Sicherheit fängt bei den Grundlagen an. Diese zehn Maßnahmen machen Ihre Joomla-5-Installation deutlich resistenter gegen Angriffe.
Warum Sicherheit bei Joomla kein optionaler Luxus ist
Joomla ist ein sicheres CMS — wenn man es richtig konfiguriert. Die meisten Hacks, die wir in unserer Praxis sehen, beruhen nicht auf Schwachstellen im Joomla-Core, sondern auf veralteten Extensions, schwachen Passwörtern und fehlenden Basis-Konfigurationen.
1. Administrator-Verzeichnis schützen
Das Backend unter /administrator ist das Herzstück Ihrer Website. Schützen Sie es zusätzlich mit einem HTTP-Basic-Auth-Schutz oder einer IP-Beschränkung.
2. Zwei-Faktor-Authentifizierung aktivieren
Joomla bringt ein integriertes 2FA-System mit. Aktivieren Sie es zumindest für alle Administratoren-Konten. Der Aufwand ist minimal, der Sicherheitsgewinn erheblich.
3. Extensions aktuell halten
Veraltete Erweiterungen sind die häufigste Eintrittsstelle für Angreifer. Deinstallieren Sie nicht genutzte Erweiterungen vollständig und aktualisieren Sie die restlichen regelmäßig.
4. Core-Updates automatisch freischalten
Ab Joomla 4 können Sie Core-Updates automatisch installieren lassen. Aktivieren Sie diese Option unter System → Konfiguration → Server.
5. SSL erzwingen
Leiten Sie den gesamten Traffic auf HTTPS um. Aktivieren Sie HTTPS erzwingen in der Joomla-Konfiguration auf Gesamte Website.
Ein nicht verschlüsselter Login über HTTP überträgt Administrator-Passwörter im Klartext.
6. Dateiberechtigungen prüfen
Verzeichnisse sollten 755, Dateien 644 haben. Konfigurationsdateien wie configuration.php sollten 440 oder 400 haben.
7. Sicherungsstrategie etablieren
Backups sind die letzte Verteidigungslinie. Automatisieren Sie tägliche Backups mit Akeeba Backup und testen Sie die Wiederherstellung regelmäßig.
8. Web Application Firewall (WAF)
Eine WAF wie Admin Tools filtert bösartige Requests ab, bevor sie Joomla erreichen. Blocken Sie bekannte Angriffsmuster und ratenlimitieren Sie Login-Versuche.
9. Fehlerberichte in Produktion deaktivieren
Setzen Sie Fehler berichten in der Konfiguration auf Keine. Fehlermeldungen können Angreifern Informationen über Ihre Systemumgebung verraten.
10. Log-Files überwachen
Richten Sie ein Monitoring ein, das ungewöhnliche Aktivitäten erkennt — etwa viele fehlgeschlagene Login-Versuche oder unerwartete Dateiänderungen.
Fazit
Sicherheit ist kein Zustand, sondern ein Prozess. Diese zehn Maßnahmen decken die wichtigsten Angriffsvektoren ab und bilden eine solide Basis. Regelmäßige Wartung durch erfahrenes Personal ist der beste Schutz.