{"id":836374,"date":"2026-07-06T11:39:42","date_gmt":"2026-07-06T11:39:42","guid":{"rendered":"https:\/\/www.knowband.com\/blog\/?p=836293\/"},"modified":"2026-07-23T08:35:29","modified_gmt":"2026-07-23T08:35:29","slug":"opencart-advanced-security-manager-extension","status":"publish","type":"post","link":"https:\/\/www.knowband.com\/blog\/de\/user-manual\/magento-user-manual\/opencart-advanced-security-manager-extension\/","title":{"rendered":"OpenCart Advanced Security Manager Erweiterung \u2013 Vollst\u00e4ndiges Benutzerhandbuch"},"content":{"rendered":"

Die meisten OpenCart-Shopbetreiber sichern ihre Website aufwendig: Sie ben\u00f6tigen eine Erweiterung f\u00fcr die Zwei-Faktor-Authentifizierung, eine weitere zum Blockieren von Spam-Bots, eine dritte f\u00fcr CAPTCHAs und m\u00fcssen eventuell noch ein Support-Ticket beim Hosting-Anbieter wegen einer Firewall-Anfrage einreichen. Der OpenCart Security Manager wurde entwickelt, um diese Flickwerk-L\u00f6sung zu beseitigen. Dieses Modul vereint Schutzfunktionen f\u00fcr die Administration, die Sicherheit des Shops und die \u00dcberwachung der Dateiintegrit\u00e4t in einer einzigen Einstellungsseite innerhalb Ihres OpenCart-Adminbereichs.<\/span><\/p>\n

Egal, ob Sie nach einer OpenCart-Zwei-Faktor-Authentifizierungserweiterung, einer OpenCart-Firewall-Erweiterung, Schutz vor Brute-Force-Angriffen auf die Anmeldung oder einer M\u00f6glichkeit gesucht haben, Ihr Admin-Verzeichnis zu verschleiern, ohne f\u00fcnf separate Add-ons zu installieren \u2013 diese einzelne Erweiterung wurde entwickelt, um all diese Anforderungen zu erf\u00fcllen.<\/span><\/p>\n

Das OpenCart Advanced Security Manager-Erweiterung<\/a> ist in drei Abschnitte unterteilt, die jeweils in eigene Registerkarten gegliedert sind:<\/span><\/p>\n

Administratorschutz<\/strong>Zwei-Faktor-Authentifizierung, Drosselung der Anmeldeversuche, IP-beschr\u00e4nkter Administratorzugriff, Verschleierung des Administratorverzeichnisses, Anmeldeaufforderung auf Serverebene und Nachverfolgung der Anmeldeaktivit\u00e4ten.<\/span><\/p>\n

Storefront-Schutz<\/strong>: Web Application Firewall, Sicherheitsantwort-Header, Formular-Spamfilter (CAPTCHA), Kopier-\/Scraping-Schutz und eine Zugriffsabfrage f\u00fcr den gesamten Shop.<\/span><\/p>\n

\u00dcberwachung der Dateiintegrit\u00e4t<\/strong>: Geplante Scans, Bedrohungskennzeichnung und ein Scanverlaufsprotokoll.<\/span><\/p>\n

Jeder Bereich wird im weiteren Verlauf dieses Dokuments Feld f\u00fcr Feld behandelt, sodass Sie immer verstehen, was eine Einstellung bewirkt, bevor Sie sie aktivieren.<\/span><\/p>\n

Angreifer, die es auf OpenCart-Shops abgesehen haben, zielen in der Regel auf dieselben wenigen Schwachstellen ab: leicht zu erratende Administratorpassw\u00f6rter, automatisierte Anmeldeversuche, ein Administratorverzeichnis im Standardpfad, ungesch\u00fctzte Kontakt- und Registrierungsformulare sowie unbemerkt ver\u00e4nderte Kerndateien. Diese Erweiterung schlie\u00dft genau diese Sicherheitsl\u00fccken, ohne dass ein Sicherheitsberater oder eine Vielzahl zus\u00e4tzlicher Add-ons erforderlich ist.<\/span><\/p>\n

