Sicherheitsupdates werden im laufenden Betrieb einer Website oder eines Webshops schnell aufgeschoben. Schließlich funktioniert das System, Änderungen kosten Zeit und nach einem Update müssen wichtige Funktionen kontrolliert werden. Gerade deshalb entsteht leicht der Eindruck, dass kein unmittelbarer Handlungsbedarf besteht.Eine erreichbare Website ist jedoch nicht automatisch eine sichere Website. Bekannte Sicherheitslücken können über längere Zeit unbemerkt bestehen und automatisiert ausgenutzt werden. Angreifer suchen nicht nur nach großen Konzernen oder bekannten Marken, sondern scannen systematisch nach verwundbaren WordPress-, TYPO3- und Magento-Installationen.
Die gute Nachricht ist: Viele Angriffe lassen sich durch regelmäßige Updates, einen kontrollierten Wartungsprozess und grundlegende Sicherheitsmaßnahmen deutlich erschweren. Es geht dabei nicht darum, Angst zu erzeugen oder jede verfügbare Aktualisierung ungeprüft zu installieren. Entscheidend ist ein verlässlicher Prozess, der Sicherheitsupdates zeitnah bewertet, testet und einspielt.
Die Cyberbedrohung bleibt auch 2026 relevant. Der aktuelle österreichische Bericht zur Cybersicherheit für das Jahr 2025 behandelt unter anderem Ransomware, Internetbetrug und gezielte Angriffe auf Unternehmen. Eine österreichische Studie mit 1.391 teilnehmenden Unternehmen kam 2025 außerdem zu dem Ergebnis, dass rund jeder siebte Cyberangriff erfolgreich war und bei fast einem Drittel der Unternehmen Angriffe auf Lieferanten oder Dienstleister wesentliche Auswirkungen auf den eigenen Betrieb hatten.
Software von Menschen für Menschen
Software ist niemals endgültig fertig. Sie wird laufend an neue Anforderungen, Browser, Servertechnologien und Sicherheitsbedrohungen angepasst. Das gilt für Betriebssysteme ebenso wie für Content-Management-Systeme und Webshop-Plattformen. Neue Versionen enthalten nicht ausschließlich zusätzliche Funktionen. Viele Aktualisierungen beheben Fehler, schließen Sicherheitslücken und stellen die Kompatibilität mit aktuellen PHP-, Datenbank- und Browser-Versionen sicher.
Dabei muss zwischen drei Arten von Updates unterschieden werden:
Sicherheitsupdates schließen bekannte Schwachstellen und sollten nach einer kurzen Risikoprüfung zeitnah installiert werden.
Wartungsupdates beheben Fehler und verbessern die Stabilität innerhalb derselben Versionsreihe.
Versionsupgrades führen auf eine neue Hauptversion und können Änderungen an Templates, Extensions, Plugins oder individuellen Entwicklungen erfordern.
Nicht jedes Update verursacht einen großen Projektaufwand. Sicherheits- und Wartungsupdates innerhalb einer unterstützten Versionsreihe können häufig kontrolliert und mit überschaubarem Risiko eingespielt werden. Wer solche Aktualisierungen jahrelang aufschiebt, muss später dagegen mehrere technische Generationen auf einmal überbrücken.
Als Webdienstleister ist es unsere Aufgabe, Unternehmen auf auslaufende Versionsstände und erkennbare Sicherheitsrisiken hinzuweisen. Die Entscheidung über Zeitpunkt und Budget liegt beim Betreiber. Wichtig ist jedoch, dass diese Entscheidung auf einer realistischen Risikobewertung beruht und nicht allein auf dem Argument: „Bisher ist noch nichts passiert.“
Gefahr für sensible Kundendaten
Werden auf der Webseite Kundendaten verwaltet, verstärkt sich das Risiko noch um ein Vielfaches. Gerade solche Seiten bieten für Hacker ein wahres Fest an „kostenlosen“ Informationen, welche über diverse illegale Foren weiterverkauft werden. Die Verantwortung im Umgang mit diesen Daten ist vielen Unternehmen oft gar nicht bewusst. Fahrlässiges Verhalten ist somit an der Tagesordnung. Speziell die Datenschutzgrundverordnung, welche ab dem 25.05.2018 in Kraft getreten ist, wird sich besonders um solche Fahrlässigkeiten „kümmern“.
