Was wir tun, was Sie erhalten, was es voraussetzt.

An jedem Arbeitstag innerhalb der Servicezeiten verfolgen wir die Sicherheitsquellen Ihres Systems: Security Advisories des Herstellers bzw. Security-Teams, Hinweise der Erweiterungsanbieter, Composer-Audit der Abhängigkeiten.

Gewissheit, dass nichts Veröffentlichtes übersehen wird.

Bestandsaufnahme Ihres Systems (Anlage 3 des Vertrags).

Wir prüfen, ob ein Hinweis Ihr System betrifft – installierte Komponente, Version, Konfiguration – und stufen nach Herstellerangabe bzw. CVSS ein: kritisch, hoch, mittel/niedrig. Bei bekannter aktiver Ausnutzung stufen wir höher.

Information über jeden betreffenden Hinweis innerhalb der Frist Ihrer Servicestufe.

–

Das Update kommt zuerst in die Staging-Umgebung. Sichtprüfung und oberflächlicher Funktionstest der in der Bestandsaufnahme benannten Kernfunktionen.

Ein geprüfter Stand, den Sie selbst noch ansehen können, bevor er live geht.

Funktionierende Staging-Umgebung (vorhanden oder von uns eingerichtet).

Freigabeanforderung in Textform mit Hinweis auf die Freigabefiktion. Bei erteilter Notfallfreigabe spielen wir kritische Updates ohne Einzelfreigabe ein und informieren unverzüglich.

Kontrolle über jedes Live-Deployment – oder bewusst abgegebene Kontrolle für den Notfall.

Benannte freigabeberechtigte Person mit Vertretung.

Deployment innerhalb der Servicezeiten, anschließend Sichtprüfung und Funktionstest. Kurze Beeinträchtigungen von wenigen Minuten sind möglich; ein festes Wartungsfenster vereinbaren wir auf Wunsch.

Eine Website, auf der bekannte Lücken innerhalb der vereinbarten Frist geschlossen sind.

Zugänge zu System, Repository und Deployment-Verfahren.

Stört ein Sicherheitsupdate unmittelbar eine Funktion, beheben wir das bis zu 30 Minuten je Update-Vorgang (Magento 2: 60 Minuten). Darüber hinaus schätzen wir den Aufwand und Sie entscheiden.

Keine Überraschungsrechnung – und kein liegengebliebenes Update ohne Ihre Entscheidung.

–

Datum, Komponente, Version vorher/nachher, Advisory-ID bzw. CVE, Kritikalität, Prüfergebnis, Freigabe, Zeitpunkt des Live-Deployments, Bearbeiter, ausgesetzte Updates.

Nachvollziehbare Historie – jederzeit einsehbar, auf Wunsch einmal jährlich als Gesamtübersicht.

–

Alle nicht kritischen Updates sammeln wir und spielen sie gebündelt ein: monatlich (Basis) oder alle 14 Tage (Plus).

Weniger Deployments, planbarer Rhythmus.

–

Sobald bekannt ist, dass Ihre Version in den nächsten sechs Monaten das Ende der Herstellerunterstützung erreicht, informieren wir Sie in Textform und unterbreiten auf Wunsch ein Upgrade-Angebot.

Zeit, das Upgrade zu planen, statt es unter Druck zu entscheiden.

–

Security Advisories des Drupal Security Teams für Core und Contributed Projects; Composer-Audit.

Core-Hauptversionen mit Security-Support (derzeit Drupal 10 und 11). Drupal 7 ist seit Januar 2025 abgekündigt.

Composer-Installation, Git, Deployment mit Datenbank-Updates und Konfigurationsimport. Module ohne Security-Advisory-Abdeckung werden gekennzeichnet; Core-Patches des Kunden werden nach dem Update erneut angewendet.

Core Security Releases; für Plugins und Themes die Anbieterhinweise und eine Schwachstellendatenbank (z. B. Patchstack, Wordfence, WPScan).

Aktueller Core-Zweig; ältere Zweige nur mit Sicherheits-Backports von wordpress.org.

Zugriff auf Backend und Dateisystem; automatische Hintergrund-Updates steuern wir. Nicht erfasst: Plugins ohne Update-Kanal, aus unseriöser Quelle oder ohne Anbieter-Update seit über zwölf Monaten.

TYPO3-CORE-SA und TYPO3-EXT-SA Advisories; Composer-Audit.

LTS-Versionen in regulärer Wartung. ELTS nur mit bestehendem, bezahltem ELTS-Vertrag und Update-Zugang.

Composer-Modus, Zugang zum Install Tool, Deployment inkl. Datenbank-Analyse und Cache-Leerung. Konfigurationsempfehlungen aus Advisories setzen wir um, soweit ohne funktionale Änderung möglich.

Adobe Security Bulletins, Security-only-Patches (2.4.x-pN), Hotfixes; Composer-Audit.

Versionslinien 2.4.x mit Adobe-Sicherheitspatches. Adobe Commerce nur mit gültiger Lizenz und Repository-Zugang.

Staging-Umgebung zwingend. Composer-Deployment mit setup:upgrade, Static-Content-Deploy und Cache-Leerung. Inkompatibilitäts-Budget 60 Minuten je Vorgang. Adobe Commerce Cloud wird nicht betreut.

Security Advisories der Shopware AG, GitHub Security Advisories, Hinweise im Shopware-Account; Composer-Audit.

Aktuelle, von Shopware mit Sicherheitsupdates versorgte Versionen.

Composer-basiertes Deployment; Plugins aus dem Shopware Store mit gültiger Lizenz.

Hinweise der Shopware AG, der Community und der Plugin-Anbieter; öffentliche CVE-Datenbanken.

Abgekündigt seit Juli 2024 – eingeschränkter Umfang, keine Fristen.

Wir spielen ein, was Plugin-Anbieter und Abhängigkeiten noch bereitstellen, und geben Hinweise zu Schutzmaßnahmen. Kein eigenes Patchen des Cores. Empfehlung: Migration auf Shopware 6.