TYPO3-Sicherheit: Schwachstellen-Abgleich mit klaren Grenzen

TYPO3-Installationen sind meist gepflegter als der Durchschnitt — und trotzdem gilt auch hier: Ob eine eingesetzte Erweiterung eine veröffentlichte Sicherheitslücke trägt, sieht man einer Website von außen nicht an. Dafür gibt es die Tutador-Extension tutador_connector.

Sie leistet weniger als unser WordPress-Plugin. Das schreiben wir hierher und nicht ins Kleingedruckte, weil es für Ihre Entscheidung wichtig ist.

Was die Extension meldet

18 der insgesamt 22 Kriterien prüfen wir allein mit Ihrer Domain — daran ändert das Redaktionssystem nichts. Für die übrigen braucht es den Blick ins System, und genau hier liegen die Unterschiede:

• Aktualität von CMS und Erweiterungen nicht gemeldet

  Nicht geprüft. TYPO3 kann ausstehende Extension-Aktualisierungen nicht zuverlässig ermitteln, ohne selbst TER oder Packagist abzufragen — ein geratener Stand wäre eine erfundene Aussage.

• Absicherung des Redaktionssystems gemeldet

  Die Extension meldet Fehlersuchmodus, Anwendungskontext, Sperre des Installationswerkzeugs und die Konfiguration vertrauenswürdiger Hostnamen. Alle vier Werte fließen in die Bewertung ein: Ein offenes Installationswerkzeug und fehlende vertrauenswürdige Hostnamen sind ein Mangel. Zwei-Faktor-Anmeldung und Sicherungslösung erhebt die Extension nicht — sie werden für TYPO3 deshalb weder als Mangel noch als Empfehlung gewertet.

• Bekannte Schwachstellen in installierter Software gemeldet

  Die Extension meldet Ihr Composer-Paketverzeichnis; den Abgleich mit osv.dev übernimmt unser Server.

• Anzeichen für Schadsoftware (Dateiintegrität) nicht gemeldet

  Nicht geprüft. Für TYPO3 gibt es keine offizielle Prüfsummenliste wie bei WordPress.org, gegen die sich Kerndateien vergleichen ließen.

Abgleich über osv.dev

Eine TYPO3-Installation wird heute über Composer verwaltet. Die Extension liest deshalb Ihr Paketverzeichnis aus — Name und Version jedes installierten Pakets — und meldet es einmal täglich an uns. Auf unserem Server gleichen wir es mit dem OSV-Datenbestand ab (osv.dev, Ökosystem „Packagist“). Dort landen die Sicherheitshinweise des PHP-Ökosystems einschließlich der TYPO3-Kernpakete und vieler Erweiterungen. Trifft ein Hinweis auf eine bei Ihnen installierte Version zu, steht er beim nächsten Lauf im Ergebnis.

Der Abgleich läuft vollständig bei uns. Ihre Installation spricht mit keiner externen Schwachstellen-Datenbank, sondern ausschließlich mit unserer Adresse — eine ausgehende, verschlüsselte Meldung pro Tag.

Jeder Treffer wird zusätzlich gegen den Katalog bekannter ausgenutzter Schwachstellen der US-Cybersicherheitsbehörde CISA (U.S. Department of Homeland Security) geprüft: Dort stehen nur Lücken, deren Ausnutzung tatsächlich beobachtet wurde — steht eine Ihrer Komponenten darin, führen wir sie immer als Mangel, unabhängig von ihrer Punktzahl. Die vom Exploit Prediction Scoring System (FIRST.Org) geschätzte Ausnutzungswahrscheinlichkeit nennen wir zur Einordnung. Alle Datenquellen im Detail

Zwei Dinge, die wir nicht liefern

Keinen Aktualitätsstand. Die Extension enthält bewusst keinen Abschnitt zu ausstehenden Aktualisierungen. TYPO3 kann nicht zuverlässig sagen, ob für eine Extension eine neuere Fassung vorliegt, ohne dafür selbst das TER oder Packagist abzufragen. Wir hätten das einbauen und „alles aktuell“ melden können, wann immer die Abfrage nichts ergibt. Stattdessen meldet das Kriterium „Aktualität von CMS und Erweiterungen“ bei TYPO3 ehrlich nicht geprüft. Ein geratener Stand wäre schlimmer als gar keiner: Er würde Sicherheit vortäuschen.

Keine Dateiintegrität. Bei WordPress vergleichen wir Kerndateien mit den offiziellen Prüfsummen von WordPress.org. Eine vergleichbare, verlässlich abrufbare Prüfsummenliste gibt es für TYPO3 nicht. Ohne diese Referenz wäre jeder Integritätsbefund eine Vermutung, also melden wir keinen.

Beide Kriterien erscheinen in Ihrem Ergebnis und im Nachweisbericht ausdrücklich als „nicht geprüft“. Sie werden nicht stillschweigend als erfüllt gewertet — und sie ziehen Ihre Note auch nicht nach unten.

Absicherung, die wir sehr wohl sehen

Die Extension meldet, ob der Fehlersuchmodus aktiv ist, ob der Anwendungskontext auf Produktion steht, ob das Installationswerkzeug gesperrt ist und ob vertrauenswürdige Hostnamen konfiguriert sind. Das sind die Einstellungen, die darüber entscheiden, wie viel Schaden ein übernommenes Redakteurskonto oder ein durchgelassener Fremdaufruf anrichten kann.

Alle vier Werte werden bewertet, nicht nur angezeigt: Ein offenes Installationswerkzeug — der direkte Weg zur vollständigen Übernahme einer Installation — und ein fehlendes Muster für vertrauenswürdige Hostnamen gelten als Mangel und verhindern das Siegel. Ein Anwendungskontext, der nicht auf Produktion steht, ist eine Empfehlung.

Was wir Ihnen nicht anlasten

Zwei Punkte, die unser WordPress-Plugin erkennt, kann die TYPO3-Extension nicht erheben: eine Zwei-Faktor-Anmeldung und eine Sicherungslösung. Beides zählt bei TYPO3 deshalb weder als Mangel noch als offene Empfehlung — im Ergebnis steht dazu „für TYPO3 nicht erhoben“. Bis zum 6. August 2026 war das anders: Jede TYPO3-Website trug dafür dauerhaft einen Punktabzug, den sie durch keine Maßnahme beseitigen konnte. Das war unser Fehler, und er ist behoben.

Was übertragen wird

Ausschließlich technische Bestands- und Konfigurationsdaten: Paketnamen mit Versionen, die genannten Absicherungseinstellungen, Angaben zur Installation. Keine Inhalte, keine Benutzernamen, keine personenbezogenen Daten. Die Extension lädt keinerlei externe Ressourcen und öffnet keine eingehende Schnittstelle. Die Verarbeitung findet in Deutschland statt; die Extension ist im Tarif enthalten.

Die vollständige Kriterienliste steht unter Website-Sicherheit, die Datenschutzprüfung unter DSGVO-Check.

Jetzt kostenlos prüfen