Die meisten gehackten Joomla-Websites werden nicht über Joomla selbst angegriffen, sondern über eine einzige veraltete Erweiterung. Genau das macht das Thema so tückisch: Sie pflegen Ihren Joomla-Kern brav, fühlen sich sicher, und übersehen das eine Plugin, das seit Monaten kein Update mehr bekommen hat.
Wir betreuen seit Jahren Joomla-Websites und sehen immer wieder dasselbe Muster. Im Juni 2026 mussten wir ein Kundenprojekt bereinigen, das über genau diesen Weg kompromittiert wurde: eine veraltete Editor-Erweiterung war das Einfallstor. In diesem Beitrag erklären wir Ihnen das grundsätzliche Problem, wie die automatisierten Angriffe ablaufen und mit welchen konkreten Schritten Sie Ihre Joomla-Website dauerhaft absichern.
Warum Erweiterungen das größte Risiko sind
Der Joomla-Kern, also die eigentliche Software, die das Projekt selbst entwickelt, ist erstaunlich gut gepflegt. Sicherheitslücken im Kern werden meist schnell gefunden und geschlossen, und es gibt einen festen Prozess dafür. Das Problem liegt woanders: bei den Erweiterungen von Dritt-Anbietern.
Eine typische Joomla-Website nutzt schnell ein Dutzend oder mehr Erweiterungen: einen Editor, ein Formular-Tool, eine Galerie, ein SEO-Plugin, vielleicht einen Shop. Jede dieser Erweiterungen ist eigener Programmcode, der von einem anderen Team oder einer Einzelperson stammt. Die Qualität und die Pflege schwanken stark. Manche werden jahrelang aktiv weiterentwickelt, andere wurden vor Jahren das letzte Mal angefasst und sind quasi verwaist.
Jede Erweiterung ist eine eigene Tür
Stellen Sie sich Ihre Website wie ein Haus vor. Der Joomla-Kern ist die Eingangstür mit dem guten Schloss. Jede Erweiterung ist eine zusätzliche Tür oder ein Fenster, das Sie eingebaut haben. Sie verlassen sich darauf, dass auch diese Türen ordentlich verschlossen sind. Aber eine veraltete Erweiterung ist wie ein Fenster mit einem kaputten Riegel: Von außen sieht alles normal aus, doch wer weiß, wo er drücken muss, ist drin.
Genau das ist im Juni 2026 in unserem Kundenprojekt passiert. Eine weit verbreitete Editor-Erweiterung, der JoomlaContentEditor (technisch com_jce), war nicht aktuell. In Versionen unter 2.9.99.5 gab es eine Schwachstelle, über die sich ohne Anmeldung Dateien hochladen ließen. Betroffen waren sowohl die kostenlose als auch die Pro-Variante, und das über mehrere Joomla-Generationen hinweg (Joomla 3, 4, 5 und 6). Behoben wurde es mit Version 2.9.99.5 und kurz darauf mit 2.9.99.6.
Den konkreten Ablauf dieses Falls und das passende Update haben wir in einem eigenen Beitrag aufgearbeitet: die JCE-Sicherheitslücke und das richtige Update.
Wie automatisierte Massen-Exploits funktionieren
Viele Website-Betreiber denken, ein Angriff sei eine gezielte Sache: Jemand sucht sich genau Ihre Website aus und versucht, hineinzukommen. Bei den meisten Joomla-Vorfällen ist das nicht der Fall. Sie werden nicht persönlich angegriffen, sondern automatisch und massenhaft.
Der Ablauf ist fast immer gleich und läuft in vier Phasen ab.
Der entscheidende Punkt: Zwischen „Lücke wird öffentlich“ und „Bots greifen an“ liegen oft nur Stunden. Wer erst nach Tagen oder Wochen aktualisiert, hat in vielen Fällen schon verloren. Deshalb ist Geschwindigkeit beim Patchen so wichtig.
Die Joomla Vulnerable Extensions List (VEL) und Update-Hygiene
Es gibt ein offizielles Werkzeug, das vielen Joomla-Betreibern gar nicht bekannt ist: die Vulnerable Extensions List, kurz VEL. Das ist ein vom Joomla-Projekt gepflegtes Verzeichnis von Erweiterungen, in denen Sicherheitslücken gemeldet wurden.
Was die VEL für Sie tut
Die VEL listet auf, welche Erweiterung in welcher Version verwundbar ist und ob bereits ein Fix existiert. Sie ist damit Ihre wichtigste Frühwarnquelle. Wenn Sie eine Erweiterung einsetzen, lohnt sich ein regelmäßiger Blick, ob sie dort auftaucht. Erscheint eine Ihrer Erweiterungen in der Liste, ist das ein klares Signal: handeln, aktualisieren oder entfernen.
