• EcomSec

JTL-Shop Security – Der vollständige Leitfaden

Jeder zehnte JTL-Shop, der nicht regelmäßig gepatcht wird, ist ein offenes Einfallstor für Angreifer. Implementieren Sie diese Best Practices, um Ihren Shop und die Daten Ihrer Kunden dauerhaft zu schützen.

JTL-Shop • Security • E-Commerce • Best Practices

JTL-Shop Security – Der vollständige Leitfaden

Jeder zehnte JTL-Shop, der nicht regelmäßig gepatcht wird, ist ein offenes Einfallstor für Angreifer. Implementieren Sie diese Best Practices, um Ihren Shop und die Daten Ihrer Kunden dauerhaft zu schützen.

JTL-Shop ist mit über 10.000 aktiven Installationen, davon rund 75 % in Deutschland, eine der dominierenden E-Commerce-Plattformen im DACH-Raum.1 Die enge Integration mit der Warenwirtschaft JTL-Wawi und dem Microsoft SQL Server macht das System leistungsstark – erfordert jedoch ein tiefes Verständnis der spezifischen Angriffsflächen. Dieser Leitfaden beleuchtet kritische Sicherheitsaspekte, dokumentiert reale Schwachstellen und gibt technische Empfehlungen, um den Schutz Ihres Shops auf ein professionelles Niveau zu heben.

Die Bedrohungslage verstehen

JTL-Shops sind aufgrund ihrer Verbreitung im deutschen Mittelstand, der sensiblen Zahlungs- und Kundendaten sowie der häufig komplexen Plugin-Landschaft ein attraktives Ziel für Cyberkriminelle. Das BSI stuft die IT-Sicherheitslage in Deutschland im Lagebericht 2025 weiterhin als angespannt ein.2 Laut Bitkom waren 87 % der deutschen Unternehmen in den vergangenen zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen.3 E-Commerce-Betreiber sind dabei besonders exponiert, da sie personenbezogene und Zahlungsdaten verarbeiten und bei einem Vorfall neben dem Reputationsschaden auch empfindliche DSGVO-Bußgelder riskieren.

Häufige JTL-Shop-Angriffe in 2025/2026

Das EcomSec-Team analysiert kontinuierlich Sicherheitsvorfälle im E-Commerce. Die folgende Tabelle gibt einen Überblick über die kritischsten Bedrohungen für JTL-Shops:

AngriffstypSchweregradBetroffene KomponenteStatus
SSTI / Remote Code Execution (CVE-2026-54390)Kritisch (CVSS 9.3)SmartyRenderer.php (E-Mail-Templates)Gepatcht in 5.5.4 / 5.6.2 / 5.7.2
Magecart / Digitales SkimmingKritischCheckout-Seiten, Drittanbieter-JSAktiv ausgenutzt
Broken Access Control im Admin-BackendHochAdmin-Bereich (alle Versionen bis 5.3.2)Gepatcht in 5.0.7 / 5.1.7 / 5.2.6 / 5.3.3
SQL-Injection über unsichere PluginsHochDrittanbieter-Plugins ohne Prepared StatementsLaufendes Risiko
Brute-Force / Credential StuffingMittel/admin-LoginLaufendes Risiko
Exponierte Backup-DateienMittelWebserver-Root-VerzeichnisKonfigurationsfehler
JTL-Wawi SQL-Server-ExpositionHochWindows Server / MS SQLKonfigurationsfehler

Server-Side Template Injection: CVE-2026-54390

Im Juni 2026 entdeckte das Sansec Threat Research Team eine kritische Server-Side Template Injection (SSTI) in JTL-Shop, die als CVE-2026-54390 mit einem CVSS-Score von 9.3 (Kritisch) eingestuft wurde.4 Die Schwachstelle steckt in der Datei /includes/src/Mail/Renderer/SmartyRenderer.php und erlaubt es einem nicht authentifizierten Angreifer, bösartige Smarty-Template-Syntax in den E-Mail-Betreff einzuschleusen.

„Es handelt sich um eine Server-Side Template Injection (SSTI) im Betreff einer E-Mail. Darüber lässt sich potenziell der Blowfish-Key oder das Datenbankpasswort auslesen. Ab Shop 5.4.0 ist zusätzlich eine Remote Code Execution (RCE) möglich.”

