- E-Commerce, Magento
Befürchten Sie, dass ein Update Ihren Magento-Shop lahmlegt? So aktualisieren Sie Magento-Erweiterungen sicher
Durch
Es liegt wieder eine Nachricht von Ihrer Agentur vor, dass Sicherheitsupdates für Ihren Magento-Webshop bereitstehen. Die letzte Nachricht dieser Art liegt ebenfalls noch vor, sie ist sechs Wochen alt. Niemand plant sie ein, denn beim letzten Mal war der Checkout einen halben Tag lang nicht erreichbar, und im Nachhinein konnte niemand genau sagen, woran das lag.
Dieses Gefühl ist berechtigt und hat selten mit dem Update selbst zu tun. Ein Magento-Update funktioniert wie eine Rechnung. Man bezahlt dafür alle Entscheidungen, die in den vergangenen Jahren im eigenen Webshop getroffen wurden: wo Anpassungen vorgenommen wurden, wie die Erweiterungen integriert wurden oder ob es einen Ort gibt, an dem man etwas ausprobieren kann, bevor es live geht. Wer diese Entscheidungen richtig getroffen hat, kann einen Patch an einem Vormittag installieren. Wer sie vernachlässigt hat, steht vor einem Projekt.
Im Folgenden erfahren Sie, worauf sich diese Rechnung stützt und was Sie tun können, bevor das nächste Update bereitsteht.
Warum geht ein Magento-Update eigentlich schief?
Ein Magento-Update führt selten zu Problemen bei Magento selbst. Es führt zu Problemen bei dem, was darum herum aufgebaut wurde. In der Praxis treten immer wieder drei Ursachen auf.
Bei der ersten handelt es sich um eine Erweiterung, die von der neuen Magento-Version noch nicht unterstützt wird. Entweder hinkt der Anbieter der Erweiterung hinterher oder die Erweiterung wird gar nicht mehr gepflegt. Dieses eine Modul bremst dann Ihre gesamte Installation aus.
Der zweite Punkt betrifft maßgeschneiderte Lösungen, die im Kernprogramm statt in einem eigenen Modul implementiert wurden. Bei einem Update wird das Kernprogramm ersetzt, und diese Anpassung geht verloren. Manchmal mit einer Fehlermeldung, was ärgerlich ist. Manchmal geschieht dies unbemerkt, was noch viel ärgerlicher ist, da man es erst bemerkt, wenn ein Kunde anruft.
Der dritte Punkt ist, dass zwei Module denselben Verhaltensabschnitt überschreiben. Solange sich nichts ändert, funktioniert das einwandfrei. Nach einem Update ändert sich jedoch die Reihenfolge, in der sie geladen werden.
Ein Beispiel aus einem B2B-Projekt: Der Webshop verfügte über eine eigene Bestandslogik, die direkt in die Auftragsabwicklung integriert war. Bei jedem Upgrade musste diese Logik erneut überprüft und aktualisiert werden. Die Lösung bestand darin, auf den Standard zurückzugreifen. Die eigene Logik wurde durch „Multi-Source Inventory“ ersetzt, die von Magento selbst bereitgestellte Bestandsfunktion, sodass dieser Teil fortan automatisch mit jedem Update mitgeliefert wird.
Wie oft erscheinen Sicherheitsupdates für Magento?
Häufiger als noch vor einigen Jahren, und im Jahr 2026 hat sich das Tempo erhöht. Adobe veröffentlichte im Jahr 2025 sechs Sicherheitsbulletins für Magento, im Durchschnitt im Abstand von etwa sieben Wochen. Im Jahr 2026 erschienen sie am 10. März, 12. Mai, 14. Juli, 11. August, 7. September und 8. September. In der zweiten Hälfte dieses Jahres lag der Rhythmus also bei etwa vier Wochen, und im September gab es zwei in derselben Woche.
