Joomla 3 EOL: Warum noch immer Millionen Seiten ungesichert im Netz laufen
Das Joomla 3 End of Life ist seit dem 17. August 2023 offiziell. Seit diesem Tag erhält die Version keine Sicherheits-Updates mehr. Trotzdem läuft ein großer Teil aller Joomla-Seiten weiter auf der 3er-Serie. Hochgerechnet sind das Millionen Installationen im offenen Netz. Vielleicht gehört Ihre Seite dazu. Dann kennen Sie das Argument: "Sie funktioniert doch. Warum anfassen?"
Veraltete CMS-Installationen gehören allerdings zu den häufigsten Zielen automatisierter Angriffe. Dieser Artikel erklärt, was das Support-Ende konkret bedeutet. Er zeigt, warum die Migration in so vielen Firmen liegen bleibt. Und er beschreibt den ersten Schritt raus aus der Gefahrenzone.
Was bedeutet End of Life bei Joomla 3?
End of Life (EOL) heißt wörtlich Lebensende. Bei Software bezeichnet der Begriff das Ende aller Updates. Eine ausführliche Definition finden Sie im Glossar unter End of Life.
Joomla 3 erschien 2012 und wurde über ein Jahrzehnt gepflegt. Mit Version 3.10 endete die Serie. Im August 2023 stellte das Joomla-Projekt den Support endgültig ein. Neue Lücken landen seitdem zwar in den Schwachstellen-Datenbanken. Aber niemand schließt sie mehr. Es gibt keine Patches mehr. Ein Patch ist eine kleine Korrektur, die eine bekannte Schwachstelle schließt. Warum diese Korrekturen so viel Schaden verhindern, zeigt unser Beitrag über Security-Patches.
Das Tückische am Support-Ende: Die Seite läuft einfach weiter. Es gibt keinen Warnhinweis und keinen sichtbaren Defekt. Das Risiko wächst still im Hintergrund.
Warum laufen noch Millionen Seiten auf Joomla 3?
Joomla zählt seit Jahren zu den meistgenutzten CMS weltweit. CMS steht für Content-Management-System, die Software hinter der Website. Sehr viele dieser Installationen entstanden zwischen 2013 und 2018. Ein erheblicher Teil davon läuft bis heute unverändert. In der Summe ergibt das Millionen Seiten ohne Sicherheits-Updates.
Der Grund ist selten Faulheit. Der Sprung auf Joomla 4 ist ein echter Versionswechsel. Betreiber müssen ihr Template anpassen oder ersetzen. Viele ältere Erweiterungen existieren für Joomla 4 schlicht nicht mehr. Mit einem Klick auf "Aktualisieren" ist es deshalb nicht getan.
Dazu kommt der Faktor Mensch. Die Agentur von damals gibt es nicht mehr. Oder der Kollege, der die Seite gepflegt hat, ist längst weg. Die Migration landet auf der Liste für später. Dort liegt sie jetzt im dritten Jahr.
Welche Risiken entstehen durch das Joomla 3 End of Life?
Offene Lücken stehen öffentlich im Netz
Sicherheitslücken erhalten eine CVE-Nummer. CVE steht für Common Vulnerabilities and Exposures, eine öffentliche Datenbank für Schwachstellen. Sicherheitsforscher lesen diese Einträge. Angreifer lesen sie auch. Für Joomla 4 und 5 liefert das Projekt zeitnah Korrekturen. Joomla 3 geht leer aus.
Niemand muss dafür Ihre Firma kennen. Automatische Scanner durchsuchen das Netz rund um die Uhr nach verwundbaren Systemen. Eine Joomla-3-Installation verrät sich diesen Scannern schnell. Wie dieser Mechanismus abläuft, lesen Sie im Artikel über alte Software als Sicherheitsrisiko.
Erweiterungen und PHP altern mit
Eine Joomla-Seite besteht selten nur aus dem Kern. Templates, Plugins und Module stammen von Drittanbietern. Viele dieser Anbieter haben ihre Joomla-3-Produkte ebenfalls eingestellt. Jede dieser Komponenten kann eine eigene Lücke mitbringen.
