Die häufigsten Joomla-Sicherheitsprobleme aus unserer Praxis
1. Joomla 3 weiter im Einsatz
Der größte Risikofaktor 2026. Sites, die noch auf Joomla 3 laufen, haben seit über
zwei Jahren keine Sicherheits-Patches mehr bekommen. Bekannte Lücken in Komponenten
wie sh404SEF (alte Versionen), Akeeba (alte Versionen), oder Custom-Komponenten
sind dauerhaft offen. Lösung: Migration auf Joomla 5, Punkt.
2. Veraltete Komponenten
Joomla-Komponenten werden oft vom Original-Hersteller nicht mehr gepflegt
(manche K2-, Hikashop- oder JCE-Versionen sind seit Jahren nicht aktualisiert).
Wer eine alte Komponente hat, sollte prüfen: gibt es noch ein aktuelles Update,
oder muss die Komponente ersetzt werden? Wir machen das im Rahmen der Wartung.
3. Schwache Login-Daten und kein Two-Factor
Brute-Force-Angriffe auf /administrator sind die zweite große Einfallspforte.
Joomla bringt seit Version 3.2 native Two-Factor-Unterstützung mit – die ist aber
oft nicht aktiviert. Wir machen das beim Onboarding zur Pflicht.
4. Kein Hardening über Admin Tools / RSFirewall
Joomla bringt von Haus aus keine Web Application Firewall mit.
Ohne Admin Tools oder RSFirewall ist die Site allen
Bot-Wellen direkt ausgesetzt. Wir setzen eines der beiden bei jedem Mandat als
Standard-Härtung ein – inklusive sinnvoller Default-Konfiguration.
5. Fehlende SSL-Konfiguration
SSL via Let's Encrypt ist heute kein Aufwand mehr – aber bei alten Joomla-Sites oft
noch nicht durchgängig erzwungen. Wir setzen HTTPS-Redirect, HSTS-Header und
sichere Cookie-Konfiguration als Pflichtpaket im Setup.
Wartung statt Notfall: Wie wir vorgehen
Wöchentliche Update-Routine
Updates für Joomla-Core, Komponenten, Module, Plugins und Templates laufen wöchentlich
– aber nie blind. Vor jedem Update: Akeeba-Snapshot, Staging-Umgebung prüfen,
Update einzeln einspielen, Site-Funktionen testen, dann erst auf Live. Bei
Konflikten: zurück zur vorherigen Version, Component-Hersteller kontaktieren,
Workaround suchen.
Monatliche Sicherheits-Checks
Einmal im Monat: Login-Logs durchgehen, Audit-Logs prüfen (in Joomla nativ oder
per Admin Tools), ungewöhnliche Datei-Änderungen erkennen, Komponenten-Liste auf
neue Sicherheitsmeldungen abklopfen. Ergebnis fließt in den monatlichen
Klartext-Report ein.
Sofortmaßnahmen bei Vorfällen
Wenn doch etwas passiert: in der Regel innerhalb weniger Stunden Reaktion. Site
offline nehmen, Schadcode lokalisieren, sauberes Akeeba-Backup einspielen,
Sicherheitslücke schließen, alle Passwörter neu setzen, Site wieder online. Bei
harten Notfällen läuft parallel der
24/7-IT-Notdienst
als Eskalationsweg.
Was Wartung nicht ist
Drei Erwartungen, die wir geradeziehen müssen:
- Wartung ist keine 100-%-Garantie.Auch bei sauberer Pflege gibt es Zero-Day-Lücken und gezielte Angriffe. Wartung reduziert das Risiko massiv, schließt es aber nie zu null aus.
- Wartung ersetzt kein Backup-Konzept.Sicherheit und Backup arbeiten Hand in Hand – beide brauchen Aufmerksamkeit. Details: Backup & Recovery.
- Wartung macht keine Komponenten gut, die schlecht sind.Wenn eine Komponente Sicherheitsprobleme häuft oder seit Jahren nicht mehr gepflegt wird, hilft es nichts: Komponente austauschen statt patchen.