Joomla absichern: Der Praxis-Leitfaden für 2026
Joomla absichern klingt nach einem Riesenprojekt, ist es aber nicht. Die meisten gehackten Seiten, die bei uns landen, sind nicht über eine geniale Attacke gefallen, sondern über ein veraltetes Plugin, ein schwaches Passwort oder eine offene .htaccess. Wer eine Handvoll Dinge richtig macht, fängt schon den Großteil der automatisierten Angriffe ab. Genau die gehen wir hier durch, in der Reihenfolge, die wirklich etwas bringt.
Stand: 12. Juni 2026
Inhalt
Warum Joomla-Seiten überhaupt angegriffen werden
Kaum wird eine Sicherheitslücke bekannt, fahren Botnetze sie automatisiert auf Zehntausenden Seiten gleichzeitig an. Da sitzt niemand und sucht sich gezielt deine Seite aus, das ist ein Massengeschäft. Betroffen ist schlicht, wessen Seite zufällig verwundbar ist. Das ist eigentlich die gute Nachricht: Du musst kein Sicherheitsexperte sein, um da rauszufallen. Du musst nur dafür sorgen, dass die typischen Einfallstore zu sind. Und das sind überraschend wenige.
Updates: der wichtigste Schritt überhaupt
Wenn du nur eine Sache aus diesem Artikel mitnimmst, dann diese: Halte Joomla und vor allem deine Erweiterungen aktuell. Den Joomla-Core selbst aktualisierst du im Backend mit einem Klick, und der ist heute erfreulich selten das Problem. Seit dem großen Object-Injection-Vorfall Ende 2015, der Joomla bis Version 3.4.5 traf und zu einem Notfall-Update führte, hat das Joomla Security Strike Team die Sicherheit des Kerns gut im Griff, schwere Core-Lücken sind seitdem die Ausnahme. Aktivier trotzdem das mitgelieferte Plugin System - Joomla! Aktualisierungsmitteilung, dann bekommen die Super User eine E-Mail, sobald eine neue Version da ist.
Beim Versionsstand lohnt ein klarer Blick: Aktuell sind Joomla 6, die neueste Linie mit Version 6.1 vom April 2026, und Joomla 5, das parallel noch bis Oktober 2027 gepflegt wird. Joomla 4 ist seit Oktober 2025 am Ende. Joomla 3 ist offiziell zwar schon seit August 2023 ausgelaufen, doch wer noch darauf läuft, steht nicht im Regen: Das Community-Projekt Joomla 3.10.999 backportet weiterhin die wichtigen Sicherheitspatches und hält damit auch eine Joomla-3-Seite sauber abgesichert. Eine solide Brücke, bis du den Umstieg auf Joomla 5 oder 6 angehst, bei dem dir unser Joomla Update Service hilft.
Erweiterungen: die eigentliche Angriffsfläche
Wenn der Core gut abgesichert ist, bleibt die Frage, wo die Angreifer dann reinkommen. Fast immer über Erweiterungen von Drittanbietern. Was im WordPress-Umfeld die Plugins sind, sind bei Joomla die Extensions, und sie sind mit großem Abstand die größte Angriffsfläche. Anders als beim Core gibt es hier keine zentrale Qualitätskontrolle, jeder darf veröffentlichen, und die Qualität schwankt entsprechend. Allein in der jüngeren Vergangenheit gab es ernste Schwachstellen im Editor JCE, im Astroid Framework und im Tassos- bzw. Novarain-Framework, alle drei wurden nach Bekanntwerden massenhaft automatisiert ausgenutzt.
Zwei Dinge schützen dich hier zuverlässig. Erstens: Halte die Erweiterungen genauso konsequent aktuell wie den Core, in der Praxis ist das sogar der wichtigere Teil. Zweitens, und das wird gern vergessen: Wirf alles raus, was du nicht brauchst. Jedes ungenutzte Plugin, Modul oder Template ist eine potenzielle Lücke, auch wenn es nur deaktiviert ist. Deinstallieren statt deaktivieren. Je weniger installiert ist, desto kleiner die Angriffsfläche. Einen guten Überblick über gemeldete unsichere Erweiterungen liefert die offizielle Vulnerable Extensions List (VEL) von Joomla.