Auch die Basis darunter altert. Joomla 3 läuft häufig auf PHP 7, dessen Support Ende 2022 endete. Veraltetes CMS auf veraltetem PHP: Da haben sich Risiken auf zwei Ebenen angesammelt.
DSGVO, Bußgelder und Reputation
Die DSGVO verlangt den Schutz persönlicher Daten nach dem Stand der Technik. Ein CMS ohne Sicherheits-Updates erfüllt diese Anforderung nicht. Nach einem Vorfall prüft die Aufsichtsbehörde den Wartungsstand. Ein bekanntes, ignoriertes Support-Ende ist dann schwer zu erklären. Fast jede Firmenseite verarbeitet persönliche Daten, mindestens über das Kontaktformular. Das Thema betrifft deshalb auch kleine Seiten.
Dazu kommt der Schaden, den kein Bußgeld beziffert. Gehackte Seiten verteilen Spam oder Schadsoftware an ihre Besucher. Google warnt dann vor dem Aufruf Ihrer Seite. Kunden sehen diese Warnung. Dieses Vertrauen wieder aufzubauen dauert länger als jede Migration.
Reicht eine Firewall nicht erst einmal aus?
Diese Frage hören wir oft. Eine Web Application Firewall filtert bekannte Angriffsmuster, bevor sie die Seite erreichen. Das senkt das Risiko. Die Lücken selbst bleiben aber bestehen. Neue Angriffswege umgehen solche Filter regelmäßig. Auch kommerzielle Langzeit-Support-Angebote decken nur einen Teil der Schwachstellen ab. Solche Lösungen kaufen Zeit. Als Dauerzustand taugen sie nicht.
Der Weg raus: erst Bestandsaufnahme, dann Migration
Der erste Schritt ist eine ehrliche Bestandsaufnahme. Welche Joomla-Version läuft genau? Welche Erweiterungen sind im Einsatz? Gibt es diese Erweiterungen für Joomla 4 oder 5? Und wie viel vom alten Inhalt soll überhaupt mit umziehen? Wer diese Fragen beantwortet hat, kennt den Umfang des Projekts.
Danach gibt es zwei realistische Wege. Weg eins ist die Migration auf Joomla 4 und weiter auf Joomla 5. Inhalte und Struktur der Seite bleiben dabei erhalten. Den Ablauf beschreibt unsere Anleitung zur Joomla-4-Migration Schritt für Schritt. Weg zwei ist der Neuaufbau. Der lohnt sich, wenn die Seite ohnehin nicht mehr zum Unternehmen passt. Beide Varianten vergleichen wir im Überblick zu den Update-Optionen für Joomla und Typo3.
Planen Sie das Hosting gleich mit. Aktuelle Joomla-Versionen brauchen eine aktuelle PHP-Version auf dem Server. Manche alten Hosting-Pakete bieten diese gar nicht an. Klären Sie das vor dem Start, sonst stockt der Umzug mittendrin. Ein Wechsel des Pakets kostet meist weniger als ein verlorener Projekttag.
Für die Übergangszeit gilt: Prüfen Sie Ihre Backups und entfernen Sie alte Admin-Zugänge. Das ersetzt keine Migration, verschafft aber Zeit für eine geordnete Planung.
Fazit: Der Stichtag ist lange vorbei
Das Joomla 3 End of Life liegt inzwischen drei Jahre zurück. Jeder weitere Monat auf der alten Version erhöht die Wahrscheinlichkeit eines Vorfalls. Eine geplante Migration kostet Geld, ja. Ein erzwungener Umzug nach einem Einbruch kostet mehr. Und er passiert nie zu einem guten Zeitpunkt.
Falls Sie nicht wissen, wo Ihre Seite steht: Wir schauen uns das an. Sie erfahren ehrlich, ob eine Migration reicht oder ein Neuaufbau sinnvoller ist. Sprechen Sie uns an. Das Erstgespräch ist kostenlos.
