Sicherheit bei Joomla ist Arbeitsteilung. Der Hoster sorgt dafür, dass Server, PHP und Datenbank aktuell und sauber eingerichtet sind. Du als Betreiber entscheidest, wer sich anmelden darf, welche Erweiterungen laufen und wie gut deine Passwörter sind. Fällt eine Seite aus, hilft die andere nur begrenzt. Dieser Ratgeber zeigt, was ein gutes Joomla-Hosting mitbringen sollte und welche Maßnahmen bei dir liegen.
Warum Updates an erster Stelle stehen
Das Joomla-Projekt veröffentlicht entdeckte Sicherheitslücken mit Schweregrad und betroffenen Versionen. Allein im September 2026 meldete es 16 Lücken im Kern, darunter zwei mit hohem Schweregrad und eine, mit der sich die Multi-Faktor-Anmeldung über Cookies umgehen ließ. Geschlossen wurden sie in Joomla 5.4.9 und 6.1.4 [1]. Wer diese Updates nicht einspielt, betreibt eine Website mit bekannten Lücken.
Die Joomla-Dokumentation nennt regelmäßige Updates deshalb als zentrale Schutzmaßnahme und weist darauf hin, dass das Sicherheitsteam des Projekts Korrekturen schnell veröffentlicht [2]. Den Feed der Sicherheitsmeldungen kannst du per RSS abonnieren [1]. Dazu kommt der Lebenszyklus der Versionen: Joomla 5.4 bekommt nach dem 13.10.2026 nur noch ein Jahr lang Sicherheitsupdates [3].
Beim Joomla Hosting von SEO NW werden Updates des Joomla-Kerns automatisch eingespielt [4]. Erweiterungen und Templates aktualisierst du selbst. Gerade dort liegt ein großes Risiko, denn eine verwundbare Erweiterung öffnet die Website genauso wie ein veralteter Kern.
Was der Hoster leisten sollte
Aktuelles PHP
Joomla ist nur so sicher wie die PHP-Version, auf der es läuft. Das PHP-Projekt pflegt jede Version vier Jahre lang. PHP 8.2 bekommt Sicherheitskorrekturen bis zum 31.12.2026, PHP 8.3 bis zum 31.12.2027 [5]. Ein Hoster sollte aktuelle Versionen anbieten und den Wechsel einfach machen. Die Joomla-Dokumentation rät, die PHP-Version auf eine aktuelle stabile Fassung zu heben, die zu Templates und Erweiterungen passt [2].
Trennung der Kunden
Auf einem Shared Hosting teilen sich viele Websites einen Server. Die Joomla-Dokumentation warnt bei sehr günstigen Angeboten davor, dass eine Website kompromittiert werden kann, wenn andere Websites auf demselben Server gehackt wurden [2]. Frag deinen Hoster, wie Kundenkonten voneinander getrennt sind.
HTTPS
Ein SSL-Zertifikat gehört zur Grundausstattung. In der globalen Konfiguration von Joomla lässt sich mit Force HTTPS erzwingen, dass die Website nur verschlüsselt aufgerufen wird. Joomla setzt dann auch sichere Cookies [6]. Voraussetzung ist, dass HTTPS auf dem Server funktioniert. Beim Joomla Hosting von SEO NW ist SSL vorinstalliert [4].
Backups außerhalb des Servers
Ein Backup auf demselben Server hilft wenig, wenn genau dieser Server ausfällt oder kompromittiert wird. Beim Joomla Hosting von SEO NW liegen die täglichen Sicherungen deshalb in einem zweiten Rechenzentrum [4]. Trotzdem ersetzen sie keine eigene Sicherung. Die Joomla-Dokumentation rät ausdrücklich, sich bei der Wiederherstellung nicht allein auf die Schnappschüsse des Hosters zu verlassen [7].
