Joomla Multisite Management: alle Seiten in einem Dashboard
Joomla Multisite Management fängt harmlos an: drei Kundenseiten, alles im Griff. Bei zwölf wird es zäh, bei dreißig fängst du an zu raten. Und wenn dann eine Lücke wie die in JCE oder SP Page Builder öffentlich wird, ist die erste Frage nicht „wie patche ich das", sondern „auf welcher meiner Seiten läuft das Ding überhaupt?". Genau die beantwortet ein zentrales Dashboard in Sekunden. Dieser Beitrag zeigt, wie das mit dem HTProtect.app Control Dashboard funktioniert - ohne dass du dafür Generalschlüssel zu all deinen Seiten aus der Hand gibst.
Stand: 25. Juli 2026
Inhalt
Erst mal Begriffe sortieren: Multisite ist nicht Multi-Site-Management
Wer „Joomla Multisite" sucht, bekommt zwei völlig verschiedene Dinge auf einen Haufen geworfen. Das ist der Grund, warum so viele Suchen ins Leere laufen.
- Multisite im engeren Sinn: eine Joomla-Installation, die mehrere Frontends ausliefert. Ein Dateibaum, eine Datenbank, mehrere Domains. Dafür gibt es Erweiterungen wie JMS Multi Site oder MightySites. Joomla kann das im Kern nicht, WordPress und TYPO3 schon.
- Multi-Site-Management - darum geht es hier: viele eigenständige Joomla-Installationen, jede mit eigenem Hosting und eigener Datenbank, und ein Dashboard, von dem aus du sie alle siehst und steuerst.
Der Unterschied ist nicht akademisch. Variante eins spart Speicherplatz und schafft dafür ein fettes Klumpenrisiko: eine Lücke, alle Seiten weg. Variante zwei hält die Seiten sauber getrennt und löst genau das Problem, das Agenturen und Freelancer wirklich haben - den Überblick. Wer Kundenseiten betreut, will fast immer die zweite.
Warum schon zehn Joomla-Seiten zu viel für Handarbeit sind
Rechne kurz mit. Eine Seite ordentlich durchsehen - einloggen, Updates prüfen, Backup kontrollieren, kurz ins Log schauen - dauert realistisch zehn bis fünfzehn Minuten. Bei zwanzig Seiten sind das vier bis fünf Stunden. Jede Woche. Die meisten machen es deshalb nicht wöchentlich, sondern „wenn Zeit ist". Genau da entsteht das Loch.
Das eigentliche Problem ist nämlich nicht der Aufwand, sondern die Zeit zwischen dem Bekanntwerden einer Lücke und dem Patch auf deiner Seite. Bei den Angriffswellen der letzten Monate - JCE, Helix3, Helix Ultimate, SP Page Builder - lagen zwischen dem öffentlichen Hinweis und den ersten massenhaften Scans oft nur Stunden. Wer da erst am Wochenende anfängt, sich durch zwanzig Backends zu klicken, kommt zu spät. Wir haben in diesen Wochen reihenweise Seiten bereinigt, deren Betreiber die Lücke kannten - nur eben nicht wussten, welche ihrer Seiten betroffen war.
Ein Dashboard löst genau das. Es beantwortet „wer ist betroffen?" in Sekunden statt in Stunden.
Das Problem klassischer Multi-Site-Manager: der Generalschlüssel
Fast alle zentralen Verwaltungsdienste funktionieren nach demselben Muster: Du installierst auf jeder Seite einen Connector, und der Dienst hinterlegt sich Zugangsdaten oder einen Token, mit dem er auf dieser Seite alles darf. Bequem - und ein Konstruktionsfehler, über den selten jemand redet.
Denn damit liegt auf einem einzigen Server ein Generalschlüssel für deine gesamte Flotte. Wird dieser Server übernommen, ist nicht eine Seite weg, sondern alle. Das ist kein theoretisches Szenario: Angriffe auf die Lieferkette - gekaperte Update-Kanäle, übernommene Erweiterungen, kompromittierte Dienstleister - gehören seit Jahren zu den wirksamsten Methoden überhaupt, weil ein Treffer hunderte Ziele erreicht.
Dazu kommt oft ein zweites Problem: Viele Dienste brauchen einen von außen erreichbaren Endpunkt auf deiner Seite. Das ist per Definition zusätzliche Angriffsfläche - eine Tür mehr, die jemand aufbekommen kann.
