Die Sicherheit von TYPO3 ist eine gemeinsame Aufgabe. Alle Personen müssen mithelfen. Das sind System-Admins, Entwickler und Redakteure. Dieser Text nutzt den offiziellen TYPO3 Security Guide . Der Text fasst alle wichtigen Regeln zusammen.

Inhaltsverzeichnis  

Schnell-Checkliste  

Wir sortieren die Liste nach Wichtigkeit. Die wichtigsten Regeln kommen zuerst.

Sehr wichtig – Bitte sofort machen  

Wichtig – Anmeldung und Zugriff  

Mittel – Server und Struktur  

Pflege und Hilfe im Notfall  

TYPO3 Security Team 

Das TYPO3 Security Team kümmert sich um Sicherheits-Lücken. Das Team informiert alle Nutzer von TYPO3.

Versionen & Updates 

Sie müssen eine sichere TYPO3-Version wählen. Und Sie müssen regelmäßig Updates machen. Das ist sehr wichtig für die Sicherheit.

Dauer vom Support  

Arten von Updates  

Bedrohungen 

Sie müssen die häufigsten Angriffe kennen. Nur so können Sie TYPO3 gut schützen.

Allgemeine Richtlinien 

Diese Regeln gelten für alle Menschen im Projekt. Sie sind die Basis für die Sicherheit.

Passwort-Hygiene  

Informiert bleiben  

• Security Bulletins lesen: typo3.org/security
• Newsletter abonnieren: TYPO3 Security Announcements
• RSS Feed nutzen: Automatische Benachrichtigung bei neuen Warnungen

Geräte-Sicherheit  

Alle Geräte für das TYPO3-Backend müssen sicher sein.

• Halten Sie Betriebssystem und Browser aktuell.
• Schalten Sie Antivirus und Firewall ein.
• Installieren Sie keine unbekannten Programme auf dem Gerät.
• Nutzen Sie ein VPN in fremden Netzwerken.

Systemadministration 

System-Admins kümmern sich um den Server. Das ist die Basis für alle Sicherheits-Maßnahmen.

HTTPS-Verschlüsselung  

• Nutzen Sie mindestens TLS 1.2. TLS 1.3 ist besser.
• Let's Encrypt gibt Ihnen kostenlose Zertifikate.
• Setzen Sie den HSTS-Header. Er erzwingt HTTPS.
• Setzen Sie [BE][lockSSL] = true in der TYPO3-Konfiguration.

Datei-Rechte  

Richtige Rechte verhindern verbotene Zugriffe.

HTTP-Zugriffsbeschränkung  

Sperren Sie den Zugriff auf wichtige Dateien.

# Konfigurations-Dateien blockieren
location ~* /.*\.(?:bak|conf|cfg|yaml|yml|ts|sql|sqlite)$ {
    deny all;
}

# Composer-Dateien blockieren
location ~* composer\.(?:json|lock) {
    deny all;
}

# Vendor und typo3_src blockieren
location ~ ^(?:vendor|typo3_src|typo3temp/var) {
    deny all;
}

# Private Extension-Verzeichnisse blockieren
location ~ /(?:Configuration|Resources/Private|Tests)/ {
    deny all;
}

Ordner-Inhalte verstecken  

Schalten Sie die automatische Datei-Anzeige aus. Das verhindert das Lesen von geheimen Daten.

Options -Indexes

autoindex off;

Security Headers  

HTTP-Security-Header schützen vor vielen Angriffen. Der Server sendet diese Header an den Browser. Der Browser weiß dann genau, was sicher ist.

Wichtige Header  

Einstellungen  

# Security Headers
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;

# Content-Security-Policy (Bitte anpassen!)
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self'; frame-ancestors 'self';" always;

Kontrolle  

Testen Sie Ihre Header mit diesen Werkzeugen:

• securityheaders.com – Schneller Test im Internet.
• Mozilla Observatory – Sehr genauer Test.
• Entwickler-Werkzeuge im Browser (DevTools) → Netzwerk → Response Headers.

Datenbank-Sicherheit  

Backups  

Die offizielle TYPO3-Anleitung empfiehlt viele verschiedene Backups:

Integration & Konfiguration 

Integratoren stellen TYPO3 ein. Sie sorgen für sichere Einstellungen im System.

