Sicherheit in TYPO3: 10 Maßnahmen gegen Sicherheitslücken
Konkrete, bewährte Maßnahmen, die das Einbruchsrisiko und die Anfälligkeit tatsächlich verringern – von Updates über Anwendungs-Firewalls bis hin zur Einhaltung der NIS2-Vorschriften
Auf einen Blick
Grundlage: Die wichtigste Einzelmaßnahme ist die Verwendung einer unterstützten, aktuellen Version von TYPO3 und der Erweiterungen. Die meisten erfolgreichen Angriffe nutzen bekannte, ungepatchte Sicherheitslücken aus.
Ebenen: Sicherheit besteht aus mehreren Ebenen: Updates, Begrenzung der Erweiterungen, Zugriffskontrolle, Anwendungs-Firewall, Überwachung, Backups. Keine einzelne Ebene reicht aus.
Vorschriften: NIS2, DSGVO und das bevorstehende Cyber Resilience Act verlangen dokumentierte Sicherheitsmaßnahmen – das ist nicht mehr nur eine bewährte Praxis, sondern eine Verpflichtung.
Für wen: Für jede TYPO3-Website – von kleinen Unternehmensseiten bis hin zu Portalen des öffentlichen Sektors. Den Umfang der Maßnahmen passen Sie an das jeweilige Risiko an.
Der beste Zeitpunkt, um eine Website zu sichern, ist, bevor etwas passiert. Die Reaktion auf einen Hackerangriff ist kostspielig, stressig und geht oft mit rechtlichen Verpflichtungen einher. Vorbeugung ist kostengünstiger und einfacher – vorausgesetzt, sie wird systematisch durchgeführt. Im Folgenden finden Sie zehn konkrete Maßnahmen, die das Risiko von Sicherheitslücken und Hackerangriffen in TYPO3 effektiv verringern – von den wichtigsten bis hin zu ergänzenden Maßnahmen.
Ein wichtiger Grundsatz zu Beginn: Sicherheit besteht nicht aus einem einzigen „Zauber-Add-on“, sondern aus mehreren Schichten, die zusammen die Widerstandsfähigkeit bilden. Selbst wenn ein Angreifer eine Schicht überwindet, werden ihn die nachfolgenden Schichten aufhalten.
Verwenden Sie stets die aktuelle, unterstützte Version von TYPO3Das ist die wichtigste Einzelmaßnahme. Unterstützte Versionen (v13, v14 und v12 mit ELTS) erhalten Sicherheitspatches; nicht unterstützte Versionen hingegen nicht. Der Betrieb einer nicht unterstützten Version bedeutet, dass jede neue, öffentlich bekannt gewordene Sicherheitslücke für immer offen bleibt. Wenn du v12 verwendest, beachte bitte, dass der Support durch die Community am 31. Oktober 2026 endet – plane die Migration auf v14 rechtzeitig im Voraus.
Erweiterungen aktualisieren und Sicherheitshinweise verfolgenDie überwiegende Mehrheit der Sicherheitslücken im TYPO3-Ökosystem betrifft Erweiterungen, nicht den Kern. Aktualisieren Sie regelmäßig alle Erweiterungen und verfolgen Sie die Sicherheitswarnungen des TYPO3 Security Teams. Bei einer öffentlich bekannt gegebenen Sicherheitslücke, für die ein Patch verfügbar ist, ist es ein Wettlauf gegen die Zeit – die Scanner der Angreifer werden innerhalb weniger Tage aktiv.
Begrenze die Anzahl der ErweiterungenJedes Add-on ist eine potenzielle Angriffsfläche. Je weniger du davon hast, desto geringer ist das Risiko. Frage dich vor der Installation: Ist diese Erweiterung wirklich notwendig, wird sie aktiv gepflegt und wann gab es das letzte Update? Verlassene, nicht mehr gepflegte Erweiterungen stellen eines der größten versteckten Risiken dar. Entferne diejenigen, die du nicht nutzt.
Verwalten Sie die Berechtigungen der Backend-BenutzerDas Prinzip der minimalen Berechtigungen: Jeder Benutzer sollte nur über die Rechte verfügen, die er tatsächlich benötigt. Viele Sicherheitslücken (wie die im Juni bekannt gewordenen Schwachstellen im Form Framework) können ausschließlich von angemeldeten Benutzern mit Schreibrechten für Dateien ausgenutzt werden – daher verringert die Einschränkung dieser Rechte das Risiko tatsächlich. Überprüfen Sie regelmäßig die Liste der Konten, löschen Sie nicht mehr genutzte Konten und setzen Sie sichere Passwörter durch.
Führen Sie eine starke Authentifizierung einPasswörter sind das schwächste Glied – sie können gestohlen, geknackt oder ergaunert werden. Es lohnt sich, eine Multi-Faktor-Authentifizierung einzuführen, und zunehmend auch die passwortlose Anmeldung (Passkeys, WebAuthn/FIDO2 – über TouchID, FaceID, Hardware-Schlüssel). Für NIS2-Betreiber wird eine starke Authentifizierung sogar erwartet.
Füge eine Firewall auf Anwendungsebene hinzuEine Web-Anwendungs-Firewall (WAF) filtert böswillige Anfragen heraus, bevor sie die TYPO3-Logik erreichen – IP-Sperren, Begrenzung der Anfragen, Fail2ban, Schutz vor Scannern. Die TYPO3-Firewall-Erweiterung bietet diese Möglichkeiten auf Anwendungsebene und ergänzt damit die Sicherheitsmaßnahmen des Hostings oder eines CDN (z. B. Cloudflare). Wir haben sie in einem separaten Artikel beschrieben.