HTProtect.app: zentrale Steuerung, aber ohne Generalschlüssel
HTProtect.app ist das Control Dashboard zur kostenlosen Joomla-Sicherheitskomponente HTProtect. Jede Seite, auf der HTProtect läuft, lässt sich freiwillig ankoppeln und erscheint dann in einer gemeinsamen Übersicht. Interessant ist weniger, dass es das gibt, sondern wie es gebaut ist.
Dein Browser signiert, nicht der Server
Beim Koppeln entsteht ein Schlüsselpaar. Der öffentliche Teil wird auf deiner Website fest hinterlegt, der private bleibt in deinem Browser. Jeder Befehl, den du im Dashboard auslöst, wird in deinem Browser mit einer Ed25519-Signatur unterschrieben. Die Website prüft diese Signatur, bevor sie irgendetwas tut - und führt nur aus, was passt.
Der Dashboard-Server hält keinen Signierschlüssel. Er ist Bote, nicht Befehlshaber. Selbst wenn ihn jemand vollständig übernimmt, kann er keinen gültigen Befehl erzeugen. Und fehlt auf deinem Server die nötige Krypto-Bibliothek, wird gar nichts ausgeführt - die Logik fällt bewusst zu, nicht auf.
Outbound-only: kein offener Port
Deine Seiten melden sich ausgehend beim Dashboard - im Normalfall alle 30 Minuten ein Lebenszeichen, dazu ein regelmäßiger Blick, ob ein Befehl wartet. Es gibt keinen Endpunkt, an den jemand von außen anklopfen könnte. Das funktioniert deshalb auch hinter Firewalls, hinter einem CDN und bei Hostern, die eingehende Sonderwege blockieren.
Nebeneffekt für Zögerliche: Solange eine Seite nicht gekoppelt ist, ist der Connector komplett inaktiv. Kein Lebenszeichen, keine Verbindung, gar nichts. Wer HTProtect nur lokal nutzt, merkt vom Dashboard nie etwas.
Die Befehlsliste ist kurz - und das ist der eigentliche Punkt
Das Ehrlichste an der Konstruktion ist, was nicht geht. Die Website kennt eine feste, bewusst knappe Liste erlaubter Fernbefehle. Alles außerhalb existiert für sie schlicht nicht - selbst mit gültiger Signatur. Erlaubt sind im Kern:
- Status neu erheben
- Updates einspielen und Update-Regeln setzen
- Malware-Scan starten und nach Zeitplan einrichten
- Kerndateien gegen das Original prüfen
- das Schutzschild neu anwenden (Selbstheilung)
- eine gemeldete Konto-Änderung als bekannt abhaken
- Backups analysieren, erstellen, planen, herunterladen, löschen, wiederherstellen
Nicht fernsteuerbar sind dagegen - mit Absicht: das Schutzschild abschalten, den Backend-Passwortschutz ändern, Dateien schreiben oder editieren, HTProtect deinstallieren und Malware-Funde automatisch löschen. Das sind genau die Handgriffe, die ein Angreifer als Erstes machen würde. Sie gehen ausschließlich lokal, im Joomla-Backend der jeweiligen Seite.
Dieser Designentscheid kostet Bequemlichkeit und bringt Sicherheit. Man muss ihn nur kennen, sonst sucht man den „Schild aus"-Knopf im Dashboard vergeblich.
Was du im Dashboard siehst und steuerst
Ampel-Übersicht über die ganze Flotte
Jede Seite ist eine Zeile: grün, gelb oder rot. Dazu Joomla-Version, offene Updates, letzter Scan, erkannte Probleme, letztes Lebenszeichen. Du siehst in Sekunden, wo es brennt, statt dich durch zwanzig Backends zu klicken. Sortieren und filtern geht, Tags für Kundengruppen oder Hoster ebenfalls.
Vuln-Radar über alle Seiten
Das ist die wertvollste Funktion. HTProtect gleicht die installierten Erweiterungen laufend gegen eine Liste bekannter Sicherheitslücken ab, über einen signierten Live-Feed, der alle paar Stunden aktualisiert wird. Im Dashboard wird daraus eine Flottenansicht: „Drei Seiten fahren ein verwundbares com_xyz." Ein Klick, alle betroffenen aktualisieren.
Genau das ist die Antwort auf die Frage vom Anfang. Wenn morgen die nächste Lücke aufschlägt, musst du nicht raten.
Auto-Updates: Regeln je Erweiterung, für alle Seiten auf einmal
Die automatischen Erweiterungs-Updates steuerst du zentral: Intervall, Uhrzeit, Karenzzeit. Sicherheitsupdates laufen ohne Wartezeit, alles andere nach deinem Rhythmus. Vor jedem Update wird gesichert, danach laufen ein Health-Check und ein Malware-Scan - und wenn etwas schiefgeht, rollt die Seite von selbst zurück.
