StyleSmuggler – Häufige Fragen und Antworten

Letztes Update: 7. September 2026, 16:24 Uhr

Aktueller Status auf einen Blick

• StyleSmuggler wird aktiv ausgenutzt und kann nach aktuellem Kenntnisstand auch vollständig gepatchte Magento-Systeme betreffen.
• Der aktuelle laufende Angriff wird momentan von den durch maxcluster ergriffenen Maßnahmen erfolgreich abgewehrt.
• Wir haben die von uns betreuten Umgebungen überprüft und betroffene Systeme identifiziert.
• Bei identifizierten betroffenen Systemen wurde die gefundene Schadsoftware entfernt und die Systeme wurden bereinigt.
• Bekannte Angreifer-Infrastruktur und Angriffsmuster wurden bei maxcluster blockiert.
• Unsere Endpoint Security wurde zusätzlich erweitert.
• Wir beobachten die Situation weiterhin engmaschig und passen unsere Schutzmaßnahmen an neue Erkenntnisse an.
• Betroffenen Kunden empfehlen wir insbesondere, relevante Zugangsdaten und API-Keys zu ändern und die weitere technische Prüfung des Systems zu veranlassen.

Wir beobachten die Situation weiterhin

Die Situation rund um StyleSmuggler entwickelt sich dynamisch weiter. Wir beobachten die bekannten Angriffsmuster und die Sicherheitslage kontinuierlich und passen unsere Schutzmaßnahmen an neue Erkenntnisse an.

Unsere technischen Maßnahmen schützen aktuell vor den bekannten Angriffsmustern. Da Angreifer ihre Taktiken schnell anpassen können, prüfen wir ständig auf neue Informationen und erweitern unsere Maßnahmen proaktiv.

Sollten sich relevante neue Erkenntnisse ergeben, aktualisieren wir diese FAQ entsprechend.

Wie hat maxcluster auf den Sicherheitsvorfall reagiert?

Als am vergangenen Wochenende die schwere Schwachstelle StyleSmuggler bekannt wurde und weltweit Angriffe auf Adobe Commerce- und Magento-Systeme anliefen, haben unsere Sicherheitsexperten unmittelbar reagiert, um die von uns betreuten Umgebungen abzusichern und unsere Kunden bestmöglich vor möglichen Schäden zu schützen.

Ein großes Dankeschön geht an dieser Stelle an unseren Partner Sansec, mit dem wir eng zusammenarbeiten, um die Sicherheit von Magento-Systemen kontinuierlich zu stärken und bei neuen Bedrohungen schnell reagieren zu können.

Nachdem wir durch Sansec über die aktiv ausgenutzte Sicherheitslücke informiert wurden, haben wir die Situation umgehend als Incident aufgenommen und mit der Analyse, Eindämmung und Absicherung unserer Kundenumgebungen begonnen.

Was anschließend folgte, ist ein gutes Beispiel dafür, was Managed Hosting im Ernstfall bedeutet: Unsere Teams haben auf mehreren Ebenen Maßnahmen umgesetzt, um den Angriff einzudämmen, betroffene Systeme zu bereinigen und zusätzliche Schutzmechanismen zu aktivieren.

Unsere Reaktion auf den Sicherheitsvorfall:

Was ist StyleSmuggler?

StyleSmuggler bezeichnet eine aktuell aktiv ausgenutzte Sicherheitslücke in Magento Open Source und Adobe Commerce.

Über einen bestimmten Angriffsweg können Angreifer ohne vorherige Authentifizierung Schadcode auf einem betroffenen System ausführen. Besonders relevant ist dabei der Zugriff über GraphQL und die Verarbeitung von Templates.

Nach aktuellem Kenntnisstand betrifft die Sicherheitslücke alle Magento-Versionen, auch vollständig gepatchte Installationen.

Weitere technische Informationen finden Sie bei Sansec.

Ist mein Cluster betroffen?

Wir haben unsere verwalteten Magento-Installationen überprüft.

Bei einem Teil der Installationen wurden konkrete Spuren einer erfolgreichen Ausführung des Angriffs gefunden. Diese Systeme haben wir als betroffen bzw. kompromittiert identifiziert und entsprechende Bereinigungsmaßnahmen durchgeführt.

Bei den übrigen überprüften Installationen wurden bei unseren Prüfungen keine entsprechenden Hinweise auf eine erfolgreiche Kompromittierung gefunden.

Wenn Ihr Cluster als betroffen identifiziert wurde, haben wir Sie hierzu separat per E-Mail informiert.

Welche Spuren wurden bei betroffenen Systemen gefunden?

Bei den als betroffen identifizierten Systemen konnten wir feststellen, dass der bekannte StyleSmuggler-Angriff erfolgreich ausgeführt worden war.

