Black Friday 2026: Die Checkliste für B2B- und B2C-Shops – Sicherheit, Server & Recht

Unter dem Namen PHP2Shell wurden im Oktober zwei kritische Lücken in PHP selbst bekannt (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2). Angreifer können darüber ohne Login eigenen Code auf dem Webserver ausführen. Weil die Details vor dem geplanten Termin öffentlich wurden, gibt es bereits Beispiel-Exploits und beobachtete Angriffe. Betroffen sind alle Systeme, die auf PHP laufen – also auch Shopware, Magento und WooCommerce.

Wichtig: Die Lücke steckt nicht in Shopware, sondern in der PHP-Laufzeit. Ein Shopware-Update allein schließt sie nicht.

• Aktualisieren Sie PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 – je nachdem, welche Version Sie einsetzen.
• Prüfen Sie sowohl PHP-FPM (das den Shop ausliefert) als auch PHP-CLI (Cronjobs, Message-Queue-Worker). Beide können unterschiedliche Versionen haben. Nach dem Update PHP-FPM neu starten.
• Nutzen Sie Managed Hosting, fragen Sie Ihren Hoster schriftlich, ob und wann gepatcht wurde.
• Läuft Ihr Shop noch auf PHP 8.1 oder älter, gibt es keinen Patch. Dann führt kein Weg an einem PHP-Upgrade vorbei – und damit meist an einem Shopware-Update.
• Konfigurationsänderungen wie das Abschalten des Upload-Fortschritts in Sessions sind nur ein Notbehelf, bis das Update eingespielt ist.

Ebenfalls am 21. Oktober hat das Node.js-Projekt zehn Sicherheitslücken geschlossen. Die schwerwiegendste (CVE-2026-111497, teils „Node2Shell“ genannt) steckt im Brotli-Decoder und kann zur Ausführung von fremdem Code führen. Gepatcht sind Node.js 22.23.4, 24.22.1 und 26.12.1. Node.js 20 ist seit dem 30. April 2026 am Ende seiner Laufzeit und erhält keinen Fix mehr.

Was heißt das für Shopware? Im klassischen Shopware-Setup wird Node.js vor allem zum Bauen von Administration und Storefront genutzt – auf dem Server, in der CI-Pipeline oder im Docker-Image. Direkt aus dem Internet erreichbar ist Node.js dagegen, wenn Sie ein Headless-Frontend (zum Beispiel mit Shopware Frontends/Nuxt), eine Middleware oder eigene Node-Dienste betreiben. Dort ist das Update genauso dringend wie bei PHP.

• Node.js-Version auf Servern, Build-Runnern und in Dockerfiles prüfen.
• Fest gepinnte Image-Tags (z. B. node:24.22.0) von Hand anheben.
• Node 20 und älter durch 22 oder 24 ersetzen.

Ende Oktober wurde eine kritische Lücke im TCP-Code des Linux-Kernels bekannt (CVE-2026-98432). Sie steckt im Verbindungsaufbau über IPv4, ist über das Netzwerk angreifbar und wird von Ubuntu mit 9.8 von 10 bewertet. Betroffen sind praktisch alle Server mit Linux – also auch die meisten Shopware-Server.

Debian, SUSE, Oracle und Amazon Linux haben bereits korrigierte Kernel veröffentlicht. Für Ubuntu 22.04, 24.04 und 26.04 ist der Patch in Arbeit, aber noch nicht erschienen (Stand: 29. Oktober). Angriffe in freier Wildbahn sind bislang nicht bekannt.

• Kernel-Version prüfen (uname -r) und die Sicherheitsmeldungen von Ubuntu im Blick behalten.
• Sobald der Patch erscheint: Kernel aktualisieren und den Server neu starten – ein Update ohne Neustart schließt die Lücke nicht. Den Neustart im Wartungsfenster einplanen, nicht in der Black Week.
• Bis dahin eingehende Verbindungen per Firewall auf das Nötige beschränken, etwa SSH und Datenbank nur für bekannte IP-Adressen.
• Docker: Container nutzen den Kernel des Hosts. Ein neues Image allein hilft nicht – der Host muss gepatcht werden.
• Managed Hosting: beim Hoster nachfragen, wann der Kernel aktualisiert wird.

