Wer Shopware-Testdaten anonymisieren will, prüft vor dem Staging-Import die Datenregeln aller produktiven Erweiterungen. Der Schalter --anonymize bereinigt nur, wofür Regeln vorhanden sind: Plugin-Daten und Zugangsdaten bleiben sonst im Dump. Für eine belastbare Freigabe müssen die vorhandenen Regeln zu Ihrem Shop passen und das Exportergebnis geprüft werden.
Wie anonymisiert Shopware CLI Testdaten?
Ein Datenbank-Dump ist ein Export der Datenbankstruktur und ihrer gespeicherten Inhalte. Staging bezeichnet eine vom Produktivbetrieb getrennte Testumgebung. Shopware CLI, das Kommandozeilenwerkzeug für Shopware-Projekte, kann beim Export Regeln der Erweiterungen berücksichtigen.
Stand: 03.11.2026: Seit Shopware CLI 0.19.2 (20.10.2026) können Erweiterungen eigene Regeln mitliefern, mit denen sich ihre Daten im Dump anonymisieren lassen. Shopware erklärt das in der Shopware-Erläuterung zu Plugin-Daten.
Der Befehl shopware-cli project dump --anonymize schreibt bekannte personenbezogene Felder um; Kunden- und Bestelldatensätze bleiben als Teststruktur erhalten. Die Shopware-Dokumentation zu Erweiterungsregeln beschreibt zusätzliche Regeln für Plugin-Daten und Konfigurationsgeheimnisse. Wirksam sind die passenden Regeln der Erweiterungen, die das Werkzeug im verwendeten Projektbestand findet.
Wie prüfen Sie den Export?
Schritt 1: Erweiterungen abgleichen
Fordern Sie zuerst von Ihrer technischen Betreuung die produktive Plugin-Liste und eine Übersicht der vorhandenen anonymize-Regeln an. Gleichen Sie diese mit dem verwendeten Checkout ab, also dem lokalen Bestand des Projektcodes. Ein produktives Plugin, das dort fehlt, liefert auch keine Regeln für den Export.
Halten Sie pro Erweiterung fest, welche eigenen Tabellen, zusätzlichen Felder und Zugangsdaten sie speichert und welche Regel dafür zuständig ist. Verteilen Sie einen neuen Dump erst nach dieser Bestandsaufnahme über einen geschützten, freigegebenen Weg. Produktionsdumps gehören weder in KI-Dienste noch in Tickets oder ungeschützte Austauschordner.
Schritt 2: Regeln und Zugangsdaten prüfen
Die Entwicklung prüft in .config/shopware-extension.yml des Plugins den Abschnitt anonymize mit den Schlüsseln tables und system_config. tables beschreibt Umschreibungen für Tabellenspalten, auch für zusätzliche Daten in Shopware-Tabellen. system_config betrifft Konfigurationseinträge, etwa API-Schlüssel für angebundene Dienste. So sieht eine Regel aus (Beispiel aus der Shopware-Dokumentation):
# .config/shopware-extension.yml im Plugin
anonymize:
tables:
swag_example_token:
access_token: "''" # leerer Wert im Dump
email: faker.Internet.Email() # Zufallsadresse
system_config:
- SwagExample.config.clientSecret # Eintrag fehlt im Dump
- key: SwagExample.config.merchantEmail # Wert wird ersetzt
value: faker.Internet.Email()Ein einfacher system_config-Schlüssel lässt den betreffenden Datensatz beim Export aus, ein Eintrag mit value ersetzt dessen Wert. Bereits vorhandene Projektregeln unter dump.rewrite sowie eingebaute Spaltenregeln haben Vorrang. Lassen Sie Konflikte und CLI-Warnungen auswerten. Unterstützung bei der technischen Umsetzung finden Sie in unserer Shopware-Entwicklung und Betreuung.
Schritt 3: Testimport abnehmen
Importieren Sie den geprüften Export kontrolliert in eine isolierte Umgebung. Schließen Sie zuvor unerwünschte Verbindungen zu Live-Mailversand, Zahlungsdiensten und Warenwirtschaft aus. Diese Verbindungen sind eigene Prüfpunkte; der Dump-Schalter schaltet sie nicht pauschal ab.
Prüfen Sie das Ergebnis auf verbliebene Kundendaten und Geheimnisse. Nehmen Sie anschließend die vorgesehenen fachlichen Testfälle ab. Die BSI-Empfehlungen für Softwaretests behandeln geschützte Testdaten, getrennte Umgebungen und dokumentierte Ergebnisse. Der IT-Grundschutz-Baustein ist eine fachliche Orientierung, kein automatisch für jeden Händler geltendes Gesetz.
Wann ist der Dump freigabefähig?
