Die 7 stillen Kostenfresser in einem ungewarteten Shopware-Shop

Ein vernachlässigter Shop fällt selten spektakulär aus. Er wird langsam teurer, und zwar an Stellen, die in keiner Rechnung auftauchen.

Das macht das Thema so undankbar. Ein Ausfall ist sichtbar, ein Angriff ist sichtbar. Aber die Kosten, um die es hier geht, wachsen leise über Monate und schlagen erst zu, wenn sie sich nicht mehr ignorieren lassen. Sieben davon sehen wir im Support immer wieder.

1. Deine PHP-Version läuft dir unter den Füßen weg

Der unangenehmste Punkt zuerst, weil er eine harte Frist hat. PHP 8.2 erreicht am 31. Dezember 2026 sein Lebensende. Danach gibt es keine Sicherheitspatches mehr, auch keine für kritische Lücken. PHP 8.1 ist schon seit Ende 2025 durch.

Shopware 6 setzt PHP 8.2 als Minimum voraus, empfohlen ist 8.3, seit Version 6.7 wird auch 8.4 unterstützt. Wer heute auf dem Minimum fährt, steht also zum Jahreswechsel auf einer ungepatchten Laufzeitumgebung. Das ist kein theoretisches Risiko, sondern ein Datum im Kalender.

Der Wechsel selbst ist bei einem gepflegten Shop meist Routine. Bei einem, der seit drei Jahren nicht angefasst wurde, findet man dabei jedes Mal Custom-Code, der auf einer alten PHP-Eigenheit aufbaut. Genau deshalb ist das ein stiller Kostenfresser: Der Aufwand entsteht nicht durch PHP, sondern durch das, was sich davor angesammelt hat.

2. Plugin-Abos laufen weiter, die Kompatibilität nicht

Ein Denkfehler, der teuer wird: Solange das Abo bezahlt ist, denkt man, das Plugin sei gepflegt. Bezahlt wird aber der Zugriff auf Updates, nicht deren Einspielen. Wenn niemand aktualisiert, friert deine Installation auf dem Stand von damals ein, während der Hersteller weiterentwickelt.

Irgendwann passt die eingefrorene Version nicht mehr zum Shopware-Core, den du eigentlich brauchst. Dann hast du die Wahl zwischen Shop-Update verschieben oder Plugin ersetzen. Beides kostet mehr, als das Update rechtzeitig einzuspielen gekostet hätte.

Bei Shops mit 30 oder 40 Erweiterungen lohnt eine ehrliche Inventur. Nach unserer Erfahrung ist bei solchen Installationen regelmäßig ein Viertel bis ein Drittel der Plugins schlicht überflüssig, weil die Funktion nie genutzt oder längst anders gelöst wurde. Jedes davon ist Wartungsaufwand und Angriffsfläche ohne Gegenwert.

3. Sicherheitslücken, von denen du nie erfährst

Shopware liefert regelmäßig sicherheitsrelevante Releases nach, und die wenigsten davon schaffen es in die Fachpresse. Ein Beispiel aus diesem Jahr: Im März schloss Version 6.7.8.1 unter anderem eine Lücke im Login. Vorher warf das System bei einer nicht existierenden E-Mail-Adresse eine andere Fehlermeldung als bei einem falschen Passwort. Wer das systematisch abfragt, kann damit gültige Kundenkonten durchprobieren.

Im Mai folgte 6.7.10.1 mit strengerer Prüfung von SVG-Uploads, Anfang Juni 6.7.10.2 mit Fixes an Symfony und Twig. Nichts davon war ein Weltuntergang. Aber jedes ungepatchte Release erhöht die Zahl der offenen Türen, und niemand schickt dir eine Rechnung dafür, bis jemand hindurchgeht.

Wer nicht sofort auf die Vollversion aktualisieren kann, hat bei Shopware die Möglichkeit, das Security-Plugin zu installieren. Das ist ein Pflaster, kein Ersatz für Updates.