— JTL Partner-Newsletter, 17. Juni 20265

Der Schweregrad der Schwachstelle hängt von der installierten Version ab:

VersionsbereichAuswirkung
5.0.0 – 5.1.8Nicht betroffen
5.2.0 – 5.3.xKritisch: Diebstahl von Blowfish-Key und Datenbankpasswort
5.4.0 – 5.7.1Kritisch: Vollständige Remote Code Execution (RCE) möglich
5.5.4 / 5.6.2 / 5.7.2Gepatcht ✓

Beispiel: Ein Angreifer sendet eine Bestellung mit einem manipulierten Feld, das Smarty-Template-Syntax enthält. Wenn der Shop eine Bestellbestätigung versendet, wird der bösartige Code durch den Smarty-Renderer ausgeführt. Bei Versionen ab 5.4.0 registriert JTL-Shop unserialize und file_get_contents als Smarty-Modifier – der Angreifer nutzt dies, um eine Webshell in das Web-Root-Verzeichnis zu schreiben und beliebige Befehle als Webserver-Benutzer auszuführen.4

Sofortmaßnahmen: Aktualisieren Sie auf 5.5.4, 5.6.2 oder 5.7.2. Da die Lücke den Blowfish-Key und das Datenbankpasswort exponiert, müssen diese Secrets nach dem Patchen zwingend rotiert werden.

Magecart & Digitales Skimming

Magecart-Angriffe sind eine der am weitesten verbreiteten Bedrohungen für E-Commerce-Plattformen weltweit. Kriminelle injizieren bösartigen JavaScript-Code in Checkout-Seiten, um Kreditkartendaten und persönliche Informationen in Echtzeit abzugreifen.6 Zu Beginn des Jahres 2026 wurde eine neue Magecart-Kampagne entdeckt, die Daten von Checkouts bei großen Zahlungsnetzwerken wie AmEx, Diners Club und Mastercard abgreift.7

Beispiel: Ein Angreifer kompromittiert ein veraltetes JTL-Shop-Plugin mit Schreibzugriff auf den Webserver. Er injiziert einen unsichtbaren JavaScript-Skimmer auf der Zahlungsseite. Jede Kreditkartennummer, jedes Ablaufdatum und jeder CVV-Code, den ein Kunde eingibt, wird still an einen externen Server der Angreifer übermittelt – ohne dass der Händler oder der Kunde dies sofort bemerkt.

Broken Access Control im Admin-Backend

Im Juli 2024 veröffentlichte JTL eine kritische Sicherheitswarnung: Alle Versionen von JTL-Shop 5 bis einschließlich Version 5.3.2 waren von einer fehlenden Authentifizierungsprüfung im Admin-Bereich betroffen.8 Dritte konnten durch eine manipulierte HTTP-Anfrage beliebige Plugins deaktivieren, ohne sich einzuloggen.

„Bei der Sicherheitslücke handelt es sich um eine nicht vorhandene Prüfung auf einen eingeloggten Backend-Nutzer im Admin-Bereich von JTL-Shop 5. Dritte können dadurch beliebige Plugins deaktivieren.”

— JTL-Software GmbH, Juli 20248

SQL-Injection über unsichere Plugins

Plugins haben vollständigen Zugriff auf den JTL-Shop und dessen Datenbank. Plugins, die Benutzereingaben nicht korrekt validieren oder keine Prepared Statements für SQL-Abfragen verwenden, sind ein direktes Einfallstor für SQL-Injection-Angriffe.9 JTL hat als Reaktion darauf angekündigt, künftig nur noch Plugins zu zertifizieren, die ausschließlich Prepared Statements verwenden.

Beispiel: Ein Plugin für eine erweiterte Produktsuche filtert die Suchanfragen nicht. Ein Angreifer gibt ' OR '1'='1 in das Suchfeld ein und erhält dadurch Zugriff auf alle Datenbankeinträge, inklusive Kundendaten und Passwort-Hashes.

Best Practices für die JTL-Shop-Sicherheit

1. Regelmäßige Updates und Patch-Management

Halten Sie Ihre JTL-Shop-Installation stets aktuell. Jedes Release enthält Sicherheitspatches für bekannte Schwachstellen. Abonnieren Sie den JTL Partner-Newsletter und das JTL-Forum, um über neue Sicherheitswarnungen informiert zu werden. Besonders kritisch: JTL-Shop 4 erhält keine Sicherheitsupdates mehr – ein Betrieb dieser Version ist fahrlässig.10

Beispiel: Nach Bekanntwerden von CVE-2026-54390 hatten Shop-Betreiber ein enges Zeitfenster, um zu patchen, bevor automatisierte Angriffs-Tools die veröffentlichte Lücke ausnutzten. JTL Hosting-Kunden wurden automatisch abgesichert – alle anderen mussten manuell handeln.

