WordPress hat Wordfence und WPScan. Was ist das Joomla!-Pendant?

Wer schon WordPress- und Joomla-Websites parallel betreut hat, bemerkt die Tool-Lücke, sobald er danach sucht. WordPress verfügt seit Jahren über eine automatisierte, inventarbasierte Schwachstellenprüfung. Joomla bisher nicht – bis jetzt. Hier ein ehrlicher Blick darauf, was die WordPress-Tools tatsächlich leisten, was Joomla stattdessen hatte, und wo der Vergleich trägt und wo nicht.

Was WordPress-Betreiber gewohnt sind

Wordfence, WPScan, MainWP und Patchstack decken unterschiedliche Teile derselben Aufgabe ab: Sie lesen das installierte Plugin- und Theme-Inventar einer Website aus, gleichen es mit einer Schwachstellendatenbank ab und sagen dem Betreiber, was tatsächlich exponiert ist. Manche gehen weiter. Wordfence bündelt neben den Schwachstellenprüfungen auch eine Firewall und einen Malware-Scanner, und Patchstack kann automatisch einen virtuellen Patch anwenden. WPScan liegt näher am eigentlichen Umfang von Houston: Es gleicht installierte Plugins und Themes mit einer CVE-Datenbank ab und meldet die Funde, ohne dabei auch noch eine Firewall sein zu wollen.

Was Joomla stattdessen hatte

Das eigene Tool-Ökosystem von Joomla setzt eher auf Dateiintegritätsprüfung und Malware-Erkennung. Tools wie Watchful überwachen die Verfügbarkeit, erkennen Dateiänderungen und markieren verdächtigen Code. Das ist eine echte und nützliche Aufgabe. Es ist aber nicht dieselbe Aufgabe wie die Beantwortung der Frage: «Diese bestimmte, bei mir installierte Erweiterung, Version 2.3.1, hat eine offengelegte Schwachstelle.» Bevor irgendetwas Joomlas eigenen VEL-Feed automatisch mit dem tatsächlich installierten Inventar einer Website abglich, gab es auf Joomla für genau diese Frage keine automatisierte Antwort – anders als bei WordPress.

Wo Houston konkret ansetzt

Unser Houston besetzt bei Joomla dieselbe schmale Nische wie WPScan bei WordPress: das installierte Inventar auslesen, es mit einem Schwachstellen-Feed abgleichen, bei wirklich neuen Funden Alarm schlagen. Es scannt keine Dateien nach Malware, betreibt keine Firewall und patcht bewusst nichts automatisch. Das sind unterschiedliche, gut verstandene Aufgaben, und sie in ein einziges Tool zu packen, macht in der Regel alle davon schlechter. Eine Website, die bereits ein Dateiintegritäts- oder Malware-Tool einsetzt, behält dieses bei. Houston steht daneben, nicht an dessen Stelle.

Wo der Vergleich an seine Grenzen stösst

Die Schwachstellendatenbanken von WordPress sind grösser und werden konsistenter gepflegt als Joomlas VEL-Feed – auch, weil das Plugin-Ökosystem von WordPress rund eine Grössenordnung umfangreicher ist und schon länger im Fokus kommerzieller Sicherheitsforschung steht. VEL ist eine wirklich nützliche, offizielle, kostenlose Quelle, siehe wie es tatsächlich funktioniert, hat aber noch nicht die Tiefe einer ausgereiften kommerziellen Schwachstellendatenbank im Rücken. Das ist eine Eigenschaft des Joomla-Ökosystems, die kein einzelnes Tool im Alleingang beheben kann.

Die manuelle, erweiterungsweise Prüfung gegen VEL ist das, was Houston im Alltag ersetzt. Die Checkliste zeigt, wie das ohne Automatisierung aussieht.