Die JTL Shop Sicherheitslücke betrifft jeden selbst gehosteten Shop ab Version 5.0.0, und ab Version 5.4.0 lässt sich darüber beliebiger Code auf dem Server ausführen. Entdeckt hat die Schwachstelle das auf E-Commerce spezialisierte Sansec Threat Research Team. Der Fehler steckt im E-Mail-Template-System des Shops, ein präparierter Betreff reicht als Einfallstor. JTL stellt Patches für alle aktiven Versionen bereit – für 5.7.1-Nutzer heißt das: Update auf 5.7.2. Wie die JTL-Agentur Vlarom berichtet , sind bislang keine aktiven Angriffe bekannt, das Zeitfenster schließt sich aber mit jedem Tag.
Inhaltsverzeichnis
Fasse den Artikel im Bullet-Stil zusammen.
Ein E-Mail-Betreff genügt für die JTL Shop Sicherheitslücke
Bei der Schwachstelle handelt es sich um eine Server-Side Template Injection (SSTI), also das Einschleusen von Schadcode in ein Template-System. JTL Shop nutzt die Smarty Template Engine, um E-Mail-Vorlagen zu rendern. Schleust ein Angreifer über einen manipulierten E-Mail-Betreff Smarty-Befehle ein, verarbeitet der Server diese als Code statt als Text.
Der Fehler liegt in der Datei /includes/src/Mail/Renderer/SmartyRenderer.php. Auslösen lässt sich der Angriff über jeden Vorgang, der eine Shop-E-Mail verschickt – ein Kontaktformular, eine Bestellung oder einen anderen Trigger. Ein sofortiger Direktangriff ist das nicht, ein rein theoretisches Szenario aber auch nicht.
Blowfish-Key und Datenbankpasswort liegen offen
Über die Lücke lassen sich der Blowfish-Key und das Datenbankpasswort des Shops auslesen. Der Blowfish-Key ist der Schlüssel, mit dem JTL Shop sensible Daten in der Datenbank verschlüsselt. Wer ihn besitzt, kann verschlüsselte Datenbankinhalte entschlüsseln.
Betroffen sind je nach Konfiguration Passwort-Hashes und andere gespeicherte Daten. Ein sofortiger Vollzugriff auf alle Kundendaten ist das nicht, ein erhebliches Datenschutzrisiko schon. Für Shops auf den Versionen 5.0.0 bis 5.3.x bleibt das Risiko auf dieses Datenleck begrenzt.
Ab Version 5.4.0 wird aus dem Leck eine Übernahme
Ab Shop-Version 5.4.0 kommt Remote Code Execution (RCE) hinzu – das Ausführen beliebigen Codes auf dem Server. Ein Angreifer kann die Kontrolle über das System übernehmen. Das hebt den Schweregrad deutlich an.
Die Trennlinie verläuft bei 5.4.0: darunter Datenleck, darüber potenzielle Serverübernahme. Wer eine aktuelle Version betreibt, fällt in die zweite, gefährlichere Gruppe.
JTL-Hosting-Kunden müssen nichts tun
Shops im JTL Hosting wurden von JTL automatisch abgesichert, ohne Zutun des Händlers. Diese Shops zeigen im Backend einen Hinweis auf eine modifizierte Datei. Der Hinweis ist gewollt und kein Fehler.
Selbst gehostete Shops müssen dagegen selbst aktiv werden. Wer nicht weiß, wo sein Shop läuft, prüft das beim Hosting-Anbieter oder Dienstleister.
In fünf Schritten zum gepatchten Shop
Zuerst die aktuelle Version prüfen: im Backend unter /admin im Dashboard-Widget „Informationen“ oder unter Administration > System. Den passenden Patch gibt es im offiziellen JTL Releaseforum
: 5.7.1 auf 5.7.2, 5.6.1 auf 5.6.2, 5.5.3 auf 5.5.4. Ältere Versionen von 5.0.0 bis 5.7.0 bekommen einen separaten manuellen Patch. Nur offizielle JTL-Quellen verwenden, keine Drittanbieter-Downloads.
