STM Shop Security Guard – kostenlose Magento 2 Security Extension

Frontend-Demo: Testanfrage, die Shop Security Guard sperrt · Backend-Demo (Stores › Konfiguration › STM › STM Shop Security Guard) · Quellcode auf GitHub

Warum Magento-Shops 2026 zusätzlichen Schutz brauchen

Im September 2026 lief StyleSmuggler (APSB26-146) als Lücke ohne Patch gegen Magento- und Adobe-Commerce-Shops in ganz Europa. PolyShell legt seit Monaten Webshells über die REST-API ab, und im Oktober kamen mit PHP2Shell zwei kritische Lücken in PHP selbst dazu. Patches kommen oft Tage nach den ersten Angriffen. Für diese Zeit braucht ein Shop eine eigene Verteidigung.

STM Shop Security Guard bündelt die Schutzschichten, die wir in diesen Wochen bei angegriffenen Kundenshops eingesetzt haben, in einem kleinen Modul.

Was ist STM Shop Security Guard?

STM Shop Security Guard ist ein Härtungsmodul für Magento 2. Es arbeitet an drei Stellen: vor Magento als Anfragefilter, im Hintergrund als Bot-Scan und Backdoor-Scan per Cron und bei Ihnen als verständliche Meldung mit Handlungsempfehlung. Es ändert keinen Magento-Core und hat keinen Frontend-Code.

Anfragefilter vor Magento: Angriffe und Bots werden gesperrt, bevor Magento die Anfrage verarbeitet

Die wichtigsten Funktionen

Wie erkennt Shop Security Guard veränderten Code?

Beim ersten Scan legt Shop Security Guard einen Referenzstand an: eine Prüfsumme (SHA-256) für jede Code-Datei in vendor, app, lib, pub, setup und bin. Ab dann meldet jeder Scan, welche Datei neu dazugekommen ist, welche sich verändert hat und welche fehlt. Eine Hintertür in einer Bibliothek unter vendor fällt so auch dann auf, wenn sie nach nichts Verdächtigem aussieht.

Damit eine bestehende Infektion nicht als „sauber“ gespeichert wird, prüft Shop Security Guard vorher den gesamten Code auf typische Webshell-Tricks: kodiertes eval, versteckte Includes, Sprungketten mit Zufallsnamen. Die Prüfsumme des Referenzstands liegt in der Datenbank, eine nachträglich manipulierte Referenz wird als kritisch gemeldet.

Integritätsprüfung auf der Kommandozeile: veränderte Code-Dateien und Webshell-Tricks, danach neuer Referenzstand (Beispiel mit Testdateien)

Updates erkennt Shop Security Guard an der neuen Paketversion und meldet sie als Update, nicht als Angriff. Nach einem Deployment übernehmen Sie den neuen Stand mit bin/magento shopguard:integrity --accept oder in Shop Security Guard Pro per Klick. Auf unserem Demo-Shop mit rund 47.000 Code-Dateien dauert der erste Referenzstand 3 bis 6 Sekunden, jeder weitere Vergleich unter 1 Sekunde. Die Signaturen erkannten 16 von 19 echten Hintertüren aus Angriffen auf unseren Demo-Shop, die übrigen drei meldet Shop Security Guard über ihren Fundort. In rund 48.700 Dateien gab es dabei keinen Fehlalarm (Oktober 2026).

Backdoor-Scan alle 30 Minuten: Ergebnis in einem Satz und zu jedem Befund, was zu tun ist (Beispiel mit Testdateien)

Welche Angriffe wehrt STM Shop Security Guard ab?

Abgewehrte Angriffe: StyleSmuggler, PolyShell, SessionReaper, CosmicSting, TrojanOrder, PHP2Shell und Scraper

Was STM Shop Security Guard nicht kann

PHP2Shell greift, während PHP die Anfrage liest, also bevor eine Magento-Extension läuft. Dagegen hilft nur ein PHP-Update. Seiten aus Varnish oder einem CDN erreichen PHP nicht und werden nicht gefiltert. Shop Security Guard ergänzt Sicherheitspatches und eine Web Application Firewall, ersetzt sie aber nicht.

Mehr Überblick mit STM Shop Security Guard Pro

Die kostenlose Version schützt vollständig und meldet Befunde per Mail. STM Shop Security Guard Pro ergänzt ein Dashboard im Admin: Backdoor-Scan und Bot-Scan per Klick, alle Prüfbereiche auf einen Blick, Verlauf von Befunden, Anfragen und abgewehrten Angriffen. Dazu kommen Code-Änderungen per Klick übernehmen, geprüfte Befunde mit Begründung als harmlos markieren, alle Admin- und API-Zugänge im Überblick, ein Protokoll, wer was getan hat, sowie 12 Monate Updates und Support.

Technische Details und Systemanforderungen

Installation

composer require storetown-media/module-shop-guard
bin/magento setup:upgrade

Danach unter Stores › Konfiguration › STM › STM Shop Security Guard die Client-IP prüfen und eine Empfängeradresse für Warnungen eintragen. Ohne Composer: das ZIP nach app/code/Storetown/ShopGuard/ entpacken und dieselben Befehle ausführen.

Häufige Fragen zu STM Shop Security Guard

Ist STM Shop Security Guard wirklich kostenlos?

Ja, unter MIT-Lizenz, ohne Lizenzschlüssel und ohne Zeitlimit. Den Quellcode finden Sie auf GitHub.

Bremst Shop Security Guard meinen Shop?

Nein, messbar nicht. Auf unserem Demo-Shop lag die Antwortzeit mit Filter bei 253 ms, ohne bei 262 ms (Median aus 25 Abrufen, Oktober 2026). Die Scans laufen per Cron im Hintergrund.

Was muss ich nach einem Update oder Deployment tun?

Nach dem Deployment meldet Shop Security Guard die geänderten Dateien. Paket-Updates erkennt es an der neuen Version und stuft sie nur als Warnung ein. Prüfen Sie die Liste und übernehmen Sie den neuen Stand mit bin/magento shopguard:integrity --accept. Ab dann vergleicht Shop Security Guard mit diesem Stand.

Kann Shop Security Guard aus Versehen echte Kunden sperren?

Suchmaschinen, KI-Suchdienste, Preisvergleiche und Zahlungsanbieter sind ausgenommen. IP-Adressen, von denen sich Admins angemeldet haben, und Ihre eigenen Freigaben werden nie gesperrt. Jede automatische Sperre steht mit Ablaufdatum in der Konfiguration und lässt sich aufheben.

Was mache ich, wenn Shop Security Guard eine Hintertür findet?

Die Mail nennt die Datei und den nächsten Schritt. Löschen Sie nichts sofort: Packen Sie die Datei in ein Archiv außerhalb des Web-Roots und klären Sie über das Access-Log, wie sie auf den Server kam. Bei Bedarf helfen wir bei der Bereinigung.

Funktioniert Shop Security Guard hinter Varnish, Cloudflare oder einem Proxy?

Ja. In der Konfiguration wählen Sie, aus welchem Header die echte Client-IP kommt. Proxy- und Server-Adressen sperrt Shop Security Guard nie, damit nicht versehentlich alle Besucher gesperrt werden; im Admin sehen Sie, welche IP der Shop gerade erkennt.

Hilfe bei einem Angriff?

Wenn Ihr Shop schon betroffen ist oder Sie Unterstützung beim Patchen und Härten brauchen: Magento Agentur Storetown Media oder direkt über das Kontaktformular.

Entwickelt von Jan-Hendrik Kummert, Storetown Media, Tornesch. Stand: Oktober 2026.