TYPO3 gehackt oder anfällig? Sofortige Hilfe und Checkliste
So überprüfen Sie, ob Ihre TYPO3-Website sicher ist, was Sie tun sollten, wenn Sie einen Hackerangriff oder eine Sicherheitslücke entdecken, und wann Sie Hilfe anfordern sollten – ein praktischer Schritt-für-Schritt-Leitfaden
Auf einen Blick
Vermuten Sie einen Hackerangriff?: Keine Panik, sondern gehen Sie methodisch vor. Sichern Sie zunächst die Beweise und erstellen Sie eine Kopie, dann führen Sie eine Diagnose durch – nicht umgekehrt. Voreiliges „Aufräumen“ kann Spuren verwischen und die Ursache des Problems nicht beseitigen.
Möchtest du nur nachsehen?: Überprüfe die Version von TYPO3 und der Erweiterungen, vergleiche sie mit den aktuellen Sicherheitshinweisen, überprüfe die Protokolle und die Integrität der Dateien. Im Artikel findest du eine konkrete Checkliste.
Grundregel: Bei einer öffentlich bekannt gegebenen Sicherheitslücke mit verfügbarem Patch ist es ein Wettlauf gegen die Zeit – Scanner der Angreifer suchen innerhalb weniger Tage nach nicht aktualisierten Installationen.
DSGVO: Wenn es zu einem Datenleck mit personenbezogenen Daten gekommen ist, besteht möglicherweise die Verpflichtung, dies innerhalb von 72 Stunden der Datenschutzbehörde (UODO) zu melden. Dies ist eine separate, wichtige Verpflichtung.
Jeder Website-Betreiber stellt sich früher oder später diese Frage: Ist meine Website sicher? Manchmal handelt es sich um eine routinemäßige Überprüfung, manchmal um plötzliche Besorgnis – seltsame Einträge, Verlangsamung, eine Warnung vom Hosting-Anbieter, verdächtige Weiterleitungen. Dieser Artikel führt Sie durch beide Szenarien: Wie Sie den Sicherheitsstatus von TYPO3 in aller Ruhe überprüfen können und was zu tun ist, wenn bereits etwas schiefgelaufen ist.
Wir weisen darauf hin: Dies ist ein praktischer Leitfaden, der eine individuelle Analyse nicht ersetzen kann. Bei einem schwerwiegenden Vorfall – insbesondere im Zusammenhang mit personenbezogenen Daten – sollten Sie so schnell wie möglich die Hilfe von Fachleuten in Anspruch nehmen.
Woran erkennt man, dass etwas nicht stimmt?
Hackerangriffe auf Websites sehen selten spektakulär aus. Meistens verlaufen sie unbemerkt – denn dem Angreifer ist daran gelegen, so lange wie möglich unentdeckt zu bleiben. Hier sind die Warnzeichen, die man kennen sollte.
✗ Unbekannte Einträge, Seiten oder Benutzer im Backend, die von keinem Teammitglied erstellt wurden
✗ Weiterleitungen zu fremden Domains – besonders auffällig bei mobilen Nutzern oder Besuchern, die über eine Suchmaschine auf die Seite gelangen
✗ Plötzliche Verlangsamung der Website oder Anstieg der Serverauslastung ohne ersichtlichen Grund
✗ Warnung des Hosting-Anbieters, der Google Search Console oder des Browsers vor Schadsoftware
✗ Unbekannte Dateien in Systemverzeichnissen, insbesondere PHP-Dateien an Orten, an denen sie nicht vorkommen sollten
✗ Versendung von Spam über Ihre Domain oder Aufnahme der Domain in Sperrlisten
✗ Änderungen an Konfigurationsdateien oder in Benutzertabellen, die niemand vorgenommen hat
Wichtig: Das Fehlen dieser Anzeichen bedeutet nicht, dass die Website sicher ist. Viele Sicherheitslücken können ohne sichtbare Spuren ausgenutzt werden. Daher lohnt es sich, neben der Reaktion auf Warnsignale auch regelmäßig und bewusst den Sicherheitsstatus zu überprüfen.
