Warum du deinen Shopware-Shopaktuell halten solltest

Dein Shop läuft – also warum anfassen? Diese Frage hören wir oft. Und sie ist verständlich: Ein Update kostet Zeit, Budget und Nerven. Trotzdem laufen heute noch viele Shopware-6-Shops auf 6.4, 6.5 oder einer älteren 6.6-Version. Genau das wird 2026 zum echten Problem. Zwischen deiner Version und der aktuellen liegen nicht nur neue Features, sondern geschlossene Sicherheitslücken, gesetzliche Pflichten und die Grundlage für einen sicheren Serverbetrieb.

In diesem Beitrag zeigen wir dir kompakt, welche Shopware-Versionen noch unterstützt werden, welche rechtlichen Anforderungen nur neuere Versionen im Standard mitbringen und warum regelmäßige Updates am Ende günstiger sind als ein großer Sprung alle paar Jahre.

• Sicherheit: Nur unterstützte Versionen bekommen Sicherheitsfixes. Shopware 6.4 ist seit Mai 2025 ohne Support, 6.5 erhält nur noch bis 28. Februar 2027 Sicherheitsfixes.
• Server-Basis: PHP 8.1 bekommt seit Ende 2025 keine Sicherheitsupdates mehr, PHP 8.2 nur noch bis Ende 2026. Neuere PHP-Versionen setzen eine aktuelle Shopware-Version voraus.
• Recht & Compliance: E-Rechnung, Barrierefreiheit (BFSG), Widerrufsbutton und EU-Gewährleistungslabel sind in aktuellen Versionen nativ umgesetzt.
• Kosten: Kleine, regelmäßige Updates sind planbar. Große Versionssprünge werden schnell zum Projekt.

Shopware veröffentlicht pro Jahr eine neue Major-Version und in der Regel jeden Monat ein Minor-Release. Jede Version durchläuft danach vier Phasen: Maintained (volle Pflege), Extended Support (nur der letzte Minor-Stand bekommt noch ausgewählte Bugfixes und Sicherheitsupdates), Security fixes only (Fixes nur noch über das Security-Plugin) und End of Life (keine Updates mehr).

So sieht der Stand am 26. Oktober 2026 aus:

Wichtig: Das Security-Plugin ist kein vollwertiger Ersatz für ein Update. Es schließt Lücken im Shopware-Code selbst, aber nicht in Bibliotheken wie Symfony oder Twig.

👉 Alle Versionen mit Patchständen und bekannten Sicherheitslücken findest du in unserem Shopware-Versionen-Überblick 2026. Du bist noch auf 6.5? Dann lies auch Shopware 6.5 End of Life: Was jetzt zu tun ist.

Ein Onlineshop verarbeitet Kundendaten, Bestellungen und Zahlungsinformationen – und ist damit ein attraktives Ziel. Wie real das Thema ist, zeigen allein die Sicherheitsmeldungen aus 2026:

• März 2026: Über eine Store-API-Schnittstelle ließen sich ohne Login Bestelldaten abgreifen (CVE-2026-31887), zudem konnten App-Zugangsdaten umgeleitet werden (CVE-2026-31889). Behoben in 6.6.10.15 bzw. 6.7.8.1.
• Juni/Juli 2026: Mehrere Lücken im Admin-Bereich, u. a. die mögliche Übernahme von Admin-Konten und eine Rechteausweitung über die Sync-API. Behoben in 6.6.10.18 bzw. 6.7.10.1.
• August 2026: Eine SQL-Injection in der Store API, über die Angreifer ohne Login ein Admin-Konto übernehmen und PHP-Code ausführen konnten, sowie ein kritischer Ausbruch aus der App-Script-Sandbox. Behoben in 6.6.10.23 bzw. 6.7.13.1.
• September 2026: Weitere Fixes, darunter eine als kritisch eingestufte Lücke bei Webhook-Berechtigungen. Behoben in 6.6.10.25 bzw. 6.7.14.1.
• Oktober 2026: CERT/CC hat eine Lücke in Shopware 6.7 veröffentlicht (CVE-2026-104937), für die es laut CERT/CC noch keinen Fix gibt. Bis dahin helfen eingeschränkte Upload- und Erweiterungsrechte.

Shops auf 6.4 bekommen solche Fixes gar nicht mehr. Und selbst auf 6.6 oder 6.7 bist du nur geschützt, wenn du wirklich auf einem aktuellen Patch-Stand bist. „Irgendeine 6.6“ reicht nicht. Sicherheitslücken werden öffentlich dokumentiert – sobald ein Fix erscheint, wissen auch Angreifer, wo sie bei ungepatchten Shops ansetzen können.

Shopware läuft nie allein. Darunter liegen PHP, die Datenbank (MySQL oder MariaDB), ggf. Redis, OpenSearch und das Betriebssystem. Auch diese Komponenten haben ein Ablaufdatum:

• PHP 8.1 erhält seit dem 31.12.2025 keine Sicherheitsupdates mehr.
• PHP 8.2 ist nur noch bis zum 31.12.2026 mit Sicherheitsfixes versorgt.
• Shopware 6.7 unterstützt PHP 8.2 bis 8.4 sowie MySQL 8.0 bzw. MariaDB 10.11 oder neuer.