Der Schutz wird in unabh\u00e4ngigen Schichten angewendet, wobei jede Schicht eine andere Oberfl\u00e4che abdeckt \u2013 den Admin-Anmeldebildschirm, die Formulare f\u00fcr den Shop, die Header, die Ihr Server an die Browser zur\u00fccksendet, und die Dateien auf der Festplatte.<\/span><\/p>\n

Das Risiko in Klartext: OpenCart ist weit verbreitet und Open Source und daher ein h\u00e4ufiges Ziel automatisierter Scans. Bots suchen nach Standard-Admin-Pfaden, \u00fcberfluten Anmeldeformulare mit Listen von Zugangsdaten und senden Spam \u00fcber Kontaktformulare aus. Ein einziger kompromittierter Admin-Login kann zu gestohlenen Kundendaten, eingeschleustem Code oder einem verunstalteten Online-Shop f\u00fchren \u2013 Folgen, deren Bereinigung und Vertrauensverlust weitaus teurer sind als der Einrichtungsaufwand dieser Erweiterung.<\/span><\/p>\n

Hauptmerkmale von OpenCart Security Manager-Erweiterung<\/a><\/span>
\n<\/span><\/h2>\n

Zwei-Schritt-Verifizierung (2FA)<\/b><\/p>\n

Erfordert, dass ein Administrator zus\u00e4tzlich zu seinem Passwort einen sich st\u00e4ndig \u00e4ndernden sechsstelligen Code von einer Authentifizierungs-App angibt. Dies verhindert die \u00dcbernahme eines Kontos, selbst wenn ein Passwort durchgesickert, erraten oder nach einem anderen Sicherheitsvorfall wiederverwendet wurde.<\/span><\/p>\n

Beispiel: Ein Shop mit drei Administratoren k\u00f6nnte die Zwei-Faktor-Authentifizierung f\u00fcr alle Benutzer au\u00dfer dem fest installierten B\u00fcro-IP-Adresse eines externen Dienstleisters vorschreiben, der davon ausgenommen ist. Tipp: F\u00fcgen Sie Ihre eigenen zuverl\u00e4ssigen IP-Adressen zur Whitelist hinzu, bevor Sie die unternehmensweite Durchsetzung aktivieren, damit Sie nie von einer Verbindung aus zur Registrierung aufgefordert werden, von der aus Sie keine Aktionen ausf\u00fchren k\u00f6nnen.<\/span><\/p>\n

Drosselung von Anmeldeversuchen<\/b><\/p>\n

Sperrt vor\u00fcbergehend eine IP-Adresse, sobald innerhalb eines festgelegten Zeitraums zu viele fehlgeschlagene Admin-Anmeldeversuche auftreten \u2013 eine manuelle \u00dcberwachung ist nicht erforderlich.<\/span><\/p>\n

Beispiel: Wenn ein Skript innerhalb einer Minute 50 Passwortversuche beim Admin-Login unternimmt, wird die Quell-IP-Adresse automatisch gesperrt, sobald das Limit f\u00fcr die Wiederholungsversuche erreicht ist. Tipp: Kombinieren Sie ein moderates Limit f\u00fcr Wiederholungsversuche (5\u201310 Versuche) mit einer ausreichend langen Sperre (15\u201330 Minuten), um weitere Versuche zu verhindern. Schlie\u00dfen Sie au\u00dferdem Ihre B\u00fcro- oder VPN-IP-Adresse von der Sperre aus, damit ein Tippfehler nicht Ihr eigenes Team aussperrt.<\/span><\/p>\n

IP-beschr\u00e4nkter Administratorzugriff<\/b><\/p>\n

Der Zugriff auf das Admin-Panel ist auf eine definierte Liste von Adressen beschr\u00e4nkt \u2013 alle anderen werden abgewiesen, noch bevor das Anmeldeformular geladen wird. Dies ist die st\u00e4rkste Schutzma\u00dfnahme gegen externen Admin-Zugriff, da die Sperre erfolgt, bevor die Anmeldedaten \u00fcberpr\u00fcft werden.<\/span><\/p>\n

Verschleierung des Admin-Verzeichnisses<\/strong><\/p>\n

Diese Funktion verbirgt Ihren eigentlichen Admin-Pfad hinter einer geheimen alternativen URL. Der echte Pfad liefert einen 404-Fehler f\u00fcr alle, die den alternativen Namen nicht kennen. Dadurch wird Ihr Shop aus dem Suchfeld von Bots entfernt, die nach g\u00e4ngigen Admin-Ordnernamen suchen.<\/span><\/p>\n

