Warum der Wechsel von Shopware 5 auf 6 zur Pflicht wird

Ein Satz, den wir in Erstgesprächen oft hören: „Der Shop läuft doch." Das stimmt meistens sogar. Shopware 5 wird nicht über Nacht schwarz, die Bestellungen kommen weiter herein, und aus dem Tagesgeschäft heraus gibt es keinen sichtbaren Anlass, ein größeres Projekt anzustoßen.

Genau das ist die Falle. Die Gründe, warum der Wechsel inzwischen keine Geschmacksfrage mehr ist, tauchen im Shopalltag nicht auf. Sie stehen in Support-Ankündigungen, in Sicherheitsdatenbanken, in Verträgen mit Zahlungsanbietern und seit einiger Zeit auch im Gesetzblatt. Sichtbar werden sie erst, wenn etwas passiert — und dann sind sie teuer.

Der Support ist ausgelaufen, nicht „bald"

Der reguläre Support für Shopware 5 endete am 31. Juli 2024. Für Bestandskunden gab es danach noch kostenpflichtige Verlängerungsmodelle, aber auch die sind endlich und ändern nichts am Kern: Shopware 5 ist ein abgekündigtes Produkt. Neue Funktionen gibt es nicht mehr, und Sicherheitslücken werden nicht mehr in der bisherigen Selbstverständlichkeit geschlossen.

Das ist etwas anderes als eine alte, aber gepflegte Software. Solange ein Hersteller patcht, ist eine gemeldete Lücke ein Vorgang: Meldung, Patch, Einspielen, erledigt. Ohne Hersteller-Patch bleibt eine öffentlich dokumentierte Lücke offen — und öffentlich dokumentiert sind sie, denn Sicherheitsforschung endet nicht mit dem Support.

Der praktische Unterschied ist der Zeitfaktor: Bei gepflegter Software rennst du dem Angreifer mit einem Patch hinterher. Bei abgekündigter Software behält er seinen Vorsprung.

Der Unterbau altert mit

Ein Shop ist nicht nur die Shopsoftware. Darunter liegen PHP, Datenbank, Webserver und Betriebssystem, und die haben ihre eigenen Fristen. Shopware 5 wurde für PHP-Versionen entwickelt, deren Sicherheitsunterstützung inzwischen ebenfalls abgelaufen ist. Wer den Shop auf einer aktuellen PHP-Version betreiben will, stößt an die Grenzen dessen, was die Software mitmacht.

Daraus wird schnell eine unangenehme Kette: Der Hoster kündigt eine alte PHP-Version ab, weil er sie nicht mehr absichern kann. Der Shop läuft auf der neuen nicht sauber. Also bleibt die alte Version — gegen Aufpreis, mit Sonderabsprache und ohne Sicherheitsupdates. Das ist kein Betrieb mehr, das ist eine Duldung.

Die Fristen, die nicht von Shopware kommen

Das eigentlich Neue an der Lage: Die härtesten Argumente für den Wechsel stammen inzwischen gar nicht mehr vom Hersteller. Drei davon treffen fast jeden deutschen Shop.

Stand der Technik nach DSGVO
Artikel 32 DSGVO verlangt Schutzmaßnahmen nach dem Stand der Technik — und in einem Shop verarbeitest du reichlich personenbezogene Daten. Software ohne Sicherheitsupdates zu betreiben, lässt sich unter diesem Maßstab schwer verteidigen. Solange nichts passiert, fragt niemand. Nach einem Datenabfluss ist es die erste Frage, die gestellt wird — von der Aufsichtsbehörde und von deiner Versicherung.

PCI DSS 4.0 für die Zahlungsseite
Die zunächst aufgeschobenen Anforderungen von PCI DSS 4.0 sind seit dem 31. März 2025 verpflichtend. Betroffen ist unter anderem, welche Skripte auf deiner Zahlungsseite laufen dürfen und wie Änderungen daran überwacht werden. In der Praxis merkst du das nicht über eine Behörde, sondern über deinen Zahlungsanbieter — der Nachweise verlangt, die sich in einer abgekündigten Shopumgebung nur mühsam erbringen lassen.