Checkliste: So überprüfen Sie, ob TYPO3 sicher ist
Nachfolgend finden Sie eine methodische Checkliste. Sie können diese selbst durchgehen oder ein Audit in Auftrag geben – in beiden Fällen ist es hilfreich zu wissen, was genau überprüft wird.
TYPO3-VersionÜberprüfen Sie, ob Sie mit einer unterstützten Version arbeiten (v13, v14 oder v12 mit ELTS). Nicht mehr unterstützte Versionen erhalten keine Patches – das ist das größte Einzelrisiko.
Core-NewsVergleichen Sie die Version mit der neuesten Sicherheitsversion (z. B. 14.3.3 / 13.4.31). Jede Versionslücke stellt eine potenzielle, bekannte Sicherheitslücke dar.
ErweiterungenListen Sie alle Erweiterungen und Versionen auf und vergleichen Sie diese mit den aktuellen Sicherheitshinweisen. Achten Sie dabei besonders auf die gängigen Erweiterungen (tt_address, news, ke_search).
BenutzerrechteÜberprüfen Sie die Liste der Backend-Konten – sind alle bekannt und erforderlich? Löschen Sie nicht genutzte Konten und beschränken Sie überflüssige Berechtigungen (insbesondere das Speichern von Dateien).
ProtokolleÜberprüfen Sie die Server- und TYPO3-Protokolle auf ungewöhnliche Anfragen, Anmeldeversuche und Zugriffe auf ungewöhnliche Pfade.
Integrität der DateienVergleichen Sie die Systemdateien mit der sauberen Version – fremde oder veränderte PHP-Dateien sind ein Alarmsignal.
Konfiguration und UmgebungÜberprüfen Sie die PHP-Version (ob sie unterstützt wird), die Sicherheitseinstellungen, den Zugriff auf das Installationspanel und die Offenlegung sensibler Dateien.
SicherungskopienStellen Sie sicher, dass Sie über aktuelle, funktionsfähige Kopien verfügen – und dass diese sicher außerhalb des Produktionsservers gespeichert sind.
Was ist nach der Feststellung eines Einbruchs zu tun – Schritt für Schritt
Wenn Sie den begründeten Verdacht auf einen Hackerangriff haben, ist die Reihenfolge der Maßnahmen entscheidend. Der häufigste Fehler ist das voreilige „Aufräumen“, das zwar die Spuren verwischt, aber die Ursache nicht beseitigt – woraufhin der Angriff erneut auftritt.
- Sichere die Beweise
Bevor du irgendetwas änderst, erstelle eine vollständige Kopie (Dateien + Datenbank + Protokolle). Diese wird für die Analyse und eine eventuelle Meldung benötigt.
- Schäden begrenzen
Je nach Situation: vorübergehende Deaktivierung der Website, Trennung vom Netzwerk, Änderung der Zugangsdaten (Backend, Datenbank, FTP, Hosting, Control Panel).
- Identifiziere die Quelle
Finde heraus, durch welche Sicherheitslücke der Angreifer eingedrungen ist – ohne diese Erkenntnis macht das Bereinigen keinen Sinn, da die Hintertür offen bleibt. Hier helfen Protokolle und die Analyse der geänderten Dateien.
- Schädlichen Code entfernen und die Dateien wiederherstellen
Wahrscheinlich von einer vertrauenswürdigen Kopie aus der Zeit vor dem Vorfall oder durch eine Neuinstallation von Core und den Erweiterungen.
- Schließe die Sicherheitslücke
Aktualisiere Core, Erweiterungen und PHP. Andernfalls wird der Angriff erneut stattfinden.
- Alle Anmeldeinformationen ändern
Benutzernamen für das Backend, API-Schlüssel, Zugangsdaten für Datenbanken und externe Dienste.