Seit Kurzem lässt sich „automatisch aktualisieren" je Erweiterung an beiden Stellen setzen, im Dashboard und direkt im Joomla-Backend, und beide bleiben dauerhaft synchron. Erweiterungen mit bekannter, offener Lücke werden immer aktualisiert; deine manuelle Aus-Wahl bleibt gespeichert und greift wieder, sobald die Lücke geschlossen ist.
Malware-Scans aus der Ferne
Ein Klick startet den HTProtect-Malware-Scanner auf einer Seite - oder du planst ihn: alle drei Tage, wöchentlich, monatlich. Ein typischer Scan liegt bei 30 bis 60 Sekunden; auf riesigen Seiten läuft er in fortsetzbaren Häppchen weiter, ohne in einen Timeout zu rennen. Der Fortschritt ist im Dashboard sichtbar, bei einem Fund geht sofort eine E-Mail raus.
Kern-Integrität in Sekunden
Die Prüfung der Joomla-Kerndateien vergleicht deine Installation mit dem Original und meldet jede Abweichung, typischerweise in fünf bis zehn Sekunden. Eingeschleuster Code in Kern- oder Template-Dateien fällt damit auf, auch wenn er zu keiner bekannten Signatur passt.
Schild-Selbstheilung
Verbessert HTProtect sein .htaccess-Regelwerk, wird das Schild automatisch neu angewendet - inklusive Selbsttest auf dem echten Server und automatischer Rücknahme, falls eine Regel nicht passt. Aus der Ferne anstoßen kannst du es trotzdem. Wer viele Seiten betreut, spart sich damit das „Jetzt absichern" auf jeder einzelnen.
Defacement- und Rogue-Admin-Erkennung
Der Wächter auf jeder Seite meldet, wenn ein neuer Super User auftaucht, ein Passwort still geändert wurde oder die Startseite plötzlich anders aussieht. Im Dashboard landet das als Ereignis im Klartext. Eine Konto-Änderung, die du selbst vorgenommen hast, hakst du aus der Ferne als bekannt ab - Malware-Funde und Rogue-Admin-Muster dagegen bewusst nicht. Die willst du dir ansehen.
Ausfall-Erkennung von außen
Das Dashboard verlässt sich nicht nur auf die Meldungen deiner Seiten, sondern prüft zusätzlich von außen im 30-Minuten-Takt. Bleiben mehr als zwei Lebenszeichen aus, wird die Seite als Problem markiert. Klingt banal, ist es nicht: Eine Seite, die komplett unten ist, kann sich per Definition nicht selbst melden.
Backups mit Zeitplan - und Wiederherstellung
Seit HTProtect 2.5 gibt es eigene Voll- und Ergänzungssicherungen nach Zeitplan, inkrementell und platzsparend. Du planst und startest sie aus dem Dashboard, siehst den Speicherverbrauch aufgeschlüsselt, und vor dem Wiederherstellen wird der aktuelle Stand noch einmal gesichert. Der Download läuft signiert direkt von deiner Website in deinen Browser - der Dashboard-Server sieht den Inhalt nie. Wer lieber bei Akeeba bleibt: das Wiedereinspielen mit Kickstart haben wir separat beschrieben.
Ein Klick ins Backend - trotz Passwortschutz
HTProtect kann dein /administrator mit einem zusätzlichen Passwort schützen. Genau das nervt sonst bei zentraler Verwaltung. Aus dem Dashboard kommst du trotzdem mit einem Klick ins Joomla-Backend, ohne Eingabe und ohne den Schutz auch nur kurz zu lockern. Technisch ist das kein Warteschlangen-Befehl, sondern ein direkt signierter Vorgang, der fest an den Ziel-Host gebunden ist.
Team, Protokoll und Handy
Die Anmeldung läuft per Passkey. Kollegen holst du per Einladung dazu, mit Rechten je Person. Jede Aktion landet in einem Aktivitätsprotokoll. Die Oberfläche ist konsequent für kleine Bildschirme gebaut und lässt sich über „Zum Home-Bildschirm hinzufügen" wie eine App installieren, ganz ohne Store. Für den Blick zwischendurch ist das der Teil, den man am häufigsten benutzt.
Koppeln in drei Schritten
- HTProtect installieren - falls noch nicht geschehen, die kostenlose Komponente ins Joomla-Backend laden und einmal „Jetzt absichern" klicken.
- Im Dashboard „Website hinzufügen" - du bekommst einen Code.
