Wie kann man eine Joomla Website absichern?

Die untenstehenden Punkte beziehen sich auf Open Source Content Management Systeme (=CMS), wie z. B. WordPress oder Joomla, die bei einem externen Provider in einem „shared hosting“ installiert sind.

1. Website-Software (CMS)

Das CMS ist eine Anwendung, die wie eine Software beim Provider installiert wird. Hinsichtlich der Website Security ist auf Folgendes zu achten:

• Installation der neuesten Version
  • Entweder beim Provider über ein Quick-Install-System oder
  • direkt beim CMS-Anbieter (z. B.: wordpress.org oder joomla.org) herunterladen.
• Wird die Software selbst installiert
  • Installationspaket nur von der Originalquelle beziehen!
• Datei Signatur (SHA oder MD5 Checksum) überprüfen
  (sollte beim Anbieter normalerweise angegeben sein z. B. https://downloads.joomla.org/cms/joomla6/6-0-2)
• Joomla hat seit Joomla 5.1 signierte Updates, d. h. es wird automatisch sichergestellt, dass das Installationspaket sicher ist.

Für CMS gibt es regelmäßige Updates, die einerseits neue Funktionen bringen oder Fehler beheben. Zusätzlich werden mit Updates auch bekannte Sicherheitslücken geschlossen. Daher müssen Websites laufend aktualisiert werden!

2. Erweiterungen

Open Source CMS können auf vielfältige Art und Weise erweitert werden. Meist wird eine Extension, Komponente, Plugin oder Template im Internet heruntergeladen und auf der Website vom Administrator installiert. Prüfen Sie in Bezug auf Website Security vorab:

• die Vertrauenswürdigkeit der Quelle.
• die Aktualität der Quelle und der Erweiterung
• dass die Plugins/Extensions die Updateroutinen der Original-CMS unterstützen.
  Dies kann über offizielle Erweiterungsbibliotheken der CMS-Anbieter festgestellt werden:
  https://wordpress.org/plugins/ oder https://extensions.joomla.org/

Gut zu wissen

Überprüfen Sie auf Anbieter-Seiten beispielsweise den Zeitpunkt des letzten Blogeintrags oder nehmen Sie das Supportforum unter die Lupe. Achten Sie auf den Gesamteindruck des Anbieters!

3. Benutzerberechtigungen

Content-Management-Systeme benötigen auch unterschiedliche Benutzerberechtigungen, da nicht alle User:innen die gleichen Rechte haben sollen. 

Joomla bringt umfangreiche und flexible Einrichtungsmöglichkeiten zu vordefinierten Zugriffsebenen, Benutzergruppen und Benutzer:innen mit, die jedoch komplett angepasst, ergänzt oder ersetzt werden können. Der Vorteil ist, dass diese Einrichtung von allen Extensions ebenfalls unterstützt wird, da die Zugangskontrolle bereits im Core enthalten ist. WordPress enthält standardmäßig ein vergleichsweise einfaches Berechtigungssystem, welches nur über Plugins oder CLI erweitert werden kann, somit wird dieses System auch nicht von allen weiteren Plugins automatisch unterstützt.

Die häufigsten „Schnitzer" in der Website Security entstehen genau hier – bei Benutzerberechtigungen und bei den Zugangsdaten.

4. Zugangsdaten

Für das Einloggen auf der Website sollten Administrator:innen mit zumindest einer Zwei-Faktor-Authentifizierung eingerichtet werden. Hier gibt es entweder bereits mitgelieferte Plugins für verschiedene Verfahren oder diese können nachträglich erweitert werden. Für Nicht-Administrator:innen kann 2FA oder MFA optional oder auch abhängig von der Art der Website (z. B. Intranet-Lösungen) angeboten werden. Auch hardwarebasierte Verfahren (z. B. mit Token) sind möglich.

Adaptive Authentifizierungsverfahren über den Kontext sind für Websites mit Open Source CMS möglich, hier wird z.B. erkannt, ob man sich mit einem bereits bekannten Gerät einloggt. Zusätzlich kann über den Webserver der Zugriff auf Verzeichnisse eingeschränkt werden.

5. Benutzeraktivitäten

Zum Logging und zur Nachverfolgung können Benutzeraktivitäten aufgezeichnet werden. Hier sollten verschiedene Loglevels festgelegt werden können. Einerseits ist die Nachverfolgung durch eine Versionierung auf Contentebene möglich, andererseits z. B. durch die Aufzeichnung von erfolgreichen und erfolglosen Anmeldeversuchen. Ein komplettes Tracking der Benutzeraktivitäten wirft eine Kosten-Nutzen-Frage in Bezug auf Datenschutz auf: es sollte nur so viel getrackt werden, wie entsprechend der Datenkategorie notwendig ist.

