Hinweise und Geltungsbereich
Dieser Leitfaden richtet sich an Shop-Betreiber und technische Admins mit PrestaShop 1.7 bis 9. Funktionen und Dateipfade können versionsabhängig abweichen — testen Sie Änderungen stets in einer Staging-Umgebung.
Backoffice-URL und Zugriffsbeschränkung
-
Benennen Sie den Standardordner /adminXXXX um oder ändern Sie die Admin-URL; prüfen Sie Kompatibilität mit Modulen.
-
Beschränken Sie Zugriffe per IP auf Server-Ebene oder via WAF. Für verteilte Teams ist ein VPN empfehlenswert.
-
Erzwingen Sie HTTPS und HSTS; setzen Sie Admin-Cookies auf Secure und HttpOnly.
Mitarbeiterkonten und Least Privilege
-
Prinzip des geringsten Privilegs: Erstellen Sie rollenbasierte Profile (Katalog, Bestellungen, Support) und vermeiden Sie die Nutzung von Super-Admin-Konten für Routineaufgaben.
-
Deaktivieren oder löschen Sie inaktive Konten und ändern Sie Passwörter bei Personalwechsel.
-
Implementieren Sie starke Passwortregeln und angemessene Rotation.
Zwei-Faktor-Authentifizierung (2FA)
-
Aktivieren Sie 2FA für alle administrativen Konten. Bevorzugen Sie TOTP-Apps (Google Authenticator, Authy) oder FIDO2-Hardware-Keys.
-
Dokumentieren Sie Wiederherstellungsprozesse und speichern Sie Backup-Codes in einem sicheren Tresor.
Updates und Patch-Management
-
Halten Sie PrestaShop, Theme, PHP, MySQL und Server-Komponenten aktuell — viele Sicherheitslücken werden durch Patches geschlossen.
-
Testen Sie Updates in Staging und automatisieren Sie Backups vor dem Deployment.
Modulauswahl, Audit und Entfernung
-
Installieren Sie nur Module aus vertrauenswürdigen Quellen: PrestaShop Addons oder etablierte Entwickler.
-
Auditieren Sie Module: prüfen Sie Code, benötigte Berechtigungen, genutzte Hooks und bei Installation erstellte Dateien.
-
Sichere Entfernung: erst deaktivieren, Daten exportieren, Dateien löschen und Datenbank auf Resttabellen prüfen.
-
Isolieren oder ersetzen Sie nicht mehr unterstützte Module.
Backups und Wiederherstellungsplan
-
Automatisieren Sie regelmäßige Backups von Dateien und Datenbank. Lagern Sie Kopien extern und testen Sie Wiederherstellungen.
-
Bewahren Sie mehrere Wiederherstellungspunkte (täglich, wöchentlich, monatlich) entsprechend der Shop-Aktivität auf.
Logs und Anomalieerkennung
-
Aktivieren und zentralisieren Sie Logs (Webserver, PHP, PrestaShop falls vorhanden). Schützen und archivieren Sie die Protokolle.
-
Überwachen Sie Admin-Logins, Moduländerungen, Datei-Uploads und serverseitige Dateiänderungen.
-
Richten Sie Alerts für verdächtige Aktivitäten ein: wiederholte Login-Versuche, unerwartete Dateiänderungen, massenhafte Kontoerstellung.
Integritätsprüfung von Dateien
-
Nutzen Sie Integritätstools (Hashes/Checksums) für kritische Dateien: Controller, Klassen, Overrides und Templates.
-
Bei unautorisierten Änderungen: Wartungsmodus, Restore aus Backup und Untersuchung.
Wartungsplan und Verantwortlichkeiten
-
Dokumentieren Sie einen Plan für Updates, Tests, Backups, Schlüsselrotation, Modul-Audits und Zugriffsreviews.
-
Legen Sie klare Rollen fest: Dev, Ops, Support und einen Eskalationspfad zu externen Spezialisten.
Praxis-Checklist
-
Admin-URL ändern und IP-Zugriff begrenzen
-
HTTPS und HSTS erzwingen
-
2FA für Admins aktivieren
-
Least Privilege für Mitarbeiter
-
PrestaShop und PHP aktuell halten
-
Module auditieren und entfernen
-
Backups automatisieren und Wiederherstellung testen
-
Logs zentralisieren und überwachen
-
Datei-Integrität prüfen
-
Wartungsplan dokumentieren
Fazit
Die Sicherheit eines PrestaShop-Shops beruht auf mehreren Schichten: restriktive Zugriffssteuerung, vorsichtiger Umgang mit Modulen, regelmäßige Backups und aktive Überwachung. Bei Verdacht oder Vorfall sollten Sie Fachleute hinzuziehen. Securantis kann als Teil der Verteidigung unterstützen, jedoch garantiert kein Produkt vollständige Sicherheit.