Update-Hygiene bedeutet Routine
Mit „Update-Hygiene“ meinen wir eine feste Gewohnheit, mit der Sie Ihre Website pflegen, ähnlich wie Zähneputzen. Es geht nicht darum, einmal im Jahr aufzuräumen, sondern um Regelmäßigkeit. Dazu gehören drei Dinge:
Keine Zeit für tägliche Update-Kontrollen?
Wir übernehmen Updates, Backups und Monitoring für Ihre Joomla-Website, damit Sicherheitslücken gar nicht erst zum Problem werden.
Erweiterungen ausmisten und reduzieren
Die einfachste Sicherheitsmaßnahme ist oft die, an die niemand denkt: weniger installieren. Jede Erweiterung, die Sie nicht haben, kann auch nicht zur Lücke werden. Weniger ist hier wirklich sicherer.
Den Bestand ehrlich prüfen
Über die Jahre sammeln sich auf einer Joomla-Website Erweiterungen an. Ein Plugin für eine Aktion, die längst vorbei ist. Eine Galerie, die niemand mehr nutzt. Ein Tool, das Sie mal getestet und nie wieder angefasst haben. Jedes davon läuft im Hintergrund weiter und muss aktuell gehalten werden, ob Sie es nutzen oder nicht.
Gehen Sie Ihre Erweiterungsliste durch und stellen Sie bei jeder Erweiterung drei Fragen: Brauche ich das wirklich? Wird es noch vom Hersteller gepflegt? Gibt es eine schlankere Alternative? Was Sie nicht brauchen, fliegt raus, und zwar vollständig, nicht nur deaktiviert.
Verwaiste Erweiterungen erkennen
Besonders gefährlich sind Erweiterungen, die der Hersteller nicht mehr pflegt. Es gibt dann schlicht keine Updates mehr, auch nicht bei einer Sicherheitslücke. Solche „verwaisten“ Erweiterungen sollten Sie ersetzen oder entfernen. Ein Hinweis darauf ist, wenn die letzte Version Jahre zurückliegt oder die Website des Anbieters verschwunden ist.
Update-Strategie und Monitoring
Updates einzuspielen ist gut. Mitzubekommen, dass ein Update überhaupt nötig ist, ist die halbe Miete. Ohne Monitoring, also ohne eine laufende Überwachung, merken Sie einen Befall oft erst, wenn es zu spät ist und die Website langsam wird, Spam versendet oder von Google als gefährlich markiert wird.
Eine einfache Update-Strategie
Sie brauchen keinen komplizierten Plan, sondern eine verlässliche Routine. Bewährt hat sich: ein fester Termin pro Woche, an dem Sie nach Updates schauen und sie einspielen, plus eine Sofort-Regel für kritische Sicherheitsupdates. Dazu immer ein Backup vor dem Update und ein kurzer Funktionstest danach.
Was Monitoring leisten sollte
Ein gutes Monitoring beobachtet mehrere Dinge gleichzeitig: ob neue oder veränderte Dateien auftauchen, ob die Website erreichbar und schnell ist, und ob sie auf Sperrlisten landet. Verändern sich Dateien, ohne dass Sie etwas getan haben, ist das ein Warnsignal. Genau solche heimlichen Veränderungen, wie die gefälschten Zeitstempel im Juni-Vorfall, lassen sich mit Dateiüberwachung früh entdecken.
Härtungs-Checkliste
Zum Abschluss die konkreten Maßnahmen, mit denen Sie Ihre Joomla-Website spürbar sicherer machen. „Härtung“ bedeutet, die Angriffsfläche so klein wie möglich zu halten.
Wenn Sie diese Punkte abarbeiten, schließen Sie genau die Türen, durch die automatisierte Angriffe normalerweise hereinkommen. Falls Sie den Verdacht haben, dass bei Ihnen schon etwas passiert ist, hilft Ihnen unser Leitfaden zum Erkennen, Bereinigen und Schützen weiter.
Ihre nächsten Schritte
Sicherheit ist bei Joomla keine einmalige Aufgabe, sondern eine laufende. Eine Website, die heute sauber und aktuell ist, kann in ein paar Wochen wieder ein offenes Fenster haben, weil eine neue Lücke bekannt wurde. Genau dafür gibt es laufende Pflege.
Lassen Sie Ihre Joomla-Website laufend absichern
Mit unserer Website-Betreuung kümmern wir uns um Updates, Backups, Monitoring und schnelle Reaktion im Ernstfall. Sie müssen nicht mehr selbst an jedes Sicherheitsupdate denken.
Sie haben eine konkrete Frage zu Ihrer Joomla-Website oder möchten eine Einschätzung Ihres aktuellen Zustands? Schreiben Sie uns über unser Kontaktformular, wir melden uns persönlich bei Ihnen.
