Nach dem bekannt gewordenen Sicherheitsvorfall beim Elektronikhändler asgoodasnew electronics GmbH und dem Musikhändler Kirstein GmbH gibt es nun neue Informationen zur Ursache des Angriffs.
Auf eine Presseanfrage von wortfilter.de hat sich der Shopsoftware-Anbieter OXID eSales AG zu dem Vorfall geäußert. Demnach lag keine Sicherheitslücke im OXID eShop selbst vor. Stattdessen sei eine Schwachstelle in einem Klarna-Zahlungsmodul eines Drittanbieters ausgenutzt worden.
Inhaltsverzeichnis
Fasse den Artikel im Bullet-Stil zusammen.
OXID: Problem lag nicht im Shopsystem
In der Stellungnahme gegenüber wortfilter.de stellt OXID klar, dass der Angriff nicht auf eine Schwachstelle im Kernsystem des Shops zurückzuführen sei.
„Der berichtete Angriff betrifft kein Sicherheitsproblem im OXID eShop, sondern eine Schwachstelle in einem Drittanbieter-Zahlungsmodul (Klarna).“
Das betroffene Modul werde von Händlern optional installiert und sei nicht Bestandteil des eigentlichen OXID-Shopsystems. Nach Angaben des Unternehmens habe der Zahlungsanbieter Klarna sehr schnell reagiert und die Sicherheitslücke geschlossen.
„Wir sind unserem Drittanbieter Klarna sehr dankbar, dass sie das Leck so schnell identifiziert und behoben haben.“
Überwiegend ältere OXID-Versionen betroffen
Nach Angaben von OXID sind überwiegend ältere Shopversionen betroffen. Konkret erklärt das Unternehmen:
„Hauptsächlich ältere OXID eShop Versionen sind davon betroffen. Ab Version 7 und aufwärts wird das Klarna-Modul nicht mehr standardmäßig ausgeliefert.“
Allerdings kann das Modul auch in neueren Shopinstallationen eingesetzt werden, wenn Shopbetreiber es eigenständig installiert haben. In solchen Fällen hängt eine mögliche Betroffenheit daher von der individuellen Shopkonfiguration und der eingesetzten Modulversion ab.
Damit scheint sich der Vorfall auf Shops zu beschränken, die noch ältere Installationen des Systems betreiben und das entsprechende Klarna-Plugin nutzen.
Schwachstelle wurde Anfang März bekannt
Die Sicherheitslücke wurde OXID nach eigenen Angaben am 1. März 2026 gemeldet.
Anschließend sei der Vorfall gemeinsam mit dem Drittanbieter untersucht worden. Laut OXID wurde anschließend ein Update beziehungsweise Patch veröffentlicht, der das Problem behebt.
Wie viele Shops betroffen sind, ist unklar
Wie viele Händler tatsächlich betroffen sind, kann OXID derzeit nicht sagen. Der Grund: Das Unternehmen weiß nicht, welche Shops das betreffende Klarna-Modul installiert haben.
„Das ist uns leider unbekannt, da uns keine Informationen vorliegen, welche Shops das Modul nutzen.“
Bekannt sind bislang lediglich zwei betroffene Händler. Laut OXID habe sich bisher allerdings nur ein Kunde direkt beim Unternehmen gemeldet.
Händler wurden informiert
Nach Bekanntwerden der Schwachstelle wurden Händler laut OXID aktiv informiert.
Das Unternehmen erklärt, dass Kunden sowie Agenturpartner eine dringliche Sicherheitsinformation per Newsletter erhalten hätten. Darin seien sowohl der Patch als auch eine genaue Anleitung zur Installation enthalten gewesen.
Shopbetreiber wurden aufgefordert, das bereitgestellte Update schnellstmöglich einzuspielen.