• Shopware-Version und alle Plugins aktualisieren, Changelogs auf Sicherheitsfixes prüfen.
• Shopware 6.5 bekommt laut Release-Kalender nur noch bis Ende Februar 2027 Sicherheitsupdates. Das Sicherheits-Plugin von Shopware ist eine Überbrückung, kein Ersatz für ein Update.
• Admin-Zugänge aufräumen: alte Benutzer löschen, Zwei-Faktor-Anmeldung aktivieren, API-Schlüssel nicht mehr genutzter Integrationen entfernen.

Spielen Sie alle Updates jetzt ein – nicht am Tag vor dem Black Friday. Legen Sie ab etwa dem 20. November einen Code-Freeze fest, in dem nur noch kritische Sicherheitsfixes live gehen.

• Testen Sie nicht nur die Startseite, sondern den echten B2B-Ablauf: Login, Schnellbestellung, große Warenkörbe mit vielen Positionen, Checkout.
• Vergleichen Sie mit dem Vorjahr: Wie viele gleichzeitige Nutzer und Bestellungen pro Stunde gab es zur Spitze? Planen Sie mindestens das Doppelte ein.
• Testen Sie auf einer Staging-Umgebung mit Produktionsdaten-Umfang, nicht mit einer leeren Datenbank.

• Anzahl der PHP-FPM-Worker (pm.max_children) passend zum Arbeitsspeicher einstellen.
• Datenbank: Verbindungslimit, langsame Abfragen, freier Speicherplatz.
• Redis bzw. Cache-Speicher: ausreichend Speicher und sinnvolle Eviction-Policy.
• Bei Cloud- oder Container-Hosting: Skalierung vorab testen statt darauf zu hoffen.

• Bestellmails, Indexierung und ERP-Export laufen in Shopware über die Message Queue. Stellen Sie sicher, dass genügend Worker als eigener Prozess laufen – nicht über den Admin-Worker im Browser.
• Prüfen Sie, wie viele Bestellungen Ihre ERP-Schnittstelle pro Minute verarbeitet und was bei einem Stau passiert.
• Bestandsabgleich: Bei Aktionsware muss der Lagerbestand zeitnah stimmen, sonst verkaufen Sie, was nicht mehr da ist.

• Überwachung von Verfügbarkeit, Antwortzeiten, Fehlerquote und Queue-Länge mit Alarmierung.
• Backup und Wiederherstellung einmal tatsächlich testen.
• Rufbereitschaft für die Black Week klären: Wer ist bei einem Ausfall erreichbar – bei Ihnen, beim Hoster, bei der Agentur?

• Wenn Preise oder Aktionen genau zum Start umgestellt werden, leert Shopware die betroffenen Cache-Einträge. Der Shop muss dann jede Seite neu berechnen – genau in dem Moment, in dem die meisten Besucher kommen.
• Planen Sie Preisänderungen vorab ein und rufen Sie nach der Umstellung die wichtigsten Kategorien und Aktionsprodukte automatisch auf, damit der Cache wieder gefüllt ist.
• Testen Sie den Ablauf einmal auf Staging: Wie lange dauert die Umstellung, und wie verhält sich der Shop direkt danach unter Last?

• Legen Sie Rabattaktionen in Shopware mit festem Start und Ende an und verknüpfen Sie sie mit Regeln aus dem Rule Builder – dann schaltet sich die Aktion selbst ein und aus.
• Prüfen Sie, welche Aktionen sich kombinieren lassen. Doppelte Rabatte auf dieselben Produkte sind ein häufiger und teurer Fehler.
• Bauen Sie die Aktionsseite als Erlebniswelt und verlinken Sie sie prominent auf der Startseite.

• Begrenzen Sie die Nutzung pro Kunde und insgesamt.
• Nutzen Sie für Newsletter oder Stammkunden individuelle Codes statt eines einzigen Codes, der schnell in Gutscheinportalen landet.
• Setzen Sie bei Bedarf einen Mindestbestellwert.

• Ein Großteil der Black-Friday-Käufe findet auf dem Smartphone statt. Bestellen Sie selbst auf mehreren Geräten – als Gast und mit Kundenkonto.
• Testen Sie jede Zahlungsart einschließlich Express-Varianten wie PayPal oder Apple Pay.
• Legen Sie fest, was passiert, wenn ein Zahlungsanbieter ausfällt: Welche Zahlungsart blenden Sie aus, wer informiert die Kunden?