Install Tool schützen  

Das Install Tool erlaubt tiefe Änderungen im System. Es braucht besonderen Schutz:

1. Legen Sie die Datei ENABLE_INSTALL_TOOL an. Legen Sie diese in var/transient/ ab (bei Composer).
2. Nutzen Sie ein eigenes Passwort. Nutzen Sie nicht das Admin-Passwort.
3. Das Tool schließt sich nach 60 Minuten selbst. Die Datei wird gelöscht.

Application Context (TYPO3_CONTEXT)  

Der Application Context ändert Einstellungen für verschiedene Server. Das ist sehr wichtig für die Sicherheit. Die Fehler-Suche (Debugging) darf nur in der Entwicklung an sein.

Empfohlene Server  

Einstellungen  

# .htaccess
SetEnv TYPO3_CONTEXT Production

Einstellungen für verschiedene Server  

TYPO3 lädt automatisch zusätzliche Dateien für verschiedene Context-Werte:

config/system/
├── settings.php              # Normale Einstellungen
├── additional.php            # Zusätzliche Einstellungen
└── additional_Production.php # Nur für Live-Server (Production)
└── additional_Development.php # Nur für die Entwicklung

Offizielle Anleitung: Application Context

Lokale Entwicklung mit DDEV  

DDEV ist die beste Umgebung für die Entwicklung. Es nutzt sichere Container. Das ist viel sicherer als klassische Server.

# Neues Projekt anlegen
mkdir my-typo3-project && cd my-typo3-project
ddev config --project-type=typo3 --php-version=8.2
ddev start
ddev composer create "typo3/cms-base-distribution:^12"
ddev launch

Einstellungen für das ganze System  

Hier sind alle wichtigen Einstellungen für die Sicherheit. Sie stehen in config/system/settings.php.

<?php
// =====================================================
// SICHERHEIT FÜR DAS BACKEND (v12+)
// =====================================================

// HTTPS für Backend erzwingen (SEHR WICHTIG) - v12+
$GLOBALS['TYPO3_CONF_VARS']['BE']['lockSSL'] = true;

// E-Mail für Warnungen senden - v12+
$GLOBALS['TYPO3_CONF_VARS']['BE']['warning_email_addr'] = 'security@example.com';
$GLOBALS['TYPO3_CONF_VARS']['BE']['warning_mode'] = 2;

// Sicherheit für die Sitzung - v12+
$GLOBALS['TYPO3_CONF_VARS']['BE']['lockIP'] = 4;
$GLOBALS['TYPO3_CONF_VARS']['BE']['lockIPv6'] = 8;
$GLOBALS['TYPO3_CONF_VARS']['BE']['sessionTimeout'] = 3600;

// Sicherheit für Cookies - v12+
$GLOBALS['TYPO3_CONF_VARS']['BE']['cookieSameSite'] = 'strict';

// Passwörter verschlüsseln - v12+ (Argon2id ist am sichersten)
$GLOBALS['TYPO3_CONF_VARS']['BE']['passwordHashing']['className'] = 
    \TYPO3\CMS\Core\Crypto\PasswordHashing\Argon2idPasswordHash::class;

// Regeln für gute Passwörter - v12+
$GLOBALS['TYPO3_CONF_VARS']['BE']['passwordPolicy'] = 'default';

// =====================================================
// SICHERHEIT FÜR DAS FRONTEND (v12+)
// =====================================================

// Zwischen-Speicher schützen (SEHR WICHTIG) - v12+
$GLOBALS['TYPO3_CONF_VARS']['FE']['cacheHash']['enforceValidation'] = true;

// Sicherheit für die Sitzung im Frontend - v12+
$GLOBALS['TYPO3_CONF_VARS']['FE']['lockIP'] = 2;
$GLOBALS['TYPO3_CONF_VARS']['FE']['lockIPv6'] = 2;

// Regeln für gute Passwörter im Frontend - v12+
$GLOBALS['TYPO3_CONF_VARS']['FE']['passwordPolicy'] = 'default';

// =====================================================
// SICHERHEIT FÜR DAS SYSTEM (v12+)
// =====================================================