Anmeldeaufforderung auf Serverebene (HTTP-Authentifizierung)<\/b><\/p>\n

F\u00fcgt eine browserbasierte Benutzername-\/Passwortabfrage vor dem Admin-Panel, dem Shop oder beiden hinzu \u2013 bevor der OpenCart-Anmeldebildschirm geladen wird. Dies l\u00e4uft vollst\u00e4ndig au\u00dferhalb der Anwendung und ist n\u00fctzlich f\u00fcr Testumgebungen, Shops vor dem offiziellen Start oder als zus\u00e4tzliche Administrationsschnittstelle.<\/span><\/p>\n

Webanwendungs-Firewall (WAF)<\/b><\/p>\n

Pr\u00fcft eingehende GET\/POST-Daten und Cookies auf bekannte SQL-Injection-, Cross-Site-Scripting- und Path-Traversal-Muster und blockiert Treffer mit einem HTTP 403-Fehler, bevor sie den OpenCart-Code erreichen.<\/span><\/p>\n

Sicherheitsantwort-Header<\/b><\/p>\n

F\u00fcgt Header (HSTS, Clickjacking-Schutz, MIME-Sniffing-Schutz, Referrer-Richtlinie, Berechtigungsrichtlinie) hinzu, die Browser anweisen, zus\u00e4tzliche Sicherheitsvorkehrungen zu treffen. Dies ist eine risikoarme Methode, um die Behandlung Ihrer Website durch Browser zu verbessern, und wird h\u00e4ufig in PCI- und Sicherheitsaudit-Checklisten gefordert.<\/span><\/p>\n

Formular-Spamfilter (CAPTCHA)<\/b><\/p>\n

F\u00fcgt dem Kontakt- und Registrierungsformular eine CAPTCHA-Verifizierung hinzu \u2013 Cloudflare Turnstile, Google reCAPTCHA oder hCaptcha \u2013 und reduziert so Spam-Einsendungen und gef\u00e4lschte Anmeldungen, ohne dass \u00c4nderungen am Design erforderlich sind.<\/span><\/p>\n

Kopier-\/Ausleseschutzma\u00dfnahmen<\/b><\/p>\n

Erschwert das beil\u00e4ufige Kopieren von Inhalten durch Deaktivierung der Tastenkombinationen f\u00fcr Rechtsklick, Kopieren\/Einf\u00fcgen, Quelltext anzeigen und Entwicklertools, wodurch der Aufwand f\u00fcr das zuf\u00e4llige Sammeln von Produkttexten und -bildern erh\u00f6ht wird.<\/span><\/p>\n

\u00dcberwachung der Dateiintegrit\u00e4t<\/b><\/p>\n

F\u00fchrt planm\u00e4\u00dfige Scans durch, die Ihre OpenCart-Installation mit einer bekannten, funktionierenden Basisversion vergleichen und neue oder ver\u00e4nderte Dateien als m\u00f6gliche Bedrohungen kennzeichnen \u2013 wodurch eine Sicherheitsl\u00fccke oft aufgedeckt wird, bevor sie im Shop sichtbar wird.<\/span><\/p>\n

Detaillierte \u00dcbersicht der OpenCart-Sicherheitserweiterung<\/b><\/p>\n

Administratorschutz<\/b> – Umfasst Ihre Administratoranmeldung und -sitzungen: 2FA, Anmeldedrosselung, IP-Beschr\u00e4nkung, Verzeichnisverschleierung, Anmeldeaufforderung auf Serverebene und Anmelde\u00fcberwachung (einschlie\u00dflich einer Unteransicht \u201eBenutzer\u201c zur Verwaltung einzelner 2FA-Registrierungen).<\/span><\/p>\n

Storefront-Schutz<\/b> – umfasst den kundenseitigen Datenverkehr: die Firewall, Antwort-Header, Spamfilterung, Blockierung von Warenkorb-Bots, Kopierschutz und die f\u00fcr den gesamten Shop geltende Anmeldeaufforderung.<\/span><\/p>\n

