Zero-Day in Magento und Adobe Commerce: Online-Shops massiv gefährdet

Angreifer nutzen kritische Sicherheitslücke aktiv aus – was deutsche Shop-Betreiber jetzt wissen müssen

Einleitung: Angriffswelle trifft Online-Handel – auch in Deutschland

Seit dem 4. September 2026 läuft eine aktive Angriffswelle gegen Online-Shops, die auf Magento Open Source oder Adobe Commerce basieren. Die niederländische E-Commerce-Sicherheitsfirma Sansec hat die Schwachstelle entdeckt und unter dem Namen „StyleSmuggler" veröffentlicht. Das Besondere und gleichzeitig Beunruhigende: Die Lücke ist bis heute ungepacht – es existiert kein offizieller Sicherheits-Fix von Adobe.

Für deutsche Unternehmen ist das aus mehreren Gründen höchst relevant. Magento und Adobe Commerce gehören weltweit zu den meistgenutzten E-Commerce-Plattformen – auch hierzulande betreiben Tausende von Händlern, von mittelständischen Boutiquen bis hin zu großen Versandhäusern, ihre Online-Shops auf dieser Infrastruktur. Ein erfolgreicher Angriff kann Kundendaten kompromittieren, Zahlungsinformationen abgreifen und den Ruf eines Unternehmens nachhaltig schädigen. Und mit Inkrafttreten der NIS2-Richtlinie stehen viele dieser Unternehmen zusätzlich unter rechtlichem Zugzwang.

Technischer Hintergrund: Was steckt hinter StyleSmuggler?

Die Schwachstelle StyleSmuggler ermöglicht es Angreifern, ohne vorherige Authentifizierung – also ohne Benutzername oder Passwort – schädlichen Code auf dem Server eines Online-Shops auszuführen. In der Fachsprache spricht man von einer sogenannten Remote Code Execution (RCE)-Lücke mit Pre-Authentication-Charakter. Das bedeutet: Der Angriff ist besonders gefährlich, weil keinerlei Zugangsdaten benötigt werden.

Wie funktioniert der Angriff?

Der Name „StyleSmuggler" deutet auf den Angriffsvektor hin: Angreifer schleusen offenbar schädlichen Code über manipulierte CSS- oder Stylsheet-bezogene Anfragen in das System ein – ein Mechanismus, bei dem der Shop-Server die Eingaben nicht ausreichend validiert und bereinigt. Der eingeschleuste Code wird dann serverseitig ausgeführt und installiert in der Regel eine Backdoor – einen versteckten Hintertür-Zugang, über den die Angreifer dauerhaft Kontrolle über das System behalten können.

Was kann nach einer Kompromittierung passieren?

• Datenmissbrauch: Zugriff auf Kundendatenbanken mit Namen, Adressen, E-Mail-Adressen und ggf. Zahlungsdaten
• Skimming-Angriffe: Einschleusung von JavaScript-Code, der Kreditkartendaten beim Checkout in Echtzeit abfängt (sog. Magecart-Angriffe)
• Lateral Movement: Ausbreitung des Angriffs auf weitere interne Systeme
• Ransomware-Deployment: Verschlüsselung von Systemdaten als nächste Eskalationsstufe
• SEO-Spam und Phishing-Weiterleitung: Manipulation des Shops für kriminelle Zwecke

Da zum Zeitpunkt der Veröffentlichung kein Patch verfügbar ist, stellt dies eine besondere Herausforderung für alle betroffenen Shop-Betreiber dar.

NIS2-Relevanz: Was bedeutet das für deutsche Unternehmen?

Mit der NIS2-Richtlinie (EU 2022/2555), die in Deutschland durch das überarbeitete BSI-Gesetz (BSIG) umgesetzt wurde, sind erheblich mehr Unternehmen als bisher zu konkreten Cybersicherheitsmaßnahmen verpflichtet. Betroffen sind insbesondere Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in relevanten Sektoren – darunter fällt der Handel, insbesondere wenn er digitale Infrastrukturen betreibt.

Meldepflichten beachten

Wer einen erfolgreichen Angriff über StyleSmuggler erleidet, muss je nach Schwere des Vorfalls:

Zusätzlich gilt: Werden personenbezogene Daten kompromittiert, greift parallel die DSGVO-Meldepflicht nach Artikel 33, ebenfalls mit einer 72-Stunden-Frist gegenüber der zuständigen Datenschutzaufsichtsbehörde.

BSI-Empfehlungen zur Lage

Das BSI beobachtet die Lage aktiv und hat in der Vergangenheit bei ähnlichen Zero-Day-Angriffen auf Magento-Systeme Warnungen herausgegeben. IT-Verantwortliche sollten die BSI-Warnmeldungen (über das Portal bsi.bund.de) regelmäßig prüfen und die eigene Betroffenheit schnellstmöglich einschätzen.

Wichtig: Die Nichtmeldung eines meldepflichtigen Sicherheitsvorfalls kann nach NIS2 mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des globalen Jahresumsatzes geahndet werden.

Praktische Schutzmaßnahmen: Was Sie jetzt sofort tun können

Da ein offizieller Patch noch aussteht, sind temporäre Schutzmaßnahmen – sogenannte Workarounds – umso wichtiger. Die folgenden Empfehlungen orientieren sich an den Hinweisen von Sansec sowie den allgemeinen Sicherheitsstandards des BSI und der ENISA.

