Am 31. Juli 2024 endete die Übergangsphase für Shopware 5 - seither erscheinen keine Sicherheitspatches mehr für diese Version (Shopware). Wer seinen Online-Shop 2026 noch auf Shopware 5 betreibt, arbeitet mit Software, deren bekannte Lücken niemand mehr offiziell schließt. Zwei Jahre nach dem End of Life ist das kein theoretisches Restrisiko mehr, sondern eine handfeste Sicherheits- und Haftungsfrage. Dieser Leitfaden zeigt, warum der Umstieg auf Shopware 6 jetzt ansteht, was ihn vom klassischen Update unterscheidet und wie sich Kosten, Dauer und Ablauf realistisch planen lassen - damit aus dem Pflichttermin ein kontrollierter Migrationsprozess statt einer Notfallaktion wird.
Was am 31. Juli 2024 endete
Shopware 5 wurde nach einer rund vierjährigen Übergangsphase zum Ende Juli 2024 endgültig abgekündigt (Shopware). End of Life bedeutet dabei mehr als das Ausbleiben neuer Funktionen: Es gibt keine Sicherheitspatches, keine Fehlerkorrekturen und keine offizielle Kompatibilitätspflege mit neuen PHP-Versionen mehr (Shopware). Auch die Unterstützung im offiziellen Forum für Shopware 5 wurde eingestellt. Ein Shop auf dieser Basis bleibt technisch lauffähig, altert aber ab dem Stichtag ungebremst - jede neue Schwachstelle, die in einer der verbauten Komponenten bekannt wird, bleibt dauerhaft offen.
Das Problem ist kein Nischenthema. Schätzungen zufolge laufen im DACH-Raum auch 2026 noch tausende Shops auf Shopware 5, ohne dass eine Absicherung greift (Storeleads). Viele davon sind über Jahre gewachsen, tief mit Warenwirtschaft, Zahlungsdiensten und individuell entwickelten Erweiterungen verzahnt - genau das macht den Wechsel aufwendig und verleitet zum Aufschieben. Doch der Aufschub verschiebt das Risiko nicht, er vergrößert es. Je länger ein Altshop ohne Patches im Netz steht, desto größer wird die Zahl bekannter, aber ungeschlossener Angriffspunkte.
Wichtig ist die Abgrenzung: End of Life ist nicht dasselbe wie eine sofortige Abschaltung. Der Shop verschwindet nicht, und für den Betreiber ändert sich am ersten Tag scheinbar nichts. Genau diese trügerische Ruhe ist die Falle. Der Schaden entsteht nicht am Stichtag, sondern schleichend - in Form neuer Schwachstellen, veralteter Abhängigkeiten und wachsender Distanz zum aktuellen Technikstand. Ähnlich verhält es sich mit anderen abgekündigten Bausteinen im Shop-Umfeld, etwa der Datenbank-Basis, deren Support ebenfalls terminiert ist.
Der Stichtag lag im Juli 2024. 2026 befindet sich jeder verbliebene Shopware-5-Shop also seit über zwei Jahren außerhalb des Sicherheitssupports. Die Frage ist nicht mehr, ob migriert werden sollte, sondern nur noch, wie geordnet der Umstieg abläuft - geplant und getestet oder unter Zeitdruck nach einem Zwischenfall.
Warum ein Altshop 2026 zum Haftungsrisiko wird
Die Bedrohungslage hat sich in den vergangenen Jahren spürbar verschärft. Rund 34 Prozent der Unternehmen wurden 2025 Opfer einer Ransomware-Attacke (Bitkom Wirtschaftsschutz 2025), und etwa 80 Prozent aller sicherheitsrelevanten Vorfälle treffen kleine und mittlere Unternehmen (Bitkom Wirtschaftsschutz 2025) - also genau die Betriebe, die selten ein eigenes Sicherheitsteam unterhalten. Der wirtschaftliche Gesamtschaden durch Cyberangriffe, Datendiebstahl und Sabotage summiert sich in Deutschland auf rund 289 Milliarden Euro pro Jahr (Bitkom 2025).