\u00dcberwachung der Dateiintegrit\u00e4t<\/b> – Scan-Einstellungen und -Verlauf, einschlie\u00dflich der f\u00fcr die Planung verwendeten Cron-URL und eines durchsuchbaren Protokolls vergangener Scans.<\/span>
\n<\/span><\/p>\n

Ganz oben auf jedem Tab finden Sie den Notfall-Wiederherstellungslink \u2013 eine permanente URL, mit der Sie die einschr\u00e4nkenden Funktionen der Erweiterung mit einem Klick deaktivieren k\u00f6nnen, falls Sie ausgesperrt werden. Dies ist der wichtigste Punkt in diesem Handbuch: Suchen Sie ihn jetzt, bevor Sie andere Einstellungen \u00e4ndern, und speichern Sie ihn au\u00dferhalb des Admin-Bereichs. Diese Information ist f\u00fcr Administratoren unerl\u00e4sslich.<\/span><\/h4>\n

\"\"<\/a><\/p>\n

Die Ansicht \u201eBenutzer\u201c unter \u201eAdmin-Schutz\u201c listet alle Administratorkonten auf (ID, Name, E-Mail, aktueller 2FA-Status) und erm\u00f6glicht es Ihnen, eine verlorene oder kompromittierte Authentifizierungsregistrierung zur\u00fcckzusetzen, damit sich die betreffende Person bei ihrer n\u00e4chsten Anmeldung neu registrieren kann.<\/span><\/p>\n

Die Berichtsfunktion befindet sich an zwei Stellen: im Anmeldeversuchsprotokoll unter Administratorschutz (IP-Adresse, Zeitstempel, E-Mail-Adresse und Ergebnis f\u00fcr jeden Anmeldeversuch eines Administrators, sobald die Protokollierung aktiviert ist) und in der Scanverlaufstabelle unter Dateiintegrit\u00e4ts\u00fcberwachung (jeder Scanlauf, manuell oder geplant, mit Dateianzahl, Bedrohungsanzahl, Dauer und einem Link zum vollst\u00e4ndigen Bericht).<\/span><\/p>\n

Wie die einzelnen Funktionen funktionieren<\/b><\/p>\n

Two-Step Verification<\/strong><\/p>\n

Hierbei kommt das Standard-TOTP-Protokoll (zeitbasiertes Einmalpasswort) zum Einsatz \u2013 dasselbe, das auch Google Authenticator, Authy und \u00e4hnliche Apps verwenden. Wenn ein Administrator die Zwei-Faktor-Authentifizierung (2FA) aktiviert oder dies aufgrund einer Website-weiten Vorgabe erforderlich ist, scannt er einen QR-Code mit seiner Authentifizierungs-App. Diese generiert dann alle 30 Sekunden einen neuen sechsstelligen Code. Dieser Code wird bei jeder Anmeldung zusammen mit dem normalen Passwort eingegeben.<\/span><\/p>\n

Drosselung von Anmeldeversuchen<\/b><\/p>\n

Jeder fehlgeschlagene Administrator-Login wird der zugeh\u00f6rigen IP-Adresse zugeordnet. Sobald die Anzahl der Fehlversuche einer IP-Adresse innerhalb des festgelegten Zeitraums das konfigurierte Limit \u00fcberschreitet, wird diese IP-Adresse f\u00fcr weitere Versuche gesperrt, bis die Sperrfrist abgelaufen ist.<\/span><\/p>\n

IP-beschr\u00e4nkter Administratorzugriff<\/b><\/p>\n

Sobald diese Funktion aktiviert ist, wird jede Anfrage an das Admin-Panel anhand einer Zulassungsliste gepr\u00fcft, bevor das Routing von OpenCart \u00fcberhaupt ausgef\u00fchrt wird. Alle Anfragen, die nicht auf der Liste stehen, werden sofort blockiert \u2013 sie gelangen gar nicht erst zum Anmeldeformular.<\/span><\/p>\n

Verschleierung des Admin-Verzeichnisses<\/b><\/p>\n

Die Erweiterung f\u00e4ngt Anfragen an Ihren eigentlichen Admin-Pfad ab und gibt einen 404-Fehler zur\u00fcck, es sei denn, der Besucher hat bereits eine geheime Alias-URL erreicht, die ein Cookie setzt und ihn im Hintergrund an den eigentlichen Speicherort weiterleitet.<\/span><\/p>\n