• Bei begehrten Angeboten nehmen Bots zu, die Bestände abfragen, Warenkörbe blockieren oder massenhaft Konten anlegen.
• Aktivieren Sie die Captcha-Optionen von Shopware für Registrierung und Formulare und begrenzen Sie auffällig viele Anfragen auf Server- oder CDN-Ebene.

• Stimmen Sie Mengen und Abholzeiten mit Ihren Paketdienstleistern ab – im Dezember sind deren Kapazitäten knapp.
• Nennen Sie konkrete Lieferzeiten. Vage Angaben wie „in der Regel“ oder „voraussichtlich“ sind rechtlich riskant.
• Kommunizieren Sie den letzten Bestelltag für eine Lieferung vor Weihnachten.

• Verlängern Sie die Rückgabefrist für die Weihnachtszeit, passen Sie Widerrufsbelehrung und Rückgabebedingungen an allen Stellen einheitlich an – zwei sich widersprechende Angaben im Shop führen zu Abmahnungen.
• Planen Sie Personal und Abläufe für Rücksendungen und Erstattungen im Januar ein.

• Prüfen Sie, ob Ihr Cookie-Banner alle Dienste abdeckt, die Sie für die Kampagne neu einbinden.
• Shopware unterstützt inzwischen Google Ads Enhanced Conversions in der eingebauten Google-Analytics-Anbindung. Wer viel Werbebudget einsetzt, misst damit Conversions genauer.

Wer an Verbraucher verkauft, muss mit einem EU-weit einheitlichen Hinweis über die gesetzliche Gewährleistung informieren. Der Hinweis darf nicht frei formuliert oder umgestaltet werden und muss im Onlineshop farbig dargestellt werden. Ein Verweis in den AGB reicht nicht.

• Gibt der Hersteller eine Haltbarkeitsgarantie von mehr als zwei Jahren, muss dies am jeweiligen Produkt mit dem harmonisierten Garantielabel gekennzeichnet werden – mit Dauer in Jahren und Name des Herstellers.
• Prüfen Sie Ihre Produkttexte auf Aussagen wie „2 Jahre Garantie“, wenn eigentlich die gesetzliche Gewährleistung gemeint ist.
• Klären Sie, ob Ihre Shopware-Version die Label unterstützt oder ob ein Plugin bzw. eine Anpassung nötig ist.

Verbraucher müssen ihren Vertrag über eine gut sichtbare Schaltfläche widerrufen können. Shopware hat die Funktion ab Version 6.7.9 eingebaut. Fehlt der Button, verlängert sich die Widerrufsfrist auf zwölf Monate und 14 Tage – bei vielen Black-Friday-Bestellungen ein erhebliches Risiko.

• Bei Preisermäßigungen gegenüber Verbrauchern muss der niedrigste Preis der letzten 30 Tage klar und gut lesbar angegeben werden.
• In Shopware wird dieser Preis nicht automatisch ermittelt, sondern muss gepflegt werden – manuell oder per Schnittstelle.
• Die Pflicht gilt auch nach der Black Week weiter, wenn Sie mit der Preissenkung werben.

Seit Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz für viele Onlineshops mit Endkunden. Prüfen Sie vor allem neue Aktionsseiten, Banner und Countdown-Elemente: Texte in Bildern, fehlende Alternativtexte und schwache Kontraste sind typische Fehler.

Unternehmen mit mehr als 800.000 Euro Umsatz im Jahr 2026 müssen ab dem 1. Januar 2027 für inländische B2B-Umsätze E-Rechnungen ausstellen, ab 2028 gilt die Pflicht für alle. Zulässig sind strukturierte Formate wie XRechnung oder ZUGFeRD – ein normales PDF genügt nicht mehr. Rechnungen an Privatkunden sind von der Pflicht ausgenommen; wer an beide Gruppen verkauft, muss im Shop also zwischen den Rechnungsarten unterscheiden.

• Klären Sie, wo Ihre Rechnungen entstehen: in Shopware oder im ERP.
• Entstehen sie in Shopware, prüfen Sie die ZUGFeRD-Ausgabe Ihrer Version und testen Sie sie mit Ihrem Steuerberater.
• Planen Sie die Umstellung für Dezember ein – nicht für die Black Week.

• Lastspitzen, Fehler und Abbrüche dokumentieren, solange sie frisch sind.
• Neue Geschäftskunden aus der Aktion gezielt ansprechen, etwa mit einer automatisierten Nachfass-Mail über den Flow Builder.