Sicherheits-Checkliste für PrestaShop 2026

Die meisten gehackten Shops, die wir sehen, wurden nicht Opfer eines ausgeklügelten Angriffs, sondern von etwas, das seit Monaten nicht aktualisiert war, oder von einem wiederverwendeten Passwort. Das ist die Liste, die wir mit unseren Kunden durchgehen.

Software

• PrestaShop in einer unterstützten Version und mit eingespielten Sicherheitspatches.
• PHP in einer Version mit Sicherheitssupport.
• Module aktuell, besonders solche, die öffentliche Controller bereitstellen (Zahlungen, Importer, Formulare).
• Module, die Sie nicht nutzen: deinstalliert und ihr Ordner gelöscht. Ein deaktiviertes Modul hat weiterhin erreichbare Dateien.

Backoffice

• Admin-Ordner mit nicht offensichtlichem Namen (PrestaShop benennt ihn bei der Installation um; ändern Sie ihn nicht in „admin“).
• Zwei-Faktor-Authentifizierung für alle Mitarbeiter.
• Ein Benutzer pro Person, mit dem minimal nötigen Profil. Keine geteilten Konten.
• Lange, einzigartige Passwörter in einem Passwortmanager.
• Sperre nach Fehlversuchen.

Server und Dateien

• HTTPS auf der gesamten Website.
• Korrekte Berechtigungen: 755 für Ordner, 644 für Dateien; nichts auf 777.
• PHP-Ausführung in den Upload-Ordnern gesperrt (upload/, img/, download/).
• Keine Sicherungsdateien, SQL-Dumps oder ZIPs im öffentlichen Stammverzeichnis.
• Debug-Modus deaktiviert.

Backups

• Tägliche Sicherungen von Datenbank und Dateien, außerhalb des Servers.
• Mindestens eine Test-Wiederherstellung pro Jahr: Ein Backup, das nie getestet wurde, ist kein Backup.

Überwachung

• Benachrichtigung, wenn sich Core-Dateien ändern oder neue .php auftauchen.
• Regelmäßige Überprüfung von Mitarbeitern, Webservice-Schlüsseln und aktiven Integrationen.
• Web Application Firewall (WAF) und Bot-Begrenzung.