Für einen ungepatchten Shop ist das besonders relevant, weil Angreifer bevorzugt dort ansetzen, wo bekannte Lücken offen bleiben. Im aktuellen Verizon Data Breach Investigations Report ist die Ausnutzung von Schwachstellen mit rund 31 Prozent erstmals der häufigste initiale Angriffsweg und legte gegenüber dem Vorjahr um etwa 55 Prozent zu (Verizon DBIR 2026). Parallel steigt die Zahl neuer Schwachstellen: Das Bundesamt für Sicherheit in der Informationstechnik verzeichnet in seinem Lagebericht rund 24 Prozent mehr neue Sicherheitslücken pro Tag (BSI). Und der Handel ist ein bevorzugtes Ziel - allein zwischen 2023 und 2024 wurden mehr als 230 Milliarden Angriffe auf Handelsunternehmen registriert (Akamai).
Zur reinen Sicherheitsfrage kommt die rechtliche Dimension. Die DSGVO verlangt technische und organisatorische Maßnahmen nach dem Stand der Technik (Art. 32 DSGVO). Der bewusste Weiterbetrieb einer Software, die seit über zwei Jahren keine Sicherheitsupdates mehr erhält, lässt sich im Schadensfall nur schwer als solcher Stand der Technik verteidigen. Wer Zahlungsdaten verarbeitet, steht zusätzlich in der Pflicht des Kartenzahlungsstandards: Seit April 2025 sind sämtliche Anforderungen von PCI DSS 4.0.1 verbindlich, und alle Bewertungen im Jahr 2026 erfolgen gegen diese Fassung (PCI SSC). Nichteinhaltung kann je nach Händlerstufe mit 5.000 bis 100.000 US-Dollar pro Monat geahndet werden (PCI SSC). Eine veraltete, nicht mehr gepflegte Shop-Basis erschwert die Einhaltung dieser Vorgaben erheblich, wie unser Beitrag zur PCI-DSS-4.0-Compliance im Detail zeigt.
Angreifer scannen das Netz automatisiert nach bekannten Schwachstellen in verbreiteter Software. Ein Shop, dessen Kern und Bibliotheken seit dem End of Life nicht mehr aktualisiert werden, bietet dafür über die Zeit eine wachsende Angriffsfläche. Besonders kritisch sind Manipulationen im Bezahlprozess: Schon ein eingeschleustes Skript kann Kartendaten abgreifen. Wie sich solches Checkout-Skimming erkennen und abwehren lässt, hängt maßgeblich von einem aktuellen, gepflegten Unterbau ab.
Shopware 5 gegen Shopware 6: Was sich technisch ändert
Shopware 6 ist keine überarbeitete Version von Shopware 5, sondern eine von Grund auf neu entwickelte Plattform. Das erklärt, warum der Wechsel mehr Aufwand bedeutet als ein Versionssprung innerhalb einer Produktlinie - und warum er sich lohnt. Statt des älteren Unterbaus aus der Shopware-5-Ära setzt Shopware 6 auf einen modernen Stack: Die aktuelle Ausgabe 6.7 basiert auf Symfony 7 und unterstützt PHP 8.2, 8.3 und 8.4 (Shopware). Das Admin-Backend ist eine eigenständige Anwendung auf Basis von Vue, das System ist von vornherein API-first aufgebaut und lässt sich damit auch headless betreiben.
| Merkmal | Shopware 5 (EOL) | Shopware 6 |
|---|---|---|
| Sicherheitspatches | Keine seit 07/2024 | Laufend |
| PHP-Basis | PHP 7.x am Limit | PHP 8.2 bis 8.4 |
| Framework | Älterer Stack | Symfony 7, Twig |
| Architektur | Monolithisch | API-first, headless-fähig |
| Erweiterungen | Plugins der 5er-Reihe | Apps und Plugins neu |
| Barrierefreiheit | Nachrüstung schwierig | Sauber umsetzbar |
Der Unterschied im Erweiterungssystem ist praktisch besonders bedeutsam. Plugins aus der Shopware-5-Welt laufen nicht unter Shopware 6 - sie müssen durch aktuelle Erweiterungen ersetzt oder neu entwickelt werden. Das gilt ebenso für individuell entwickelten Code und das Theme. Wer wissen möchte, wie tiefgreifend sich die Erweiterungsarchitektur zwischen den Generationen verändert hat, findet in unserem Beitrag zur Plugin-Migration auf 6.7 einen technischen Einblick. Für Betreiber ist die zentrale Erkenntnis: Der funktionale Umfang wird neu zusammengestellt, nicht einfach kopiert.