Anmeldeaufforderung auf Serverebene<\/b><\/p>\n

Dadurch wird eine separate, browsereigene Eingabeaufforderung hinzugef\u00fcgt \u2013 die vom Browser selbst und nicht von einem OpenCart-Formular gerendert wird \u2013 vor dem Admin-Panel, dem Shopfront oder beiden, und zwar auf Webserver-Ebene, bevor irgendeine PHP-Logik ausgef\u00fchrt wird.<\/span><\/p>\n

Firewall f\u00fcr Webanwendungen<\/b><\/p>\n

Die WAF pr\u00fcft eingehende Abfrageparameter, POST-Felder und Cookies anhand einer Bibliothek bekannter Injection-, XSS- und Path-Traversal-Muster. Bei einer \u00dcbereinstimmung wird sofort ein 403-Fehler zur\u00fcckgegeben, bevor die Anfrage die OpenCart-Controller erreicht.<\/span><\/p>\n

Sicherheitsantwort-Header<\/b><\/p>\n

Jeder Schalter f\u00fcgt hier einen spezifischen Header hinzu, der dem Browser des Besuchers mitteilt, ein bestimmtes Verhalten zu erzwingen \u2013 z. B. die Seite nicht in einem iFrame darzustellen, Dateitypen nicht zu erraten, HTTPS zu erzwingen usw.<\/span><\/p>\n

Formular-Spamfilterung<\/b><\/p>\n

Ist die Erweiterung aktiviert, f\u00fcgt sie das ausgew\u00e4hlte CAPTCHA-Widget automatisch in die Kontakt- und Registrierungsformulare des Shops ein, ohne dass eine Theme-Anpassung erforderlich ist, und \u00fcberpr\u00fcft die Antwort serverseitig, bevor eine \u00dcbermittlung akzeptiert wird.<\/span><\/p>\n

Kopier-\/Ausleseschutzma\u00dfnahmen<\/b><\/p>\n

Eine Reihe von clientseitigen Einschr\u00e4nkungen \u2013 Deaktivierung von Kopieren\/Ausschneiden\/Einf\u00fcgen, Rechtsklick, Textauswahl, Quelltextansicht und DevTools-Tastenkombinationen \u2013 werden im gesamten Shop angewendet, mit einer IP-Whitelist f\u00fcr Mitarbeiter, die normales Browserverhalten ben\u00f6tigen.<\/span><\/p>\n

\u00dcberwachung der Dateiintegrit\u00e4t<\/b><\/p>\n

Ein geplanter Job, der durch den Cron-Scheduler Ihres Servers ausgel\u00f6st wird, indem er eine eindeutige, tokengesch\u00fctzte URL aufruft, scannt jede Datei in Ihrer Installation, vergleicht sie mit einer gepflegten Basislinie bekannterma\u00dfen funktionierender OpenCart-Kerndateien und g\u00e4ngiger Erweiterungsdateien und kennzeichnet alles Neue, Fehlende oder Ge\u00e4nderte.<\/span><\/p>\n

1.0.0 Administratorschutz<\/strong><\/h2>\n

Two-Step Verification<\/b><\/p>\n

\"\"<\/a><\/p>\n

2FA aktivieren \u2013 schaltet die 2FA-Unterst\u00fctzung ein; Administratoren werden beim n\u00e4chsten Login aufgefordert, eine Authentifizierungs-App einzurichten.<\/span><\/p>\n

Whitelist-IPs <\/b>– Adressen, die die Zwei-Faktor-Authentifizierung vollst\u00e4ndig umgehen, selbst wenn diese aktiviert ist. F\u00fcgen Sie Ihr B\u00fcro- oder Heimnetzwerk als zus\u00e4tzliche Sicherheitsma\u00dfnahme hinzu, bevor Sie die Zwei-Faktor-Authentifizierung erzwingen.<\/span><\/p>\n