- Code ins Joomla-Backend eintragen - fertig. Kein Passwort, kein Port, keine Zugangsdaten, die irgendwo gespeichert werden.
Die erste Seite ist in unter einer Minute drin, jede weitere geht schneller. Scheitert die Kopplung an einem „Fehler 406", liegt das an einem Schutzmodul beim Hoster. Das war ein bekanntes Problem und ist seit Version 2.5.1 behoben - ein Update der Komponente reicht.
Was der Server nie zu sehen bekommt
Hier lieber genau als werbewirksam. Der Dashboard-Server bekommt Statusdaten: Versionen, offene Updates, Ampelzustand und den Fortschritt eines laufenden Vorgangs (Typ, Phase, Prozent). Was er nicht bekommt: die Pfade und Namen von Malware-Funden, die Abweichungen aus der Integritätsprüfung und den Inhalt deiner Backups.
Eine Ausnahme benennt HTProtect selbst offen: Die dauerhafte Ausschlussliste fürs Backup - also welche Verzeichnisse und Tabellen du auslässt - geht im Klartext an den Server, weil das Dashboard sie sonst nicht anzeigen könnte. Das ist eine bewusste Abwägung, keine Lücke. Aber sie gehört gesagt.
Einordnung: die Alternativen
HTProtect.app ist nicht das einzige Werkzeug in diesem Feld, und je nach Arbeitsweise passt etwas anderes besser. Kurz und fair:
- Akeeba Panopticon - kostenlos und selbst gehostet. Wenn die Daten unbedingt auf dem eigenen Server bleiben sollen, ist das die naheliegende Wahl. Preis dafür: Du betreibst und pflegst noch eine Installation samt Cronjobs.
- YourSites - geht einen anderen Weg: Du installierst die Erweiterung auf einer eigenen Joomla-Seite, und die verwaltet von dort aus alle übrigen - auch WordPress und ClassicPress. Läuft im Intranet, hinter einer Firewall oder lokal auf deinem Rechner, die Kundendaten bleiben also vollständig bei dir. Kann Erweiterungen flottenweit installieren und deinstallieren. Dafür bist du für Betrieb und Absicherung der Verwaltungsinstanz selbst zuständig.
- mySites.guru - sehr ausgereift, für Joomla und WordPress, mit White-Label-Kundenreports. Wer beide Systeme betreut und Berichte an Kunden schickt, findet dort den größten Funktionsumfang.
- Watchful - lange etabliert, ebenfalls Joomla und WordPress, mit zentraler Lizenzverwaltung für kommerzielle Erweiterungen.
- BackupMonkey - deutsches Team, Infrastruktur in Deutschland, DSGVO-Konformität als ausdrückliches Verkaufsargument, Joomla und WordPress. Der Connector ist bewusst schlicht gehalten und darf die Website gar nicht übernehmen - kein Ändern von Benutzerdaten, kein Installieren, kein Ausführen von Code. Das ist derselbe Grundgedanke wie hier, nur anders umgesetzt. Stärke ist das Backup-Thema: Sicherungen laufen über Akeeba Backup und werden anschließend testweise wiederhergestellt, denn eine ungetestete Sicherung ist keine. Dazu White-Label-Kundenreports.
- ManageWP, MainWP, InfiniteWP - stark, aber reine WordPress-Welt. Für Joomla nicht relevant.
Der Unterschied von HTProtect.app liegt weniger im Funktionsumfang als im Ansatz: Die Sicherheitsfunktionen kommen aus derselben Engine, die auf jeder Seite ohnehin schon läuft, und der zentrale Server hält bewusst keine Schlüssel. Was HTProtect.app derzeit nicht kann: White-Label-Kundenreports. Wer seinen Kunden monatlich einen gebrandeten Wartungsbericht schickt, braucht dafür weiterhin etwas anderes.
Was es kostet
Gestaffelt wird nach Anzahl der Websites, nicht nach Funktionen - jeder Tarif enthält jede Funktion, auch der kostenlose. Bis fünf Websites ist es dauerhaft gratis, darüber beginnt es bei einem einstelligen Monatsbetrag und reicht bis 150 Websites. Ab dem ersten bezahlten Tarif ist eine feste Anzahl Notfall-Bereinigungen pro Jahr enthalten: Wird eine deiner Seiten trotz HTProtect gehackt, übernehmen wir das Aufräumen. Aktuelle Zahlen stehen auf der Preisseite.
Für wen sich das lohnt - und für wen nicht
Lohnt sich, wenn du mehr als eine Handvoll Joomla-Seiten betreust, wenn du bei der nächsten Angriffswelle in Sekunden wissen willst, wer betroffen ist, oder wenn du Seiten für Kunden pflegst und Nachweisbarkeit brauchst.