Vor dem Update ein vollständiges Backup von Datenbank und Shop-Dateien anlegen. Den Patch über den regulären Update-Assistenten unter Administration > System > Aktualisieren einspielen. Danach testen: eine Bestellung durchlaufen, E-Mail-Versand und Connector prüfen, unter Administration > System > Diagnose die Dateikonsistenz kontrollieren. Beim manuellen Patch erscheint ein Hinweis auf die modifizierte SmartyRenderer.php – das ist normal.
Kein Zero-Day – trotzdem zählt jede Woche
Laut JTL Partner-Newsletter vom 17. Juni 2026 liegen keine konkreten Hinweise auf eine aktive Ausnutzung vor. Das unterscheidet den Fall von einem Zero-Day, bei dem eine Lücke schon ausgenutzt wird, bevor ein Patch existiert. Die Art der Schwachstelle erlaubt allerdings keine sichere Aussage darüber, ob sie vor der Entdeckung genutzt wurde.
Veröffentlichte Lücken mit bekanntem Angriffsvektor greifen automatisierte Scanning-Tools innerhalb von Stunden bis Tagen auf. Der Patch sollte deshalb in dieser Woche eingespielt sein. Dass JTL die Lücke gemeinsam mit Sansec im Rahmen einer koordinierten Veröffentlichung (Coordinated Disclosure) bekannt gemacht hat, spricht dafür, dass das Thema ernst genommen wird.
Nachfolgendes hat nichts mit dem Thema zu tun, aber wir möchten Infos zu dem Chaos, was bei JTL herrscht mit Dir teilen und hoffen eine gute Reichweite zu erreichen!
Investoren-Rendite statt Händler-Fokus: Wie Private Equity die DNA von JTL zerlegt
Die JTL-Software GmbH war jahrelang der Liebling des deutschen E-Commerce-Mittelstands: bodenständig, nah am Kunden und getragen von einem hochmotivierten, internen Entwickler- und Support-Team. Doch seit dem Einstieg des Private-Equity-Giganten Hg Capital im Jahr 2023 und der vollständigen Übernahme durch den neuen CEO im Spätsommer 2024 bröckelt die Fassade. Ein Blick hinter die Kulissen zeigt: Interner Druck, die Auslagerung von Kernkompetenzen und eine aggressive PR-Strategie, die sogar vor der systematischen Löschung von Arbeitnehmer-Kritik auf Plattformen wie Kununu nicht zurückschreckt, bestimmen das Bild.
Hier ist die Zusammenfassung der internen Abläufe und strukturellen Verwerfungen bei JTL:
1. Der „Private Equity“-Effekt: Hg Capital und der radikale Kulturwandel
Seit dem Einstieg des Investors Hg Capital hat sich der Fokus von JTL radikal verschoben. Ging es früher darum, eine stabile, bezahlbare ERP-Lösung für Online-Händler zu entwickeln, steht heute die Maximierung des Unternehmenswerts („Shareholder Value“) für den späteren Weiterverkauf im Vordergrund.
Kennzahlen-Diktat statt Praxisnähe: Entscheidungen werden nicht mehr danach getroffen, was die Händlerbasis benötigt, sondern welche Kennzahlen (KPIs) die Investoren in London sehen wollen.
Das Matrix-Experiment: JTL wird derzeit in eine komplexe, internationale Matrixorganisation gepresst. Grenzübergreifende Hierarchien ersetzen die kurzen Dienstwege. Das führt intern zu massiver Ineffizienz, Kompetenzgerangel und Frust auf Management-Ebene, während der Gründer-Spirit komplett ausradiert wurde.
