Kurzantwort: Shopware empfiehlt seit Ende Oktober 2026, das kostenlose Security Plugin in jedem selbst gehosteten Shop dauerhaft installiert, aktiviert und aktuell zu halten – auch wenn der Shop schon auf der neuesten Shopware-Version läuft. Seit dem 12. November 2026 erscheinen Sicherheitskorrekturen außerdem zuerst im Plugin und erst danach im regulären Release. Wer nur auf das nächste Shopware-Update wartet, ist in der Zwischenzeit ungeschützt.
Stand: 12. November 2026 · Autor: Stefan Quisdorf
Was hat Shopware beim Security Plugin geändert?
Lange galt eine einfache Regel: Das kostenlose Security Plugin von Shopware ist eine Brücke für Shops, die ein Update nicht sofort einspielen können. Wer auf der neuesten Version war, brauchte es nicht. So stand es sinngemäß auch jahrelang in Foren und Anleitungen.
Diese Regel gilt nicht mehr. Shopware hat zwei Dinge geändert:
- Neue Empfehlung (Ende Oktober 2026): Das Security Plugin soll in selbst gehosteten Shops immer installiert, aktiviert und aktuell sein – auch dann, wenn Shopware selbst bereits vollständig aktualisiert ist.
- Neue Reihenfolge (seit 12. November 2026): Sicherheitskorrekturen erscheinen zuerst als Update des Security Plugins und erst danach im regulären Shopware-Release. Im aktuellen Fall ist das Plugin-Update seit dem 12. November für alle unterstützten Shopware-Versionen ab 6.5 verfügbar. Das Security Release für 6.6 und 6.7 soll laut Shopware in der Woche darauf folgen.
Shopware hat die Community deshalb per E-Mail ausdrücklich gebeten, nicht auf das Release zu warten, sondern das Security Plugin sofort zu installieren beziehungsweise zu aktualisieren.
Warum reicht die neueste Shopware-Version nicht mehr aus?
Weil „neueste Version“ nur bis zur nächsten Sicherheitslücke gilt. Mit der neuen Reihenfolge kommt der Schutz zuerst über das Plugin. Ein Shop auf der neuesten Version, aber ohne Security Plugin, bleibt so lange ungeschützt, bis das nächste reguläre Release eingespielt ist – obwohl er formal aktuell ist.
Dazu kommt: Jede veröffentlichte Korrektur verrät Angreifern auch, wo die Lücke liegt. Shopware beobachtet nach eigenen Angaben schon wenige Tage nach der Veröffentlichung eines Sicherheitshinweises automatisierte Angriffsversuche.
Einem aktuellen Shop schadet das Plugin nicht. Ein Fix wird nur geladen, wenn die installierte Shopware-Version betroffen ist. Auf einer vollständig gepatchten Installation tut das Plugin also nichts, bis eine neue Lücke bekannt wird. Genau dann ist es aber schon installiert und muss nur noch aktualisiert werden.
Was hat KI mit dem neuen Tempo zu tun?
Shopware begründet die Änderungen offen mit KI: Mit KI-gestützter Analyse finden Sicherheitsforscher – aber eben auch Angreifer – Schwachstellen schneller und entwickeln schneller funktionierende Angriffe. Shopware selbst durchsucht seinen Code inzwischen mit den leistungsfähigsten verfügbaren KI-Modellen und baut sein Sicherheitsteam aus.
Die Folge beschreibt Shopware ebenfalls: mehr Sicherheitskorrekturen und häufigere Security Releases. Das ist zunächst eine gute Nachricht, denn so werden Lücken geschlossen, die früher womöglich unentdeckt geblieben wären. Nur gilt auch: Was ein Forscher mit KI findet, kann ein Angreifer unabhängig davon ebenfalls finden. Die Zeit zwischen Entdeckung und Angriff wird kürzer.