Joomla bietet seit einem Privacy Release (2018, Version 3.7) konfigurierbare Protokolle von Benutzeraktivitäten für das gesamte System bereits im Standard. Dieses Logging kann durch Extensions (z. B. Admin Tools) noch erhöht und auf Frontend-Ebene erweitert werden.

6. Provider – Speicherort und Datenbank

Im Shared Hosting sollten schon bei der Provider-Auswahl bestimmte Kriterien feststehen. Ein guter Provider bietet:

• Zugriff per FTPS/SFTP oder SSH für sichere Datenübertragung
• getrennte Konten, wenn bei ihm mehrere Websites verwaltet werden
• im Idealfall ein eigenes Entwicklerkonto für die technische Betreuung
• moderne Server-Software (z. B. PHP 8) mit regelmäßigen Updates
• Error- und Access-Logs, im Idealfall mit laufender Zugriffsmöglichkeit

In jeder Datenbank sollten nur die Daten einer Website liegen, Passwörter nie im Klartext. Konfigurationsdateien am Server gehören nur mit Leserechten ausgestattet.

Ein guter Provider beschreibt sein Datensicherheitskonzept auf der eigenen Website, reagiert rasch auf Supportanfragen, bietet zusätzliche Backups sowie Unterstützung bei der Einrichtung an – und ist selbstverständlich DSGVO-konform.

7. Backups

Ein vollständiges Backup sichert Dateien und Datenbank. Für Joomla und WordPress hat sich dafür Akeeba Backup etabliert, mit Übertragung an weitere Speicherorte (Cloud, zweiter Server) und Verschlüsselung. Mit backupmonkey.io lässt sich zusätzlich automatisiert testen, ob ein Backup tatsächlich wiederherstellbar ist – der Dienst unterstützt inzwischen Joomla (aktuell bis Version 6) und WordPress.

 „kein Backup, kein Mitleid“ oder besser noch: „kein getestetes Backup, kein Mitleid“.

8. Datenübertragung: HTTPS als Basis

Ein Sicherheitszertifikat – ein kostenloses Let's-Encrypt-Zertifikat genügt – verschlüsselt die Übertragung zwischen Browser und Server durchgängig. Seit der DSGVO zwingend überall dort, wo personenbezogene Daten übertragen werden: Login, Kontaktformulare, Shop, Newsletter. 

Extra Tipp: Der Zugriff per HTTPS bietet auch für Suchmaschinenoptimierung Vorteile, da Websites ohne Sicherheitszertifikat von Google schlechter gerankt werden.

9. Weitere Schutzmechanismen

Über HTTP-Headers lässt sich einschränken, welche Inhalte geladen werden dürfen – Stichwort Content-Security-Policy (CSP) und Cross-Origin Resource Sharing (CORS). Eine Website-Firewall blockt Angriffe zusätzlich, kann aber die Performance beeinträchtigen – kein automatischer Standard, sondern eine Maßnahme je nach Risikoprofil.

Für Sie bedeutet das

Keiner dieser 9 Bereiche steht für sich – erst im Zusammenspiel entsteht Betriebssicherheit. Wenn Sie sich unsicher sind, machen Sie den Sicherheits-Selbstcheck oder kontaktieren Sie uns gleich.

Häufig gestellte Fragen zu "Joomla Website absichern"

Was ist der Unterschied zwischen 2FA und MFA?

Zwei-Faktor-Authentifizierung (2FA) verlangt genau zwei Nachweise beim Login – meist Passwort plus Code oder App-Bestätigung. Multi-Faktor-Authentifizierung (MFA) ist der Oberbegriff und kann auch drei oder mehr Faktoren umfassen, etwa zusätzlich ein Hardware-Token.

Reicht ein kostenloses Let's-Encrypt-Zertifikat für HTTPS aus?

Ja. Let's Encrypt verschlüsselt technisch genauso zuverlässig wie kostenpflichtige Zertifikate. Unterschiede liegen meist bei Zusatzleistungen wie erweiterten Validierungsstufen, nicht bei der Verschlüsselung selbst.

Braucht jede Website eine Website-Firewall?

Nicht zwingend. Sinnvoll vor allem bei höherem Risikoprofil, etwa Online-Shops oder Websites mit sensiblen Formulardaten – die mögliche Performance-Einbuße sollte man dabei mitdenken.

Wie oft sollte ich meine Backups testen?

Automatisierte Backups allein garantieren keine funktionierende Wiederherstellung. Eine regelmäßige Testwiederherstellung – im Idealfall automatisiert, etwa monatlich – zeigt verlässlich, ob im Ernstfall alles zurückspielbar ist.

Unterstützt Joomla dieselben Benutzerrechte wie WordPress?

Joomla bringt im Core ein deutlich granulareres System aus Zugriffsebenen, Benutzergruppen und Benutzerkonten mit, automatisch von allen Erweiterungen unterstützt. WordPress benötigt für vergleichbare Feinsteuerung zusätzliche Plugins.