Joomla automatische Erweiterungs Updates: sicher(er) gemacht
Joomla automatische Erweiterungs Updates klingen nach Bequemlichkeit, sind aber ein zweischneidiges Schwert. Auf der einen Seite: veraltete Erweiterungen sind der mit Abstand häufigste Grund, warum eine Joomla-Seite gehackt wird. Auf der anderen: ein blind eingespieltes Update kann eine Seite genauso lahmlegen, durch einen kaputten Release oder, schlimmer, einen kompromittierten. Hier liest du, wie du Extensions automatisch aktuell hältst und das Risiko dabei klein bleibt.
Stand: 28. Juni 2026
Joomla kann seit Version 5.4 zwar seinen eigenen Core automatisch aktualisieren, die Erweiterungen aber nicht. Die musst du per Klick einspielen. HTProtect ergänzt automatische Extension-Updates mit Sicherheitsnetz: Backup vor jedem Update, Malware-Scan danach, automatischer Rollback im Fehlerfall. Mit Bedacht eingesetzt nimmt dir das Arbeit ab, ohne die Seite zu gefährden.
Inhalt
Warum Extension-Updates Pflicht sind - und trotzdem heikel
Die meisten gehackten Joomla-Seiten, die bei mir auf dem Tisch landen, sind nicht über eine geniale Attacke gefallen, sondern über eine veraltete Erweiterung mit bekannter Lücke. Sobald so eine Lücke öffentlich wird, fahren Botnetze sie binnen Stunden automatisiert ab. Klassiker der letzten Zeit: die JCE-Lücke oder die Lücke im SP Page Builder. Wer da Wochen mit dem Update wartet, spielt Lotterie.
Trotzdem ist die naheliegende Idee, einfach alles automatisch aktualisieren zu lassen, nicht ohne Tücke. Ein frisch veröffentlichter Release kann schlicht kaputt sein und die Seite lahmlegen. Und im schlimmeren Fall ist das Update selbst der Angriff, wenn ein Hersteller-Account oder die Update-Quelle übernommen wurde und plötzlich Schadcode mitliefert. Veraltet ist also gefährlich, blind aktualisiert aber auch. Der sinnvolle Weg liegt dazwischen.
Kann Joomla Erweiterungen automatisch aktualisieren?
Kurz gesagt: nein. Seit Joomla 5.4 kann sich der Core selbst automatisch aktualisieren, für Erweiterungen gilt das aber nicht. Das Backend zeigt dir zwar an, dass Updates bereitstehen, einspielen musst du sie aber selbst, per Klick. Eine echte Automatik für Extensions gibt es im Core nicht. Und selbst beim manuellen Update fehlt jedes Sicherheitsnetz: kein Backup vorher, kein Rollback, wenn danach etwas hängt, keine Prüfung, ob die neuen Dateien sauber sind.
In der Praxis heißt das: Schon ein von Hand angeklicktes Extension-Update kann eine Seite zerlegen, und dann brauchst du ein Backup, falls du eins hast und es aktuell genug ist. Genau an dem Punkt ist mir schon oft aufgefallen, dass das letzte brauchbare Backup Tage alt war. Genau hier setzt HTProtect an.
HTProtect: automatische Extension-Updates mit Netz
HTProtect bringt genau das mit, was dem Core fehlt: automatische Updates für Erweiterungen, aber abgesichert. Standardmäßig ist erstmal alles aus, du entscheidest bewusst, was automatisch laufen darf (Opt-in). Scharfschalten kannst du das in zwei Stufen:
Stufe 1, Sicherheitspriorität: Erweiterungen, für die eine bekannte Sicherheitslücke vorliegt, werden bevorzugt automatisch aktualisiert. Das ist der Teil, der dir die Botnetz-Angriffe vom Hals hält.
Stufe 2, nach Wunsch erweitern: Wenn du willst, nimmst du gezielt weitere Erweiterungen dazu, einzeln per Opt-in-Liste. So bestimmst du selbst, wie weit die Automatik gehen soll.
