TYPO3-Security & Hardening
Ein Sicherheitsupdate schützt nur, wenn es eingespielt ist, und ein Rechtekonzept nur, wenn es zur Organisation passt. Wir härten TYPO3-Installationen, schließen bekannte Schwachstellen und richten Abläufe ein, die diesen Stand halten. Jeder Schritt ist nachvollziehbar und so dokumentiert, dass ein Audit ihn prüfen kann.
Wo wir TYPO3 absichern
Wir beginnen beim Zugriff: Rollen und Gruppen im Backend, eine klare Trennung von Redaktion und Administration, Zwei-Faktor-Anmeldung und nachvollziehbare Änderungen. Danach härten wir die Auslieferung mit TLS, HSTS, Content-Security-Policy und sicheren Cookies.
Zugangsdaten und API-Schlüssel legen wir verschlüsselt ab, wechseln sie und dokumentieren sie. Auf dem Server sichern wir PHP, Webserver, Dateirechte und den Zugang zum Install-Tool ab. Für einen externen Penetrationstest bereiten wir die Umgebung vor und arbeiten die Ergebnisse danach ab. Welche Nachweise NIS2 für den Website-Betrieb verlangt, beschreibt unser Artikel NIS2 und die eigene Website.
Schwachstellen im CMS-Vergleich
Wie viele Schwachstellen ein System betrifft, entscheiden vor allem seine Erweiterungen. TYPO3 hat ein eigenes Security-Team, das Meldungen koordiniert und Updates zusammen mit den Advisories veröffentlicht. Null ist die Zahl trotzdem nicht, deshalb spielen wir Updates nach festen Regeln ein. Die Zahlen aktualisieren sich täglich.
| System | 12 Monate | bis | bis | bis | bis |
|---|---|---|---|---|---|
| TYPO3 | 40 | 5 | 1 | 20 | 14 |
| WordPress | 6.495 | 1.313 | 1.058 | 1.321 | 2.803 |
| Joomla | 378 | 2 | 10 | 76 | 290 |
| Drupal | 168 | 19 | 45 | 61 | 43 |
| Contao | 13 | 2 | 0 | 0 | 11 |
| Magnolia | 1 | 0 | 0 | 0 | 1 |
Quelle: National Vulnerability Database (NVD), vom 15.10.2025 bis 15.10.2026 veröffentlichte CVEs, deren Beschreibung das System nennt, einschließlich Erweiterungen und Plugins. Die Anzahl sagt nichts über die Schwere im Einzelfall aus; verbreitete Systeme werden häufiger untersucht.
TYPO3-Core: Meldungen und Fixes der letzten zwölf Monate
- Core-Meldungen in zwölf Monaten
- 21
- Fix bei Veröffentlichung verfügbar
- 21 von 21
- Fix für v10 bis v12 nur über ELTS
- 14
| Meldung | Veröffentlicht | Schweregrad | Behoben in |
|---|---|---|---|
| TYPO3-CORE-SA-2026-021 CVE-2026-19418 | hoch |
|
|
| TYPO3-CORE-SA-2026-020 CVE-2026-15305 | mittel |
|
|
| TYPO3-CORE-SA-2026-019 CVE-2026-11607 | hoch |
|
|
| TYPO3-CORE-SA-2026-018 CVE-2026-49740 | mittel |
|
|
| TYPO3-CORE-SA-2026-017 CVE-2026-49741 | hoch |
|
|
| TYPO3-CORE-SA-2026-016 CVE-2026-49738 | niedrig |
|
|
| TYPO3-CORE-SA-2026-015 CVE-2026-47352 | mittel |
|
|
| TYPO3-CORE-SA-2026-014 CVE-2026-47351 | mittel |
|
|
| TYPO3-CORE-SA-2026-013 CVE-2026-49742 | hoch |
|
|
| TYPO3-CORE-SA-2026-012 CVE-2026-47350 | mittel |
|
|
| TYPO3-CORE-SA-2026-011 CVE-2026-47349 | mittel |
|
|
| TYPO3-CORE-SA-2026-010 CVE-2026-47348 | mittel |
|
|
| TYPO3-CORE-SA-2026-009 CVE-2026-47347 | mittel |
|
|
| TYPO3-CORE-SA-2026-008 CVE-2026-47346 | hoch |
|
|
| TYPO3-CORE-SA-2026-007 CVE-2026-47343 | hoch |
|
|
| TYPO3-CORE-SA-2026-006 CVE-2026-47345, CVE-2026-47344 | mittel |
|
|
| TYPO3-CORE-SA-2026-005 CVE-2026-6553 | hoch |
|
|
| TYPO3-CORE-SA-2026-004 CVE-2026-0859 | mittel |
|
|
| TYPO3-CORE-SA-2026-003 CVE-2025-59022 | hoch |
|
|
| TYPO3-CORE-SA-2026-002 CVE-2025-59021 | mittel |
|
|
| TYPO3-CORE-SA-2026-001 CVE-2025-59020 | mittel |
|
Quellen: GitHub Advisory Database (betroffene und gefixte Versionen), get.typo3.org (Release-Daten, ELTS). Wie lange es vor der Veröffentlichung vom Hinweis bis zum Fix gedauert hat, ist nicht öffentlich.