Barrierefreiheit nach dem BFSG
Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28. Juni 2025 und nimmt den elektronischen Geschäftsverkehr gegenüber Verbrauchern ausdrücklich mit hinein. Kleinstunternehmen sind ausgenommen, der Rest nicht. Betroffen sind Kontraste, Tastaturbedienbarkeit, Formularbeschriftungen und Fehlermeldungen — also genau die Bereiche, die in einem über Jahre gewachsenen Shopware-5-Theme selten sauber sind.

Diese drei Punkte haben eine Gemeinsamkeit: In Shopware 5 lassen sie sich nur mit Einzelmaßnahmen abarbeiten, die jeweils Geld kosten und nichts an der Grundlage ändern. In Shopware 6 arbeitest du dagegen auf einem Unterbau, der gepflegt wird und dessen Standard-Theme diesen Anforderungen von Haus aus deutlich näher kommt. Das ist der Punkt, an dem der Wechsel vom Kostenblock zur günstigeren Variante wird.

Das ist kein Rechtsrat. Ob und wie stark die genannten Vorgaben dich treffen, hängt an Unternehmensgröße, Zielgruppe und Zahlungsabwicklung — im Zweifel gehört diese Frage zu deinem Anwalt und deinem Zahlungsanbieter, nicht zu deiner Agentur.

Das Ökosystem entscheidet mit

Selbst wenn dich all das nicht überzeugt: Du betreibst den Shop nicht allein. Um ihn herum stehen Zahlungsanbieter, Versanddienstleister, ERP-Schnittstellen und Plugin-Hersteller, und die treffen ihre eigenen Entscheidungen.

• Zahlungsanbieter stellen Schnittstellen um und pflegen ihre Shopware-5-Module irgendwann nicht mehr — ein Checkout, der ausfällt, ist ein Umsatzausfall am selben Tag
• Plugin-Hersteller konzentrieren ihre Entwicklung auf Shopware 6; für ein Shopware-5-Plugin bekommst du Fehlerbehebungen bestenfalls noch aus Kulanz
• Wer Erweiterungen für dich angepasst hat, findet für Shopware 5 immer schwerer Entwickler — und die, die es können, sind nicht die günstigsten
• Hoster schieben alte PHP- und Datenbankversionen aus dem Standardangebot in teure Sonderfälle

Keiner dieser Punkte kommt mit zwölf Monaten Vorwarnzeit. Sie kommen mit einer E-Mail, in der ein Datum steht, das in sechs Wochen liegt.

Was das für deinen Zeitplan heißt

Eine Migration von Shopware 5 auf 6 ist kein Update, sondern ein Neuaufbau mit Datenübernahme — Theme und Plugins wandern nicht mit. Wie das im Einzelnen abläuft, steht auf der Seite Shopware 5 auf Shopware 6 migrieren. Für die Planung zählt vor allem eines: Der Aufwand steckt nicht in den Daten, sondern in der Plugin-Liste und im Theme.

Daraus folgt der Rat, den wir in Erstgesprächen am häufigsten geben: Fang mit der Bestandsaufnahme an, nicht mit dem Angebot. Die Liste deiner aktiven Plugins samt der Frage, was davon heute überhaupt noch jemand benutzt, ist in wenigen Stunden erstellt und beantwortet die Kostenfrage zu einem großen Teil vorab. Erst danach lohnt es sich, über Termine zu reden.

• Plugin-Liste aus dem Shopware-5-Backend ziehen und ehrlich durchgehen — was ist noch im Einsatz, was liegt nur herum
• Schnittstellen sammeln: ERP, Warenwirtschaft, Versand, Zahlung, Newsletter
• Individuelle Anpassungen im Theme aufspüren, bevor sie im Projekt auftauchen
• Fristen der Beteiligten abfragen — bis wann pflegt dein Zahlungsanbieter sein Shopware-5-Modul
• Ein Zeitfenster wählen, das nicht im Weihnachtsgeschäft liegt

Wer im ruhigen Quartal anfängt, entscheidet selbst über Umfang, Reihenfolge und Budget. Wer wartet, bis der Zahlungsanbieter das Datum vorgibt, zahlt für dieselbe Arbeit mehr und bekommt weniger Mitsprache. Der Unterschied zwischen beiden Wegen ist in aller Regel ein einziges Quartal Vorlauf.

Häufige Fragen