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Was bei dir liegt
Multi-Faktor-Anmeldung
Seit Joomla 4.2 gibt es die Multi-Faktor-Authentifizierung. Nach Benutzername und Passwort fragt Joomla auf einem zweiten Bildschirm nach einem weiteren Nachweis. Möglich sind ein YubiKey, Web Authentication, ein Bestätigungscode aus einer App oder ein Code per E-Mail [8]. Die Joomla-Dokumentation empfiehlt ausdrücklich, die Multi-Faktor-Anmeldung einzuschalten [2]. Tu das mindestens für alle Konten mit Administratorrechten.
Benutzernamen und Passwörter
Gib dem Super User einen eigenen Benutzernamen statt admin und ein langes Passwort, das du nirgends sonst nutzt [9]. Ein Passwortmanager erleichtert das. Gib jeder Person ein eigenes Konto statt eines gemeinsamen Zugangs. Dann siehst du später auch, wer was geändert hat.
Rechte sparsam vergeben
Joomla unterscheidet im Backend unter anderem zwischen Managern, Administratoren und Super Usern. Manager bearbeiten Beiträge und Kategorien, dürfen aber keine Erweiterungen installieren. Administratoren verwalten zusätzlich Benutzer, Menüs und Erweiterungen, kommen aber nicht an die globale Konfiguration. Super User dürfen alles. Die Dokumentation rät, jedem nur die Rechte zu geben, die er für seine Aufgabe braucht [2].
Erweiterungen mit Bedacht
Jede Erweiterung ist zusätzlicher Code, der Lücken haben kann. Die Joomla-Dokumentation empfiehlt, möglichst wenige Erweiterungen einzusetzen, nur solche von vertrauenswürdigen Anbietern, und sie aktuell zu halten [2]. Prüfe außerdem regelmäßig die Vulnerable Extensions List des Joomla-Projekts. Erweiterungen mit bekannten Lücken ohne Korrektur solltest du entfernen oder ersetzen [2]. Entferne auch Erweiterungen, die du nicht mehr nutzt. Deaktivieren allein reicht nicht, weil ihre Dateien auf dem Server bleiben.
Sicherer Dateizugriff
Nutze für den Dateizugriff SFTP statt unverschlüsseltem FTP. Speichere Passwörter nicht im FTP-Programm, weil manche Programme sie leicht auslesbar ablegen [2]. Auf Linux-Servern empfiehlt Joomla als Dateirechte 755 für Verzeichnisse, 644 für Dateien und 444 für die configuration.php. Rechte von 777 solltest du nie vergeben [10].
Datenbank und Sitzungen
Bei der Installation erzeugt Joomla einen zufälligen Präfix für die Datenbanktabellen, ausdrücklich als Sicherheitsmerkmal. Übernimm ihn oder wähle einen eigenen, aber nicht den Präfix aus einer alten Anleitung [9]. Das Passwort des Datenbankbenutzers sollte nur für diese eine Datenbank gelten. In der globalen Konfiguration legst du außerdem fest, nach wie vielen Minuten ohne Aktivität Joomla angemeldete Benutzer abmeldet. Die Hilfe rät, diesen Wert nicht zu hoch zu setzen [6]. Ein vergessener angemeldeter Browser in einem Büro ist sonst eine offene Tür ins Backend.
Zusätzliche Schutzschichten
Seit Joomla 4 gehört ein Plugin für HTTP-Header zum Kern. Damit lassen sich Sicherheits-Header wie die Content Security Policy oder Strict-Transport-Security im Backend einstellen, ohne die .htaccess von Hand zu bearbeiten [11]. Die Dokumentation nennt solche Header als Schutz, der viele Angriffe abschwächt [2]. Gerade die Content Security Policy kann aber Funktionen blockieren, wenn sie zu streng eingestellt ist. Teste neue Header deshalb erst auf einer Kopie der Website.
Den Zugang zum Backend kannst du zusätzlich auf bestimmte IP-Adressen beschränken, etwa über die .htaccess im Verzeichnis administrator [2]. Das lohnt sich vor allem, wenn alle Redakteure von festen Adressen aus arbeiten. Gegen das massenhafte Durchprobieren von Passwörtern helfen Sicherheitserweiterungen, die Anmeldeversuche begrenzen [2].
Lies schließlich die Hinweise, die Joomla nach einer Installation oder einem Update im Backend anzeigt. Sie enthalten oft Einstellungen zur Sicherheit, die ein Update nicht automatisch ändern kann [2].