Dabei wurden unter anderem:

• schädliche Prozesse ausgeführt,
• schädliche Dateien auf dem System abgelegt,
• Cron-Einträge zur erneuten Ausführung der Schadsoftware angelegt.

Die gefundenen Prozesse wurden beendet, die entsprechenden Dateien entfernt und die angelegten Cron-Einträge bereinigt.

Betroffene Kunden wurden um 21:09 Uhr über die Situation informiert.

Unsere Prüfung diente dabei insbesondere dazu festzustellen, ob der Angriff erfolgreich ausgeführt wurde und ob sich die bekannten Spuren der Schadsoftware auf dem System befanden.

Sind Kundendaten oder andere Daten abgeflossen?

Wir verstehen, dass die Information über einen erfolgreichen Angriff verständlicherweise Fragen und Unsicherheit auslöst.

Nach den uns vorliegenden Erkenntnissen zum bekannten Malware-Verhalten wurden technische Informationen über das betroffene System an die Angreifer zurückgemeldet.

Hinweise darauf, dass die bekannte Malware gezielt Kundendaten ausgeleitet hat, liegen uns nicht vor. Ob darüber hinaus im Einzelfall Daten eingesehen oder abgeflossen sind, lässt sich anhand unserer initialen Prüfung nicht abschließend beurteilen.

Können Passwörter oder Zugangsdaten betroffen sein?

Da bei einer erfolgreichen Kompromittierung ein Zugriff auf gespeicherte Zugangsdaten grundsätzlich möglich ist, empfehlen wir betroffenen Kunden vorsorglich, ihre Zugangsdaten zu ändern.

• Datenbank-Passwort
• Magento Encryption Key
• in Magento hinterlegte API-Keys und Zugangsdaten
• weitere Credentials, die auf dem betroffenen System verwendet oder gespeichert wurden

Auch wenn wir derzeit keine konkreten Hinweise darauf haben, dass diese Daten das Ziel des bekannten Angriffs waren, ist die Rotation eine sinnvolle Vorsichtsmaßnahme.

Welche Sicherheitsmaßnahmen hat maxcluster umgesetzt?

Unsere Sicherheitsmaßnahmen umfasst mehrere Schutzebene und wird proaktive erweitert:

Netzwerkebene

Sofortige Blockierung aller bekannten Angreifer‑IP und die im Angriff verwendete Domains.

Anwendungsebene

Bekannte Angriffsmuster auf den betroffenen GraphQL- und PayPal-Endpunkten werden auf PHP-Ebene blockiert.

Malware-Bereinigung

Bei identifizierten betroffenen Systemen wurden schädliche Prozesse beendet, Dateien entfernt und angelegte Cron-Einträge bereinigt.

Endpoint Security

Unsere Endpoint Security basiert auf Heuristiken und wurde von uns manuell um die bekannten Malware-Hashes erweitert, wodurch die Erkennung gezielt verbessert wird. Zusätzlich können verdächtige Prozesse durch gezielte Mehrfaktor-Regeln erkannt werden, die Prozessname, Benutzerkontext, Elternprozess und Dateipfad berücksichtigen. Bei einem Treffer können automatisch entsprechende Maßnahmen eingeleitet werden.

Laufende Überwachung

Wir beobachten die weitere Entwicklung und passen unsere Schutzmaßnahmen regelmäßig an neue Erkenntnisse und Angriffsmuster an.

Bin ich durch diese Maßnahmen jetzt vollständig geschützt?

Unsere mehrschichtigen Schutzmaßnahmen neutralisieren die aktuell bekannten Angriffspfade. Da Angreifer ihre Techniken jedoch weiterentwickeln, behalten wir die Lage im Blick und passen unsere Sicherheitsarchitektur in Echtzeit an neue Erkenntnisse an.

Sollte ich GraphQL deaktivieren?

Wenn Sie GraphQL in Ihrem Shop nicht benötigen, empfehlen wir, den Zugriff vorübergehend zu beschränken bzw. zu deaktivieren.

Bitte beachten Sie dabei, dass GraphQL beispielsweise für PayPal, Headless-Frontends oder andere Integrationen benötigt werden kann.

Prüfen Sie daher zunächst gemeinsam mit Ihrer Magento-Agentur oder Ihrem technischen Ansprechpartner, ob eine Deaktivierung für Ihren Shop möglich ist.

Was sollten betroffene Kunden jetzt tun?