Diese Bulletins liefern zwei Arten von Updates, und dieser Unterschied bestimmt, wie einfach man sie anwenden kann. Die großen Patch-Veröffentlichungen sind kumulativ: Sie enthalten alles, was zuvor behoben wurde. Daneben erscheinen einzelne Fixes für eine oder mehrere Sicherheitslücken, und diese sind eben nicht kumulativ. Ein solcher einzelner Fix setzt voraus, dass Sie bereits die aktuellste Patch-Version Ihrer Release-Reihe installiert haben. Wer also ein paar Updates übersprungen hat, kann ihn nicht einfach so installieren, sondern muss zunächst die fehlenden Updates nachholen.
Darüber hinaus unterliegt Ihr eigener Webshop einem zweiten Strom von Updates. Jede Erweiterung folgt ihrem eigenen Veröffentlichungsrhythmus, und bei einem aktiv gepflegten Magento-Shop gibt es fast wöchentlich kleine Updates und monatlich größere Wartungsarbeiten. Insgesamt sollten Updates daher in Ihrer Monatsplanung berücksichtigt werden. Je höher der Stapel ausstehender Updates wird, desto schwieriger ist es zudem, bei einer Störung herauszufinden, welches Update diese verursacht hat.
Welche Magento Open Source-Version erhält noch Sicherheitsupdates?
Derzeit erhalten nur 2.4.7, 2.4.8 und 2.4.9 noch Sicherheitsupdates für Magento Open Source. Die Support-Daten von Adobe:
- 2.4.9, veröffentlicht am 12. Mai 2026, wird bis zum 31. Mai 2029 unterstützt
- 2.4.8 wird bis zum 31. Mai 2028 unterstützt
- 2.4.7 wird bis zum 31. Mai 2027 unterstützt
- 2.4.6 wurde am 11. August 2026 aus dem Support genommen
- 2.4.5 und ältere Versionen erhalten schon seit längerem keine Updates mehr
Bei Open Source ist ein solches Ablaufdatum strenger, als es auf den ersten Blick erscheint. Der in der Dokumentation beschriebene erweiterte Support, der nach dem regulären Ablaufdatum noch Patches bereitstellt, gilt für die kostenpflichtige Variante. Für die Open-Source-Codebasis werden diese erweiterten Patches nicht veröffentlicht. Es gibt also keine Übergangsphase, in der man noch ein Jahr lang ungestört weiterarbeiten kann.
Wie sich das in der Praxis auswirkt, ging aus dem Sicherheitsbulletin vom September 2026 hervor. Darin sind die Magento Open-Source-Versionen 2.4.6 bis einschließlich 2.4.9 in der Liste der betroffenen Versionen aufgeführt, während nur für 2.4.7, 2.4.8 und 2.4.9 eine korrigierte Open-Source-Version veröffentlicht wurde. Wer zu diesem Zeitpunkt mit Version 2.4.6 arbeitete, stand also auf der Liste der anfälligen Versionen, ohne dass ein Patch zur Verfügung stand. Damit ist die Frage, welche Version Sie verwenden, der erste Punkt in dieser ganzen Geschichte – noch vor der Frage, welche Erweiterungen Sie nutzen.
Warum dauert ein Update bei dem einen Webshop drei Stunden und bei dem anderen drei Wochen?
Der Unterschied liegt fast nie in der Größe des Webshops. Er liegt in der Art und Weise, wie die maßgeschneiderten Lösungen umgesetzt werden. Vier Fragen bestimmen den größten Teil dieser Durchlaufzeit.
Befindet sich die maßgeschneiderte Lösung in einem eigenen Modul oder im Kern? Code in einem eigenen Modul übersteht ein Update. Code im Kern muss jedes Mal neu eingefügt und erneut getestet werden.
Werden Erweiterungen über Composer importiert oder als Ordner kopiert? Über Composer weiß man genau, welche Version wo läuft, und kann gezielt Aktualisierungen vornehmen. Kopierte Erweiterungen müssen manuell mit der neuen Version abgeglichen werden.