Die folgende Entscheidungshilfe verbindet Regelabdeckung, Importkontrolle und Abnahme. Nutzen Sie sie als eigene Freigabevorlage für Ihren Shop:
| Befund | Nächste Handlung | Freigabe |
|---|---|---|
| Produktives Plugin fehlt im Checkout | Projektbestand und Abdeckung ergänzen | Zurückstellen |
| Relevante Tabelle oder Konfigurationsschlüssel ohne passende Regel | Projektspezifische Regeln entwickeln und prüfen | Zurückstellen |
| Regeln vorhanden, Restdaten oder Live-Ziele noch unklar | Exportergebnis und Verbindungen kontrollieren | Zurückstellen |
| Abdeckung dokumentiert, Import kontrolliert, projektspezifische Abnahme bestanden | Zuständige Person dokumentiert ihre Entscheidung | Für den festgelegten Testzweck entscheiden |
Ergänzen Sie zur Entscheidung den geprüften Projektstand, CLI-Version, Testzweck und verantwortliche Person. So bleibt nachvollziehbar, welcher Export für welche Umgebung geprüft wurde. Eine technische Abnahme ersetzt keine Datenschutzprüfung. Sind Anforderungen oder Zuständigkeiten offen, hilft unsere E-Commerce-Beratung für Ihre Testabläufe bei der Anforderungsklärung.
Welche Testdaten passen besser?
Der Testzweck bestimmt den passenden Datenbestand. Die BfDI-Prüffolge für Testdaten beginnt mit Daten ohne Personenbezug. Namen auszutauschen genügt nicht zum Nachweis einer Anonymisierung; auch Merkmalskombinationen können Personen identifizierbar machen.
| Weg | Geeigneter Einsatz | Voraussetzung |
|---|---|---|
| Synthetische Fälle ohne Personenbezug | Definierte Funktions- und Grenzfalltests | Fälle aus den Anforderungen erzeugen |
| Bereinigter Dump | Tests mit erforderlicher produktionsnaher Struktur | Regelabdeckung und Ergebnis prüfen |
| Unveränderte Echtdaten | Nur bei begründetem Bedarf | Alternativen einschließlich Pseudonymisierung, Rechtsgrundlage und Schutz gesondert prüfen |
Eigene Projektregeln unter dump.rewrite ergänzen die technische Bereinigung. Die datenschutzrechtliche Bewertung bleibt eine gesonderte Aufgabe.
Häufige Fragen
Reicht --anonymize allein?
Für einen erweiterten Shop brauchen Sie eine Prüfung der konkreten Datenabdeckung. Der Schalter wendet bekannte und verfügbare zusätzliche Regeln an. Ob danach noch personenbezogene Informationen oder Live-Zugangsdaten enthalten sind, zeigt erst die Kontrolle des Ergebnisses.
Brauche ich CLI 0.19.2 oder Shopware 6.19.2?
0.19.2 bezeichnet hier die Version von Shopware CLI, in der die Erweiterungsregeln erschienen. Gemeint ist keine Shopware-Shopversion. Ihre Betreuung sollte die eingesetzte CLI-Version und deren Verhalten mit Ihrem Projekt prüfen.
Was passiert ohne Plugin-Regeln?
Vorhandene eingebaute Regeln und Projektregeln wirken weiterhin. Daten ohne anwendbare Regel bleiben unverändert im Dump. Eine fehlende anonymize-Konfiguration ist deshalb ein Anlass, die betroffenen Tabellen und Konfigurationseinträge gezielt zu untersuchen.
Sind API-Schlüssel danach widerrufen?
Ein entfernter oder ersetzter Schlüssel betrifft zunächst den Export. Der produktive Zugang bleibt davon getrennt. Einen erforderlichen Widerruf müssen Sie beim jeweiligen Dienst separat veranlassen; Exportbereinigung allein führt ihn nicht aus.
Wann reichen synthetische Testdaten?
Synthetische Daten reichen, wenn sich die geforderten Testbedingungen ohne Personenbezug abbilden lassen. Für definierte Eingaben und Grenzfälle lassen sich passende Datensätze gezielt erzeugen. Prüfen Sie deshalb zuerst die Testanforderungen, bevor Sie Produktionsdaten übernehmen.
Wie aufwendig ist die Vorbereitung?
Der Aufwand hängt von der Zahl der Erweiterungen, eigenen Datenfeldern und vorhandenen Regeln ab. Hinzu kommen die Prüfung der Verbindungen und die fachlichen Abnahmekriterien. Eine vollständige Plugin-Liste schafft die Grundlage für eine konkrete Einschätzung durch Ihre Betreuung.
Quellen
- Shopware: New in Shopware CLI: Anonymize extension data in database dumps, shopware.com
- Shopware: Generating MySQL Dumps, developer.shopware.com
- BfDI: Kurzposition Personenbezogene Daten bei Software-Entwicklung und -Tests, bfdi.bund.de
- BSI: OPS.1.1.6 Software-Tests und -Freigaben, Edition 2023, bsi.bund.de
Fachquellen am 03.11.2026 geöffnet; Shopware-Erläuterung vom 29.10.2026, BfDI-Stand Juni 2025 und BSI-Edition 2023.
Marvin de Vries ist Geschäftsführer von ADence und der E-Commerce Agentur Hamburg. Seit 2011 entwickelt und betreut er mit seinem Team Onlineshops auf WooCommerce, Shopware und Magento, vom Aufbau bis zum sicheren Betrieb. Marvin de Vries auf LinkedIn
Shopware-Testumgebung vorbereiten?
Im kostenlosen Erstgespräch klären wir, wie Ihre Testumgebung, Erweiterungen und technischen Zuständigkeiten zusammenpassen.