Die Sicherheit einer TYPO3-Installation ist das Ergebnis einer geteilten Verantwortung aller Beteiligten – Systemadministrator:innen, Integrator:innen, Entwickler:innen und Redakteur:innen. Dieser Leitfaden basiert auf dem offiziellen TYPO3 Security Guide und fasst alle relevanten Sicherheitsmaßnahmen zusammen.

Inhaltsverzeichnis 

Schnell-Checkliste 

Sortiert nach Priorität – kritische Maßnahmen zuerst.

Kritisch – Sofort umsetzen 

Hoch – Authentifizierung & Zugriff 

Mittel – Infrastruktur 

Wartung & Recovery 

TYPO3 Security Team 

Das TYPO3 Security Team ist verantwortlich für die Koordination und Kommunikation von Sicherheitslücken im gesamten TYPO3-Ökosystem.

Versionen & Updates 

Die Wahl der richtigen TYPO3-Version und eine konsequente Update-Strategie sind fundamentale Sicherheitsentscheidungen.

Support-Zyklen 

Update-Kategorien 

Bedrohungsarten 

Um TYPO3-Systeme effektiv zu schützen, müssen die gängigsten Angriffsvektoren verstanden werden.

Allgemeine Richtlinien 

Diese Grundprinzipien gelten für alle Rollen und bilden das Fundament jeder Sicherheitsstrategie.

Passwort-Hygiene 

Informiert bleiben 

• Security Bulletins: typo3.org/help/security-advisories
• Newsletter: TYPO3 Security Announcements abonnieren
• RSS Feed: Automatische Benachrichtigung über neue Advisories

Client-Sicherheit 

Alle Geräte, die auf das TYPO3-Backend zugreifen, müssen abgesichert sein:

• Betriebssystem und Browser aktuell halten
• Antivirus-Software und Firewall aktivieren
• Keine Installation von Software aus unbekannten Quellen
• VPN für Zugriff aus öffentlichen Netzwerken

Systemadministration 

Systemadministrator:innen verantworten die Server-Infrastruktur und damit die Basis aller Sicherheitsmaßnahmen.

HTTPS-Verschlüsselung 

• TLS 1.2 als Minimum, TLS 1.3 bevorzugt
• Let's Encrypt für kostenlose Zertifikate
• HSTS-Header setzen (erzwingt HTTPS)
• [BE][lockSSL] = true in TYPO3-Konfiguration

Dateiberechtigungen 

Korrekte Berechtigungen verhindern unbefugten Zugriff:

HTTP-Zugriffsbeschränkung 

Blockieren Sie den Zugriff auf sensible Dateien und Verzeichnisse:

# Konfigurationsdateien blockieren
location ~* /.*\.(?:bak|conf|cfg|yaml|yml|ts|sql|sqlite)$ {
    deny all;
}

# Composer-Dateien blockieren
location ~* composer\.(?:json|lock) {
    deny all;
}

# Vendor und typo3_src blockieren
location ~ ^(?:vendor|typo3_src|typo3temp/var) {
    deny all;
}

# Private Extension-Verzeichnisse blockieren
location ~ /(?:Configuration|Resources/Private|Tests)/ {
    deny all;
}

Directory Indexing deaktivieren 

Automatische Verzeichnislistung muss deaktiviert sein, um Informationslecks zu verhindern:

Options -Indexes

autoindex off;

Security Headers 

HTTP-Security-Header sind eine wichtige Verteidigungsebene gegen verschiedene Angriffe. Sie werden vom Webserver gesendet und instruieren den Browser zu sicherem Verhalten.

Empfohlene Header 

Konfiguration 

# Security Headers
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;

# Content-Security-Policy (anpassen!)
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self'; frame-ancestors 'self';" always;

Überprüfung 

Testen Sie Ihre Security Headers mit diesen Tools:

• securityheaders.com – Schnelle Analyse
• Mozilla Observatory – Umfassender Sicherheitscheck
• Browser DevTools → Network → Response Headers

Datenbank-Sicherheit 

Backup-Strategie 

Die offizielle TYPO3-Dokumentation empfiehlt eine gestaffelte Backup-Strategie:

Integration & Konfiguration 

Integrator:innen konfigurieren TYPO3 und sind verantwortlich für sichere Systemeinstellungen.

