Cyberangriffe gehören 2026 zum normalen Geschäftsrisiko. Websites und Webshops werden dabei nicht nur von Personen angegriffen, die ein bestimmtes Unternehmen gezielt ausgewählt haben. Viele Angriffe laufen automatisiert ab und suchen systematisch nach bekannten Schwachstellen in veralteten Content-Management-Systemen, Plugins, Extensions und Serverumgebungen. Dass ein Unternehmen klein oder regional tätig ist, bietet daher keinen verlässlichen Schutz. Laut der Studie „Cyber Security in Österreich 2025“, an der 1.391 österreichische Unternehmen teilnahmen, war rund jeder siebte Cyberangriff erfolgreich. Bei fast einem Drittel der Unternehmen hatten Angriffe auf Lieferanten oder Dienstleister wesentliche Auswirkungen auf den eigenen Betrieb.
Sicherheitsupdates gehören zu den wirksamsten Grundlagen, um bekannte Schwachstellen zeitnah zu schließen. Sie verhindern nicht jeden Angriff, reduzieren aber vermeidbare Risiken deutlich. Entscheidend ist ein kontrollierter Prozess mit Backups, Tests und anschließender Funktionsprüfung.
Sicherheitsupdates werden zu oft vernachlässigt
Als Webdienstleister weisen wir Unternehmen regelmäßig auf notwendige Sicherheits- und Versionsupdates hin. In der Praxis werden diese dennoch häufig verschoben, weil eine Website sichtbar funktioniert und die Aktualisierung zunächst nur Kosten und internen Aufwand verursacht. Das Problem dabei: Eine erreichbare Website ist nicht automatisch sicher. Sicherheitslücken bleiben häufig unsichtbar, bis sie tatsächlich ausgenutzt werden. Auch ein erfolgreicher Angriff fällt nicht immer sofort auf. Angreifer können Schadcode einschleusen, neue Benutzerkonten anlegen, Formulare manipulieren oder Besucher unbemerkt auf fremde Seiten weiterleiten.
Wer Updates über einen längeren Zeitraum aufschiebt, erhöht außerdem den späteren Aufwand. Ein kleiner Versionssprung innerhalb einer unterstützten Systemreihe lässt sich meist einfacher testen als ein Upgrade über mehrere Hauptversionen, veraltete Erweiterungen und nicht mehr unterstützte PHP-Versionen hinweg.
TYPO3
Die im ursprünglichen Artikel erwähnte TYPO3-Version 4.5 ist schon lange nicht mehr relevant. Im Jahr 2026 ist TYPO3 14 LTS die empfohlene Version für neue Projekte. TYPO3 13 LTS wird für bestehende Projekte weiterhin regulär unterstützt. Der kostenlose Support für TYPO3 12 LTS endete am 30. April 2026. Wer diese Version weiter betreiben möchte, benötigt einen kostenpflichtigen Extended Long Term Support oder einen konkreten Upgradeplan. Ältere TYPO3-Versionen befinden sich ebenfalls außerhalb des regulären Supports.
Wie wichtig aktuelle Sicherheitsupdates sind, zeigte sich im Juni 2026. Das TYPO3-Sicherheitsteam veröffentlichte mehrere Hinweise zu Schwachstellen im Core und in Extensions. Betroffen waren unter anderem Zugriffskontrollen, SQL-Injection, Datei-Uploads und Cross-Site-Scripting. Für unterstützte Versionen wurden entsprechende Korrekturen bereitgestellt. Neben dem TYPO3-Kern müssen auch alle eingesetzten Extensions und individuellen Entwicklungen geprüft werden. Eine aktuelle Hauptversion bietet keinen ausreichenden Schutz, wenn eine nicht mehr gewartete Erweiterung weiterhin eine bekannte Schwachstelle enthält.
WordPress
WordPress ist aufgrund seiner großen Verbreitung ein häufiges Ziel automatisierter Angriffe. Das bedeutet nicht, dass das System grundsätzlich unsicher ist. Probleme entstehen meist durch veraltete Plugins und Themes, schwache Passwörter, unnötige Administratorenkonten oder eine fehlende laufende Wartung.
