06 / Sicherheit & Patches

Sicherheitsupdates & Patches

Name: CopeX
Address: Prinz-Eugen-Straße 17, Linz, Oberösterreich, 4020, AT
Telephone: +43 732 29 70 17
Price range: €€€
Location: CopeX GmbH — Magento-Agentur Linz

Security-Patches und proaktives Monitoring — bevor Angreifer schneller sind als du.

Security-Patches auf Staging, du entscheidest über Live-Go (Ausnahme: CVSS 10)
CVE-Monitoring — Magento, PHP, Extensions
Zwei-Faktor-Auth im Admin-Backend
WAF-Konfiguration (Cloudflare und andere)
DSGVO-Compliance: Cookie, AVV, Datenschutz
Backup-Strategie auf separatem Storage
Patch-Service Essential ab 159 € / Monat, Pro nach erster Analyse
Backup-Service ab 19,90 € / Monat

Sicherheitsupdates-Projekt besprechen → Alle Referenzen

02 / Haltung

Magento-Shops sind beliebte Angriffsziele. Ohne regelmäßige Sicherheitsupdates riskierst du Lücken, die dein Geschäft und Kundendaten gefährden — und deine DSGVO-Pflichten.

Viele Wartungsverträge sind teuer und unflexibel — du zahlst Pauschalen für Leerlauf oder bekommst zu wenig, wenn’s brennt. Wir rechnen Security-Arbeit transparent nach Aufwand ab: jede Maßnahme dokumentiert, monatlicher Stunden-Report.

Kostenloses Tool

Wie sicher ist dein Shop von außen?

Der Magento Sicherheitscheck prüft in unter einer Minute Security-Header, offen erreichbare Dateien, PageSpeed, Extensions und ob dein letztes Deployment vor einem kritischen Adobe-Patch liegt.

✓ Ohne Anmeldung
✓ Keine Änderung am Shop
✓ Ergebnis sofort im Browser

03 / Leistungen

Was wir absichern.
Patches, Monitoring, Compliance.

Sicherheitsbereiche, die zusammen deinen Magento-Shop robust gegen die bekanntesten Angriffsvektoren machen. Kein 100%-Schutz — aber deutlich weniger Angriffsfläche als der Durchschnitt.

01 CVE · Magento · PHP

Security-Patches

Neue Magento-Security-Patches landen auf Staging, werden getestet und nach deiner Freigabe live geschaltet, Lücken mit CVSS 10 sofort. Wir verfolgen CVE-Datenbanken für Magento-Core, PHP, Extensions und Drittsystem-Abhängigkeiten.

02 2FA · SSO · Audit-Logs

Admin-Absicherung

Zwei-Faktor-Authentifizierung für Admin-Zugänge, IP-Whitelisting bei Bedarf, SSO-Integration (z.B. Keycloak, wie bei voestalpine VIVO), Audit-Logs über Admin-Aktionen.

03 Cloudflare · WAF

WAF & Bot-Schutz

Web Application Firewall auf Cloudflare — automatische Blockierung bekannter Angriffsmuster (SQL-Injection, XSS, Bot-Attacks). Fail2Ban auf Server-Ebene, Rate-Limiting für Login- und Checkout-Endpoints.

04 TTDSG · AVV · Cookie

DSGVO-Compliance

Cookie-Banner TTDSG-konform, Consent-Management, Datenschutzerklärung-Updates, Auftragsverarbeitungsvereinbarung. Dokumentation, die bei Kontrollen standhält.

05 Backup · Recovery

Backup & Disaster Recovery

Tägliche Backups auf separates Storage (kein gleicher Server). Recovery-Time-Objective pro Kunde dokumentiert.

06 Incident · Post-Mortem

Incident Response

Eindämmung, Behebung, Kommunikation. Nach Vorfällen: Post-Mortem ohne Schuldzuweisung. Garantierte Reaktionszeiten individuell über Support+-Paket oder SLA-Vereinbarung.

04 / Vorgehen

Wie Security-Arbeit abläuft.
Transparent und dokumentiert.

Du weißt jederzeit, was passiert — und entscheidest, wann es live geht. Einzige Ausnahme: Lücken mit CVSS 10.