- Überwachen
Beobachten Sie nach der Wiederherstellung die Protokolle und das Verhalten der Website – stellen Sie sicher, dass der Angriff nicht erneut auftritt.
- Berücksichtige die rechtlichen Verpflichtungen
Sollte es zu einem Datenleck gekommen sein, prüfen Sie die Meldepflicht gegenüber der UODO (innerhalb von 72 Stunden) sowie – bei NIS2-Betreibern – die Pflichten zur Meldung von Vorfällen.
Bei einem schwerwiegenden Hackerangriff, insbesondere wenn sensible Daten betroffen sind oder es sich um ein reguliertes Unternehmen handelt, kann es riskant sein, auf eigene Faust zu handeln. In solchen Situationen lohnt es sich, so schnell wie möglich die Hilfe von Fachleuten in Anspruch zu nehmen – sowohl, um das Problem wirksam zu beheben, als auch, um den Vorfall ordnungsgemäß zu dokumentieren.
Wann sollte man um Hilfe bitten?
Nicht jede Situation erfordert einen Fachmann, aber es gibt Anzeichen, bei denen man besser nicht auf eigene Faust handeln sollte.
✓ Sie vermuten einen Hackerangriff, können die Quelle aber nicht ausfindig machen – eine Bereinigung ohne diese Information ist Zeitverschwendung
✓ Es ist zu einem Datenleck gekommen – hier spielen gesetzliche Verpflichtungen und Fristen eine Rolle
✓ Die Website ist geschäftskritisch (Online-Shop, Patientenportal, öffentliche Dienste) und jede Stunde Ausfallzeit kostet Geld
✓ Sie unterliegen der NIS2-Richtlinie und müssen Ihre Reaktion auf den Vorfall dokumentieren
✓ Sie haben keinen festen technischen Support und sind sich nicht sicher, ob das Problem vollständig behoben wurde
Häufig gestellte Fragen
Sehr schnell. Automatisierte Scanner beginnen oft bereits innerhalb von Stunden oder Tagen nach Veröffentlichung eines Sicherheitshinweises, das Netz nach anfälligen Systemen zu durchsuchen. Deshalb ist es so wichtig, das System unmittelbar nach Erscheinen des Patches zu aktualisieren.
Zum Teil. Der Hosting-Anbieter verfügt zwar möglicherweise über eine Firewall und grundlegende Sicherheitsmaßnahmen, schließt jedoch keine Sicherheitslücken in Ihrem TYPO3 oder Ihren Erweiterungen – dafür sind Sie (oder Ihre Agentur) verantwortlich. Die Anwendungsebene liegt in Ihrer Verantwortung.
Das Update behebt bekannte Sicherheitslücken, doch wenn bereits ein Einbruch stattgefunden hat, entfernt der Patch allein nicht den bösartigen Code, den der Angreifer hinterlassen hat. Deshalb muss man nach einem Vorfall sowohl den Patch installieren als auch das System bereinigen und die Anmeldedaten ändern.
Sicherheitsupdates – laufend, zusammen mit Sicherheitshinweisen. Umfassendere Überprüfung (Erweiterungen, Berechtigungen, Konfiguration, Kopien) – in regelmäßigen Abständen, z. B. vierteljährlich. Ein fester Wartungsvertrag automatisiert die Überwachung und verkürzt die Reaktionszeit.
Wie können wir helfen?
Wenn Sie ein Problem vermuten oder einfach nur den Sicherheitsstatus überprüfen möchten – wir helfen Ihnen gerne weiter. Wir bieten eine TYPO3-Sicherheitsüberprüfung (Versionen, Erweiterungen, Konfiguration) mit einem Bericht innerhalb von 24–48 Stunden, Unterstützung bei der Beseitigung der Folgen von Hackerangriffen sowie laufende Wartungsverträge mit garantierter Reaktion auf Sicherheitshinweise und Dokumentation für das NIS2-Audit.
Telefon: 12 333 44 01. E-Mail: [email protected]. Wenn es dringend ist – rufen Sie uns an.