1. Web Application Firewall (WAF) aktivieren und konfigurieren

Eine WAF kann verdächtige Anfragemuster, die mit StyleSmuggler-Angriffen in Verbindung stehen, erkennen und blockieren, noch bevor sie den Server erreichen. Cloudbasierte WAF-Lösungen (z. B. Cloudflare, Sucuri oder AWS WAF) bieten häufig schnell aktualisierbare Regelwerke, die auf neue Zero-Days reagieren. Stellen Sie sicher, dass Ihre WAF-Signaturen aktuell sind und aktivieren Sie spezifische Regeln gegen CSS-Injection und ungewöhnliche POST-Anfragen an Theme-Endpunkte.

2. Sansec-Scans und Integritätsprüfungen durchführen

Sansec bietet mit eComscan ein spezialisiertes Scan-Tool für Magento- und Adobe-Commerce-Installationen an. Führen Sie umgehend einen vollständigen Scan durch, um festzustellen, ob Ihr System bereits kompromittiert wurde. Zusätzlich sollten Sie Datei-Integritätsprüfungen (z. B. mit AIDE oder einem ähnlichen Tool) einrichten, um nachträgliche Veränderungen am Dateisystem zu erkennen.

3. Zugriff auf Admin-Backend einschränken

Beschränken Sie den Zugang zum Magento-Adminbereich auf bekannte, vertrauenswürdige IP-Adressen mittels IP-Whitelisting. Erzwingen Sie zudem die Multi-Faktor-Authentifizierung (MFA) für alle Admin-Accounts. Auch wenn StyleSmuggler keine Authentifizierung erfordert, reduzieren diese Maßnahmen das Risiko einer weiteren Ausbreitung nach einer initialen Kompromittierung erheblich.

4. Netzwerk-Traffic und Logs überwachen

Erhöhen Sie die Granularität Ihres Log-Monitorings und achten Sie insbesondere auf:
- Ungewöhnliche POST-Anfragen an /skin/, /media/ oder Theme-Verzeichnisse
- Neu erstellte PHP-Dateien in nicht standardmäßigen Verzeichnissen
- Unbekannte ausgehende Verbindungen vom Webserver
- Auffällige Datenbankabfragen außerhalb normaler Betriebszeiten

Tools wie ein SIEM-System (Security Information and Event Management) können dabei helfen, auffällige Muster automatisch zu erkennen.

5. Regelmäßige und geprüfte Backups sicherstellen

Stellen Sie sicher, dass aktuelle, offline gespeicherte Backups Ihres gesamten Shops – Datenbank und Dateisystem – existieren. Testen Sie die Wiederherstellbarkeit dieser Backups regelmäßig. Im Falle einer Kompromittierung ist ein sauberes Backup die wichtigste Grundlage für eine schnelle Wiederherstellung ohne Lösegeldzahlung.

6. Temporäre Deaktivierung nicht benötigter Magento-Features

Wenn Ihr Shop bestimmte Funktionen – etwa den Theme-Editor im Backend oder die WYSIWYG-Editoren – nicht aktiv benötigt, deaktivieren Sie diese vorübergehend. Reduzieren Sie die Angriffsfläche, bis ein offizieller Patch verfügbar ist.

7. Adobe-Kommunikationskanäle aktiv verfolgen

Abonnieren Sie die Sicherheits-Newsletter und Security Bulletins von Adobe (über helpx.adobe.com/security) sowie die Warnmeldungen des BSI. Sobald ein offizieller Patch veröffentlicht wird, muss dieser prioritär und ohne Verzögerung eingespielt werden. Definieren Sie intern jetzt schon einen Notfall-Patch-Prozess, damit keine Zeit verloren geht.

Fazit: Zero-Day ohne Patch – schnelles Handeln ist Pflicht

Die StyleSmuggler-Schwachstelle in Magento und Adobe Commerce ist ein Paradebeispiel dafür, wie gefährlich ungepatchte Zero-Day-Lücken in weit verbreiteter E-Commerce-Software sein können. Die Kombination aus aktivem Angriff, keinem verfügbaren Patch und weitreichenden rechtlichen Konsequenzen durch NIS2 und DSGVO macht diesen Fall zu einem ernstzunehmenden Weckruf für den deutschen Online-Handel.

IT-Verantwortliche und Geschäftsführer sollten die eigene Betroffenheit sofort prüfen, temporäre Schutzmaßnahmen umsetzen und Meldeprozesse intern klären – bevor ein Angriff eintritt, nicht danach.

Call-to-Action: NIS2-Compliance systematisch im Griff behalten

Die aktuelle Zero-Day-Situation verdeutlicht: Reaktives Handeln reicht nicht mehr aus. Unter NIS2 sind Unternehmen verpflichtet, proaktive Risikomanagement-Maßnahmen zu implementieren und Sicherheitsvorfälle fristgerecht zu melden. Spezialisierte NIS2-Compliance-Software kann dabei helfen, Meldeprozesse zu strukturieren, Risikobewertungen zu dokumentieren, Zuständigkeiten zu klären und Nachweise für Aufsichtsbehörden bereitzuhalten. Wenn Ihr Unternehmen noch kein systematisches Werkzeug für NIS2-Compliance einsetzt, ist jetzt der richtige Zeitpunkt, sich über entsprechende Lösungen zu informieren – bevor der nächste Vorfall den Druck erhöht.