TYPO3 absichern, bevor es zum Problem wird
Eine TYPO3-Installation, die einmal eingerichtet wurde, bleibt nicht von selbst sicher. Core und Extensions verändern sich, Schwachstellen werden bekannt, und wer die Verantwortung für eine bestehende Installation trägt, sitzt oft zwischen einer Vorgabe von IT oder Datenschutz und der Frage, wo überhaupt anzusetzen ist. Diese Seite ordnet ein, wie TYPO3 Sicherheitslücken meldet, welches Risiko tatsächlich am größten ist und was eine Prüfung der eigenen Installation umfasst.
Wie TYPO3 Sicherheitslücken kommuniziert
TYPO3 hat ein eigenes Security Team, das gemeldete Schwachstellen prüft und in Advisories veröffentlicht: mit CVE-Kennung, Schweregrad und der betroffenen Versionsspanne. Patches erscheinen im Rhythmus des LTS-Zyklus, sodass eine gepflegte Installation die Korrektur zeitnah erhält, eine vernachlässigte dagegen nicht.
Wie dieser Ablauf im Detail funktioniert und was er für den eigenen Betrieb bedeutet, beschreiben wir in TYPO3-Sicherheit: Schwachstellen, Updates und Extensions im Vergleich.
Extensions als größtes Sicherheitsrisiko
Nicht der TYPO3-Core ist in der Praxis das häufigste Einfallstor, sondern Extensions von unterschiedlicher Pflegequalität. Wir unterscheiden drei Risikoklassen: Core-nahe und gut gepflegte Community-Extensions, schwach gepflegte Community-Extensions, und proprietäre Extensions ohne öffentliche Sicherheitsprüfung. Jede zusätzliche Extension ist eine zusätzliche Angriffsfläche, unabhängig davon, wie gut der Core selbst gepflegt ist.
Die drei Klassen und die Frage, wann eine Extension ersetzt statt weiter gepflegt werden sollte, erklären wir ausführlich in TYPO3-Extensions: Pflegen, kürzen, ersetzen.
Wie lange eine TYPO3-Version unterstützt wird
Für Unternehmen mit hohen Sicherheitsvorgaben zählt weniger die aktuelle Funktionsvielfalt als die Frage, wie lange eine Version noch Patches bekommt. Jede LTS-Version erhält drei Jahre kostenlosen Community-Support. Danach lässt sich der Support über ELTS um bis zu vier weitere Jahre kostenpflichtig verlängern. Läuft auch dieser Zeitraum ab, ohne dass ein Upgrade stattgefunden hat, bekommt die Installation keine Sicherheitspatches mehr, unabhängig davon, ob eine Schwachstelle bekannt wird oder nicht.
Was das konkret für die eigene Version bedeutet, und was mit TYPO3 11 zum Beispiel bereits passiert ist, steht in TYPO3 LTS: Warum der Update-Rhythmus ein strategischer Vorteil ist und in TYPO3 11 läuft aus: was Betreiber jetzt wissen müssen.
Nachvollziehbare Updates statt manueller Patches
Ein Update von Hand direkt auf dem Server ist schwer nachzuvollziehen: welche Version lief vorher, was hat sich geändert, wer hat es gemacht. Über Composer sind Core und Extensions als feste Versionen in der composer.lock festgehalten, sodass jedes Update als Änderung an einer Datei sichtbar wird, nicht als stille Handlung am laufenden System.
Warum das die Update-Praxis grundlegend verändert, beschreiben wir in TYPO3 und Composer: Moderne Entwicklung ohne manuelle Patcherei.
Was eine Sicherheitsprüfung der eigenen Installation umfasst
Eine Prüfung, ob eine bestehende Installation ausreichend gegen Hacker geschützt ist, deckt vier Punkte ab: die eingesetzte Core-Version und ihr verbleibendes Support-Fenster, die Liste der aktiven Extensions und ihre Risikoklasse, offene Advisories, für die noch kein Patch eingespielt wurde, und die Konfiguration des Hostings selbst. Aus diesen vier Punkten ergibt sich, wo tatsächlich Handlungsbedarf besteht, statt pauschal von einer unsicheren oder sicheren Installation zu sprechen.
Die laufende Betreuung nach einer solchen Prüfung ist Bestandteil unseres Wartungsvertrags, ein anstehendes Versions-Upgrade beschreiben wir auf der Seite TYPO3 Update, Upgrade und LTS. Wenn Sie Hilfe bei der Einschätzung Ihrer eigenen Installation brauchen, sind wir erreichbar.
