PrestaShop-Back-Office absichern: Erst updaten, dann den Admin-Login mit 2FA schützen

Wenn du befürchtest, dass ein gestohlenes Admin-Passwort das Back-Office deines Shops öffnet, tu zwei Dinge: Halte PrestaShop auf dem neuesten Stand und ergänze die Zwei-Faktor-Authentifizierung (2FA). Mit 2FA braucht es für den Login zusätzlich einen Einmalcode, den das Smartphone jedes Mitarbeiters erzeugt. Das Update schließt bekannte Lücken. Die 2FA sorgt dafür, dass ein durchgesickertes Passwort nicht reicht.

Sicherheitslücken kommen immer wieder – und KI erhöht das Tempo

Jede Software hat Fehler. Sie werden nach und nach entdeckt und in neuen Versionen behoben. PrestaShop 9.2 ist am 30. September 2026 erschienen. Einige Wochen zuvor hat PrestaShop 9.1.5 fünf Schwachstellen behoben, die über Coordinated Disclosure gemeldet worden waren. Die zeitgleich veröffentlichte Version 8.2.8 behebt sie ebenfalls.

Eine davon war eine SQL-Injection in den Listenfiltern des Back-Office. Entdeckt hat sie Claude (Anthropic) im Rahmen des Coordinated-Vulnerability-Disclosure-Programms von Anthropic; Doyensec hat sie verifiziert und gemeldet. KI findet also bereits echte Lücken.

Laut dem Verizon Data Breach Investigations Report 2026 ist das Ausnutzen von Schwachstellen inzwischen der häufigste Einstiegsweg. Zum ersten Mal in den 19 Jahren des Berichts liegt es vor dem Diebstahl von Zugangsdaten. Verizon führt das schlechtere Patchen auf die stark gestiegene Zahl an Schwachstellen zurück, und es wird erwartet, dass der Einsatz von KI zum Aufspüren von Lücken, durch Forscher wie durch Angreifer, zusätzliche Last bringt. Wichtig: Die Daten liegen noch vor der „Explosion“ der KI-gestützten Schwachstellenforschung.

Was PrestaShop ab Werk beim Back-Office-Zugang bietet

Ab Werk verlangt PrestaShop für das Back-Office nur ein Passwort. Und ein Passwort lässt sich per Phishing abgreifen, erraten oder von einer anderen Website wiederverwenden, die ein Datenleck hatte. Laut Verizon werden gestohlene Zugangsdaten von Initial Access Brokern gebündelt und verkauft. Der Bericht warnt außerdem, dass Pretexting (ein erfundenes Szenario, damit das Opfer Informationen oder Zugang herausgibt) immer häufiger der Einstieg für Ransomware und Erpressung ist. Die US-Behörde CISA fasst es so zusammen: Wer die Multi-Faktor-Authentifizierung aktiviert, wird deutlich seltener gehackt.

So aktivierst du die Zwei-Faktor-Authentifizierung mit unserem Modul

Für diesen zweiten Faktor gibt es unser Modul Zwei-Faktor-Authentifizierung (2FA) für den Back-Office-Login von PrestaShop. Nach dem Passwort gibt jeder Mitarbeiter einen 6-stelligen Code ein, den sein Smartphone erzeugt. Es ist mit deinem PrestaShop kompatibel. Es braucht keinen externen Dienst, kein Abonnement und keinen API-Schlüssel: Die Codes werden auf deinem eigenen Server geprüft.

Du brauchst nur zwei Dinge. Erstens eine TOTP-App (RFC 6238) auf dem Smartphone jedes Mitarbeiters, etwa Google Authenticator, Authy, 2FAS oder Microsoft Authenticator. Zweitens eine sichere Zufallsquelle auf deinem Server. Fehlt sie, weist dich das Modul darauf hin.

1. Konfiguration öffnen. Öffne die Konfiguration des Moduls.
2. Schlüssel erzeugen. Klicke unter „2FA-Verwaltung der Mitarbeiter“ in deiner Zeile auf „2FA-Schlüssel erzeugen“. Scanne den QR-Code mit deiner App und gib den 6-stelligen Code ein.
3. Wiederherstellungscode sichern. Er ist persönlich, nur einmal nutzbar und hat das Format XXXX-XXXX-XXXX. Du brauchst ihn, wenn du dein Smartphone verlierst.
4. Für das ganze Team vorschreiben. Aktiviere unter „Globale Einstellungen“ die Option „2FA für alle Mitarbeiter erzwingen“, sobald mindestens ein Administrator seinen Schlüssel hat. Wer noch keinen hat, wird beim nächsten Login durch die Einrichtung geführt.
5. Häufigkeit und Warnungen einstellen. Trage bei Bedarf „Von 2FA ausgenommene IP-Adressen“ ein. Wähle unter „Neuen Code anfordern“, ob der Code bei jedem Login oder alle 1, 4, 8 oder 24 Stunden, wöchentlich, alle 15 Tage oder monatlich verlangt wird. Aktiviere dann je nach Bedarf „Vertrauenswürdige Geräte merken“, „E-Mail bei neuer Verbindung“ oder „E-Mail bei Fehlversuchen“.
6. Logins prüfen. Du findest sie im Tab „Aktivitätsprotokoll“.

Was das Modul enthält

Vor dem Weihnachtsgeschäft: Zugänge absichern

Holst du im November Aushilfen ins Team oder gibst einer Agentur Zugang? Aktiviere „2FA für alle Mitarbeiter erzwingen“, bevor sie anfangen. So richtet jedes neue Konto seinen Schlüssel beim ersten Login ein. Aktiviere auch die E-Mail bei Fehlversuchen: So erfährst du davon, ohne das Back-Office zu öffnen. Deine Kunden merken davon nichts, denn geschützt wird nur der Zugang der Mitarbeiter.

Häufige Fragen