Der Umstieg ist ein Neuaufbau, kein Update
Anders als ein Minor-Update lässt sich Shopware 5 nicht per Knopfdruck in Shopware 6 überführen. Datenbankstruktur, Templating und Erweiterungskonzept unterscheiden sich grundlegend. Der Weg führt deshalb über einen parallelen Neuaufbau: Ein frisches Shopware 6 wird aufgesetzt, und die Bestandsdaten werden gezielt übernommen. Dafür stellt Shopware einen Migrations-Connector bereit, der Stamm- und Bewegungsdaten aus dem Altshop in die neue Umgebung überträgt (Shopware).
Übernommen werden dabei typischerweise Artikel, Kategorien, Kunden, Bestellungen und Medien. Nicht übernommen werden Theme, individuell entwickelter Code und Plugins - diese Bausteine entstehen im neuen System neu. Genau hier liegt der Hauptaufwand einer Migration, und genau hier entscheidet sich die spätere Qualität des Shops. Der Neuaufbau ist deshalb weniger ein Verlust als eine Gelegenheit, über Jahre gewachsenen Ballast abzulegen und die Struktur zu bereinigen.
Wird migriert
Artikel, Kategorien, Kunden, Bestellungen und hochgeladene Medien - die eigentliche Datengrundlage des Shops wird über den Connector übertragen.
Wird neu gebaut
Theme, individuell entwickelter Code und alle Plugins der 5er-Reihe entstehen im neuen System neu oder werden durch aktuelle Erweiterungen ersetzt.
Wird neu angebunden
Schnittstellen zu Warenwirtschaft, Zahlung und Versand werden für Shopware 6 neu konfiguriert und getestet - etwa die ERP-Anbindung.
Kosten und Zeitrahmen realistisch planen
Weil jede Migration den individuellen Zuschnitt eines gewachsenen Shops abbildet, gibt es keinen Pauschalpreis. Als Orientierung gilt: Shops mit eigenem Theme, individuellen Plugins oder ERP-Anbindung benötigen typischerweise drei bis sechs Monate für den vollständigen Umzug (Shopware/Qualimero). Für die reine Kostenspanne kursieren je nach Umfang sehr unterschiedliche Werte. Eine einfache Migration eines weitgehend standardnahen Shops mit wenig individueller Entwicklung wird häufig im Bereich von rund 15.000 bis 25.000 Euro budgetiert (Qualimero); komplexe B2B-Projekte mit tiefen ERP- und PIM-Integrationen liegen erfahrungsgemäß deutlich darüber. Diese Zahlen sind Anhaltspunkte, keine festen Vorgaben - der reale Aufwand hängt von den folgenden Treibern ab.
| Kostentreiber | Geringer Aufwand | Hoher Aufwand |
|---|---|---|
| Theme und Design | Standardnah | Vollständig individuell |
| Anzahl Plugins | Wenige Standard-Apps | Viele Eigenentwicklungen |
| Schnittstellen | Keine oder eine | ERP, PIM, mehrere Systeme |
| Datenmenge und Historie | Überschaubar | Umfangreich, viele Jahre |
| Individuallogik | Kaum vorhanden | Komplexe B2B-Prozesse |
Dem einmaligen Migrationsbudget steht das laufende Risiko eines ungepatchten Shops gegenüber. Ein einziger erfolgreicher Angriff kann Umsatzausfall, Wiederherstellungskosten, mögliche Bußgelder und Vertrauensverlust zugleich auslösen - bei 34 Prozent ransomware-betroffenen Unternehmen im Jahr 2025 (Bitkom Wirtschaftsschutz 2025) ist das kein Ausnahmeszenario. Die Migration ist damit weniger eine Ausgabe als eine Versicherung des laufenden Geschäfts.
Migration Schritt für Schritt
Ein geordneter Umstieg folgt einer klaren Abfolge. Die folgenden Schritte haben sich in der Praxis bewährt und lassen sich unabhängig von der Shop-Größe anwenden:
- Bestandsaufnahme: Ist-Zustand erfassen - eingesetzte Plugins, Schnittstellen, individuelle Entwicklungen, Datenmenge und Sonderlogik. Dieser Audit bestimmt Umfang und Budget.
- Zieldefinition: Festlegen, was übernommen, was ersetzt und was neu gedacht wird. Nicht jede Altfunktion muss eins zu eins wandern - der Umstieg ist der richtige Moment zum Aufräumen.
- Testmigration der Daten: Den Migrations-Connector zunächst in einer Testumgebung ausführen, Vollständigkeit und Korrektheit der übernommenen Datensätze prüfen.
- Frontend und Theme neu: Das Design in Shopware 6 umsetzen - ein guter Zeitpunkt, um Performance und Barrierefreiheit von Anfang an mitzudenken.