Speziell dem Thema Sicherheitsupdates sollte ein besonders hohes Maß an Aufmerksamkeit geschenkt werden. Bei unseren Recherchen zu diesem Thema mussten wir leider feststellen, dass bei vier von fünf Webshops zumindest ein relevantes Sicherheitsupdate gefehlt hat. Das Interesse von Kunden in diesem Bereich etwas zu unternehmen war gering bis gar nicht vorhanden.
Sei es TYPO3, WordPress oder Magento -> Es werden regelmäßig kostenlose Updates angeboten um sensible Daten zu schützen. Diesen Vorteil sollte man sich als auf jeden Fall zu Nutze machen.
Fehlt einem die technische Expertise, dann stehen wir als kompetenter Partner im WEB Bereich gerne zur Verfügung.
TYPO3
Die im ursprünglichen Beitrag genannten TYPO3-Versionen 4.5 und 9 sind 2026 längst überholt. Aktuell ist TYPO3 14 LTS die empfohlene Version für neue Projekte. TYPO3 13 LTS wird für bestehende Projekte weiterhin regulär unterstützt. TYPO3 12 LTS hat dagegen am 30. April 2026 das Ende seines kostenlosen Supports erreicht und benötigt für weitere Sicherheits- und Kompatibilitätsupdates einen kostenpflichtigen Extended Long Term Support oder ein geplantes Upgrade.
Wie konkret Sicherheitsupdates werden können, zeigte der Juni 2026. Das TYPO3-Sicherheitsteam veröffentlichte innerhalb eines Tages mehrere Hinweise zu Schwachstellen im Core und in Extensions. Betroffen waren unter anderem Zugriffskontrollen, Datei-Uploads, SQL-Injection, unsichere Deserialisierung und Cross-Site-Scripting. Für die unterstützten Versionsreihen wurden entsprechende Aktualisierungen bereitgestellt.
Eine aktuelle TYPO3-Hauptversion allein reicht dennoch nicht aus. Auch installierte Extensions und individuelle Entwicklungen müssen laufend überprüft werden. Eine nicht mehr gepflegte Extension kann unabhängig vom Core ein Sicherheitsrisiko darstellen.
Für TYPO3-Betreiber sind deshalb drei Fragen entscheidend:
- Welche Hauptversion ist aktuell installiert?
- Besteht dafür noch regulärer Support oder ein aktiver ELTS-Vertrag?
- Werden auch Extensions und individuelle Komponenten gewartet?
Ist die Website bereits außerhalb des Supportzeitraums, sollte nicht hektisch, aber zeitnah geplant werden. Je nach Projekt kann ein direktes Upgrade, eine Übergangsphase mit ELTS oder ein vollständiger technischer Relaunch sinnvoll sein.
Magento
Magento beziehungsweise Adobe Commerce ist ein komplexes E-Commerce-System, das Produkt-, Kunden-, Bestell- und Zahlungsdaten verarbeitet. Entsprechend sorgfältig müssen Sicherheitsupdates, Erweiterungen und Serverumgebung betreut werden.
Besonders riskant sind Webshops, deren Magento-Version zwar noch grundsätzlich funktioniert, aber keine regulären Sicherheitsupdates mehr erhält. Angreifer können bekannte Schwachstellen unter anderem nutzen, um Schadcode einzuschleusen, Administratorzugänge zu übernehmen oder den Checkout zu manipulieren.
Bei einem Magento-Shop darf das Update deshalb nicht nur den Core betreffen.
Zu prüfen sind auch:
- installierte Extensions
- individuelle Module und Schnittstellen
- eingesetzte PHP- und Datenbankversionen
- Zahlungs- und Versanddienstleister
- Theme und Checkout
- Cronjobs und Hintergrundprozesse
- Benutzerkonten und Berechtigungen
Da ein Webshop unmittelbar Umsatz erzeugt, müssen Updates kontrolliert vorbereitet werden. Eine Staging-Umgebung, ein aktuelles Backup und definierte Funktionstests gehören zur Grundausstattung. Nach einem Update sollten insbesondere Produktsuche, Warenkorb, Kundenkonto, Checkout, Zahlungsarten, Bestellmails und Schnittstellen zur Warenwirtschaft geprüft werden.