Admin-Accounts und Backend absichern
Wer ins Backend kommt, hat die ganze Seite. Entsprechend lohnt sich der Aufwand hier am meisten. Drei Schritte:
Benenne den Standard-Benutzer admin in etwas Unvorhersehbares um. Schon allein das stoppt jeden Bot, der stumpf admin durchprobiert. Vergib ein langes, einzigartiges Passwort, gern 16 Stellen oder mehr aus einem Passwortmanager. Und aktiviere die Zwei-Faktor-Authentifizierung, die Joomla seit Version 4 von Haus aus mitbringt. Selbst wenn dein Passwort irgendwo durchsickert, kommt ohne den zweiten Faktor niemand rein.
Der wirksamste Schutz fürs Backend ist aber ein zweiter Riegel davor: ein Passwortschutz direkt auf dem Verzeichnis /administrator per .htaccess. Dann landet ein Angreifer schon an der Server-Tür, lange bevor Joomla überhaupt startet. Wie das in zwei Minuten eingerichtet ist, zeigen wir Schritt für Schritt im Beitrag Joomla Administrator Passwortschutz.
Die .htaccess als Türsteher
Die .htaccess ist die Steuerdatei deines Webservers und legt fest, welche Anfragen überhaupt durchkommen. Der wichtigste Handgriff hier: Unterbinde, dass in deinen Upload-Ordnern wie images, media oder tmp überhaupt PHP ausgeführt wird. Denn das eigentliche Problem nach einem Upload ist nicht die Datei selbst, sondern dass sie als Programm laufen kann.
<FilesMatch "\.(php|phtml|php[0-9])$"> Require all denied </FilesMatch>
Ehrlich gesagt: Auf gut konfigurierten Servern, wie sie die großen Hoster heute meist einsetzen, würde eine als Bild getarnte PHP-Datei ohnehin nicht ausgeführt. Verlassen würde ich mich darauf trotzdem nicht. Serverkonfigurationen unterscheiden sich, sie ändern sich bei einem Umzug oder PHP-Wechsel, und von außen siehst du nicht, wie dein Hoster es genau eingestellt hat. Dieser Block kostet nichts und macht dich unabhängig davon, wie der Server darunter tickt. Genau das ist der Sinn: ein zusätzlicher Riegel, nicht die Hoffnung, dass schon alles passt.
Dateirechte richtig setzen
Falsche Dateirechte sind ein unterschätztes Risiko. Als Faustregel: Verzeichnisse auf 755, Dateien auf 644. Die configuration.php mit deinen Datenbank-Zugangsdaten verdient besondere Vorsicht, sie sollte im Normalbetrieb auf 444 stehen, also nur lesbar. Was du nie brauchst, sind 777 auf irgendetwas. Wenn eine Erweiterung das verlangt, ist das ein Warnzeichen, kein Grund.
HTTPS, Firewall und Brute-Force
Ein SSL-Zertifikat gibt es heute kostenlos bei praktisch jedem Hoster, eine unverschlüsselte Seite hat 2026 keine Ausrede mehr. Stell in der Joomla-Konfiguration anschließend die SSL-Erzwingung auf die ganze Seite, damit niemand mehr unverschlüsselt durchrutscht.
Wer es umfassender mag, ergänzt eine vollwertige Sicherheits-Erweiterung. Admin Tools und RSFirewall bringen eine Web Application Firewall mit, die typische Angriffsmuster blockt, bevor sie Joomla erreichen, dazu Brute-Force-Schutz fürs Login. Wer es schlank halten will, drosselt zumindest die Login-Versuche und sperrt IPs nach mehreren Fehlversuchen.
