Rund 111.000 Online-Shops laufen derzeit mit einer kritischen, ungepatchten Sicherheitslücke in Magento. Die Schwachstelle im Kern des Shopsystems wird nach Berichten von Security-Researchern bereits aktiv ausgenutzt – ein offizieller Patch von Adobe steht bislang aus. Für Shopbetreiber auf Magento Open Source oder Adobe Commerce heißt das: Warten ist keine Option.
Die Zahl der betroffenen Installationen stammt aus Scan-Daten, die öffentlich erreichbare Magento-Instanzen weltweit erfassen. Sie umfasst ausschließlich Shops, deren Versions- und Patchstand die Lücke offen lässt. Wie viele davon bereits kompromittiert sind, ist unklar. Die Erfahrung aus vergleichbaren Vorfällen – etwa der CosmicSting-Welle im Sommer 2024 – zeigt jedoch, dass die ersten Angriffe typischerweise Tage nach der ersten öffentlichen Meldung starten und die Ausnutzung danach sprunghaft steigt.
Warum ist dieser Magento Zero-Day für Shopbetreiber so gefährlich?
Ein Zero-Day ist eine Schwachstelle, für die zum Zeitpunkt der ersten Ausnutzung noch kein Hersteller-Patch existiert. Genau das ist hier der Fall: Adobe hat die Lücke bislang weder offiziell bestätigt noch ein Security Update veröffentlicht. Angreifer arbeiten damit einem Vorsprung, den Verteidiger nicht aufholen können.
Typisch für Magento-Angriffe dieser Art ist das Einschleusen sogenannter Web-Skimmer. Diese Skripte sitzen im Checkout und kopieren die Zahlungsdaten der Kunden beim Kaufabschluss mit. Der Schaden trifft doppelt: Kunden verlieren Geld und Vertrauen, Händler riskieren DSGVO-Verfahren, Bußgelder und in Deutschland zusätzlich Klagen nach dem BGH-Urteil zur Schadensersatzpflicht bei Datenlecks.
Für einen Shop mit 5 Millionen Euro Jahresumsatz ist ein kompromittierter Checkout kein IT-Problem, sondern ein existenzielles Geschäftsrisiko.
Magento Open Source ist in der Zielgruppe der größeren Mittelständler nach wie vor verbreitet, obwohl Shopware und Shopify in Deutschland Marktanteile gewinnen. Viele dieser Installationen laufen auf älteren 2.4.x-Ständen, bei denen Security-Patches verspätet oder gar nicht eingespielt werden – ein Einfallstor, das Scanner in Minuten finden.
Was Shopbetreiber ohne Patch jetzt konkret tun können
Bis Adobe ein offizielles Security Update liefert, bleibt nur die Absicherung auf Infrastrukturebene. Drei Maßnahmen sind sinnvoll und mit überschaubarem Aufwand umsetzbar:
- Web Application Firewall aktivieren oder Regeln schärfen: Cloudflare, Fastly oder ein Managed-WAF-Dienst des Hosters können bekannte Exploit-Muster filtern, bevor sie den Shop erreichen.
- Admin-Bereich hart absichern: IP-Whitelisting, geänderte Admin-URL und zwingend Zwei-Faktor-Authentifizierung für alle Backend-Zugänge. Unsere Redaktion sieht das als Mindeststandard, unabhängig vom aktuellen Vorfall.
- Logs und Dateiintegrität prüfen: Tools wie ein File-Integrity-Monitoring oder die Open-Source-Erweiterung MageReport zeigen ungewollte Änderungen am Code an. Wer kein Monitoring fährt, merkt einen Skimmer oft erst nach Wochen.
Adobe Commerce gegen Magento Open Source: Wer ist besser dran?
Adobe-Commerce-Kunden mit aktivem Wartungsvertrag erhalten Security-Patches in der Regel früher und teilweise als Hotfix vor dem regulären Release. Open-Source-Nutzer sind auf das offizielle Release oder Community-Patches angewiesen. Das ändert nichts an der Grundproblematik: Wer seine Instanz nicht aktuell hält, bleibt angreifbar – mit oder ohne Vertrag.
Unsere Einschätzung: Vorfälle dieser Größenordnung beschleunigen die ohnehin laufende Migrationsdiskussion. Wer seit Monaten einen Umstieg auf Shopware 6 oder Shopify erwägt, bekommt jetzt ein weiteres Argument. Wer bei Magento bleibt, muss Patchmanagement und Monitoring ernst nehmen – mit festen Verantwortlichkeiten, nicht als Nebenbei-Aufgabe der Agentur. Sobald Adobe den Patch veröffentlicht, zählt jede Stunde bis zum Einspielen. Der Zeitplan dafür gehört in den Shop-Alltag, nicht auf die Agenda der nächsten Quartalsbesprechung.