Install Tool Absicherung 

Das Install Tool ermöglicht tiefgreifende Systemänderungen und erfordert besonderen Schutz:

1. ENABLE_INSTALL_TOOL-Datei in var/transient/ (Composer) oder typo3temp/var/transient/ (klassisch)
2. Separates Passwort (nicht das Admin-Passwort!)
3. Auto-Löschung nach 60 Minuten Inaktivität

Application Context (TYPO3_CONTEXT) 

Der Application Context ermöglicht unterschiedliche Konfigurationen für verschiedene Umgebungen. Dies ist kritisch für die Sicherheit, da Debugging-Optionen nur in Entwicklungsumgebungen aktiv sein sollten.

Empfohlene Kontexte 

Konfiguration 

# .htaccess
SetEnv TYPO3_CONTEXT Production

Context-spezifische Konfiguration 

TYPO3 lädt automatisch zusätzliche Konfigurationsdateien basierend auf dem Context:

config/system/
├── settings.php              # Basis-Konfiguration
├── additional.php            # Zusätzliche Einstellungen
└── additional_Production.php # Nur in Production geladen
└── additional_Development.php # Nur in Development geladen

Offizielle Dokumentation: Application Context

Lokale Entwicklung mit DDEV 

DDEV ist die empfohlene Entwicklungsumgebung für TYPO3-Projekte. Die containerbasierte Lösung bietet erhebliche Sicherheitsvorteile gegenüber klassischen LAMP-Setups.

# Neues Projekt
mkdir my-typo3-project && cd my-typo3-project
ddev config --project-type=typo3 --php-version=8.2
ddev start
ddev composer create "typo3/cms-base-distribution:^12"
ddev launch

Globale Konfiguration 

Alle sicherheitsrelevanten Einstellungen in config/system/settings.php bzw. config/system/additional.php:

<?php
// =====================================================
// BACKEND-SICHERHEIT (v12+)
// =====================================================

// HTTPS für Backend erzwingen (KRITISCH) - v12+
$GLOBALS['TYPO3_CONF_VARS']['BE']['lockSSL'] = true;

// Sicherheitswarnungen per E-Mail - v12+
$GLOBALS['TYPO3_CONF_VARS']['BE']['warning_email_addr'] = 'security@example.com';
$GLOBALS['TYPO3_CONF_VARS']['BE']['warning_mode'] = 2;

// Session-Sicherheit - v12+
$GLOBALS['TYPO3_CONF_VARS']['BE']['lockIP'] = 4;
$GLOBALS['TYPO3_CONF_VARS']['BE']['lockIPv6'] = 8;
$GLOBALS['TYPO3_CONF_VARS']['BE']['sessionTimeout'] = 3600;

// Cookie-Sicherheit - v12+
$GLOBALS['TYPO3_CONF_VARS']['BE']['cookieSameSite'] = 'strict';

// Passwort-Hashing - v12+ (Argon2id ist der sicherste Algorithmus)
$GLOBALS['TYPO3_CONF_VARS']['BE']['passwordHashing']['className'] = 
    \TYPO3\CMS\Core\Crypto\PasswordHashing\Argon2idPasswordHash::class;

// Passwort-Richtlinien - v12+ (konfigurierbare Passwort-Policies)
$GLOBALS['TYPO3_CONF_VARS']['BE']['passwordPolicy'] = 'default';

// =====================================================
// FRONTEND-SICHERHEIT (v12+)
// =====================================================

// Cache-Poisoning verhindern (KRITISCH) - v12+
$GLOBALS['TYPO3_CONF_VARS']['FE']['cacheHash']['enforceValidation'] = true;

// Frontend-Session-Sicherheit - v12+
$GLOBALS['TYPO3_CONF_VARS']['FE']['lockIP'] = 2;
$GLOBALS['TYPO3_CONF_VARS']['FE']['lockIPv6'] = 2;

// Frontend Passwort-Richtlinien - v12+
$GLOBALS['TYPO3_CONF_VARS']['FE']['passwordPolicy'] = 'default';

// =====================================================
// SYSTEM-SICHERHEIT (v12+)
// =====================================================