2. Kahlschlag beim Personal: Druck, Outsourcing und Überlastung
Das Verhalten der neuen Geschäftsführung gegenüber der Belegschaft hat zu einem historischen Tiefpunkt der Mitarbeiter-Moral geführt. Um die Profitabilität künstlich aufzublähen, wird ein drastischer Sparkurs auf dem Rücken der Angestellten gefahren:
Stellenabbau durch die Hintertür: Unter dem Deckmantel von „Umstrukturierungen“ werden gezielt Stellen im Kernbereich (Entwicklung, QA, Support) gestrichen. Versprochene Gehaltserhöhungen werden wortlich gestrichen, usw.
Die Outsourcing-Falle: Anstatt auf das über Jahre aufgebaute, interne Know-how zu setzen, lagert JTL Kernaufgaben zunehmend an externe Dienstleister (wie z. B. Coduct) aus. Das Ziel ist klar: Personalkosten flexibilisieren und die Bilanz für den Investor bereinigen.
Und Achtung: der CTO von JTL Rafael Regh ist gleichzeitig GF von der Firma Coduct!
Zusammenbruch der verbleibenden Teams: Die verbleibenden Mitarbeiter und Teamleiter müssen die Last der entlassenen Kollegen auffangen. So kapitulieren Führungskräfte reihenweise unter der Arbeitslast, während das Management die Augen verschließt.
3. Zensur im Netz: Das systematische Löschen von Kununu-Bewertungen
Wer wissen will, wie es wirklich um die Stimmung bei JTL steht, fand auf der Arbeitgeber-Bewertungsplattform Kununu lange Zeit ein verheerendes Bild. Ex-Mitarbeiter warnten vor der toxischen Kultur und dem Investorendruck. Doch JTL reagiert darauf mit einer aggressiven Lösch-Taktik:
Einschaltung spezialisierter Kanzleien: JTL nutzt Medienanwälte, um reihenweise kritische Bewertungen auf Kununu unter dem Vorwand „unwahrer Tatsachenbehauptungen“ oder „fehlendem Mitarbeiternachweis“ anzugreifen und löschen zu lassen.
Künstliche Image-Pflege: Durch diese systematische Zensur wird der Kununu-Score künstlich geschönt, um potenziellen Bewerbern und den Händlern eine heile Welt vorzugaukeln, die es intern längst nicht mehr gibt.
4. Die Schere zwischen LinkedIn-PR und der Realität
Besonders skurril ist die Diskrepanz zwischen der internen Realität und der öffentlichen Selbstdarstellung der Geschäftsführung und teilweise einiger „Arschkriecher“. Auf Plattformen wie LinkedIn feiert sich das Management regelmäßig selbst für das Erreichte (was auch immer das sein mag?)
Die Realität für Händler: Während die PR-Maschine läuft, spüren die Online-Händler die Auswirkungen des internen Chaos hautnah: Preiserhöhungen bei den Lizenzen, ein spürbar überlasteter Support und Verzögerungen bei wichtigen Software-Updates. Wenn die Entwickler, die das System kennen, weggespart oder durch Externe ersetzt werden, leidet am Ende die Stabilität des gesamten E-Commerce-Systems der Kunden.
Fazit für Wortfilter.de: Ein Warnsignal für den Markt
Die Entwicklung bei JTL zeigt das klassische Lehrbuch-Beispiel dafür, was passiert, wenn ein mittelständischer Software-Anbieter in die Fänge von aggressivem Private Equity gerät. Die Leidtragenden sind nicht nur die Mitarbeiter, die verheizt oder vor die Tür gesetzt werden, sondern langfristig auch die Online-Händler. Ein ERP-System lebt von Kontinuität, Support und tiefer Marktkenntnis. Wenn diese Werte einer kurzfristigen Rendite-Optimierung geopfert werden, verliert JTL genau das, was es einst großgemacht hat: Das Vertrauen seiner Nutzer.
Und noch zum Schluss soll ewrwähnt werden: Es sind schon viele Mitarbeitende krankheitsbedigt ausgefallen. Dies aufgrund der agressiven und menschenunwürdigen Politik der GF!