2. Absicherung des Admin-Backends

Das Backend unter /admin ist das sensibelste Ziel für Angreifer. Die folgenden Maßnahmen sind als Mindeststandard zu betrachten:

  • Admin-Pfad umbenennen: Ändern Sie den Standard-Pfad /admin in einen nicht erratbaren Namen.
  • Zwei-Faktor-Authentifizierung (2FA) aktivieren: JTL-Shop unterstützt 2FA nativ. Aktivieren Sie diese Funktion für alle Backend-Benutzer.11
  • IP-Whitelisting: Beschränken Sie den Zugriff auf das Admin-Backend auf feste, bekannte IP-Adressen via .htaccess oder Firewall-Regeln.
  • Verzeichnisschutz: Sichern Sie das Admin-Verzeichnis zusätzlich mit einem HTTP-Basisschutz (.htpasswd) ab.

3. Web Application Firewall (WAF)

Eine WAF filtert bösartigen Datenverkehr heraus, bevor er Ihren JTL-Shop erreicht. Sie schützt vor SQL-Injections, Cross-Site Scripting (XSS), DDoS-Attacken und bekannten Exploit-Mustern.12

Beispiel: Dienste wie Cloudflare (Pro-Plan), Sucuri oder dedizierte WAF-Lösungen von spezialisierten Hosting-Anbietern erkennen und blockieren Angriffsmuster in Echtzeit – auch dann, wenn ein Patch für eine neue Schwachstelle noch nicht eingespielt wurde.

4. Starke Passwortrichtlinien und Secret-Rotation

Erzwingen Sie starke Passwörter (mindestens 12 Zeichen, Mix aus Groß-/Kleinschreibung, Zahlen, Sonderzeichen) für alle Konten: Admin-Backend, Datenbank, FTP/SFTP und JTL-Wawi-Sync.

Kritisch nach einem Sicherheitsvorfall: Wenn eine Schwachstelle wie CVE-2026-54390 potenziell den Blowfish-Key oder das Datenbankpasswort exponiert hat, müssen diese Secrets nach dem Patchen unverzüglich rotiert werden. Behandeln Sie alle exponierten Zugangsdaten als kompromittiert.4

5. Sichere Hosting-Infrastruktur

Wählen Sie einen Hosting-Provider, der auf E-Commerce-Sicherheit spezialisiert ist. Wichtige Merkmale sind:

  • Aktuelle PHP-Versionen (keine End-of-Life-Versionen)
  • SSL/TLS-Zertifikat (HTTPS ist Pflicht und DSGVO-Anforderung)
  • DDoS-Schutz
  • Automatische Server-Sicherheitsupdates

Die JTL-Wawi kommuniziert über einen Microsoft SQL Server. Dieser darf unter keinen Umständen direkt aus dem Internet erreichbar sein. Verbindungen sollten ausschließlich über ein VPN oder feste, whitegelistete IP-Adressen erlaubt werden.13

6. Plugin-Management und Supply-Chain-Sicherheit

Jedes installierte Plugin erweitert die Angriffsfläche Ihres Shops. Befolgen Sie diese Grundsätze:

  • Installieren Sie nur Plugins aus dem offiziellen JTL-Extension-Store oder von verifizierten Partnern.
  • Prüfen Sie regelmäßig, ob Plugins Updates benötigen.
  • Deinstallieren Sie nicht mehr benötigte Plugins vollständig.
  • Bevorzugen Sie Plugins, die JTL-zertifiziert sind und ausschließlich Prepared Statements verwenden.9

7. Backup-Strategie

Automatisieren Sie tägliche Backups von Datenbank und Dateisystem. Speichern Sie diese verschlüsselt auf einem externen, vom Webserver getrennten Speicherort (z.B. Cloud-Speicher).

Warnung: Legen Sie niemals Backup-Dateien (z.B. backup.zip, dump.sql, shop.tar.gz) im öffentlich zugänglichen Root-Verzeichnis ab. Automatisierte Bots suchen aktiv nach solchen Dateien.12

8. Kontinuierliches Monitoring und Malware-Scanning

Überwachen Sie Ihren Shop kontinuierlich auf Veränderungen an Kern-Dateien und auf injizierten Schadcode. Regelmäßige Scans helfen, Magecart-Skimmer und andere Infektionen frühzeitig zu erkennen, bevor großer Schaden entsteht. Analysieren Sie Server- und Applikations-Logs auf Anomalien wie ungewöhnliche Login-Versuche oder unerklärliche Dateiänderungen.