// Trusted Hosts Pattern (KRITISCH) - v12+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['trustedHostsPattern'] = 
    'www\.example\.com|example\.com';

// Keine Fehler im Frontend anzeigen (KRITISCH) - v12+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['displayErrors'] = 0;

// DevIP einschränken - v12+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['devIPmask'] = '';

// Referrer-Prüfung für Backend-Formulare - v12+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['features']['security.backend.enforceReferrer'] = true;

// =====================================================
// CONTENT SECURITY POLICY (v12.3+)
// =====================================================

// CSP für Frontend aktivieren - v12.3+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['features']['security.frontend.enforceContentSecurityPolicy'] = true;

// CSP für Backend (standardmäßig aktiv) - v12.3+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['features']['security.backend.enforceContentSecurityPolicy'] = true;

// =====================================================
// TYPO3 v13+ SPEZIFISCHE EINSTELLUNGEN
// =====================================================

// MFA für alle Admins erzwingen - v13+ (alternativ via UserTSconfig)
// $GLOBALS['TYPO3_CONF_VARS']['BE']['requireMfa'] = 1; // v13+

// Rate Limiting für Login-Versuche - v13+
$GLOBALS['TYPO3_CONF_VARS']['BE']['loginRateLimit'] = 5; // v13+
$GLOBALS['TYPO3_CONF_VARS']['BE']['loginRateLimitInterval'] = '15 minutes'; // v13+
$GLOBALS['TYPO3_CONF_VARS']['FE']['loginRateLimit'] = 5; // v13+
$GLOBALS['TYPO3_CONF_VARS']['FE']['loginRateLimitInterval'] = '15 minutes'; // v13+

// IP-Lockout nach zu vielen Fehlversuchen - v13+
$GLOBALS['TYPO3_CONF_VARS']['BE']['loginRateLimitIpExcludeList'] = ''; // v13+

// Subresource Integrity (SRI) für Assets - v13+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['features']['security.frontend.allowSvgScriptExecution'] = false; // v13+

// =====================================================
// TYPO3 v14+ SPEZIFISCHE EINSTELLUNGEN (Sprint Release)
// Achtung: Kann sich bis zur LTS-Version ändern!
// =====================================================

// Install Tool Session in Redis speichern - v14+
$GLOBALS['TYPO3_CONF_VARS']['BE']['installToolSessionStorageBackend'] = 
    \TYPO3\CMS\Install\Service\Session\RedisSessionStorage::class; // v14+

// Redis-Authentifizierung mit Benutzername/Passwort - v14+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['redis']['hostname'] = '127.0.0.1'; // v14+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['redis']['port'] = 6379; // v14+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['redis']['username'] = 'typo3'; // v14+ (Redis 6+)
$GLOBALS['TYPO3_CONF_VARS']['SYS']['redis']['password'] = 'secure-password'; // v14+

Benutzer & Rechte 

Prinzip der geringsten Rechte (PoLP) 

Jede:r Benutzer:in erhält nur die minimal notwendigen Berechtigungen:

• Redakteur:innen: Nur Zugriff auf relevante Seitenbäume und Dateibereiche
• Administrator:innen: Kein System Maintainer-Status, wenn nicht benötigt
• System Maintainers: Auf absolute Minimum beschränken (1-2 Personen)

Multi-Faktor-Authentifizierung (MFA) 

Extension-Management 

• Nur Extensions aus vertrauenswürdigen Quellen (TER, Packagist)
• Regelmäßige Updates aller Extensions
• Ungenutzte Extensions entfernen – jede Extension erweitert die Angriffsfläche
• Security Bulletins auch für Extensions beachten

Der Prozess nach einer Meldung 

Wenn eine Sicherheitslücke in einer TER-Extension gemeldet wird, folgt das Security Team der Extension Security Policy:

1. Benachrichtigung – Security Team informiert den Extension-Entwickler vertraulich
2. Reaktion erforderlich – Entwickler muss zeigen, dass die Extension aktiv gepflegt wird
3. Fix bereitstellen – Patch wird entwickelt und in einem privaten Repository getestet
4. Koordinierte Veröffentlichung – Security Bulletin + neue Extension-Version gleichzeitig

Bei Nicht-Reaktion: Das Security Team veröffentlicht ein Removal Bulletin und die Extension wird aus dem TER entfernt. (Quelle)

Sicherheitswarnungen nach Login 

TYPO3 zeigt nach dem Backend-Login Sicherheitswarnungen an. Diese ernst nehmen und zeitnah beheben:

• Veraltete Core-Version
• Unsichere Extensions
• Fehlende Konfiguration

Extension-Entwicklung 

Entwickler:innen tragen besondere Verantwortung, da unsicherer Code die gesamte Installation gefährdet.