Das Ziel ist nicht, Veränderungen zu vermeiden. Ziel ist, Aktualisierungen so planbar durchzuführen, dass Risiken und Ausfallzeiten möglichst gering bleiben.
WordPress
WordPress ist aufgrund seiner großen Verbreitung ein häufiges Ziel automatisierter Angriffe. Das bedeutet nicht, dass WordPress grundsätzlich unsicher ist. Das Risiko entsteht meist durch veraltete Plugins, Themes, schwache Passwörter, unnötige Administratorenkonten und fehlende Wartung. WordPress selbst veröffentlicht regelmäßig Wartungs- und Sicherheitsupdates. So wurde WordPress 6.9.2 im März 2026 ausdrücklich als Sicherheitsrelease bereitgestellt und zur sofortigen Aktualisierung empfohlen. Die aktuelle stabile Hauptversion ist inzwischen WordPress 7.0.1.
Besondere Aufmerksamkeit verdienen Plugins. Jede zusätzliche Erweiterung vergrößert die technische Komplexität. Nicht verwendete Plugins und Themes sollten deshalb vollständig gelöscht und nicht nur deaktiviert werden. Solange ihr Code auf dem Server liegt, können bekannte Schwachstellen weiterhin relevant sein.
Eine professionelle WordPress-Wartung umfasst mehr als das Anklicken der Update-Schaltfläche.
Sie berücksichtigt:
- WordPress Core
- aktive Plugins und Themes
- PHP- und Datenbankversion
- Backups und Wiederherstellung
- Benutzerkonten und Zugriffsrechte
- Formulare und E-Mail-Versand
- Sicherheits- und Fehlerprotokolle
- Funktionskontrollen nach Updates
Automatische Updates können bei einfachen und standardisierten Websites sinnvoll sein. Bei individuell entwickelten Websites, Webshops, Buchungssystemen oder externen Schnittstellen ist in der Regel ein kontrollierter Prozess mit vorherigem Test geeigneter.
Gefahr für sensible Kundendaten
Je mehr personenbezogene Daten über eine Website oder einen Webshop verarbeitet werden, desto größer sind die möglichen Auswirkungen eines Sicherheitsvorfalls. Dazu zählen nicht nur Zahlungsdaten, sondern auch Namen, Adressen, Telefonnummern, E-Mail-Adressen, Bestellungen, Nachrichten und Zugangsdaten. Ein erfolgreicher Angriff kann dazu führen, dass Daten gelöscht, verändert, veröffentlicht oder unbefugt eingesehen werden. Auch kompromittierte Formulare, manipulierte Weiterleitungen oder heimlich angelegte Benutzerkonten können erhebliche Schäden verursachen.
Nach Artikel 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden an die österreichische Datenschutzbehörde gemeldet werden, sofern daraus voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen entsteht. Bei einem voraussichtlich hohen Risiko müssen unter Umständen auch die betroffenen Personen informiert werden. Ein Sicherheitsvorfall ist daher nicht nur ein technisches Problem. Er betrifft möglicherweise Geschäftsführung, Datenschutzverantwortliche, IT-Dienstleister, Versicherungen, Kunden und Behörden. Ohne vorbereiteten Notfallplan geht in einer ohnehin angespannten Situation wertvolle Zeit verloren.
Unternehmen sollten deshalb vorab festlegen:
- Wer wird bei einem Sicherheitsvorfall informiert?
- Wer darf die Website sperren oder in einen Wartungsmodus versetzen?
- Wo befinden sich aktuelle und unabhängige Backups?
- Wie wird festgestellt, welche Daten betroffen sind?
- Wer entscheidet über eine Meldung an die Datenschutzbehörde?
- Wie werden Kunden und Geschäftspartner informiert?