// Erlaubte Adressen (SEHR WICHTIG) - v12+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['trustedHostsPattern'] = 
    'www\.example\.com|example\.com';

// Keine Fehler anzeigen (SEHR WICHTIG) - v12+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['displayErrors'] = 0;

// IP-Adressen von Entwicklern einschränken - v12+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['devIPmask'] = '';

// Absender-Prüfung im Backend - v12+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['features']['security.backend.enforceReferrer'] = true;

// =====================================================
// CONTENT SECURITY POLICY (v12.3+)
// =====================================================

// CSP im Frontend einschalten - v12.3+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['features']['security.frontend.enforceContentSecurityPolicy'] = true;

// CSP im Backend (ist normalerweise an) - v12.3+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['features']['security.backend.enforceContentSecurityPolicy'] = true;

// =====================================================
// TYPO3 v13+ NEUE EINSTELLUNGEN
// =====================================================

// MFA für alle Admins erzwingen - v13+
// $GLOBALS['TYPO3_CONF_VARS']['BE']['requireMfa'] = 1; // v13+

// Anmeldungen bremsen (Rate Limiting) - v13+
$GLOBALS['TYPO3_CONF_VARS']['BE']['loginRateLimit'] = 5; // v13+
$GLOBALS['TYPO3_CONF_VARS']['BE']['loginRateLimitInterval'] = '15 minutes'; // v13+
$GLOBALS['TYPO3_CONF_VARS']['FE']['loginRateLimit'] = 5; // v13+
$GLOBALS['TYPO3_CONF_VARS']['FE']['loginRateLimitInterval'] = '15 minutes'; // v13+

// Sperre für IP-Adressen bei zu vielen Fehlern - v13+
$GLOBALS['TYPO3_CONF_VARS']['BE']['loginRateLimitIpExcludeList'] = ''; // v13+

// Sicherheit für Bilder - v13+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['features']['security.frontend.allowSvgScriptExecution'] = false; // v13+

// =====================================================
// TYPO3 v14+ NEUE EINSTELLUNGEN (Sprint Release)
// =====================================================

// Install Tool in Redis speichern - v14+
$GLOBALS['TYPO3_CONF_VARS']['BE']['installToolSessionStorageBackend'] = 
    \TYPO3\CMS\Install\Service\Session\RedisSessionStorage::class; // v14+

// Redis Anmeldung mit Passwort - v14+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['redis']['hostname'] = '127.0.0.1'; // v14+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['redis']['port'] = 6379; // v14+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['redis']['username'] = 'typo3'; // v14+
$GLOBALS['TYPO3_CONF_VARS']['SYS']['redis']['password'] = 'secure-password'; // v14+

Benutzer und Rechte  

Wenig Rechte vergeben (PoLP-Prinzip)  

Jeder Benutzer bekommt nur die nötigsten Rechte.

• Redakteure: Sehen nur ihre eigenen Seiten und Dateien.
• Administratoren: Sie sind keine System Maintainer.
• System Maintainer: Haben alle Rechte. Es sollte nur 1 bis 2 System Maintainer geben.

Multi-Faktor-Authentifizierung (MFA)  

Erweiterungen verwalten (Extensions)  

• Nutzen Sie nur sichere Quellen (TER, Packagist).
• Machen Sie regelmäßig Updates für alle Erweiterungen.
• Löschen Sie ungenutzte Erweiterungen. Jede Erweiterung ist ein Risiko.
• Lesen Sie auch Warnungen für Erweiterungen.

Der Ablauf bei einem Fehler  

Wenn jemand einen Fehler im TER meldet, gibt es feste Regeln:

1. Geheime Nachricht. Das Team informiert den Entwickler heimlich.
2. Der Entwickler muss antworten. Er muss zeigen, dass er noch arbeitet.
3. Reparatur bauen. Der Entwickler baut heimlich ein Update (Patch).
4. Gemeinsame Veröffentlichung. Warnung und Update kommen gleichzeitig heraus.

Wenn der Entwickler nicht antwortet: Das Team löscht die Erweiterung aus dem TER. Das Team warnt alle Nutzer.