4. Performance verfällt schleichend

Kein Shop wird über Nacht langsam. Er wird über zwei Jahre langsam, und weil du ihn täglich benutzt, merkst du es nicht. Deine Kunden schon.

Google misst drei Werte im 75. Perzentil deiner echten Seitenaufrufe: Largest Contentful Paint soll unter 2,5 Sekunden liegen, Interaction to Next Paint unter 200 Millisekunden, Cumulative Layout Shift unter 0,1. Wer diese Schwellen reißt, verliert nicht sofort Rankings, aber er verliert Conversion an jeder einzelnen Seite.

Der stille Teil daran: Die Ursachen sind fast immer Kleinigkeiten, die sich addiert haben. Ein nicht komprimiertes Bild hier, ein blockierendes Skript aus einem Tracking-Plugin dort, ein Cache, der seit einem Update nicht mehr richtig greift.

5. Die Datenbank wächst, und niemand schaut hin

Shopware protokolliert viel. Versionsdaten, Logeinträge, Warenkörbe, die nie zu Bestellungen wurden, Gastbestellungen, Suchbegriffe. Ohne Aufräumroutine wächst das über Jahre.

Wir haben Shops übernommen, bei denen ein erheblicher Teil des Datenbankvolumens aus Tabellen bestand, die für den laufenden Betrieb keine Rolle mehr spielten. Die Folge sind langsamere Backups, längere Update-Laufzeiten und ein Hosting-Tarif, der größer ist als nötig. Man zahlt also monatlich für Datenmüll.

6. Das Wissen über deinen Shop verdunstet

Der Kostenfresser, den man erst bemerkt, wenn es zu spät ist. Der Entwickler, der die Preislogik gebaut hat, arbeitet nicht mehr dort. Die Dokumentation ist zwei Major-Versionen alt. Und im Code steht ein Kommentar von 2021, der auf ein Ticketsystem verweist, das es nicht mehr gibt.

Jede Änderung an so einem Shop beginnt dann mit Archäologie. Aus einer Stunde Arbeit werden vier, weil drei davon Verstehen sind. Das ist der Grund, warum wir auf Dauerbetreuung setzen statt auf Projektgeschäft: Ein Team, das den Shop seit Jahren kennt, braucht die drei Stunden nicht.

7. Notfall-Konditionen statt Planpreise

Der letzte Punkt ist reine Mathematik. Geplante Arbeit ist billiger als ungeplante, immer.

Wenn dein Shop am Freitagnachmittag steht, kaufst du nicht Entwicklungszeit, sondern Verfügbarkeit. Jemand muss ein anderes Projekt unterbrechen, sich in ein fremdes System einarbeiten und unter Zeitdruck arbeiten. Dass das mehr kostet als dieselbe Arbeit drei Wochen vorher mit Ansage, ist keine Unverschämtheit, sondern eine Folge von Prioritäten.

Wer regelmäßig im Notfall-Support landet, zahlt über das Jahr gerechnet oft mehr als ein Betreuungsvertrag gekostet hätte. Nur eben verteilt auf einzelne Rechnungen, die niemand zusammenzählt.

Was du diese Woche prüfen kannst

Drei Fragen, für die du keine Agentur brauchst.

Welche PHP-Version läuft auf deinem Server? Steht dort 8.1 oder 8.2, hast du ein Datum, auf das du zuarbeiten musst. Wie viele Erweiterungen sind installiert, und wie viele davon nutzt du bewusst? Und wann wurde zuletzt ein Backup zurückgespielt, nicht nur erstellt?

Wenn du bei allen drei Fragen ins Grübeln kommst, ist das kein Drama, aber ein Auftrag. Eine Plugin-Inventur ist meistens der schnellste Einstieg, weil sie sofort Ballast sichtbar macht. Wenn du lieber den Gesamtzustand wissen willst, gibt dir der Shop-Health-Check einen Überblick. Und wenn du das Thema dauerhaft loswerden willst, ist genau dafür die laufende Betreuung da: nicht damit nichts passiert, sondern damit es angekündigt passiert.