüber der Datenschutzaufsicht und gegenüber dem Zahlungsanbieter. PCI-DSS, der Standard der Kartenorganisationen, verlangt ausdrücklich gepflegte Systeme. Das heißt nicht, dass Sie morgen abgeschaltet werden. Es heißt, dass „wir wussten es nicht“ nach dem Support-Ende als Argument nicht mehr zieht. Ein dokumentierter Sicherheitscheck mit umgesetzter Maßnahmenliste ist dagegen genau das, was im Ernstfall zeigt, dass Sie sich gekümmert haben.

Für Shops mit Zahlungsarten über Plugins kommt ein praktischer Punkt dazu: PayPal, Klarna und Co. stellen alte API-Versionen irgendwann ab. Die Plugins für Shopware 5 werden dann nicht mehr angepasst. Spätestens an diesem Punkt entscheidet nicht mehr die Sicherheit, sondern der Checkout, wann der Umzug kommt.

Schritt 1: PHP-Version prüfen und anheben

Im Admin unter Einstellungen → Systeminfo steht die PHP-Version. Shopware 5.7 läuft offiziell bis PHP 8.1; mit kleinen Anpassungen am Core und an Plugins auch auf 8.2 oder 8.3. Ob das in Ihrem Shop klappt, hängt von den Plugins ab – deshalb nie direkt am Live-Shop umstellen, sondern auf einer Kopie testen. Bei mir ist das der „PHP-Upgrade-Check“ für 99 € netto: Version prüfen, Rücksprache mit dem Hoster, Kompatibilitätstest auf Staging.

Schritt 2: Shopware auf die letzte 5.7-Version bringen

Die letzte offizielle Version ist 5.7.19. Wer auf 5.6 oder einer frühen 5.7 steht, hat Lücken offen, die Shopware noch vor dem Support-Ende geschlossen hat. Das Update auf 5.7.19 ist ein Minor-Update und in wenigen Stunden erledigt – inklusive Staging und Backup.

Schritt 3: Plugins ausmisten

In den meisten Shopware-5-Shops, die ich übernehme, sind 30 bis 60 Plugins installiert und 10 bis 20 davon werden tatsächlich benutzt. Jedes installierte Plugin ist Code, der Lücken haben kann – auch wenn es deaktiviert ist, liegt es auf dem Server. Deaktivieren reicht nicht; deinstallieren und löschen. Für die verbleibenden Plugins prüfe ich, ob der Hersteller sie noch pflegt. Plugins von Anbietern, die den Store verlassen haben, sind Kandidaten für Ersatz oder Nachbau.

Schritt 4: Bekannte Lücken schließen

Für einige Shopware-5-Komponenten gibt es Patches aus der Community, die nach dem Support-Ende entstanden sind, und für Bibliotheken wie Symfony oder Guzzle gibt es aktualisierte Versionen, die sich einspielen lassen. Das ist Handarbeit und nicht für jeden Shop sinnvoll – aber für Shops, die noch zwei Jahre laufen sollen, lohnt es sich. Welche Patches in Frage kommen, steht auf der Maßnahmenliste nach dem Sicherheitscheck.

Schritt 5: Server und Zugänge absichern

• Admin-Zugang nur über eine zweite Absicherung (IP-Beschränkung oder HTTP-Auth vor dem Backend-Pfad).
• Alle Admin-Benutzer durchgehen: Wer braucht den Zugang noch? Ehemalige Agenturen und Mitarbeiter raus.
• Starke Passwörter erzwingen, keine geteilten Zugänge.
• FTP abschalten, nur SFTP oder SSH mit Schlüssel.
• Dateirechte prüfen: Das Web-Verzeichnis darf nicht weltweit beschreibbar sein.

Schritt 6: Backups und Monitoring

Ein tägliches Backup von Datenbank und Dateien, das auf einem anderen System liegt als der Shop selbst – und das mindestens einmal probeweise zurückgespielt wurde. Dazu ein einfaches Monitoring, das meldet, wenn der Shop nicht erreichbar ist oder sich Dateien im Core ändern. Letzteres ist der zuverlässigste Hinweis auf einen Einbruch.

Schritt 7: Entscheiden, wann der Umzug kommt

Absichern kauft Zeit, es ersetzt die Migration nicht. Die ehrliche Frage lautet: Wann wird das Weiterbetreiben teurer als der Umzug? Meist dann, wenn größere Funktionen anstehen, die in Shopware 5 nicht mehr sauber machbar sind – eine neue Zahlungsart, eine ERP-Anbindung, die E-Rechnung. Ein Standardshop ohne starke Individualisierung liegt bei der Migration auf Shopware 6 bei etwa 2.900 € netto; mit eigenen Plugins und Schnittstellen deutlich darüber.

Was der Sicherheitscheck liefert

Ich prüfe Shopware-Version, PHP-Version, alle Plugins, Server-Konfiguration, Admin-Zugänge und bekannte Schwachstellen. Sie bekommen innerhalb von fünf Werktagen eine priorisierte Liste mit konkreten Maßnahmen und dem Aufwand je Punkt – und eine Einschätzung, ob Absichern reicht oder der Umzug ansteht. Festpreis 290 € netto, inklusive 30 Minuten Besprechung. Details auf der Seite Shopware 5 absichern & migrieren.

Wenn Sie nur eine Sache aus diesem Beitrag mitnehmen: Schauen Sie heute nach, welche PHP-Version Ihr Shop nutzt. Steht dort 7.4 oder 8.1, ist das der erste Punkt auf der Liste – unabhängig von allem anderen.