Shopware ist damit nicht allein. Bei der PHP-Sicherheitslücke im Oktober 2026 halfen KI-Werkzeuge dabei, die Ausnutzbarkeit einer lange bekannten Schwachstelle nachzuweisen. Laut Shopware wurden bei Magento Angriffswege innerhalb von 24 Stunden nach einem Patch nachgebaut, bei WordPress begannen erste Abtastversuche schon Stunden nach einem Sicherheitsupdate.
Das deckt sich mit unserem Alltag bei TIKAL: Updates einspielen und Sicherheitslücken schließen gehört heute deutlich häufiger zur Shopbetreuung als noch vor einiger Zeit.
Warum feste Wartungsrhythmen für Sicherheitsupdates nicht mehr reichen
Viele Shops werden in festen Intervallen gewartet, etwa einmal im Monat. Für Funktions- und Wartungsupdates ist das sinnvoll. Für Sicherheitsupdates sagt Shopware inzwischen ausdrücklich: Ein relevantes Update des Security Plugins soll so schnell wie möglich eingespielt werden – nicht erst im nächsten wöchentlichen oder monatlichen Wartungsfenster.
Das heißt nicht, ungeprüft zu aktualisieren. Es braucht aber einen eigenen, kurzen Ablauf für dringende Sicherheitsupdates, getrennt von größeren Updates und neuen Funktionen.
Mindestens genauso wichtig ist die Frage, wer überhaupt Bescheid bekommt. Shopware verschickt seine Sicherheitshinweise per E-Mail – oft an den Shopbetreiber. Eine E-Mail im Postfach schützt aber noch keinen Shop. Klären Sie deshalb vorab:
- Wer erhält die Sicherheitshinweise von Shopware?
- Wer prüft, ob der eigene Shop betroffen ist?
- Wer spielt das Update ein – Sie selbst, Ihre Agentur oder Ihr Hoster?
Shopware bittet in seinen Mails ausdrücklich darum, sie noch am selben Tag an die betreuende Agentur weiterzuleiten.
Was das Security Plugin nicht abdeckt
Das Plugin schließt Lücken im Code von Shopware selbst. Es ersetzt keine regulären Updates. Nicht abgedeckt sind:
- Bibliotheken von Drittanbietern wie Symfony oder Twig: Hier helfen nur Composer-Updates oder ein Shopware-Update.
- Erweiterungen anderer Hersteller: Sie brauchen eigene Updates. Nach Angaben von Shopware waren Erweiterungen von Drittanbietern bei untersuchten erfolgreichen Angriffen bereits beteiligt.
- PHP und Server: Dafür sind Sie beziehungsweise Ihr Hoster zuständig.
- Versionen ohne Sicherheitsunterstützung: Das Plugin verlängert den Support nicht. Für Shopware 6.4 gibt es keine gepflegte Plugin-Version mehr.
Weitergehende Härtungen liefert Shopware zudem in der Regel nur mit regulären Releases. Shopware und alle Erweiterungen aktuell zu halten, bleibt also Pflicht – das Security Plugin kommt dazu, es ersetzt nichts.
Checkliste: So prüfen Sie Ihren Shop
- Öffnen Sie in der Shopware-Administration Ihre Erweiterungen und prüfen Sie, ob das Shopware 6 Security Plugin installiert und aktiviert ist. Falls nicht: Es ist kostenlos im Shopware Store erhältlich.
- Prüfen Sie, ob ein Update für das Plugin angezeigt wird, und spielen Sie es zeitnah ein. Leeren Sie danach den Cache, damit neue Fixes geladen werden.
- Achten Sie auf die passende Hauptversion: 4.x für Shopware 6.7, 3.x für 6.6, 2.x für 6.5.
- Auf der Einstellungsseite des Security Plugins sehen Sie, welche Fixes aktiv sind. Dort gibt es außerdem eine Prüfung Ihrer installierten Composer-Pakete gegen bekannte Sicherheitshinweise.