01

CVE-Monitoring

Wir verfolgen CVE-Datenbanken für Magento, PHP und gängige Extensions. Neue Security-Releases werden in unser Ticket-System übernommen.
02

Einspielen auf Staging

Neue Security-Patches werden auf deinem Staging-Server eingespielt. Bei kritischen Patches priorisieren wir.
03

Tests & Kompatibilitäts-Check

In Essential testest du auf Staging, in Pro übernehmen wir die Smoke-Tests (Checkout, Warenkorb, Login, Suche) und die Kompatibilitäts-Prüfung mit Third-Party-Extensions. Bei Problemen in Essential: Aufwandsschätzung für Fix.
04

Go-Live-Entscheidung durch dich

Du entscheidest, wann der Patch auf Produktion geht. Wir empfehlen Zeitpunkte (nicht Freitag 17 Uhr!), aber die finale Freigabe liegt bei dir. Einzige Ausnahme: Bei einer Lücke mit CVSS-Score 10 spielen wir den Patch im Sinne der Sicherheit sofort auch auf Produktion ein, ohne auf deine Freigabe zu warten.
05

Incident-Response bei Vorfällen

Passiert trotz aller Vorkehrungen ein Security-Incident: Eindämmung, Behebung, Kommunikation. Garantierte Reaktionszeiten individuell über Support+-Paket oder SLA-Vereinbarung. Nach dem Vorfall: Post-Mortem und Ursachen-Analyse.

Patch-Workflow Monitoring aktiv Security-Release erkannt Tests auf Staging Wartet auf deine Freigabe Freigegeben Patch live

Patch

01 Überwachen

CVE-Monitoring

MagentoPHPExtensions
überwacht Im Ticket-System
Patch
02 Einspielen & testen

Staging

Smoke-Tests im Pro-Paket
- Checkout
- Warenkorb
- Login
- Suche
- Kompatibilität Extensions
Patch

03 Go-Live-Entscheidung

Deine Freigabe

Du entscheidest, wann es live geht. Ausnahme: CVSS 10 patchen wir sofort.
Freigabe Wartet auf dich Freigegeben
Patch

04 Produktion

Live

Nach deinem Go
wartet Patch live

05 / Aktuelle Fälle

Zwei Lücken mit CVSS 10.
Gepatcht spätestens am nächsten Tag.

Im Herbst 2026 hat Adobe gleich zweimal kritische Lücken in Magento geschlossen, beide mit dem Höchstwert 10.0 auf der CVSS-Skala. StyleSmuggler war bei allen Shops in unserem Patch-Service am 5. September gepatcht, am Tag der Veröffentlichung: Es lag bereits ein Patch aus der Community vor, Adobe zog erst zwei Tage später mit dem offiziellen Hotfix nach. BlockStrap war am selben bzw. am nächsten Tag nach dem Adobe-Bulletin eingespielt.

September 2026 · CVE-2026-75650CVSS 10.0

StyleSmuggler

Eine Lücke in Magentos Template-Verarbeitung, über die Angreifer ohne Login eigenen Code auf dem Server ausführen. Sie wurde ab 4. September aktiv ausgenutzt, auch voll gepatchte Shops waren offen. Adobe veröffentlichte den Hotfix außer der Reihe an einem Montagabend.

4. Sept.
Erste Angriffe auf Magento-Shops
5. Sept.
Sansec macht die Kampagne öffentlich
5. Sept.
Alle Shops im Patch-Service mit dem Community-Patch gepatcht
7. Sept., 22:20
Adobe veröffentlicht Hotfix VULN-39341

Unser Leitfaden zu StyleSmuggler →

Oktober 2026 · CVE-2026-103849CVSS 10.0

BlockStrap

Fünf Wochen später die nächste Lücke in derselben Template-Verarbeitung: Ein präparierter {{block}}-Ausdruck in E-Mail-Templates erlaubt Angreifern ohne Login, PHP-Code auszuführen. Der Fix kam am regulären Patch-Termin, der StyleSmuggler-Hotfix muss dafür installiert bleiben.

13. Okt.
Adobe veröffentlicht Bulletin APSB26-153
Am selben bzw. nächsten Tag
Alle Shops im Patch-Service gepatcht

Genau für Lücken dieser Schwere gilt unsere Ausnahme: Bei CVSS 10 warten wir nicht auf die Freigabe, sondern spielen den Patch sofort auch auf Produktion ein.