- Plugins und Schnittstellen: Benötigte Erweiterungen einrichten oder neu entwickeln und die Anbindungen an Warenwirtschaft, Zahlung und Versand konfigurieren.
- Test und Freigabe: Bestellprozess, Zahlung, Steuer und Datenübernahme in einer Staging-Umgebung end-to-end prüfen, bevor der Shop öffentlich geht.
- Go-live mit SEO-Umzug: Per 301-Weiterleitungen die alten URLs auf die neuen Adressen führen, damit Rankings und bestehende Verlinkungen erhalten bleiben.
- Wartung verankern: Nach dem Livegang regelmäßige Updates und Monitoring etablieren, damit der neue Shop dauerhaft auf aktuellem Stand bleibt.
Der Migrations-Connector überträgt große Datenmengen automatisiert - genau deshalb gehört jede Übernahme zunächst in eine Testumgebung. Erst wenn Artikel, Preise, Kunden und Bestellungen dort vollständig und korrekt ankommen, folgt der produktive Lauf. Ebenso wichtig ist der SEO-Umzug: Ohne sauber gesetzte 301-Weiterleitungen riskiert der Shop Sichtbarkeitsverluste, die sich später nur mühsam zurückholen lassen.
Die Migration als Chance nutzen
Ein erzwungener Wechsel klingt zunächst nach Pflicht. Tatsächlich eröffnet der Neuaufbau in Shopware 6 aber Möglichkeiten, die auf Shopware 5 nur mit Mühe oder gar nicht erreichbar waren. Wer die Migration ohnehin angeht, sollte diese Hebel bewusst mitnehmen, statt den alten Shop lediglich nachzubauen.
Performance und Ladezeit
Der moderne Unterbau und ein sauber aufgesetztes Frontend ermöglichen kurze Ladezeiten und gute Core Web Vitals - ein Faktor, der Conversion und Sichtbarkeit zugleich beeinflusst.
Barrierefreiheit von Anfang an
Seit 2025 gilt das Barrierefreiheitsstärkungsgesetz, und Behörden prüfen Shops inzwischen automatisiert auf Barrierefreiheit. Shopware 6 lässt eine barrierefreie Umsetzung sauber von Grund auf zu, statt sie nachträglich aufzupfropfen.
B2B-Funktionen
Für Geschäftskunden bietet die neue Plattform ausgereifte Bausteine - von Preislisten bis Freigabeprozessen. Unser Überblick zum B2B-E-Commerce zeigt die Möglichkeiten.
Sicherer, gepflegter Betrieb
Mit regelmäßigen Updates und Managed Hosting bleibt der Shop dauerhaft aktuell - Sicherheit wird vom Sonderprojekt zum Normalzustand.
Damit der neue Shop nicht innerhalb weniger Jahre erneut veraltet, gehört ein verlässlicher Update-Prozess von Beginn an dazu. Wie sich Updates sicher einspielen lassen, ohne den laufenden Betrieb zu gefährden, ist dabei ebenso Teil der Planung wie die eigentliche Migration. So wird aus dem einmaligen Kraftakt ein dauerhaft tragfähiger Betrieb.
- Der Shop läuft noch auf Shopware 5 und erhält seit 07/2024 keine Sicherheitspatches
- Eingesetzte Plugins und Schnittstellen sind erfasst und auf Shopware-6-Verfügbarkeit geprüft
- Ein realistischer Zeit- und Kostenrahmen ist je nach Komplexität abgesteckt
- Die Datenübernahme wurde zunächst in einer Testumgebung geprüft
- 301-Weiterleitungen für den SEO-Erhalt sind vorbereitet
- Ein Update- und Wartungskonzept sichert den neuen Shop dauerhaft ab
Jetzt planen statt weiter aufschieben
Der Betrieb eines Shopware-5-Shops im Jahr 2026 ist kein neutraler Zustand, sondern ein Risiko, das mit jedem Monat wächst. Die gute Nachricht: Der Umstieg lässt sich planbar und in ruhigem Fahrwasser gestalten, solange er nicht durch einen Zwischenfall erzwungen wird. Als Shopware-Agentur begleiten wir den Weg von der Bestandsaufnahme und Konzeption über die getestete Datenübernahme bis zum Go-live mit sauberem SEO-Umzug. Wer den Umstieg zusätzlich mit Blick auf IT-Sicherheit im E-Commerce denkt, macht aus der Pflichtaufgabe einen echten Modernisierungsschritt.