Verschlüsseln Sie sensible DatenWenn Sie personenbezogene Daten über Formulare erfassen, sollten Sie deren Verschlüsselung in der Datenbank in Betracht ziehen (Encryption-at-Rest auf Anwendungsebene). Dann bleiben die Daten selbst bei einem möglichen Datenleck unlesbar. Dies trägt unmittelbar zur Einhaltung der DSGVO bei (Art. 32 – technische Maßnahmen). Eine Festplattenverschlüsselung auf dem Hosting-Server reicht nicht aus, da die aktive Datenbank unverschlüsselt ist.
Erstelle regelmäßig SicherungskopienBackups sind Ihr Sicherheitsnetz – bei Hackerangriffen, Systemausfällen oder fehlgeschlagenen Updates. Wichtig ist, dass sie regelmäßig und automatisch erstellt, getestet (eine Sicherung, die sich nicht wiederherstellen lässt, ist wertlos) und außerhalb des Produktionsservers gespeichert werden. Bewahren Sie außerdem Sicherungen aus mehreren Zeitpunkten auf – damit Sie den Zustand vor dem Vorfall wiederherstellen können.
Überwachen und protokollierenMan kann nicht auf etwas reagieren, das man nicht sieht. Es lohnt sich, die Server- und TYPO3-Protokolle, ungewöhnliche Anfragen, Anmeldeversuche sowie die Integrität der Dateien zu überwachen. Automatische Warnmeldungen bei verdächtigen Ereignissen verkürzen die Reaktionszeit. Für NIS2-Betreiber sind Überwachung und die Fähigkeit zur Erkennung von Vorfällen verpflichtend.
Dokumentieren und pflegen Sie den ProzessSicherheit ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Es lohnt sich, Folgendes zu dokumentieren: Welche Maßnahmen wurden umgesetzt, wann wurden Patches installiert und wer hat Zugriff. Diese Dokumentation ist bei einem Audit von unschätzbarem Wert – NIS2 schreibt ausdrücklich ein Schwachstellenmanagement und einen Prüfpfad vor, und der bevorstehende Cyber Resilience Act erweitert die Anforderungen auf den gesamten Lebenszyklus der Software. Ein laufender Wartungsvertrag gewährleistet die Kontinuität dieses Prozesses.
Wie fügt man das alles zu einem Ganzen zusammen?
Nicht alle Maßnahmen müssen auf einmal umgesetzt werden – es empfiehlt sich, mit den wichtigsten zu beginnen und sie entsprechend dem Risikoniveau anzupassen. Hier ist eine sinnvolle Reihenfolge.
✓ Schritt 1 (immer): aktuelle TYPO3-Version, aktuelle Erweiterungen, Verfolgung von Sicherheitshinweisen
✓ Schritt 2: Berechtigungsprüfung, starke Authentifizierung, funktionierende Backups
✓ Schritt 3: Anwendungs-Firewall, Verschlüsselung sensibler Daten, Überwachung
✓ Schritt vier (kontinuierlich): Dokumentation, regelmäßige Überprüfungen, kontinuierliche Wartung
Für Einrichtungen, die der NIS2 unterliegen (Krankenhäuser, Gemeinden, Hochschulen), sind diese Maßnahmen keine Option, sondern Teil der Verpflichtungen. Doch auch ohne regulatorischen Druck verringert jede dieser Ebenen die Wahrscheinlichkeit und die Auswirkungen eines Vorfalls erheblich.
Häufig gestellte Fragen
Die TYPO3-Version und die Erweiterungen auf dem aktuellen, unterstützten Stand halten. Die meisten erfolgreichen Angriffe nutzen bekannte, bereits behobene Sicherheitslücken in nicht aktualisierten Installationen aus. Allein durch regelmäßige Updates lässt sich ein Großteil des Risikos beseitigen.
Die Grundlagen – ja – Updates, Backups und Zugriffskontrolle sind universell. Die fortgeschritteneren Ebenen (Anwendungs-Firewall, Verschlüsselung, Überwachung) skalieren Sie entsprechend dem Risiko und der Sensibilität der Daten. Eine kleine Website ohne personenbezogene Daten hat andere Anforderungen als ein Patientenportal.
TYPO3 verfügt über einen ausgereiften Sicherheitsprozess – ein eigenes Sicherheitsteam, regelmäßige Sicherheitshinweise, transparente Patches –, was eine seiner Stärken ist. Doch kein CMS ist „von sich aus“ sicher. Die Sicherheit hängt in erster Linie von der Art der Implementierung und Wartung ab.
Sicherheitsupdates – laufend, zusammen mit Sicherheitshinweisen. Umfassendere Überprüfung (Erweiterungen, Berechtigungen, Konfiguration, Kopien) – in regelmäßigen Abständen, z. B. vierteljährlich. Ein fester Wartungsvertrag automatisiert die Überwachung und verkürzt die Reaktionszeit.
Wie können wir helfen?
Wir setzen diese Maßnahmen täglich um – für Kunden in Polen und den DACH-Ländern, von kleinen Websites bis hin zu Portalen des öffentlichen Sektors. Wir bieten Sicherheits- und NIS2-Konformitätsaudits, die Implementierung mehrschichtiger Schutzmaßnahmen (Updates, Anwendungs-Firewall, Datenverschlüsselung, Überwachung) sowie laufende Wartungsverträge mit Dokumentation für Auditzwecke an.
Telefon: 12 333 44 01. E-Mail: [email protected].
