Wenn jede Minute zählt: Die Sofort-Checkliste
Ein Sicherheitsvorfall in Ihrem JTL-Shop ist ein Ausnahmezustand. Wenn Sie den Verdacht haben, dass Ihr Shop kompromittiert wurde, entscheiden die ersten 60 Minuten über das Ausmaß des Schadens. Führen Sie diese fünf Schritte in genau dieser Reihenfolge aus, bevor Sie irgendetwas anderes tun:
- Shop auf Serverebene sperren: Bitten Sie Ihren Hosting-Provider, den Shop sofort zu sperren, oder setzen Sie eine
.htaccess-Sperre. Der JTL-Wartungsmodus allein reicht nicht aus, da er weiterhin PHP ausführt und Webshells für Angreifer erreichbar bleiben. - Nichts löschen: Löschen Sie keine Dateien, auch wenn diese verdächtig aussehen. Jede gelöschte Datei vernichtet Beweise, die für die forensische Analyse und für rechtliche Schritte benötigt werden.
- Passwörter noch nicht ändern: Ändern Sie Passwörter erst nach Rücksprache mit uns. Die Reihenfolge ist entscheidend: Erst muss ein forensisches Backup erstellt werden, dann erfolgt die Passwort-Rotation.
- EcomSec kontaktieren: Rufen Sie unseren Notfall-Support an oder schreiben Sie eine E-Mail mit dem Betreff “NOTFALL: Shop-Kompromittierung”. Wir übernehmen die Koordination.
- Hosting-Provider informieren: Informieren Sie Ihren Hoster, damit dieser auf seiner Seite die Server-Logs sichert und weitere Maßnahmen einleiten kann.
Die 6 Phasen der Incident Response
Unser Vorgehen basiert auf der bewährten PICERL-Methodik des SANS Institute [1]. Ein strukturierter Prozess stellt sicher, dass der Angreifer restlos entfernt wird und der Shop sicher wieder ans Netz gehen kann.
1. Vorbereitung (Preparation)
Ein erfolgreiches Krisenmanagement beginnt vor dem eigentlichen Vorfall. Sie sollten eine interne Notfall-Kontaktliste bereithalten (technische Dienstleister, Hosting-Provider, Datenschutzbeauftragter) und regelmäßig prüfen, ob Sie über funktionierende, getrennte Backups verfügen.
2. Identifikation (Identification)
In dieser Phase analysieren wir Server-Logs und Scanner-Ergebnisse, um den Angriffsweg nachzuvollziehen. Bei einer Kompromittierung können kritische Daten abgeflossen sein, darunter Datenbank-Zugangsdaten, FTP-Passwörter, API-Keys von Zahlungsdienstleistern und sensible Kundendaten [3].
3. Eindämmung (Containment)
Der Shop muss sofort isoliert werden, um weiteren Datenabfluss zu stoppen. Bevor jedoch Bereinigungsmaßnahmen starten, erstellen wir ein forensisches Backup des kompromittierten Zustands. Diese Beweissicherung ist essenziell für die spätere Analyse durch Ihren Datenschutzbeauftragten oder für rechtliche Schritte.
4. Beseitigung (Eradication)
Ein einfaches Löschen gefundener Schaddateien reicht nicht aus [3]. Der Shop wird aus einer sauberen, vertrauenswürdigen Quelle komplett neu aufgebaut. Sie müssen nach unserer Anweisung alle Passwörter und API-Keys (PayPal, Mollie, Klarna etc.) vollständig rotieren. Abschließend wird die ursprüngliche Sicherheitslücke durch Patches geschlossen [2].
5. Wiederherstellung (Recovery)
Nach der Bereinigung führen wir einen Abgleich mit Ihrer JTL-Wawi durch, um sicherzustellen, dass keine manipulierten Daten (z.B. geänderte Preise oder Lieferadressen) im Shop verbleiben. Ein finaler Security-Check prüft den Shop, bevor er für Kunden wieder freigegeben wird. Danach überwachen wir die Zugriffe für mindestens 48 Stunden engmaschig.
6. Nachbereitung (Lessons Learned)
Nach dem Vorfall müssen Sie gemeinsam mit Ihrem Datenschutzbeauftragten prüfen, ob eine Meldepflicht an die Aufsichtsbehörde (innerhalb von 72 Stunden) nach Art. 33 DSGVO oder eine Informationspflicht gegenüber Ihren Kunden nach Art. 34 DSGVO besteht [4]. Abschließend beraten wir Sie zu präventiven Maßnahmen, um zukünftige Vorfälle zu verhindern.
Laden Sie sich unser vollständiges Playbook als PDF herunter, um es für den Ernstfall griffbereit zu haben. Im Notfall erreichen Sie uns unter support@ecomsec.de.
Referenzen
[1] SANS Institute — Incident Handler’s Handbook
[2] JTL-Software — Offizielles Security Advisory CVE-2026-54390 (JTL Partner-Newsletter, 17.06.2026)
[3] BSI — IT-Grundschutz: Behandlung von Sicherheitsvorfällen (ORP.5)
[4] Bundesbeauftragter für den Datenschutz — Art. 33 DSGVO: Meldung von Datenschutzverletzungen