- Wird Ihr Shop per Composer und Deployment ausgerollt oder läuft er auf mehreren Servern, installieren Sie das Plugin als Composer-Abhängigkeit, damit alle Server denselben Stand haben.
- Prüfen Sie, ob Ihre Shopware-Version überhaupt noch Sicherheitsupdates erhält.
- Legen Sie fest, wer Sicherheitshinweise erhält, prüft und das Update einspielt.
Sie sind unsicher, ob das Security Plugin in Ihrem Shop installiert und aktuell ist – oder wer bei Ihnen für Sicherheitsupdates zuständig ist? Mit einem Shop-Check prüfen wir Update-Stand, Security Plugin, Erweiterungen und Zuständigkeiten. Mehr zu unserer Shopware-Betreuung und den Betreuungspaketen – oder direkt Kontakt aufnehmen.
Häufige Fragen zum Shopware Security Plugin
Ja. Shopware empfiehlt seit Ende Oktober 2026, das Plugin auch dann installiert, aktiviert und aktuell zu halten. Sicherheitskorrekturen erscheinen inzwischen zuerst im Plugin und erst danach im regulären Release. Ohne Plugin wäre Ihr Shop in dieser Zeit ungeschützt, obwohl er auf der neuesten Version läuft. Solange keine neue Lücke bekannt ist, bleibt das Plugin auf einer aktuellen Version inaktiv und stört nicht.
Nichts. Das Plugin ist kostenlos und wird von Shopware selbst gepflegt. Sie installieren es über den Shopware Store in der Administration oder, wenn Ihr Shop per Deployment ausgerollt wird, über Composer. Aufwand entsteht nur dafür, die Updates zeitnah einzuspielen und kurz zu prüfen.
So schnell wie möglich. Shopware rät ausdrücklich davon ab, mit einem Plugin-Update bis zum nächsten wöchentlichen oder monatlichen Wartungsfenster zu warten, weil nach Veröffentlichung eines Sicherheitshinweises schon nach wenigen Tagen automatisierte Angriffsversuche zu beobachten sind. Sinnvoll ist ein eigener, kurzer Ablauf für dringende Sicherheitsupdates, getrennt von größeren Updates.
Ein Fix wird nur aktiv, wenn Ihre Shopware-Version betroffen ist. Sollte ein Fix mit einer individuellen Anpassung kollidieren, lässt er sich einzeln deaktivieren. Das öffnet allerdings die jeweilige Lücke wieder und sollte nur eine vorübergehende Lösung sein, bis die Anpassung korrigiert ist. Wie bei jedem Update empfiehlt sich nach dem Einspielen ein kurzer Test.
Nein. Das Plugin schließt nur Lücken im Code von Shopware selbst. Lücken in Bibliotheken wie Symfony oder Twig, in Erweiterungen anderer Hersteller oder in PHP werden damit nicht behoben. Außerdem verlängert es nicht den Support für Shopware-Versionen, die keine Sicherheitsupdates mehr erhalten. Regelmäßige Shopware- und Plugin-Updates bleiben also notwendig.
Bei Shopware SaaS kümmert sich Shopware um Plattform-Updates und Sicherheitspatches, das Security Plugin müssen Sie dort nicht selbst installieren. Bei Shopware PaaS Native verwaltet Shopware die Infrastruktur, für Shopware-, Plugin- und Erweiterungsupdates sind aber Sie oder Ihre Agentur zuständig – auch für das Security Plugin. Bei selbst gehosteten Shops liegt beides bei Ihnen, Ihrer Agentur und Ihrem Hoster.
Quellen: Shopware: A new security reality for commerce (27.10.2026) · Shopware-Entwicklerdokumentation: Security Plugin · E-Mail von Shopware an die Community vom 12.11.2026
Über den Autor: Stefan Quisdorf – Gründer und geschäftsführender Gesellschafter von TIKAL · LinkedIn-Profil · stefan-quisdorf.de