- Wie kann der Betrieb sicher wiederhergestellt werden?
Backups sind dabei unverzichtbar, aber kein vollständiger Schutz. Eine Sicherung kann bereits kompromittierte Dateien enthalten oder selbst für Angreifer erreichbar sein. Backups sollten deshalb getrennt gespeichert, ausreichend lange aufbewahrt und regelmäßig durch eine testweise Wiederherstellung kontrolliert werden. Auch Zugriffsrechte spielen eine wesentliche Rolle. Nicht jeder Mitarbeiter oder externe Dienstleister benötigt dauerhaften Administratorzugang. Konten ausgeschiedener Mitarbeiter müssen gesperrt und gemeinsam genutzte Benutzerkonten vermieden werden.
Mehrfaktor-Authentifizierung erschwert die Übernahme eines Kontos erheblich, selbst wenn ein Passwort bekannt wird. Sie sollte zumindest für Administratoren, Redakteure mit umfangreichen Rechten und Hostingzugänge eingerichtet werden. Ab dem 1. Oktober 2026 bringt das österreichische NISG 2026 zusätzliche Cybersicherheitspflichten für rund 4.000 Unternehmen und Einrichtungen aus 18 relevanten Sektoren. Vorgesehen sind unter anderem Risikomanagementmaßnahmen, Meldepflichten und Anforderungen an die Sicherheit der Lieferkette. Dadurch können auch kleinere IT- und Webdienstleister mittelbar betroffen sein, wenn sie für ein erfasstes Unternehmen arbeiten.
Unabhängig von einer direkten gesetzlichen Verpflichtung ist ein systematischer Sicherheitsprozess für jedes Unternehmen sinnvoll. Digitale Dienste, Website und Webshop sind mittlerweile häufig geschäftskritisch. Ein mehrtägiger Ausfall kann Anfragen, Bestellungen und Vertrauen kosten.
Fazit
Sicherheitsupdates sind keine unnötige Zusatzleistung, sondern ein normaler Bestandteil des Betriebs einer Website oder eines Webshops. Niemand würde einen Firmenserver jahrelang ohne Aktualisierungen betreiben und gleichzeitig von einem dauerhaft sicheren Zustand ausgehen. Für öffentlich erreichbare Websysteme gilt dasselbe.
Die Bedrohungslage ist real, aber Unternehmen sind ihr nicht hilflos ausgeliefert. Aktuelle Systeme, reduzierte Zugriffsrechte, Mehrfaktor-Authentifizierung, regelmäßige Backups und ein dokumentierter Notfallprozess verhindern viele Probleme oder begrenzen zumindest deren Auswirkungen. Der österreichische Cybersecurity-Bericht und aktuelle Unternehmensstudien zeigen, dass Angriffe sowohl die betroffenen Organisationen als auch deren Kunden, Lieferanten und Dienstleister treffen können.
Ein sinnvoller Wartungsprozess besteht aus fünf Schritten:
- eingesetzte Systeme und Versionen dokumentieren
- Supportstatus und Sicherheitsmeldungen regelmäßig kontrollieren
- Backups erstellen und Wiederherstellung testen
- Updates zuerst in einer geeigneten Testumgebung prüfen
- anschließend zentrale Funktionen und Protokolle kontrollieren
Updates sollten weder jahrelang ignoriert noch unkontrolliert auf einem produktiven System installiert werden. Der richtige Weg liegt in einer geplanten und nachvollziehbaren Wartung.
IXSOL unterstützt Unternehmen bei der Betreuung von WordPress-, TYPO3- und Magento-Systemen. Wir prüfen Versionsstände, eingesetzte Erweiterungen, Backups und technische Abhängigkeiten und entwickeln daraus einen realistischen Wartungs- oder Upgradeplan. Sie möchten wissen, ob Ihre Website oder Ihr Webshop noch innerhalb eines unterstützten Versionsstands betrieben wird? Kontaktieren Sie IXSOL für eine erste technische Einschätzung. Je früher der aktuelle Zustand bekannt ist, desto einfacher und planbarer lassen sich die notwendigen Schritte umsetzen.