Lohnt sich eher nicht, wenn du genau eine Joomla-Seite hast. Dann gibt dir HTProtect lokal ohnehin alles, was du brauchst, und die Kopplung bringt nur Komfort. Und wenn deine Seiten aus organisatorischen Gründen keine ausgehenden Verbindungen aufbauen dürfen, funktioniert das Modell nicht - dann ist eine selbst gehostete Lösung die ehrlichere Antwort.
Häufige Fragen
Was ist der Unterschied zwischen Joomla Multisite und Joomla Multi-Site-Management?
Multisite meint eine einzige Joomla-Installation, die mehrere Frontends ausliefert - dafür braucht es Erweiterungen wie JMS Multi Site, im Kern kann Joomla das nicht. Multi-Site-Management meint viele eigenständige Joomla-Installationen, die du über ein gemeinsames Dashboard überwachst und steuerst. Für betreute Kundenseiten ist fast immer Letzteres gemeint.
Kann ich mehrere Joomla-Seiten gleichzeitig updaten?
Ja. Im HTProtect.app-Dashboard setzt du Update-Regeln je Erweiterung oder für alle Websites auf einmal und spielst ausstehende Updates per Klick ein. Vor jedem Update wird gesichert, danach laufen Health-Check und Malware-Scan; bei einem Problem rollt die Seite automatisch zurück.
Ist das Dashboard kostenlos?
Bis zu fünf Websites dauerhaft ja, mit vollem Funktionsumfang. Darüber wird nach Anzahl der Websites gestaffelt, nicht nach Funktionen. Die HTProtect-Komponente selbst ist unabhängig davon komplett kostenlos.
Muss ich dem Dashboard-Betreiber vertrauen?
Weniger als bei den meisten vergleichbaren Diensten. Der Server hält keinen Signierschlüssel und kein Site-Passwort; jeder Befehl wird in deinem Browser signiert und von der Website geprüft. Ein vollständig kompromittierter Dashboard-Server kann keine einzige Seite kapern. Und die Liste dessen, was überhaupt fernsteuerbar ist, ist bewusst kurz gehalten.
Braucht meine Website dafür einen offenen Port oder einen Endpunkt?
Nein. Die Verbindung läuft ausschließlich ausgehend von deiner Seite zum Dashboard. Es gibt nichts, was von außen erreichbar sein muss. Das funktioniert auch hinter Firewalls und CDNs.
Welche Joomla-Versionen werden unterstützt?
HTProtect läuft von Joomla 2.5 bis 6 und unter PHP 7.4 bis 8.5. Gerade alte, längst nicht mehr gepflegte Installationen - die statistisch am häufigsten gehackt werden - lassen sich damit also ebenfalls einbinden.
Was passiert, wenn eine Seite gar nicht mehr erreichbar ist?
Dann greift das externe Monitoring. Das Dashboard prüft zusätzlich von außen im 30-Minuten-Takt; bleiben mehr als zwei Lebenszeichen aus, erscheint die Seite als Problem - also genau dann, wenn sie sich selbst nicht mehr melden kann.
Kann ich das Schutzschild aus der Ferne abschalten?
Nein, und das ist Absicht. Schild abschalten, Backend-Passwortschutz ändern, Dateien editieren, deinstallieren und Malware automatisch löschen sind bewusst vom Fernzugriff ausgenommen. Diese Handgriffe gehen nur lokal im Joomla-Backend der jeweiligen Seite.
Was ist die beste Alternative zu mysites.guru oder Watchful für Joomla?
Das hängt davon ab, was du brauchst. Für White-Label-Kundenreports und gemischte Joomla-/WordPress-Flotten sind mySites.guru und Watchful weiterhin stärker. Für rein selbst gehostet ist Akeeba Panopticon die naheliegende Wahl. Wenn dir Sicherheitsarchitektur und Joomla-spezifische Erkennung wichtiger sind als Reporting, ist HTProtect.app einen Blick wert - zumal der Einstieg nichts kostet.
Und wenn trotzdem eine Seite gehackt wird?
Dann greift in jedem bezahlten Tarif eine feste Anzahl Notfall-Bereinigungen pro Jahr. Ansonsten gilt das Übliche: Wir säubern gehackte Joomla-Seiten beruflich, finden das Einfallstor und sorgen dafür, dass es nicht gleich wieder passiert.
Fragen oder etwas unklar? Schreib es gern in die Kommentare unter dem Artikel.
- Details
- Zuletzt aktualisiert: 25. Juli 2026