Wie viele Erweiterungen sind installiert, und werden sie alle genutzt? Jede Erweiterung ist eine Abhängigkeit, die bei jedem Update mitgetestet wird. Ein Modul, das niemand mehr nutzt, das aber noch installiert ist, kostet Sie bei jedem Upgrade erneut Zeit.
Gibt es eine Testumgebung, die der Produktionsumgebung ähnelt? Ohne eine solche Umgebung gehen Änderungen in der Praxis ungeprüft live, egal wie sorgfältig man ansonsten arbeitet.
Man muss kein Entwickler sein, um sich hier einen Überblick zu verschaffen. Fordere eine Liste aller aktiven Erweiterungen mit Versionsnummer und Anbieter, das Datum des letzten Core-Upgrades sowie eine Übersicht darüber an , was direkt im Core angepasst wurde. Wenn diese Liste nicht innerhalb eines Tages vorliegt, hast du damit auch schon eine Antwort.
Wie testet man ein Magento-Update, bevor es live geht?
Mit einer Testumgebung, die der Produktionsumgebung ähnelt, und mit einem Test, der die kritischen Abläufe durchläuft, bevor das Update in die Produktion geht. Kritisch bedeutet hier: von der Produktseite bis zum Bezahlvorgang, einschließlich Zahlung, Anmeldung und Suche. Das ist genau der Teil, der bei einer manuellen Überprüfung als Erstes übersprungen wird, weil er langweilig ist und viele Klicks erfordert.
Die Einrichtung einer automatisierten Testsuite dauert in unserer Praxis ein bis zwei Wochen. Danach durchläuft diese Suite mehrmals täglich die gesamten kritischen Abläufe, und es wird täglich ein Bericht darüber erstellt, was getestet wurde und wie es gelaufen ist.
Für einen kleinen Webshop mit wenig individueller Anpassung und zwei Zahlungsmethoden ist eine solche Suite übertrieben. Eine feste Checkliste mit zehn manuellen Schritten sowie eine Testumgebung decken dort das meiste ab, und deren Einrichtung kostet nichts. Die Suite macht sich bezahlt, sobald die Anzahl der Abläufe, Kundengruppen und Verknüpfungen wächst, denn dann wird das manuelle Testen zum schwächsten Glied in der Kette.
Was tun Sie, wenn nach einem Update doch etwas nicht mehr funktioniert?
Das Rückgängigmachen sollte eine Angelegenheit von wenigen Minuten sein. Drei Dinge machen dies möglich: eine Änderung pro Rollout, damit man weiß, um was es sich handelte, ein Deployment, das ohne Ausfallzeiten zurückgesetzt werden kann, und ein Datenbank-Backup von kurz vor dem Update.
Ersteres ist die kostengünstigste Option und wird am häufigsten übersehen. Wer vier Erweiterungs-Updates, einen Sicherheitspatch und eine individuelle Anpassung auf einmal live schaltet, weiß im Falle einer Störung nicht, wo er nachsehen soll, und setzt alles zurück – einschließlich der Dinge, die eigentlich funktionierten.
Auch der Zeitpunkt der Einführung spielt eine Rolle. Ein Patch, der am Dienstagmorgen live geht, hat einen ganzen Arbeitstag Zeit, in dem Mitarbeiter ihn auffangen können. Freitagnachmittag und die Woche vor Ihrer geschäftigsten Zeit sind die beiden Zeitpunkte, an denen eine kleine Störung zu einer kostspieligen Störung wird.
Wann sollte man ein Magento-Update besser verschieben?
Manchmal ist Aufschieben das Klügste, was man tun kann.
Wird Ihr Webshop innerhalb eines Jahres ersetzt, ist ein vollständiges Versions-Upgrade verschwendetes Geld. Ein gezielter Sicherheitspatch reicht aus, sofern Ihre aktuelle Magento-Version diesen noch erhält.