WordPress veröffentlicht regelmäßig Sicherheits- und Wartungsupdates. Im März 2026 wurde beispielsweise WordPress 6.9.2 als Sicherheitsrelease veröffentlicht und zur sofortigen Aktualisierung empfohlen. Die aktuelle stabile Version ist inzwischen WordPress 7.0.1.
Besonders wichtig ist das Plugin-Management. Nicht mehr benötigte Erweiterungen sollten vollständig gelöscht und nicht nur deaktiviert werden. Solange sich deren Dateien auf dem Server befinden, können bestimmte Schwachstellen weiterhin relevant sein.
Eine professionelle WordPress-Wartung umfasst deshalb nicht nur Updates des Core-Systems, sondern auch:
- Plugins und Themes
- PHP- und Datenbankversionen
- Benutzerkonten und Zugriffsrechte
- Backups und Wiederherstellung
- Formulare und E-Mail-Versand
- Fehler- und Sicherheitsprotokolle
Automatische Updates können bei kleinen, standardisierten Websites sinnvoll sein. Bei Buchungssystemen, Webshops, Mitgliederbereichen und individuellen Schnittstellen ist ein kontrollierter Ablauf über eine Staging-Umgebung meist die sicherere Lösung.
Magento
Magento beziehungsweise Adobe Commerce verarbeitet häufig umfangreiche Produkt-, Kunden-, Bestell- und Zahlungsdaten. Bei einem Sicherheitsvorfall sind deshalb nicht nur die Website und ihre Inhalte betroffen, sondern möglicherweise der gesamte Verkaufsprozess.
Sicherheitsupdates sollten bei Magento besonders sorgfältig vorbereitet werden. Neben dem Core-System müssen Erweiterungen, individuelle Module, Zahlungsanbieter, Schnittstellen und die Serverumgebung berücksichtigt werden.
Vor der Installation ist eine möglichst realitätsnahe Testumgebung erforderlich.
Nach dem Update sollten zumindest folgende Funktionen geprüft werden:
- Produktsuche und Filter
- Warenkorb und Checkout
- Kundenkonto und Anmeldung
- Zahlungs- und Versandarten
- Bestellbestätigungen und E-Mails
- Schnittstellen zur Warenwirtschaft
- Tracking- und Consent-Einstellungen
- Cronjobs und Hintergrundprozesse
Das Ziel ist nicht, Updates möglichst schnell und unkontrolliert einzuspielen. Es geht darum, sie rechtzeitig und mit kalkulierbarem Risiko umzusetzen.
Welche Risiken bestehen bei Missachtung von Updates?
Nicht jede veraltete Website wird automatisch erfolgreich angegriffen. Mit jeder bekannten und ungepatchten Schwachstelle steigt jedoch das vermeidbare Risiko.
Mögliche Folgen eines Angriffs sind:
- Diebstahl oder Veränderung von Daten
- Einschleusen von Schadcode
- Übernahme von Administratorenkonten
- Manipulation von Formularen und Zahlungen
- Weiterleitung von Besuchern auf betrügerische Seiten
- Sperrung der Website durch Browser oder Sicherheitsdienste
- Ausfälle und Umsatzverluste
- aufwendige technische Wiederherstellung
- Verlust des Vertrauens von Kunden und Geschäftspartnern
Besonders kritisch wird die Situation, wenn personenbezogene Daten verarbeitet werden. Dazu gehören nicht nur Zahlungsinformationen, sondern auch Namen, E-Mail-Adressen, Telefonnummern, Bestellungen, Nachrichten und Zugangsdaten.
Nach Artikel 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden an die österreichische Datenschutzbehörde gemeldet werden, sofern daraus voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen entsteht. Bei einem voraussichtlich hohen Risiko müssen unter Umständen auch die betroffenen Personen informiert werden. Unternehmen benötigen deshalb nicht nur technische Schutzmaßnahmen, sondern auch einen Notfallplan. Es muss vorab geklärt sein, wer bei einem Vorfall entscheidet, wie die Website abgesichert wird, wo unabhängige Backups liegen und wer eine mögliche Datenschutzverletzung bewertet.
Ab dem 1. Oktober 2026 gelten für rund 4.000 österreichische Unternehmen und Einrichtungen zusätzliche Verpflichtungen aus dem NISG 2026. Das Gesetz betrifft 18 gesellschaftlich und wirtschaftlich relevante Sektoren und sieht unter anderem Risikomanagementmaßnahmen, Meldepflichten und Vorgaben für die Sicherheit der Lieferkette vor. Dadurch können auch kleinere Dienstleister und Lieferanten mittelbar betroffen sein.
