Magento Sicherheitscheck
Wie sicher ist dein Shop von außen?
In unter einer Minute siehst du, wie sicher, schnell und aktuell dein Shop ist: Security-Header, PageSpeed, Theme und Extensions, Tracking vor der Einwilligung und ob dein letztes Deployment vor einem kritischen Sicherheitspatch liegt.
Gib die Adresse deines Shops ein
Das Ergebnis steht in unter einer Minute hier auf der Seite.
Schnellprüfung für
Dein Bericht ist fertig erstellt
Nur im vollständigen Bericht:
Sollen wir uns deinen Shop genauer ansehen?
Im Erstgespräch gehen wir die Ergebnisse mit dir durch und prüfen, was von außen niemand sieht: den genauen Patch-Stand, offene Sicherheitsbulletins und Erweiterungen mit bekannten Lücken. Du bekommst eine ehrliche Einschätzung, was sich lohnt und was warten kann.
Automatischer Test von außen: Startseite, mobil, gemessen von Google-Servern. Werte schwanken zwischen Messungen. Server, Cache und Code sehen wir erst in einer echten Analyse.
Drei Stufen, je nachdem wer fragt
Was jeder Browser sieht, zeigen wir sofort. Was nur der Betreiber wissen sollte, geht per E-Mail an die Shop-Domain. Und was von außen gar nicht messbar ist, klären wir im Gespräch, statt es zu raten.
Sicherheit, Tempo, Stack
- HTTPS, Security-Header, Cookies
- Letztes Deployment im Vergleich zu den Adobe-Sicherheitspatches
- PageSpeed, Core Web Vitals echter Besucher, größte Hebel
- Theme, Edition, sichtbare Extensions, Zahlung und Suche
- Tracking vor der Cookie-Einwilligung
- SEO, Barrierefreiheit und Best Practices nach Google
Offen erreichbare Dateien
- app/etc/env.php mit Datenbank-Zugang und Crypt-Key
- Git-Repository, auth.json, .env
- Logs und Fehlerberichte aus var/
- Setup-Wizard, composer.lock, Build-Dateien
- Admin-Login unter dem Standardpfad /admin
Was von außen niemand sieht
- Genauer Patch-Stand und offene Adobe-Sicherheitsbulletins (APSB)
- Erweiterungen mit bekannten Lücken
- Admin-Konten, Zwei-Faktor-Login, Backups
- Server- und PHP-Version hinter dem Webserver
Was der Check nicht kann
Der Check ist eine Momentaufnahme von außen. Er sieht, was ein Angreifer ohne Zugangsdaten auch sehen würde, und kein bisschen mehr. Schadcode im Dateisystem, eine veraltete Erweiterung oder ein Admin-Konto ohne Zwei-Faktor-Login bleiben ihm verborgen.
Den Patch-Stand erkennt er ebenfalls nicht. Magento verrät von außen nur die Hauptversion. Ob dein Shop auf 2.4.7-p3 oder 2.4.7-p8 läuft, steht in der composer.lock, nicht im HTML. Wir haben uns bewusst gegen eine Schätzung über Dateiprüfsummen entschieden, weil sie bei Hyvä-Shops kaum trifft und ein falsches „aktuell“ gefährlicher ist als gar keine Aussage.
Ein unauffälliger Bericht heißt also nicht, dass der Shop sicher ist. Er heißt, dass die typischen Fehler von außen nicht sichtbar sind.
Was die Einstufungen bedeuten
- Handlungsbedarf
Ein konkretes Risiko, zum Beispiel eine offene Konfigurationsdatei. Das sollte heute noch behoben werden.
- Prüfen
Eine Härtungslücke, die Angriffe erleichtert. Kein Notfall, gehört aber auf die Liste für das nächste Update.
- Hinweis
Zur Einordnung, zum Beispiel die erkannte Plattform. Kein Fehler.
- Nicht feststellbar
Der Check konnte das von außen nicht sicher beurteilen, etwa weil kein Magento erkannt wurde.
- Unauffällig
Für genau diesen Test ist alles in Ordnung. Über den Rest des Shops sagt das nichts aus.
Warum der Bericht nur an deine Firmenadresse geht
Eine Liste offener Dateien ist für den Betreiber ein Arbeitsauftrag, für Fremde eine Einladung. Deshalb zeigt die Schnellprüfung nur, ob und wie viele solcher Dateien wir gefunden haben. Welche es sind, steht erst im Bericht, und den bekommt nur, wer mit einem Postfach auf der Domain des Shops den Link in unserer E-Mail bestätigt. Wer it@deinshop.at liest, gehört mit hoher Wahrscheinlichkeit zum Shop.