Ist die Installation so überladen, dass das Upgrade mehr kostet als der Neubau des Shops, steht eine andere Entscheidung an. Eine technische Bewertung des Codes liefert hierauf eine Antwort, bevor man ein Projekt beginnt, einschließlich einer Einschätzung, welche maßgeschneiderten Lösungen und welche Erweiterungen im Weg stehen.
Ein Aufschub ist keine Option mehr, sobald Sie eine Version nutzen, für die keine Sicherheitspatches mehr bereitgestellt werden. Am 19. Oktober 2026 gilt dies für jeden Magento Open Source-Webshop auf Version 2.4.6 oder älter, da es für die Open-Source-Codebasis keinen erweiterten Support gibt, der Ihnen noch ein Jahr Zeit verschafft.
Beginnen Sie damit, zu wissen, was drin ist
Updates werden umso einfacher, je weniger Hindernisse im Weg stehen. Der erste Schritt besteht darin, zu wissen, was in Ihrer Installation enthalten ist: welche Erweiterungen, wie viel individuelle Anpassung, wo sich diese Anpassung befindet und welche Magento-Version Sie verwenden. Mit diesem Überblick wird ein Update zu einem geplanten Vorgang, dessen Dauer Sie im Voraus abschätzen können.
Wenn du dir darüber Klarheit verschaffen möchtest, bevor du den nächsten Patch einspielst, ist eine Code-Review der kürzeste Weg zu einer ehrlichen Antwort.
Wie oft muss man Magento aktualisieren?
Sicherheitspatches sollten Sie installieren, sobald sie verfügbar sind – und das ist häufiger der Fall, als viele Online-Shop-Betreiber denken. Adobe veröffentlichte im Jahr 2025 sechs Sicherheitsbulletins für Magento und im Jahr 2026 bis einschließlich September erneut sechs, wobei sich das Tempo in der zweiten Hälfte des Jahres 2026 auf etwa vier Wochen erhöhte. Darüber hinaus gibt es bei einem aktiv gewarteten Magento-Shop fast wöchentlich kleine Erweiterungs-Updates und monatlich umfangreichere Wartungsarbeiten.
Welche Magento Open Source-Versionen erhalten im Oktober 2026 noch Sicherheitsupdates?
Nur 2.4.7, 2.4.8 und 2.4.9. Version 2.4.9 erschien am 12. Mai 2026 und wird bis zum 31. Mai 2029 unterstützt, 2.4.8 bis zum 31. Mai 2028 und 2.4.7 bis zum 31. Mai 2027. Für 2.4.6 endete der Support am 11. August 2026, und 2.4.5 und ältere Versionen erhalten bereits seit längerem keinen Support mehr.
Was passiert, wenn Ihre Magento-Version keine Sicherheitsupdates mehr erhält?
Dann bleiben bekannte Sicherheitslücken in Ihrer Installation offen, da für diese Release-Reihe keine gepatchte Version mehr erscheint. Im Sicherheitsbulletin vom September 2026 war Magento Open Source 2.4.6 zwar in der Liste der betroffenen Versionen aufgeführt, während ein Fix nur für die Versionen 2.4.7 bis einschließlich 2.4.9 veröffentlicht wurde. Ein Upgrade auf eine unterstützte Version ist dann die einzig wirkliche Lösung; eine Firewall oder virtuelles Patching bei Ihrem Hosting-Anbieter verschafft Ihnen höchstens etwas Zeit.
Kann man Magento ohne Ausfallzeiten aktualisieren?
Häufig ist dies der Fall, bei Bereitstellungen ohne Ausfallzeiten, auch wenn dies nicht für jedes Update gilt. Updates, die eine Datenbankmigration durchführen oder eine vollständige Neuindizierung erfordern, benötigen eine kurze Wartungsphase. Planen Sie diese außerhalb Ihrer Spitzenzeiten ein und informieren Sie Ihren Kundenservice darüber, wann dies geschieht.
