Tag: Security

1. Security-Header im Überblick: HSTS, X-Frame-Options und mehr

   27.01.2026

   Ein gültiges TLS-Zertifikat allein schützt einen Magento-Shop nicht vor Clickjacking, MIME-Sniffing oder stillen Datenlecks über den Referrer-Header. Dieser Artikel zeigt praxisnah, wie HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy und CSP frame-ancestors zusammenspielen, wie sich diese Header korrekt am Webserver oder CDN statt im Anwendungscode setzen lassen und wie Scanner wie securityheaders.com die resultierende Sicherheit bewerten.

   Read more

2. SQL-Injection verstehen und zuverlässig verhindern

   18.01.2026

   SQL-Injection zählt seit Jahren zu den gefährlichsten Schwachstellen in Webanwendungen und ermöglicht Angreifern das Auslesen, Verändern oder Löschen kompletter Datenbanken über manipulierte Eingabefelder. Dieser Artikel erklärt die Mechanik von klassischer und blinder SQL-Injection, zeigt warum Escaping allein nicht ausreicht und liefert praxisnahe Lösungen mit Prepared Statements, sicheren ORM-Mustern und der Magento ResourceConnection API.

   Read more

3. Security-Code-Review: Worauf Reviewer wirklich achten sollten

   03.01.2026

   Security-Reviews scheitern selten an fehlendem Wissen, sondern an fehlender Systematik im Alltag der Pull-Request-Praxis. Dieser Artikel liefert eine konkrete Checkliste für Input-Validierung, Berechtigungsprüfungen und Output-Encoding, zeigt typische blinde Flecken bei internen und admin-only Code-Pfaden auf und erklärt, wie manuelles Review und automatisiertes Tooling sich sinnvoll ergänzen, damit Sicherheitslücken schon vor dem Merge auffallen und nicht erst im Live-Betrieb.

   Read more

4. Passwort-Hashing: bcrypt, Argon2 und häufige Fehler

   24.12.2025

   Wer Passwörter mit MD5 oder SHA-1 hasht, öffnet Angreifern nach einem Datenbank-Leak Tür und Tor für Brute-Force und Rainbow-Table-Angriffe. Dieser Artikel erklärt, wie bcrypt und Argon2id funktionieren, wie ihr sie mit PHP's password_hash() korrekt einsetzt und welche Fehler bei Salt, Cost-Faktor und Rehashing in der Praxis am häufigsten passieren.

   Read more

5. Brute-Force-Schutz: Rate-Limiting, Lockout, CAPTCHA

   21.12.2025

   Login-Formulare ohne durchdachten Brute-Force-Schutz gehören zu den am häufigsten ausgenutzten Einfallstoren in Magento-Shops. Dieser Artikel zeigt, wie Rate-Limiting, progressive Verzögerung, Account-Lockout und risikobasiertes CAPTCHA zusammenspielen, ohne legitime Kunden auszusperren oder die Conversion zu belasten, inklusive Magentos eingebauter Schutzmechanismen und konkreter Konfigurationsbeispiele.

   Read more

6. Magento-Security-Patches: Update-Strategie ohne Ausreden

   30.11.2025

   Jeder ungepatchte Magento-Shop ist eine offene Einladung, sobald eine Sicherheitslücke öffentlich bekannt wird. Dieser Artikel zeigt den Release-Zyklus von Adobe, das reale Zeitfenster zwischen CVE-Veröffentlichung und aktiver Ausnutzung, einen Composer-basierten Patch-Workflow mit Staging-Tests sowie die häufigsten Ausreden fürs Nicht-Patchen und warum sie in der Praxis scheitern.

   Read more

7. Vulnerable and Outdated Components erkennen und beheben

   14.11.2025

   Veraltete Abhängigkeiten zählen laut OWASP zu den häufigsten Einfallstoren in Webanwendungen. Dieser Artikel zeigt, wie Magento-Teams CVE-Datenbanken überwachen, composer.lock gegen unkontrolliertes Driften absichern, Updates mit Dependabot oder Renovate automatisieren und Magentos vierteljährlichen Sicherheitspatch-Zyklus zuverlässig einhalten, ohne die Codebasis zu destabilisieren.

   Read more

8. Data Encryption at Rest: Verschluesselung ruhender Daten

   10.11.2025

   Encryption at Rest schuetzt Daten auf gestohlenen Festplatten, in offenen Backups und in falsch konfigurierten Cloud-Storage-Buckets, aber sie ersetzt keine Anwendungssicherheit, denn eine laufende Applikation entschluesselt Daten fuer den Zugriff. Dieser Artikel zeigt, wie Datenbank-, Dateisystem- und Feld-Verschluesselung zusammenspielen und warum Key-Management dabei die eigentliche Herausforderung ist.

   Read more

9. CSRF-Schutz richtig implementieren

   08.11.2025

   Wer Formulare und State-Change-Endpunkte ohne echten CSRF-Schutz betreibt, verlässt sich allein auf die Session-Cookie des Browsers und öffnet damit ein Einfallstor für fremdgesteuerte Requests. Synchronizer Token, Double-Submit-Cookie, SameSite-Attribut und Magentos form_key zeigen, wie sich das zuverlässig schließen lässt.

   Read more

10. TLS/SSL Best Practices: Zertifikate, Cipher, Konfiguration

    20.10.2025

    Ein korrekt konfigurierter TLS Stack entscheidet darüber, ob Kundendaten, Zahlungsinformationen und Sessions in Magento Shops wirklich geschützt sind oder nur scheinbar. Dieser Artikel zeigt, wie der TLS Handshake funktioniert, warum veraltete Protokollversionen und schwache Cipher Suites ein reales Risiko darstellen, wie Zertifikatsketten korrekt validiert werden und wie Let's Encrypt, HSTS und gehärtete Serverkonfigurationen zusammenspielen.

    Read more