Begriffe im Glossar: Advisory, CVSS, ELTS, Coordinated Disclosure
Ablauf
-
Bestandsaufnahme
-
Maßnahmenplan
-
Umsetzung
-
Dokumentation
-
Regelbetrieb
Dazu kommt eine Richtlinie für Updates. Alle Unterlagen sind so geschrieben, dass Ihr Team im Alltag damit arbeiten und eine Prüferin oder ein Prüfer sie nachvollziehen kann.
Gehärtet bis in die Konfiguration
Für eine Wirtschaftskanzlei läuft die Website hinter einer Content-Security-Policy mit Nonces: Eingeschleuster Code wird im Browser nicht ausgeführt, auch wenn er es bis in die Seite schafft. Die Konfiguration samt Zugangsdaten liegt verschlüsselt im Repository und nicht im Klartext auf dem Server.
Änderungen gehen über vier Stufen von der Entwicklung bis in die Produktion. Sicherheit ist dabei kein Projekt mit Enddatum, sondern Teil jedes Deployments.
Voraussetzungen
Für die Bestandsaufnahme reichen lesende Zugänge zu Code, Backend und Serverkonfiguration, dazu Angaben zum Hosting, vorhandene Sicherheitsrichtlinien und, falls es sie gibt, die Ergebnisse früherer Penetrationstests oder Audits.
Häufige Fragen zu Security und Hardening
Was umfasst Security Hardening bei TYPO3?
Die systematische Absicherung von TYPO3, Webserver und Infrastruktur: Rollen und Rechte, Header, TLS, Updates, Zugangsdaten und Notfallprozesse.
Brauche ich das, wenn ich regelmäßig Updates mache?
Updates sind wichtig, aber nur ein Teil. Hardening umfasst auch Konfiguration, Zugriffskonzepte und Prozesse, die über Patches hinausgehen.
Führen Sie Penetrationstests durch?
Wir bereiten Penetrationstests vor, stimmen mit Ihnen den Prüfumfang ab, richten die Umgebung ein und arbeiten die Ergebnisse danach ab. Den Test selbst sollte ein spezialisierter Dienstleister durchführen.
Wie oft sollte ein Security-Review stattfinden?
Mindestens jährlich oder nach größeren Änderungen (Upgrades, neue Integrationen, Infrastruktur-Wechsel).
Unterstützen Sie bei Compliance (NIS2, DSGVO, ISO 27001)?
Ja. Wir liefern Dokumentation, Rechte-Matrizen und Prozessbeschreibungen, die für Audits verwendbar sind. Was wir Organisationen mit NIS2-Pflichten liefern, beschreibt die Seite TYPO3-Betrieb nach NIS2.
Was passiert bei einem Security-Vorfall?
Mit einem Notfallplan (Incident-Response) reagieren wir strukturiert: Analyse, Eindämmung, Behebung, Dokumentation.