Input-Validierung 

Validieren Sie alle Eingaben serverseitig:

• Typ-Prüfung: Integer, String, Boolean
• Längen-Limits: Maximale Zeichenanzahl
• Whitelist: Nur erlaubte Werte akzeptieren
• Encoding: UTF-8 erzwingen

SQL-Injection verhindern 

// NIEMALS String-Konkatenation mit Benutzereingaben!
$query = "SELECT * FROM users WHERE email = '" . $userInput . "'";

XSS verhindern 

Fluid escaped Ausgaben standardmäßig. Ausnahmen beachten:

Extbase-Sicherheit 

• Property Mapping: Nur explizit erlaubte Properties akzeptieren
• __trustedProperties: Verhindert Mass Assignment durch kryptografische Validierung
• Validierung: Extbase Validators für Domain-Objekte nutzen

Redakteur-Sicherheit 

Auch Redakteur:innen können durch unsicheres Verhalten Sicherheitslücken öffnen.

Sichere Content-Eingabe 

• Rich-Text-Editor verwenden statt direktem HTML
• Keine unbekannten Embeds (YouTube, Twitter etc.) von unsicheren Quellen
• Links prüfen vor dem Setzen – keine Redirects zu unbekannten Domains
• Keine Skripte in RTE einfügen (werden oft geblockt, aber nicht immer)

Upload-Richtlinien 

• Dateinamen prüfen: Keine Sonderzeichen, die Injection ermöglichen
• Dateigröße beachten: Verdächtig große Dateien melden
• Herkunft verifizieren: Keine Dateien aus unbekannten Quellen hochladen

Phishing-Awareness 

• Niemals Zugangsdaten per E-Mail teilen
• URL prüfen vor Eingabe von Passwörtern
• Verdächtige E-Mails an IT melden
• Bei Unsicherheit: Nachfragen statt Klicken

Nach einem Angriff 

Trotz aller Vorsichtsmaßnahmen kann eine Kompromittierung nie vollständig ausgeschlossen werden. Ein klarer Notfallplan ist essentiell.

Anzeichen erkennen 

Sofortmaßnahmen 

Analyse durchführen 

Wiederherstellung 

Empfohlenes Vorgehen:

1. Sauberes Backup identifizieren (vor dem Angriff erstellt)
2. Frische Installation auf bereinigtem Server
3. Datenbank aus Backup wiederherstellen
4. TYPO3 und Extensions auf neueste Versionen aktualisieren
5. Sicherheitslücke schließen, die den Angriff ermöglichte
6. Alle Passwörter erneuern
7. Erst dann online gehen

Präventive Maßnahmen nach Wiederherstellung 

• Schwachstelle dokumentieren und beheben
• Sicherheitsaudit durchführen
• Monitoring intensivieren
• Team schulen
• Incident-Response-Plan aktualisieren

Composer & Code-Integrität 

Sicherheitsvorteile 

Sichere Update-Strategie 

# 1. Backup erstellen
mysqldump -u user -p database > backup.sql

# 2. Dependencies aktualisieren
composer update typo3/cms-* --with-dependencies

# 3. Security Audit durchführen
composer audit

# 4. Datenbank-Schema aktualisieren
vendor/bin/typo3 database:updateschema

# 5. Cache leeren
vendor/bin/typo3 cache:flush

Zusammenfassung 

Ressourcen 

• TYPO3 Security Guide – Offizielle Dokumentation
• TYPO3 Security Team – Schwachstellen melden
• Security Advisories – Aktuelle Warnungen
• ELTS-Programm – Extended Long Term Support