Backups: dein Rettungsanker
Kein Backup, kein Mitleid, lautet ein alter Spruch im Joomla-Umfeld, und er stimmt. Selbst wenn alles andere sitzt, kann dich ein Backup im Ernstfall in einer Stunde wieder online bringen statt in Tagen. Bewährt ist Akeeba Backup. Wichtig sind drei Dinge: Das Backup darf nicht nur auf demselben Server liegen, denn wenn der kompromittiert ist, ist auch das Backup verdächtig. Halte mehrere Stände vor, nicht nur den letzten, ein Hack fällt manchmal erst Wochen später auf. Und teste mindestens einmal, ob sich ein Backup wirklich einspielen lässt. Wie das mit Akeeba und Kickstart läuft, haben wir hier beschrieben: Akeeba Backup wiederherstellen.
Trotzdem gehackt? So gehst du vor
Hundertprozentige Sicherheit gibt es nicht. Wenn es dich erwischt, ist Ruhe wichtiger als Hektik. Nimm die Seite vom Netz, sichere vorher die Logfiles, und spiel kein altes Backup zurück, ohne vorher die Lücke gefunden und geschlossen zu haben, sonst stehst du in zwei Wochen wieder am selben Punkt. Wer eine Backdoor übersieht, holt sich den Angreifer mit dem Restore direkt zurück. Wenn du dir unsicher bist oder es schnell gehen muss, übernehmen wir die Bereinigung gehackter Joomla-Seiten komplett, inklusive Ursachensuche und Absicherung danach.
Häufige Fragen
Reicht es, nur Joomla zu aktualisieren?
Nein. Der Core ist heute selten das Problem. Die meisten Angriffe laufen über veraltete Erweiterungen von Drittanbietern, die musst du genauso konsequent aktuell halten.
Brauche ich eine Sicherheits-Erweiterung?
Das hängt von deinem Anspruch ab. Für die Kernhärtung, also eine wasserdichte .htaccess samt Warnung bei verwundbaren Erweiterungen, reicht der kostenlose HTProtect Server-Schild. Wer darüber hinaus eine vollwertige Web Application Firewall mit Brute-Force-Schutz, Audit-Logging und vielen Feineinstellungen möchte, ist mit einer umfassenden Suite wie Admin Tools oder RSFirewall gut bedient. Beides parallel zu betreiben bringt wenig, weil sich die .htaccess-Funktionen überschneiden, entscheide dich also je nach Bedarf für das eine oder das andere.
Ist Joomla unsicherer als WordPress?
Aus meiner Erfahrung ganz klar nein, eher im Gegenteil. Über Jahre landeten bei mir fast ausschließlich gehackte WordPress-Seiten auf dem Tisch. Dass es bei Joomla zuletzt mehrere größere Lücken kurz hintereinander gab, war eher Pech und hängt vermutlich auch mit der rasanten KI-Entwicklung zusammen, die Angreifern das Aufspüren von Schwachstellen erleichtert. Wie sicher eine Seite ist, hängt am Ende vor allem an der Pflege, aber persönlich würde ich Joomla als das sichere System bezeichnen.
Wie erkenne ich, ob meine Joomla-Seite gehackt wurde?
Typische Anzeichen sind fremde Administrator-Konten, unbekannte PHP-Dateien in Ordnern wie media, images oder tmp, plötzliche Weiterleitungen auf dubiose Seiten, Spam-Einträge im Google-Index oder eine Warnung von Google oder deinem Hoster. Wenn dir so etwas auffällt, nimm die Seite im Zweifel offline und prüfe, bevor du weitermachst.
Wie oft sollte ich nach Updates schauen?
Idealerweise lässt du dich automatisch benachrichtigen und reagierst bei Sicherheitsupdates am selben Tag. Bei kritischen Lücken zählt jede Stunde, weil die automatisierten Angriffe sofort starten.
Fragen oder etwas unklar? Schreib es gern in die Kommentare unter dem Artikel.
- Details
- Zuletzt aktualisiert: 12. Juni 2026