Das Problem: Ältere Shopware-Versionen laufen nicht auf neuen PHP-Versionen. Wer auf 6.4 oder 6.5 festhängt, hängt damit oft auch auf einer veralteten PHP-Version fest – und betreibt im Zweifel gleich zwei ungepatchte Systeme übereinander. Ein aktueller Shop ist deshalb die Voraussetzung für einen sicheren Server.

2025 und 2026 sind für Onlinehändler Jahre voller neuer Pflichten. Die gute Nachricht: Shopware hat viele davon direkt in den Core gebracht – allerdings nur in neueren Versionen.

E-Rechnung (ZUGFeRD)

Seit dem 1. Januar 2025 müssen Unternehmen in Deutschland E-Rechnungen im B2B-Bereich empfangen können. Ab dem 1. Januar 2027 wird die Ausstellung für Unternehmen mit mehr als 800.000 Euro Vorjahresumsatz Pflicht, ab 2028 für alle. Shopware unterstützt E-Rechnungen im ZUGFeRD-Format seit Version 6.6.10.0; seitdem wurden Details wie Storno- und Korrekturrechnungen laufend nachgebessert.

Barrierefreiheit (BFSG)

Seit dem 28. Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz. Shopware orientiert sich an den WCAG 2.1 AA und rollt Verbesserungen über Minor-Releases aus: Mit 6.7 sind sie fester Bestandteil der Standard-Storefront, für 6.6 teilweise über ein Feature-Flag. Ein Update allein macht deinen Shop nicht automatisch barrierefrei – aber es ist die Basis dafür.

Widerrufsbutton

Seit dem 19. Juni 2026 müssen B2C-Shops eine elektronische Widerrufsfunktion bereitstellen (§ 356a BGB). Shopware liefert diese nativ seit 6.7.9.0 mit, für 6.6 ab 6.6.10.14. Shops auf 6.5 oder älter brauchen ein Plugin oder ein Update.

EU-Gewährleistungslabel & GARAN-Label

Seit dem 27. September 2026 müssen Händler den einheitlichen EU-Hinweis zur gesetzlichen Gewährleistung anzeigen, bei Herstellergarantien über zwei Jahre zusätzlich das GARAN-Label. Shopware bringt beides seit 6.7.14.0 im Core mit, laut Shopware auch für 6.6.

Das Muster ist immer gleich: Neue Pflicht, Shopware liefert eine Lösung – aber nur für aktuelle Versionen. Wer up to date ist, setzt neue Anforderungen meist per Konfiguration statt per Entwicklung um.

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Ob und wie eine Pflicht für deinen Shop gilt, klärst du am besten mit deinem Rechtsbeistand oder Händlerverband.

Updates sind nicht nur Pflicht, sondern auch Kür. Shopware 6.7 hat unter der Haube viel modernisiert: Vue 3 und Vite in der Administration, ein überarbeitetes Caching und eine spürbar schnellere Admin-Oberfläche. Dazu kommen jeden Monat neue Funktionen für Storefront, Checkout und Administration – ein moderner Shop wirkt sich direkt auf Conversion, Sichtbarkeit und den Arbeitsalltag deines Teams aus.

Jede übersprungene Version macht das nächste Update größer. Zwischen 6.4 und 6.7 liegen drei Major-Versionen mit Breaking Changes. Plugins brauchen teils eigene Versionen für 6.6 und 6.7, eigene Anpassungen und Themes müssen überarbeitet werden. Aus einem Wartungstermin wird so ein Projekt.

Regelmäßige Updates dagegen sind planbar: kleine Schritte, überschaubares Risiko, kalkulierbare Kosten. Wie wir dabei vorgehen, zeigen wir in Shopware Update Service: So läuft ein sicheres Update ab.

Ein veralteter Shopware-Shop ist kein stabiler Zustand, sondern ein wachsendes Risiko: für deine Daten, für deine Rechtssicherheit und für dein Budget. Shopware 6.4 ist bereits ohne Support, 6.5 folgt im Februar 2027, und neue gesetzliche Pflichten werden nur in aktuellen Versionen nativ abgedeckt. Plane dein Update jetzt – dann bestimmst du den Zeitpunkt und nicht die nächste Sicherheitslücke.

Quellen (Stand 26. Oktober 2026): Shopware Release Policy & Changelog; Shopware Release News Februar 2025, April 2026 und September 2026; Shopware Security Advisories (GitHub); CERT/CC VU#157374; endoflife.date/shopware; php.net Supported Versions; Shopware Systemanforderungen; Shopware Developer Docs „Accessibility in the Storefront“; Richtlinie (EU) 2024/825 und Durchführungsverordnung (EU) 2025/1960; § 356a BGB; Wachstumschancengesetz.

• Shopware Versionen 2026: Support-Status, Patches & Sicherheitslücken
• Shopware 6.5 End of Life: Was das Support-Ende für deinen Shop bedeutet
• Shopware Update Service: So läuft ein sicheres Update ab
• Shopware Agentur wechseln: So gelingt der Wechsel ohne Stillstand