Das Intervall wählst du dazu: Sofort (im 15-Minuten-Takt), täglich oder wöchentlich, jeweils mit frei wählbarer Uhrzeit und beim Wochenrhythmus zusätzlich mit Wochentag. Eine Sache ist dabei fest verdrahtet: Sicherheitsupdates laufen immer sofort, egal welches Intervall du eingestellt hast. Eine offene Lücke wartet nicht bis Sonntagnacht.
Dazu kommt eine wählbare Karenzzeit (Soak): keine, 3, 7 oder 14 Tage. Ein normales Update wird erst eingespielt, wenn es so lange verfügbar war, ohne dass etwas nachkam. Das fängt frisch fehlerhafte oder untergeschobene Releases ab, bevor sie deine Seite erreichen. Auch hier die Ausnahme: Sicherheitsupdates ignorieren die Karenz und laufen sofort. Lücke zu hat Vorrang.
Das Sicherheitsnetz im Detail
Das ist das eigentliche Herzstück. Vor jedem Update legt HTProtect automatisch ein Backup an, Dateien und die betroffenen Datenbank-Tabellen. Der Grundsatz ist simpel: kein Backup, kein Update. Geht etwas schief, holt dich ein Ein-Klick-Rollback zurück, und es werden mehrere gute Vorversionen vorgehalten, nicht nur die letzte.
Nach dem Update prüft HTProtect zwei Dinge: Läuft die Seite überhaupt noch sauber (Health-Check)? Und sind die frisch installierten Update-Dateien frei von Schadcode (Malware-Scan)? Schlägt eins davon an, kaputte Seite oder Fund, rollt HTProtect automatisch auf den Vorzustand zurück. Damit das nicht nervt, gilt Fail-open: ein bloßer Scan-Timeout löst keinen Fehl-Rollback aus, es muss schon ein echter Befund sein.
Bei Sicherheitsupdates dreht sich die Logik bewusst um. Hier blockt ein Malware-Verdacht das Update nicht, weil das Schließen der Lücke Vorrang hat. Stattdessen bekommst du den Verdacht als Warnung per Mail und kannst in Ruhe hinschauen. Und wenn die Download-Quelle einer Erweiterung plötzlich eine andere ist als bisher, stoppt HTProtect das Auto-Update, bis du es manuell bestätigst. Der einfachste Schutz gegen untergeschobene Update-Server.
Auto-Updates mit Bedacht, nicht mit der Gießkanne
Ein Sicherheitsnetz senkt das Risiko, es schaltet es nicht ab. Deshalb mein klarer Rat aus der Praxis: aktivier die Automatik nicht pauschal für jede Erweiterung. Fang mit dem an, was wirklich zählt, also mit den Erweiterungen mit Sicherheitsbezug und mit denen, die als zuverlässig und gut gepflegt bekannt sind. Beobachte ein paar Durchläufe, und erst wenn das rundläuft, nimmst du Schritt für Schritt weitere dazu. Eine vernünftig gewählte Karenzzeit hält dir die frisch wackeligen Releases ohnehin vom Hals.
Und bei aller Automatik: deine Seite bleibt deine Seite. HTProtect ist ein Werkzeug, das dir die Routine abnimmt und einen Großteil der Patzer abfängt, aber keine Garantie, dass nie etwas schiefgeht, und kein Ersatz dafür, dass du deine Installation im Blick behältst. Bei WordPress sind automatische Updates seit Langem ein Core-Feature, und auch dort fährt man sie mit Erfahrung und Augenmaß, nicht blind. So ist es auch hier gedacht: Du entscheidest, was läuft, und behältst deine Seite selbst in der Hand. Das Sicherheitsnetz steht dabei auf deiner Seite.