Dazu kommen Limits: höchstens fünf verschiedene Shops pro Tag und Anschluss. Jede Prüfung protokollieren wir mit IP-Adresse 30 Tage lang, damit wir massenhaftes Abklopfen fremder Shops erkennen und sperren können.
Magento Sicherheitscheck: häufige Fragen
Ist der Magento Sicherheitscheck kostenlos?
Ja. Die Schnellprüfung im Browser und der vollständige Bericht per E-Mail kosten nichts, ein Konto brauchst du nicht. Für den Bericht bestätigst du deine E-Mail-Adresse, danach melden wir uns höchstens einmal zu den Ergebnissen.
Darf ich mit dem Check jeden beliebigen Shop prüfen?
Nein. Prüfen darfst du nur Shops, die du betreibst oder für die du eine Freigabe hast. Die Schnellprüfung liest nur, was jeder Browser beim Aufruf der Startseite sieht. Den Bericht mit den Dateiprüfungen schicken wir ausschließlich an eine E-Mail-Adresse mit der Domain des Shops, damit niemand fremde Shops ausspähen kann.
Erkennt der Check meinen Magento-Patch-Stand?
Nicht direkt. Magento gibt nach außen nur die Hauptversion preis (zum Beispiel 2.4), nicht den Patch-Stand wie 2.4.7-p8. Erkennbar ist aber das Datum des letzten Deployments, weil Magento es in die Adressen der statischen Dateien schreibt. Liegt es vor dem letzten kritischen Sicherheitsupdate von Adobe, fehlt der Patch mit hoher Wahrscheinlichkeit. Ein späteres Datum beweist umgekehrt nicht, dass alles eingespielt ist. Den genauen Stand prüfen wir mit dir im Gespräch, direkt im Code oder im Admin.
Belastet der Check meinen Shop?
Kaum. Pro Prüfung rufen wir etwa 35 öffentliche Adressen ab, dazu lädt Google die Startseite einmal für die PageSpeed-Messung. Es gibt keine Login-Versuche, keine Formulareingaben und keine Angriffe. Das Ergebnis wird 15 Minuten zwischengespeichert, wiederholte Prüfungen erzeugen in dieser Zeit keine neuen Abrufe.
Was ist der Unterschied zum Adobe Security Scan Tool?
Das Security Scan Tool von Adobe ist kostenlos und läuft im Magento-Konto unter account.magento.com. Dafür musst du einen Bestätigungscode in deinen Shop einbauen, danach kommen regelmäßige Berichte auf Englisch. Unser Check liefert eine sofortige Momentaufnahme auf Deutsch, ohne Konto und ohne Änderung am Shop. Beides schließt sich nicht aus: Für die laufende Überwachung empfehlen wir das Adobe-Tool zusätzlich.
Was tue ich, wenn der Bericht Handlungsbedarf zeigt?
Ist eine Datei wie app/etc/env.php oder .git öffentlich, sperr den Zugriff sofort in der Webserver-Konfiguration und tausch danach alle Zugangsdaten aus, die darin stehen: Datenbank-Passwort, Crypt-Key, API-Schlüssel. Fehlende Header lassen sich meist mit wenigen Zeilen in nginx oder Apache ergänzen. Wenn du dabei Hilfe brauchst, übernehmen wir das, auch dauerhaft mit unserem Patch-Service.
Welche Daten speichert CopeX beim Check?
Zur Abwehr von Missbrauch protokollieren wir jede Prüfung mit IP-Adresse, geprüfter Domain, Zeitpunkt und Ergebnis und löschen das Protokoll nach 30 Tagen. Für den Bericht kommt deine E-Mail-Adresse dazu. Die Startseite deines Shops übergeben wir für die Geschwindigkeitsmessung an Google PageSpeed Insights. Details stehen in der Datenschutzerklärung.
Ob dein Shop alle Sicherheitspatches hat, sieht man nur von innen. Wir schauen in 15 Minuten mit dir nach und sagen dir ehrlich, was dringend ist und was warten kann.
Prüfregeln nach OWASP und den Sicherheitsempfehlungen von Adobe, Stand Oktober 2026. Die Liste der Dateipfade nutzen wir auch in unseren automatisierten Shop-Tests nach jedem Deploy.
Kein reines Umsetzen
Mitdenken macht den Unterschied
Genau das braucht dein Shop, wenn es wirklich darauf ankommt.
Wenn du eine echte Anforderung hast — Neuer Onlineshop, Re-Plattforming, B2B-Setup,
Performance-Problem, Hyvä-Migration — schreib uns.
Wir hören zu, denken voraus und sagen dir offen, was Sinn ergibt – und was nicht.
Erstgespräch kostenlos, ehrlich, ohne Verkaufsdruck.