Wenn Sie von uns über eine Betroffenheit Ihres Clusters informiert wurden, empfehlen wir folgende Schritte:

1. Zugangsdaten rotieren
   Insbesondere Datenbank-Passwort, Magento Encryption Key sowie in Magento gespeicherte API-Keys und Credentials.
2. Codebasis überprüfen
   Prüfen Sie Ihre Codebasis auf nachträglich veränderte oder unbekannte Dateien. Wenn möglich, stellen Sie den Code aus einem bekannten sauberen Repository wieder her.
3. GraphQL prüfen
   Wenn GraphQL nicht benötigt wird, sollte eine Einschränkung bzw. Deaktivierung geprüft werden.
4. Logs und Systemzustand weiter untersuchen
   Eine weitergehende Analyse kann helfen festzustellen, ob über die initial festgestellte Kompromittierung hinaus weitere Aktivitäten stattgefunden haben.
5. Bei Bedarf technische Unterstützung hinzuziehen
   Ihre Magento-Agentur bzw. Ihr technischer Dienstleister kann Sie bei der weiteren Prüfung und Absicherung unterstützen.

Kann maxcluster eine individuelle forensische Analyse meines Systems durchführen?

Unsere Prüfung konzentrierte sich darauf, betroffene Systeme schnell zu identifizieren, vorhandene Schadsoftware zu entfernen und die bekannten Angriffswege abzusichern. Eine darüber hinausgehende detaillierte forensische Analyse des individuellen Systems können wir nicht durchführen.

Wenn Sie eine solche Analyse wünschen, empfehlen wir die Abstimmung mit Ihrer betreuenden Agentur bzw. Ihrem technischen Dienstleister.

Alternativ kann hierfür ein spezialisierter IT-Security-Dienstleister wie unser Partner Sansec hinzugezogen werden. Die Beauftragung und Abrechnung erfolgt dabei direkt mit dem jeweiligen Dienstleister.

Kann ich selbst überprüfen, ob mein System betroffen war?

Sie können Ihr System auf bestimmte Hinweise prüfen.

Dabei ist wichtig: Ein eigener Log-Check kann Hinweise liefern, ersetzt aber keine umfassende technische Analyse. Der Angriff kann verschiedene Spuren hinterlassen, und nicht jede Spur muss an derselben Stelle sichtbar sein.

Wenn Sie Ihr System selbst überprüfen möchten, empfehlen wir, insbesondere die relevanten Magento- und System-Logs sowie laufende Prozesse und Cron-Einträge zu prüfen.

Bei Fragen zur individuellen Prüfung Ihres Shops unterstützt Sie Ihre Magento-Agentur bzw. Ihr technischer Ansprechpartner.

Was bedeutet ein unauffälliger Log-Check?

Ein unauffälliger Log-Check ist zunächst ein gutes Zeichen, schließt eine vorherige Kompromittierung aber nicht mit absoluter Sicherheit aus.

Insbesondere bei einem Angriff, bei dem Schadcode ausgeführt und anschließend wieder entfernt werden kann, lassen sich nicht zwangsläufig alle Aktivitäten anhand eines einzelnen Logs nachvollziehen.

Wenn Sie eine belastbare Aussage zum individuellen Systemzustand benötigen, empfehlen wir eine weitergehende technische bzw. forensische Analyse.

Wie kann Sansec zusätzlich unterstützen?

Sansec ist auf die Absicherung und Analyse von Magento-Systemen spezialisiert und hat den StyleSmuggler-Angriff untersucht.

Mit Sansec Shield steht zusätzlich eine auf Magento ausgerichtete Schutzschicht zur Verfügung, die bekannte und neue Angriffsmuster erkennen und blockieren kann. Als maxcluster-Kunde profitieren Sie dabei von Vorzugskonditionen. Bei Interesse wenden Sie sich bitte an beratung@maxcluster.de.

Für eine tiefergehende Untersuchung eines bereits betroffenen Systems bietet Sansec außerdem spezialisierte Forensic-/Incident-Response-Leistungen an.

Weitere Informationen finden Sie bei Sansec.

Auch zusätzliche Schutzlösungen können keinen hundertprozentigen Schutz vor bislang unbekannten oder veränderten Angriffsmethoden garantieren.

Gibt es bereits ein offizielles Sicherheitsupdate von Adobe?

Nach aktuellem Kenntnisstand liegt derzeit noch kein offizielles Sicherheitsupdate von Adobe für StyleSmuggler vor.

Wir beobachten die Veröffentlichungen von Adobe und informieren über relevante neue Erkenntnisse bzw. Updates.

Weitere Informationen zu den aktuellen Sicherheitsmeldungen von Adobe:
Adobe Security Bulletins

Wo finde ich weitere technische Informationen?

Weitere technische Informationen zum StyleSmuggler-Angriff und zur Analyse der Sicherheitslücke finden Sie bei Sansec.

Wir halten Sie auf dem Laufenden

Die Lage rund um StyleSmuggler bleibt dynamisch. Unser Team beobachtet die Bedrohungslage kontinuierlich und aktualisiert diese FAQ regelmäßig.

Bitte prüfen Sie bei Fragen erneut diese Seite – wir ergänzen die Informationen zeitnah.