Warnungen nach dem Login  

TYPO3 zeigt oft Warnungen nach dem Login an. Nehmen Sie diese ernst. Reparieren Sie die Fehler sofort.

• Der Core ist zu alt.
• Es gibt unsichere Erweiterungen.
• Wichtige Einstellungen fehlen.

Extension-Entwicklung 

Entwickler haben eine große Verantwortung. Ein schlechter Code gefährdet das ganze System.

Eingaben prüfen  

Prüfen Sie alle Eingaben auf dem Server:

• Typ prüfen: Ist es eine Zahl oder ein Text?
• Länge prüfen: Wie lang darf der Text sein?
• Erlaubte Werte: Erlauben Sie nur gute Werte (Whitelist).
• Zeichen-Satz: Erzwingen Sie UTF-8.

SQL-Injection verhindern  

// Fügen Sie Texte niemals zusammen! Das ist sehr gefährlich.
$query = "SELECT * FROM users WHERE email = '" . $userInput . "'";

XSS verhindern  

Fluid prüft Ausgaben ganz automatisch. Achten Sie auf Ausnahmen:

Extbase-Sicherheit  

• Erlaubte Properties: Erlauben Sie nur bestimmte Properties.
• __trustedProperties: Extbase prüft dies automatisch. Es ist sehr sicher.
• Validatoren: Nutzen Sie Extbase Validatoren für alle Objekte.

Redakteur-Sicherheit 

Auch Redakteure müssen sehr vorsichtig sein. Ein Fehler kann das ganze System öffnen.

Sichere Inhalte eingeben  

• Nutzen Sie den normalen Text-Editor (RTE). Schreiben Sie kein eigenes HTML.
• Nutzen Sie keine fremden Einbettungen (Embeds).
• Prüfen Sie alle Links vor dem Speichern.
• Fügen Sie niemals Skripte in Texte ein.

Dateien richtig hochladen  

• Datei-Namen prüfen: Nutzen Sie keine Sonderzeichen.
• Datei-Größe beachten: Melden Sie sehr große Dateien der IT.
• Herkunft prüfen: Laden Sie keine fremden Dateien hoch.

Phishing erkennen  

• Senden Sie niemals Passwörter per E-Mail.
• Prüfen Sie die Adresse (URL), bevor Sie ein Passwort tippen.
• Melden Sie komische E-Mails sofort an die IT.
• Fragen Sie lieber nach, bevor Sie auf einen Link klicken.

Nach einem Angriff 

Ein Angriff kann immer passieren. Sie brauchen einen guten Plan für den Notfall.

Warnzeichen erkennen  

Sofort-Hilfe  

Fehler suchen  

Wiederherstellung  

So machen Sie es richtig:

1. Suchen Sie ein sauberes Backup von vor dem Angriff.
2. Installieren Sie TYPO3 neu auf einem sauberen Server.
3. Spielen Sie die Datenbank aus dem Backup ein.
4. Machen Sie alle Updates für TYPO3 und Erweiterungen.
5. Schließen Sie die Sicherheits-Lücke vom Angriff.
6. Ändern Sie alle Passwörter.
7. Gehen Sie erst dann wieder online.

Besserer Schutz für die Zukunft  

• Schreiben Sie die Lösung auf.
• Prüfen Sie das ganze System genau.
• Überwachen Sie den Server noch besser.
• Schulen Sie Ihr Team für mehr Sicherheit.
• Verbessern Sie Ihren Notfall-Plan.

Composer & Code-Integrität 

Vorteile für die Sicherheit  

Sichere Updates machen  

# 1. Backup machen
mysqldump -u user -p database > backup.sql

# 2. Pakete aktualisieren
composer update typo3/cms-* --with-dependencies

# 3. Auf Fehler prüfen
composer audit

# 4. Datenbank aktualisieren
vendor/bin/typo3 database:updateschema

# 5. Cache leeren
vendor/bin/typo3 cache:flush

Zusammenfassung  

Ressourcen  

• TYPO3 Security Guide – Die offizielle Anleitung
• TYPO3 Security Team – Fehler an das Team melden
• Security Advisories – Alle aktuellen Warnungen lesen
• ELTS-Programm – Langer Support für alte Versionen