Der beste Zeitpunkt für die Migration war der Stichtag im Juli 2024. Der zweitbeste ist jetzt - bevor aus dem bekannten Risiko ein konkreter Schaden wird. Sprechen Sie uns an, wenn Sie den aktuellen Stand Ihres Shops prüfen und einen realistischen Fahrplan für den Wechsel auf Shopware 6 aufsetzen möchten.
Dieser Artikel stützt sich auf die offiziellen Shopware-Angaben zum End of Life von Shopware 5 und zur Migration auf Shopware 6, den Bitkom-Wirtschaftsschutz 2025 (Ransomware-Betroffenheit, Anteil betroffener KMU, jährlicher Gesamtschaden), den Verizon Data Breach Investigations Report 2026 (Schwachstellen-Ausnutzung als häufigster Angriffsweg), die Lageberichte des Bundesamts für Sicherheit in der Informationstechnik (BSI), Angaben des PCI Security Standards Council (PCI SSC) zu PCI DSS 4.0.1, Bedrohungsdaten von Akamai sowie Markt- und Kostenschätzungen aus Storeleads und Qualimero. Genannte Zahlen können sich im Zeitverlauf ändern und dienen als Orientierung; dieser Beitrag ersetzt keine individuelle Sicherheits- oder Rechtsberatung. Stand: August 2026.
Technisch läuft ein Shopware-5-Shop auch nach Juli 2024 weiter. Es gibt jedoch keine Sicherheitspatches, Fehlerkorrekturen oder Kompatibilitätspflege mehr (Shopware). Der Shop altert damit ungebremst: Jede neue Schwachstelle bleibt offen, und die Angriffsfläche wächst mit der Zeit. Nutzbar heißt hier also nicht sicher - der Weiterbetrieb ist ein bewusst eingegangenes und steigendes Risiko.
Ein festes gesetzliches Migrationsdatum gibt es nicht. Der sicherheitsrelevante Stichtag war jedoch der 31. Juli 2024, als die Sicherheitsupdates endeten (Shopware). Da das Risiko mit jedem Monat ohne Patches steigt und 2025 rund 34 Prozent der Unternehmen von Ransomware betroffen waren (Bitkom Wirtschaftsschutz 2025), gilt erfahrungsgemäß: je früher, desto besser. Eine geplante Migration ist deutlich ruhiger als eine erzwungene nach einem Vorfall.
Shops mit eigenem Theme, individuellen Plugins oder ERP-Anbindung benötigen typischerweise drei bis sechs Monate (Shopware/Qualimero). Weitgehend standardnahe Shops mit wenig Individualentwicklung sind in der Regel schneller fertig. Die tatsächliche Dauer hängt vom Umfang der Anpassungen, der Zahl der Schnittstellen und der Datenmenge ab - eine belastbare Einschätzung liefert eine vorherige Bestandsaufnahme.
Einen Pauschalpreis gibt es nicht, weil jeder gewachsene Shop anders zugeschnitten ist. Eine einfache Migration eines standardnahen Shops wird häufig im Bereich von rund 15.000 bis 25.000 Euro budgetiert (Qualimero); komplexe B2B-Projekte mit tiefen ERP- und PIM-Integrationen liegen erfahrungsgemäß darüber. Maßgebliche Treiber sind Theme, Anzahl der Plugins, Schnittstellen und individuelle Logik. Eine Bestandsaufnahme schafft hier Klarheit.
Für den Datenumzug stellt Shopware einen Migrations-Connector bereit, der typischerweise Artikel, Kategorien, Kunden, Bestellungen und Medien überträgt (Shopware). Theme, individuell entwickelter Code und Plugins der 5er-Reihe werden hingegen nicht übernommen, sondern im neuen System neu aufgebaut oder ersetzt. Die Datenübernahme sollte zunächst in einer Testumgebung geprüft werden, bevor der produktive Lauf erfolgt.
Bei einem Plattformwechsel ändern sich häufig URL-Strukturen. Damit Rankings und bestehende Verlinkungen erhalten bleiben, werden die alten Adressen per 301-Weiterleitung auf die neuen geführt. Wird dieser SEO-Umzug sorgfältig geplant, lässt sich die Sichtbarkeit in der Regel weitgehend halten. Ohne saubere Weiterleitungen drohen dagegen vermeidbare Verluste, die sich später nur mühsam zurückholen lassen.