Kaufen · $39.90

Bevor etwas passiert

Hat deine Joomla!-Website eine verwundbare Erweiterung? Eine Checkliste

Das ist nicht dieselbe Frage wie «Ist meine Website gehackt?»: Dabei geht es um Anzeichen einer aktiven Kompromittierung, die wir für Joomla! 3-Websites separat in unserer Checkliste für gehackte Websites behandeln. Diese Frage kommt früher und ist leiser: Wie erkennst du, bevor etwas passiert, ob eine deiner installierten Erweiterungen eine bekannte, aber ungepatchte Schwachstelle hat?

Manuelle Anzeichen, die du schon heute prüfen kannst

  • Vergleiche deine Joomla-Core-Version mit der neuesten Version. System → Joomla! aktualisieren zeigt Versionsabweichungen an, meldet aber jede neuere Version, nicht speziell den Schwachstellen-Status.
  • Prüfe, ob Joomlas eigener VEL-Feed eine deiner installierten Erweiterungen namentlich auflistet. Sieh dir an, wie der Feed selbst aufgebaut ist, bevor du ihn von Hand durchsuchst.
  • Prüfe das Changelog jeder Erweiterung auf sicherheitsrelevante Formulierungen. Begriffe wie «security fix», «XSS» oder «SQL injection» sind, auch ohne zugehörige offizielle CVE, eine genauere Prüfung wert.
  • Markiere Erweiterungen, die lange kein Update mehr erhalten haben. Eine Erweiterung, die seit zwei oder mehr Jahren nicht angefasst wurde, wurde nicht zwangsläufig gegen seither entdeckte Schwachstellenklassen erneut geprüft.
  • Prüfe unter System → Erweiterungen, ob etwas installiert, aber nie tatsächlich genutzt wird. Eine ungenutzte Erweiterung führt weiterhin Code aus und trägt weiterhin jede Schwachstelle, die sie hat.

Warum das manuell an seine Grenzen stösst

Jede dieser Prüfungen dauert für eine Erweiterung nur wenige Minuten. Eine typische Joomla-Website läuft mit irgendwo zwischen 20 und 50 Erweiterungen, sobald man Komponenten, Plugins, Module und Templates zusammenzählt, und eine Agentur, die ein Portfolio an Kunden-Websites betreut, vervielfacht das weiter. Manuelles Prüfen, eine Erweiterung nach der anderen, funktioniert gut als einmaliges Audit. Als laufende Praxis funktioniert es nicht, denn niemand wiederholt tatsächlich jede Woche eine 30-minütige manuelle Prüfung über Dutzende Websites hinweg – und eine Schwachstelle, die in einer vor sechs Monaten installierten Erweiterung offengelegt wurde, ist genauso real wie eine gestern offengelegte, wenn sie seither niemand erneut geprüft hat.

Wie die Automatisierung aussieht

Genau diese Lücke schliesst unser Houston: Es führt die oben genannten VEL- und Security-Centre-Prüfungen automatisch, jeden Tag, gegen das tatsächlich installierte Inventar durch und verschickt nur dann eine E-Mail, wenn ein Fund wirklich neu ist. Sieh dir an, wie du es einrichtest, um das nicht mehr von Hand machen zu müssen. Wenn du von WordPress kommst, sieh dir an, wie das im Vergleich zu Wordfence und WPScan abschneidet.

← Zurück zu Houston

Häufig gestellte Fragen

Ist eine Erweiterung automatisch sicher, wenn der VEL keine Schwachstellen für sie zeigt?

Nein. Das heisst nur, dass bisher nichts gemeldet wurde – nicht, dass nichts existiert. Der VEL ist eine Aufzeichnung bekannter, offengelegter Probleme, keine Garantie.

Was, wenn eine Erweiterung gar kein Changelog zum Prüfen hat?

Das ist bereits an sich bemerkenswert. Kein Changelog bedeutet meist auch keine Transparenz darüber, ob bekannte Probleme jemals behoben werden.

Wie lange dauert es tatsächlich, eine Website von Hand zu prüfen?

Ein paar Minuten pro Erweiterung, also eine Stunde oder mehr für eine typische Website mit 20 bis 50 Erweiterungen – und das muss regelmässig wiederholt werden, um aktuell zu bleiben, nicht nur einmal.

Sollten ungenutzte, deaktivierte Erweiterungen trotzdem geprüft werden?

Ja. Die Dateien einer deaktivierten Erweiterung sind in der Regel weiterhin auf dem Server vorhanden. Wird sie jemals wieder aktiviert oder ist ihr Code direkt erreichbar, bleibt jede vorhandene Schwachstelle real.