Warum funktionieren Erweiterungen nach einem Magento-Update nicht mehr?
Da eine Erweiterung für eine bestimmte Magento-Version entwickelt wurde, kann es bei einer Änderung des Kerns vorkommen, dass der von der Erweiterung genutzte Anknüpfungspunkt verschwindet oder sich ändert. Zwei Erweiterungen, die dasselbe Verhalten überschreiben, verursachen zudem Probleme, sobald sich die Ladereihenfolge ändert.
Wie lange dauert ein Magento-Upgrade?
Das hängt von Ihrer Installation ab und nicht vom Umfang Ihres Webshops. Ausschlaggebend sind die Anzahl der aktiven Erweiterungen, der Umfang der individuellen Anpassungen und die Frage, ob diese Anpassungen in eigenen Modulen oder im Kern liegen. Eine realistische Einschätzung ist erst nach einer Bestandsaufnahme der Erweiterungen und der individuellen Anpassungen möglich; wer im Vorfeld ohne diese Bestandsaufnahme eine Bearbeitungszeit nennt, spekuliert.
Muss man jede Magento-Erweiterung aktualisieren?
Nein. Ein Extension-Update, das nur Funktionen hinzufügt, die du nicht nutzt, kann warten. Sicherheitsupdates und Updates, die für die Kompatibilität mit Ihrer Magento-Version erforderlich sind, können das nicht. Ungenutzte Erweiterungen sollten Sie besser entfernen als aktualisieren, da jedes installierte Modul bei nachfolgenden Updates weiterhin mitgezählt wird.
Was ist eine Akzeptanzumgebung und brauche ich eine?
Eine Testumgebung ist eine Kopie Ihres Webshops, in der Sie Änderungen testen, bevor diese in die Live-Umgebung übernommen werden. Sie benötigen eine solche Umgebung, sobald mehr als eine Person am Shop arbeitet oder sobald Anbindungen an andere Systeme bestehen. Ohne Testumgebung gehen Änderungen in der Praxis ungetestet live.
Was kostet eine Code-Review eines Magento-Webshops?
Eine Code-Review kostet bei uns 2.500 Euro, abhängig vom Umfang der Installation, der Anzahl der Erweiterungen und dem Umfang der individuellen Anpassungen. Das Ergebnis ist ein dokumentierter Bericht über den Zustand des Codes, den Sicherheitsstatus und die Kompatibilität mit den Magento-Standards.
Woher weißt du, ob deine maßgeschneiderte Lösung einem Update im Weg steht?
Bitte fordern Sie zwei Übersichten an. Die erste ist eine Liste aller Anpassungen, die außerhalb der eigenen Module vorgenommen wurden, also direkt im Core oder in einem kopierten Theme. Die zweite ist eine Liste der Erweiterungen, die nicht über Composer installiert wurden. Diese beiden Listen zusammen geben Aufschluss über den größten Teil der Dauer Ihres nächsten Upgrades.
Verwandte Artikel
AI-Agenten empfehlen Ihre Produkte nicht? So machen Sie Ihren Magento-Webshop sichtbar
Was die Entwicklung eines Produktkonfigurators innerhalb einer Organisation wirklich erfordert
Drei Angebote, drei völlig unterschiedliche Beträge: Was ein Magento-B2B-Webshop kostet
Fertig mit Ihrer aktuellen Agentur: So läuft die Übernahme Ihrer Magento-Verwaltung ab
Die Lizenz ist kostenlos, der Umstieg jedoch nicht: Was Hyvä für Ihren Magento-Webshop bedeutet
Für jeden Kunden ein eigener Preis: Was das von Ihrem Magento-B2B-Webshop erfordert
Digital Product Passport (DPP): Was bedeutet das für Ihre Produktdaten und Ihr PIM?
Ein Jahr nach der EAA: Kein einziger großer Webshop ist vollständig barrierefrei