2FA erzwingen<\/b> – Erfordert, dass jeder nicht auf der Whitelist stehende Administrator die Zwei-Faktor-Authentifizierung (2FA) vor dem Fortfahren einrichtet. Aktivieren Sie diese Funktion erst, nachdem Sie eine vertrauensw\u00fcrdige IP-Adresse auf die Whitelist gesetzt oder die Funktionsf\u00e4higkeit des Wiederherstellungslinks best\u00e4tigt haben.<\/span><\/p>\n

ID <\/b>– kennzeichnet das Administratorkonto.<\/span><\/p>\n

2FA-Status<\/b> Zeigt an, ob f\u00fcr dieses Konto aktuell die Zwei-Faktor-Authentifizierung aktiviert ist. Eine regelm\u00e4\u00dfige \u00dcberpr\u00fcfung, insbesondere nach Personalwechseln, ist empfehlenswert.<\/span><\/p>\n

Aktion <\/b>– Setzt eine verloren gegangene 2FA-Registrierung zur\u00fcck, damit der Benutzer ein neues Ger\u00e4t registrieren kann. Sofort verwenden, wenn jemand sein Authentifizierungstelefon verliert.<\/span><\/p>\n

Die Einf\u00fchrung der Zwei-Faktor-Authentifizierung als optionale L\u00f6sung, gefolgt von der verpflichtenden Einf\u00fchrung, sobald alle Nutzer registriert sind, ist der richtige Weg. <\/span>empfohlener Weg <\/b>Es verhindert die \u00dcbernahme von Konten durch ein durchgesickertes, erratenes oder wiederverwendetes Passwort, da das Passwort allein nicht mehr ausreicht. Erzwingen Sie die Zwei-Faktor-Authentifizierung (2FA) niemals seitenweit, ohne zuvor mindestens eine vertrauensw\u00fcrdige IP-Adresse auf die Whitelist zu setzen oder die Funktionsf\u00e4higkeit des Wiederherstellungslinks zu best\u00e4tigen. Halten Sie diese Whitelist kurz und \u00fcberpr\u00fcfen Sie sie regelm\u00e4\u00dfig, da diese Adressen die 2FA vollst\u00e4ndig umgehen. F\u00fcgen Sie \u201e2FA zur\u00fccksetzen\u201c Ihrer Checkliste f\u00fcr ausscheidende Mitarbeiter hinzu.<\/span><\/p>\n

Brute-Force-Schutz<\/b><\/h3>\n

\"\"<\/a><\/p>\n

Drosselung aktivieren \u2013 blockiert vor\u00fcbergehend eine IP-Adresse nach zu vielen fehlgeschlagenen Administrator-Anmeldungen. Empfohlen f\u00fcr jeden Live-Shop.<\/span><\/p>\n

Max versucht es noch einmal<\/b> – Fehlversuche sind zul\u00e4ssig, bevor eine Sperre erfolgt. 5 ist ein angemessener Standardwert.<\/span><\/p>\n

Zeitfenster (Sekunden) \u2013 der gleitende Zeitraum, in dem Fehler gez\u00e4hlt werden. 300 Sekunden (5 Minuten) sind f\u00fcr die meisten Gesch\u00e4fte ausreichend.<\/span><\/p>\n

Sperrzeit (Sekunden)<\/b>) – wie lange eine gesperrte IP-Adresse gesperrt bleibt; die Sperre l\u00e4uft automatisch ab.<\/span><\/p>\n

Whitelist-IPs<\/b> – Adressen wurden nie auf das Limit angerechnet oder gesperrt.<\/span><\/p>\n

Beginnen Sie mit moderaten Werten, \u00fcberpr\u00fcfen Sie Ihr Anmeldeprotokoll nach einer Woche und erh\u00f6hen Sie die Einstellungen, falls wiederholt Angriffe von verschiedenen IP-Adressen auftreten. Dies funktioniert am besten in Kombination mit 2FA (Zwei-Faktor-Authentifizierung) \u2013 die Drosselung verlangsamt Angreifer, 2FA stoppt sie vollst\u00e4ndig, selbst wenn ein Passwort erraten wird. Sperren werden nach Ablauf des Timers automatisch aufgehoben; eine manuelle Entsperrung ist nicht erforderlich.<\/span><\/p>\n

IP-beschr\u00e4nkter Administratorzugriff<\/b><\/h3>\n

\"\"<\/a><\/p>\n