Fehlalarm? Davon profitieren alle
Ehrlich gesagt ist ein Malware-Treffer beim Update in den allermeisten Fällen ein Fehlalarm: ein neues Release sieht für den Scanner kurz verdächtig aus, ist aber sauber. Damit dich das nicht ständig ausbremst, melden sich solche Funde anonym und zentral zurück. Anonym heißt anonym, keine seiten- und keine personenbezogenen Daten. Ich werte das zentral aus und passe die Anti-Fehlalarm-Signaturen im Feed an. Beim nächsten Lauf geht dasselbe Update dann glatt durch.
Der Punkt, der mir daran am besten gefällt: das wirkt in beide Richtungen. Entpuppt sich ein Erweiterungs-Update tatsächlich als hochproblematisch, kann ich es zentral für alle Nutzer sofort aussetzen. Heißt für dich: ein Problem, das irgendwo einmal auftaucht, ist kurz darauf für den ganzen Schwarm entschärft. Du profitierst von jeder Seite, auf der HTProtect mitläuft.
Über alles Relevante informiert dich HTProtect per Mail: ausstehende Updates, durchgeführte Rollbacks, eine geänderte Update-Quelle und auf Wunsch auch Erfolge. Gebündelt, nicht als Spam-Lawine.
Was HTProtect sonst noch macht
Auto-Update ist nur ein Baustein. HTProtect härtet die .htaccess und schützt das Backend per Passwort, sperrt die PHP-Ausführung in Upload-Ordnern wie /images oder /tmp und bringt eine Echtzeit-Firewall mit, die bekannte Joomla-Exploits (JCE, SP Page Builder und Co.) abfängt, auch im POST, wo viele Filter wegschauen. Dazu der Malware-Scanner, ein Wächter für Dateiänderungen, verdächtige Admin-Konten, Defacement und SEO-Spam, und signierte Live-Signatur-Updates. Wie tief du das fahren willst, zeigen der Praxis-Leitfaden zum Joomla-Absichern und der Beitrag zur Joomla-Firewall.
Veraltete Erweiterungen sind ein echtes Einfallstor, und manuell hinterherzukommen ist mühsam. HTProtect schließt diese Lücke mit automatischen Extension-Updates und einem Sicherheitsnetz aus Backup, Rollback und Malware-Scan, kostenlos. Setz es mit Bedacht ein, dann nimmt es dir viel Routine ab. Jetzt HTProtect herunterladen und installieren. Das Projekt finanziert sich über freiwillige Spenden, wenn es dir hilft, freut sich die Kaffeekasse.
Häufige Fragen
Kann Joomla Erweiterungen von sich aus automatisch aktualisieren?
Nein. Automatisch aktualisiert sich seit Joomla 5.4 nur der Core selbst, Erweiterungen installierst du von Hand per Klick. HTProtect bringt die automatischen Extension-Updates erst nach, samt Sicherheitsnetz aus Backup, Malware-Scan und Rollback. Am besten aktivierst du sie nicht pauschal, sondern gezielt und schrittweise.
Werden Sicherheitsupdates auch dann sofort eingespielt, wenn ich ein längeres Intervall gewählt habe?
Ja. Sicherheitsupdates laufen immer sofort und ignorieren sowohl das eingestellte Intervall als auch die Karenzzeit. Eine bekannte Lücke wird so schnell wie möglich geschlossen, alles andere richtet sich nach deinen Einstellungen.
Was passiert, wenn ein Update meine Seite zerschießt?
HTProtect erkennt das über den Health-Check nach dem Update und rollt automatisch auf die funktionierende Vorversion zurück. In aller Regel musst du nicht eingreifen und brauchst kein separates Backup-Restore von Hand. Den letzten Blick auf deine Seite solltest du trotzdem behalten.
Kostet die Update-Automatik extra?
Nein. HTProtect ist eine kostenlose Joomla-Komponente, das abgesicherte Auto-Update gehört dazu. Es gibt keine Pro-Stufe, die du dafür bräuchtest.
Fragen oder etwas unklar? Schreib es gern in die Kommentare unter dem Artikel.
- Details
- Zuletzt aktualisiert: 28. Juni 2026