Wenn es doch passiert
Trotz aller Vorsicht kann eine Website kompromittiert werden. Dann zählt, dass ein sauberes Backup existiert, das älter ist als der Angriff. Die Joomla-Dokumentation rät, ein Backup nicht über eine fehlerhafte Website einzuspielen [7]. Such außerdem vorher die Lücke, durch die der Angreifer hereingekommen ist. Sonst ist die Website nach kurzer Zeit wieder befallen. Die Bereinigung einer gehackten Website gehört beim Joomla Hosting von SEO NW nicht zum Support und wird nach Aufwand berechnet [4].
Akute Hilfe gibt es beim Joomla-Notdienst rund um die Uhr unter 0800 188 7 100. Was nach einem Angriff zu tun ist, beschreibt jwebmaster unter Joomla gehackt, die laufende Pflege unter Sicherheit und Updates. Den Begriff SSL-Verschlüsselung erklärt das Glossar.
Du willst wissen, wo deine Joomla-Website heute steht? Bring Joomla-Version, PHP-Version und die Liste deiner Erweiterungen in die gratis Sprechstunde mit. In 30 Minuten lässt sich einschätzen, welche Risiken am dringendsten sind.
- Organisation Joomla! Security Announcements. Joomla! Developer Network. Stand laufend. abgerufen am 30.10.2026
- Organisation Best Practices (Security). Joomla User Guide. Stand laufend. abgerufen am 30.10.2026
- Organisation Joomla 5.4.10 Bugfix release. Open Source Matters, Joomla! Project. Stand 13.10.2026. abgerufen am 30.10.2026
- Organisation Joomla! Hosting (SW10006). SEO NW, Shop hosting.seo-manager.info. Stand 30.10.2026. abgerufen am 30.10.2026
- Organisation Supported Versions. The PHP Group. Stand laufend. abgerufen am 30.10.2026
- Organisation Global Configuration (Hilfeseite Joomla 5). Joomla! Help Screens. Stand laufend. abgerufen am 30.10.2026
- Organisation Backup. Joomla User Guide. Stand laufend. abgerufen am 30.10.2026
- Organisation Joomla 4.2 release. Open Source Matters, Joomla! Project. Stand 16.08.2022. abgerufen am 30.10.2026
- Organisation Installing Joomla. Joomla User Guide. Stand laufend. abgerufen am 30.10.2026
- Organisation File Permissions: Linux. Joomla User Guide. Stand laufend. abgerufen am 30.10.2026
- Organisation HTTP Headers. Joomla User Guide. Stand laufend. abgerufen am 30.10.2026
Häufige Fragen
Ist Joomla ein sicheres System?
Joomla hat ein eigenes Sicherheitsteam, das Lücken veröffentlicht und schnell schließt. Sicher bleibt eine Website aber nur, wenn Kern, Erweiterungen und PHP aktuell gehalten werden und die Zugänge gut geschützt sind.
Reichen die automatischen Core-Updates des Hosters?
Sie decken den Joomla-Kern ab. Erweiterungen und Templates musst du selbst aktualisieren oder pflegen lassen, denn auch sie können Lücken haben.
Welche Methoden gibt es für die Multi-Faktor-Anmeldung?
Joomla bietet seit Version 4.2 unter anderem YubiKey, Web Authentication, Bestätigungscodes aus einer App und Codes per E-Mail an.
Wie erfahre ich von neuen Sicherheitslücken?
Das Joomla-Projekt veröffentlicht alle behobenen Lücken in seinen Security Announcements, die sich per RSS abonnieren lassen. Für Erweiterungen gibt es die Vulnerable Extensions List.
Was mache ich, wenn meine Website gehackt wurde?
Ruf den Notdienst unter 0800 188 7 100 an, er ist rund um die Uhr erreichbar. Spiel kein Backup über die befallene Website, bevor die Ursache gefunden ist.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Zuletzt geprüft am 03.11.2026, nächste Prüfung spätestens im November 2027. Fehler entdeckt? Schreib uns.