06 / Beispiele

Was wir absichern.
Konkrete Security-Setups unserer Kunden.

Vier Shops mit laufender Security-Betreuung.

Use Case 01

voestalpine

Konzern-Compliance + Keycloak SSO

Konzern-Sicherheitsstandards der voestalpine umgesetzt: zentrale Identität via Keycloak (OIDC), AWS-basiertes Hosting (ECS, EFS), DSGVO-konforme Datenverarbeitung.

Ergebnis

Konzern-freigegebenes Sicherheitsniveau

Case lesen →

Use Case 02

Banner GmbH

B2B-Portal mit ERP-Sicherheits-Rahmen

Multi-Country B2B-Webshop mit Oxaion-Integration (2021-2024), seit 2025 Migration zu SAP S/4HANA via NTT DATA. Input-Sanitization, Audit-Trails, idempotente ERP-Schnittstellen.

Ergebnis

Automation ohne Security-Kompromisse

Case lesen →

Use Case 03

GFP International

Hyvä-Shop mit Multi-Country-Setup

Shop auf Hosting bei internex Austria, laufende Security-Patches, Cloudflare als WAF, mehrere Payment-Provider (Adyen, Klarna, PayPal, Amazon Pay, Mollie, Riverty).

Ergebnis

Shop in kontinuierlicher Security-Betreuung

Case lesen →

Use Case 04

Thermochema

Stammkunde seit 2017 — B2B mit WinLine-Sync

Pure-B2B-Shop seit Magento-1-Ära. Multiple Magento-Version-Upgrades, regelmäßige Security-Patches, Staging auf Internex, Cookie-Compliance via CookieFirst.

Ergebnis

8+ Jahre durchgehende Betreuung

Case lesen →

Patch-Service im Einsatz bei

07 / Pakete

Essential oder Pro.

Beide Stufen halten deinen Shop sicher und aktuell. Pro nimmt dir zusätzlich die Arbeit ab, wenn Updates mit Erweiterungen kollidieren.

Patch-Service

Essential

ab 159 € / Monat

· CVE-Monitoring für Magento, PHP und Extensions
· Security-Patches zuerst auf Staging
· Qualitätssicherung auf Staging durch dich
· Live erst nach deiner Freigabe, bei CVSS 10 sofort
· Fixes bei Inkompatibilitäten nach Aufwand

Patch-Service

Pro

Preis nach erster Analyse

· Alle Leistungen aus Essential
· Eigene Smoke-Tests auf Staging: Checkout, Warenkorb, Login, Suche vor der Übergabe
· Erweiterte Kompatibilitätsprüfung: Konflikte mit Drittanbieter-Modulen bei Updates lösen wir je nach Vereinbarung aktiv, sofern möglich, oder mit einem fixen Stundenkontingent pro Patch
· Manuelle Qualitätssicherung: Zusätzlich zu den automatisierten Tests prüfen wir Bestellprozess und Zahlungsarten vor jedem Release von Hand
· Minor Updates inklusive (z. B. 2.4.x): Wir spielen sie im Magento- bzw. Mage-OS-Kern ein und beheben dadurch entstandene Fehlfunktionen

Patch-Service ab 159 € / Monat

Schütze deinen Magento-Shop vor bekannten Angriffsvektoren. Technischer Security-Audit als Startpunkt — priorisierter Fix-Plan, transparente Abrechnung nach Aufwand.

Security-Service anfragen →

FAQ

Häufig gestellte Fragen

Was ist das Patch-Update konkret?

Sobald Magento ein neues Security-Update veröffentlicht, spielen wir es auf deinem Staging-Server ein, testen und erstellen bei Bedarf eine Aufwandsschätzung für Inkompatibilitäten. Nach deinem Einverständnis setzen wir um und schalten nach deinem Go auf Produktion. Einzige Ausnahme sind Lücken mit dem höchsten CVSS-Score 10: Diese Patches spielen wir sofort auch auf Produktion ein.

Spielt ihr Security-Patches auch ohne meine Freigabe live ein?

