TYPO3-Installation prüfen: zehn Punkte, die Sie selbst kontrollieren können
Eine vollständige Sicherheitsprüfung braucht Fachwissen. Ein erster Überblick nicht. Die folgenden zehn Punkte lassen sich ohne tiefe TYPO3-Kenntnisse selbst kontrollieren und zeigen, wo eine bestehende Installation grob steht.
Zehn Punkte für die Selbstkontrolle
Core-Version prüfen. Im TYPO3-Backend unter „Über TYPO3" oder in der composer.json steht die aktuelle Version. Ein Abgleich mit den aktuellen LTS-Versionen zeigt, wie weit die Installation vom aktuellen Stand entfernt ist.
Support-Status der Version klären. Jede TYPO3-Version hat ein festes Supportende. Läuft der reguläre Support bereits aus, gibt es kostenlose Sicherheitspatches nur noch für die aktuelle LTS-Version, nicht mehr für die eigene.
Offene Security Advisories abgleichen. Die vollständige Liste steht öffentlich unter typo3.org/help/security-advisories. Ein Abgleich der eigenen Core- und Extension-Versionen mit dieser Liste zeigt bekannte, noch offene Lücken.
Extension-Liste vollständig kennen. Im Extension-Manager des Backends lässt sich jede installierte Extension einsehen. Wer nicht weiß, was installiert ist, kann auch nicht wissen, was geprüft werden muss.
Ungenutzte Extensions identifizieren. Installierte, aber nicht mehr aktiv verwendete Extensions sind reine Angriffsfläche ohne Gegenwert und sollten deinstalliert werden.
Pflegezustand der Extensions einschätzen. Ein Blick auf das letzte Release-Datum im TYPO3 Extension Repository zeigt, ob eine Extension noch aktiv betreut wird.
BE-Zugänge kontrollieren. Zu viele aktive Backend-Nutzer, alte Zugänge ausgeschiedener Mitarbeiter oder Kollegen, oder fehlende Zwei-Faktor-Authentifizierung sind ein häufig übersehener Risikofaktor.
HTTPS-Konfiguration prüfen. Ein gültiges, aktuelles SSL-Zertifikat und eine konsequente Weiterleitung von HTTP auf HTTPS gehören zur Grundabsicherung.
Backups verifizieren, nicht nur einrichten. Ein Backup, das im Ernstfall nicht zurückgespielt werden kann, ist kein Backup. Ein Testlauf der Wiederherstellung zeigt, ob das Backup tatsächlich funktioniert.
Hosting-Umgebung einordnen. PHP-Version, Serverkonfiguration und ob das Hosting selbst noch Updates erhält, wirken sich direkt auf die Gesamtsicherheit aus, unabhängig vom TYPO3-Core.
Was diese Liste nicht ersetzt
Diese zehn Punkte zeigen eine grobe Einschätzung, keine vollständige Prüfung. Tiefere Fragen, etwa ob eigener Code sicher gegen aktuelle Angriffsmuster ist oder wie eine konkrete Extension im Detail konfiguriert sein sollte, brauchen eine fachliche Prüfung. Was eine solche Prüfung einer bestehenden Installation umfasst, ordnen wir auf der Seite TYPO3-Sicherheit für bestehende Installationen ein.
Den Hintergrund zu Advisories, CVE-Nummern und dem LTS-Patch-Rhythmus erklären wir ausführlich in TYPO3-Sicherheit: Schwachstellen, Updates und Extensions im Vergleich. Wer diese Punkte nicht selbst laufend beobachten möchte, findet die entsprechende laufende Betreuung in unserem Wartungsvertrag.
Quellen: TYPO3 Security Advisories (typo3.org/help/security-advisories)