9. DSGVO-Konformität als Sicherheitsrahmen

Die DSGVO ist nicht nur eine rechtliche Pflicht, sondern auch ein Sicherheitsrahmen. Artikel 32 DSGVO verpflichtet Betreiber zu „geeigneten technischen und organisatorischen Maßnahmen” (TOM) zum Schutz personenbezogener Daten. Ein Versäumnis kann bei einem Datenschutzvorfall zu erheblichen Bußgeldern führen. Melden Sie Datenpannen gemäß Art. 33 DSGVO unverzüglich, spätestens jedoch innerhalb von 72 Stunden, an die zuständige Aufsichtsbehörde.

10. Schulung und Sicherheitsbewusstsein

Führen Sie regelmäßige Schulungen zu Sicherheits-Best-Practices und Phishing-Awareness für alle Mitarbeiter durch, die Zugriff auf das JTL-Backend oder die JTL-Wawi haben. Viele erfolgreiche Angriffe beginnen nicht mit einer technischen Schwachstelle, sondern mit einem kompromittierten Mitarbeiter-Account.

Fazit

Die Sicherheit Ihres JTL-Shops ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess. Die Entdeckung von CVE-2026-54390 zeigt, dass selbst aktuelle, gepflegte Shopsysteme kritische Schwachstellen enthalten können. Durch konsequentes Patch-Management, die Absicherung des Admin-Backends, den Einsatz einer WAF und regelmäßiges Monitoring können Sie das Risiko eines erfolgreichen Angriffs erheblich reduzieren.

Lassen Sie Ihren JTL-Shop jetzt professionell prüfen

EcomSec ist Ihr spezialisierter Partner für die Sicherheit von JTL-Shops und JTL-Wawi-Umgebungen. Wir kombinieren tiefes E-Commerce-Know-how mit aktueller Sicherheitsexpertise.

Fordern Sie jetzt Ihr kostenloses Erstgespräch an und erfahren Sie, wie sicher Ihr Shop wirklich ist.

Quellenverzeichnis

Footnotes

  1. Store Leads: The State of JTL-Shop in 2026. https://storeleads.app/reports/jtl ↩

  2. BSI: Die Lage der IT-Sicherheit in Deutschland 2025. https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html ↩

  3. Bitkom: Wirtschaftsschutz 2025. https://www.bitkom.org/Bitkom/Publikationen/Wirtschaftsschutz ↩

  4. Sansec: Unauthenticated remote code execution in JTL Shop (CVE-2026-54390). https://sansec.io/research/jtl-shop-ssti-rce ↩ ↩2 ↩3

  5. Vlarom: JTL Shop Sicherheitslücke Juni 2026 — Patch auf 5.7.2 jetzt einspielen. https://www.vlarom.de/jtl-shop-sicherheitsupdate-5-7-2/ ↩

  6. Imperva: What Is Magecart. https://www.imperva.com/learn/application-security/magecart/ ↩

  7. Malwarebytes: Online shoppers at risk as Magecart skimming hits major payment networks (Jan. 2026). https://www.malwarebytes.com/blog/news/2026/01/online-shoppers-at-risk-as-magecart-skimming-hits-major-payment-networks ↩

  8. JTL-Software GmbH: Sicherheitslücke in JTL-Shop 5 bis 5.3.2 (Juli 2024). https://forum.jtl-software.de/threads/sicherheitsluecke-in-jtl-shop-5-bis-5-3-2-betr-alle-versionen-des-shopsystems.222631/ ↩ ↩2

  9. JTL-Shop Dokumentation: Sichere Plugins schreiben. https://jtl-shop-mkdocs.readthedocs.io/de/latest/shop_plugins/sicherheit.html ↩ ↩2

  10. erock-marketing: Warum Du jetzt von JTL-Shop 4 auf JTL-Shop 5 wechseln solltest. https://erock-marketing.de/blog/jtl-shop-4 ↩

  11. JTL-Software: Zwei-Faktor-Authentifizierung für JTL-Shop. https://www.jtl-software.com/de/blog/loesungen-von-jtl/2-faktor-authentifizierung ↩

  12. massarbyte: 7 Tipps zur Absicherung Deines JTL-Shops. https://www.massarbyte.it/7-tipps-zur-absicherung-deines-jtl-shops/ ↩ ↩2

  13. JTL-Guide: Securing the SQL server connection of JTL-Wawi with SSL. https://guide.jtl-software.com/en/jtl-wawi/installation/securing-the-sql-server-connection-of-jtl-wawi-with-ssl/ ↩