Nur in einem Fall: bei Sicherheitslücken mit einem CVSS-Score von 10, der höchsten Stufe. Dann spielen wir den Patch im Sinne der Sicherheit auch ohne deine Freigabe direkt auf der Produktivumgebung ein, weil jede Stunde Warten den Shop und die Kundendaten gefährdet. Alle anderen Patches gehen wie gewohnt erst nach deinem Go live.

Was kostet der Patch-Service?

Den Patch-Service gibt es in zwei Stufen. Essential startet ab 159 € pro Monat für die Automatisierung und Überwachung, zusätzlicher Aufwand für manuelle Fixes (z.B. Inkompatibilitäten mit Third-Party-Extensions) wird transparent nach Aufwand abgerechnet. Den Preis für Pro nennen wir dir nach einer ersten Analyse deines Shops. Pro enthält zusätzlich die Behebung von Konflikten mit Drittanbieter-Modulen (je nach Vereinbarung aktiv gelöst oder als fixes Stundenkontingent pro Patch), eigene Smoke-Tests, eine manuelle Qualitätssicherung vor jedem Release und das Einspielen von Minor Updates im Magento- bzw. Mage-OS-Kern samt Behebung dadurch entstandener Fehlfunktionen. Zusätzlich gibt es den Backup-Service ab 19,90 € pro Monat (tägliche Datenbank-Backups gegen 15 € Aufpreis).

Was passiert, wenn eine Extension inkompatibel ist?

Wir erstellen eine Aufwandsschätzung für die Behebung und setzen nach deinem Einverständnis um. Oft reicht ein Sync mit dem Extension-Anbieter, manchmal braucht's einen Patch unsererseits. In seltenen Fällen empfehlen wir den Austausch der Extension — mit ehrlicher Begründung.

Warum nicht nur 'einmal patchen und fertig'?

Weil das Web nicht statisch ist. Magento veröffentlicht mehrere Security-Patches pro Jahr, PHP bekommt laufend Updates, Extensions werden mal besser, mal schlechter gepflegt. Ohne laufendes Monitoring merkt niemand, wenn eine Lücke offen ist — Angreifer scannen automatisch.

Bekomme ich auch DSGVO-Begleitung?

Ja — Cookie-Banner (TTDSG-konform), Consent-Management, Datenschutzerklärung-Updates, Auftragsverarbeitungsvereinbarung. Das ist Teil der Betreuung. Wir versprechen keine 100%ige Rechtssicherheit, aber eine saubere, dokumentierte Basis.

Hostet ihr selbst oder bei welchen Hostern?

Wir arbeiten primär mit internex Austria für DSGVO-sensitive Setups, dazu eigene gemietete Server in Rechenzentren in Wien und Deutschland je nach Projekt-Anforderung. Ein eigenes Rechenzentrum betreiben wir nicht — wir kombinieren gemietete Server und bewährte Hoster mit unserem DevOps-Know-how.

Weitere Leistungen

Das bieten wir auch.

Alle Leistungen →

Magento-Entwicklung & Adobe Commerce – Magento-Entwickler aus Linz

Magento-Entwicklung und Adobe-Commerce-Entwicklung aus Linz: Zertifizierte Magento-Entwickler für Magento 2, Hyvä, B2B-Portale und Multi-Store. Magento-Agentur Österreich.

Mehr erfahren → 02

Magento-Schnittstellen & API-Integration – BMD, SAP, Pimcore

Magento-Schnittstellen aus Linz: ERP, PIM, Payment, Versand. Wir verbinden deinen Magento- oder Adobe-Commerce-Shop mit BMD, SAP, Pimcore, Odoo und mehr.

Mehr erfahren → 03

Magento-Betreuung & Shop-Optimierung

Laufende Updates, Performance-Monitoring und proaktive Weiterentwicklung — damit dein Magento-Shop nicht stehen bleibt.

Mehr erfahren →

Kontakt

Kein reines Umsetzen
Mitdenken macht den Unterschied

Genau das braucht dein Shop, wenn es wirklich darauf ankommt.
Wenn du eine echte Anforderung hast — Neuer Onlineshop, Re-Plattforming, B2B-Setup, Performance-Problem, Hyvä-Migration — schreib uns.

Wir hören zu, denken voraus und sagen dir offen, was Sinn ergibt – und was nicht. Erstgespräch kostenlos, ehrlich, ohne Verkaufsdruck.

Kostenloses Erstgespräch