Ein Update allein erfüllt weder die DSGVO noch sämtliche Anforderungen des NISG 2026. Regelmäßige Aktualisierungen sind aber ein wesentlicher Bestandteil eines angemessenen Sicherheitskonzepts.
Vorteile von Sicherheitsupdates
Sicherheitsupdates schließen bekannte Schwachstellen, bevor sie ausgenutzt werden können. Sie verbessern häufig außerdem die Stabilität und Kompatibilität mit aktuellen Browsern, Servern und Datenbanksystemen.
Der größte Vorteil liegt in der Planbarkeit. Ein vorbereitetes Update kann in einer Testumgebung geprüft und zu einem geeigneten Zeitpunkt auf das produktive System übertragen werden. Ein erfolgreicher Angriff erzwingt dagegen sofortiges Handeln, meist unter erheblichem Zeitdruck.
Regelmäßige Wartung bietet weitere Vorteile:
- Sicherheitsrisiken werden frühzeitig reduziert.
- Technische Abhängigkeiten bleiben überschaubar.
- Große Versionssprünge werden vermieden.
- Backups und Wiederherstellung bleiben getestet.
- Fehler lassen sich leichter auf einzelne Änderungen zurückführen.
- Moderne Server- und PHP-Versionen können genutzt werden.
- Die Website bleibt leichter weiterentwickelbar.
Dabei sollte zwischen Sicherheitsupdates und größeren Versionsupgrades unterschieden werden. Ein Sicherheitsupdate innerhalb einer unterstützten Versionsreihe ist häufig mit überschaubarem Aufwand möglich. Ein Upgrade auf eine neue Hauptversion kann dagegen Anpassungen an Templates, Plugins, Erweiterungen und individuellen Funktionen erfordern. Beides gehört zur laufenden Betreuung. Sicherheitsupdates schließen kurzfristige Risiken, während geplante Versionsupgrades verhindern, dass das gesamte System aus dem Support fällt.
Die Kosten einer regelmäßigen Wartung sollten außerdem nicht isoliert betrachtet werden. Bei einem kompromittierten System entstehen möglicherweise Aufwände für Analyse, Bereinigung, Wiederherstellung, Datenschutzbewertung und Kommunikation. Hinzu kommen Ausfallzeiten, verlorene Bestellungen und ein möglicher Vertrauensverlust.
Ein Backup ist dabei unverzichtbar, aber kein vollständiger Schutz. Die Sicherung kann bereits kompromittierte Dateien enthalten oder zusammen mit dem Hauptsystem angegriffen werden. Backups sollten deshalb getrennt gespeichert, ausreichend lange aufbewahrt und regelmäßig durch eine Wiederherstellung überprüft werden.
Ein verlässlicher Sicherheitsprozess umfasst mindestens fünf Schritte:
- Alle eingesetzten Systeme und Versionen dokumentieren
- Supportstatus und Sicherheitsmeldungen überwachen
- Aktuelle und getrennt gespeicherte Backups erstellen
- Updates in einer Testumgebung prüfen
- Nach der Installation zentrale Funktionen kontrollieren
Zusätzlich sollten Mehrfaktor-Authentifizierung, sichere Benutzerrollen und die regelmäßige Kontrolle bestehender Konten zum Standard gehören. Sicherheitsupdates bieten damit keinen absoluten Schutz, reduzieren aber einen großen Teil jener Risiken, die durch bekannte und bereits behobene Schwachstellen entstehen.
IXSOL unterstützt Unternehmen bei der laufenden Wartung von WordPress-, TYPO3- und Magento-Systemen. Wir prüfen Versionsstände, Erweiterungen, Hostingumgebung und technische Abhängigkeiten und entwickeln daraus einen realistischen Update- oder Upgradeplan. Sie möchten wissen, ob Ihre Website oder Ihr Webshop noch einen unterstützten Versionsstand verwendet? Kontaktieren Sie IXSOL für eine erste technische Einschätzung. Ziel ist keine künstliche Dringlichkeit, sondern eine klare Grundlage für die nächsten notwendigen Schritte.