1. Sie sind hier:
  2. Home
    3. |
  3. TYPO3-Support
    4. |
  4. TYPO3 Sicherheit und Datenschutz

TYPO3 Datenschutz & Sicherheit

Letzte Änderung:

Allgemeines

eBook "TYPO3 & Sicherheit" als Download
eBook "TYPO3 & Sicherheit"

Im Rahmen unseres TYPO3 Supports legen wir sehr großen Wert auf die Themen Datenschutz und Sicherheit

Website-Ausfälle, Hacker-Angriffe und Datenschutzverletzungen bringen nicht nur hohe wirtschaftliche sondern auch rechtliche Risiken:

  • Datenmissbrauch: Der Missbrauch von Daten durch Dritte verursacht Imageschäden und kann im Rahmen der Datenschutzgrundverordnung(DSGVO) sehr hohe Geldstrafen nach sich ziehen.
  • Servermissbrauch: Von Viren befallene Websites werden häufig zu Fremdzwecken mißbraucht (z.B. Suchmaschinenspaming, “Cryptojacking”, DDoS-Attacken, usw.). Sie können Haftungsschäden verursachen sowie Rankingverluste bis hin zum Blacklisting bei Suchmaschinen.
  • Datenverlust/Dysfunktionalität: In der Regel schützen Backups vor dem versehentlichen oder absichtlichen Verlust von Daten. Da sich ein Virenbefall in der Regel aber immer erst viel später bemerkbar macht, kann es sein, dass auch zurück liegende Datensicherungen keine Abhilfe mehr leisten. Im schlimmsten Fall muss die Website nocheinmal komplett neu entwickelt werden.

Organisatorisches

In der TYPO3 Association ist ein eigenes Security Team für die Überwachung und Steuerung von sicherheitsrelevanten Fragen und Problemen rund um TYPO3 zuständig.

Es ist auf jeden Fall empfehlenswert, die Veröffentlichungen des Teams über die Kanäle eMail-Verteiler und Twitter-Account(@typo3_security) zu verfolgen.

Unter  https://typo3.org/help/security-advisories/ erhält man eine Liste aller bekannten Sichherheitslücken sowie entsprechende Handlungsempfehlungen, die jeweils als sog. “Security Bulletins” veröffentlicht werden. .

Beispiel Security Bulletin
Beispiel für ein Security Bulletin

Security Bulletins

Es gibt drei Arten von Bekanntmachungen(“Security Bulletins”), die mit einer eindeutigen Kennung veröffentlicht werden:

  • TYPO3-CORE-SA-yyyy-nnn für Bulletins, die den TYPO3 Core betreffen
  • TYPO3-EXT-SA-yyyy-nnn für Bulletins, die für TYPO3-Extensions gelten
  • TYPO3-PSA-yyyy-nnn für Public Service Announcements

Wobei yyyy für das entsprechende Jahr der Veröffentlichung und nnn für eine fortlaufende Nummer steht.

Public Service Anouncements

Sichheitsrelevante Informationen, die nicht direkt den Source Code von TYPO3 oder Extensions betreffen, werden als sog. Public Service Announcements veröffentlicht. Darunter fallen unter anderem Probleme bei Dritt-Software wie Apache, PHP oder mySQL.

Beispiel-Infos zu einem Security-Patch
Beispiel-Infos zu einem Security-Patch

Severity

Die Severity ist ein Indikator für die Dringlichkeit einer Sicherheitslücke:

Severity Bedeutung
Critical höchste Dringlichkeitsstufe, die ein sofortiges Handeln erfordert
High zweithöchste Stufe, schnellstmöglicher Handlungsbedarf
Medium Ihre Installation ist nicht zwingend betroffen, dennoch sollte Update erfolgen
Low die Installation ist nur unter bestimmten – eher unwahrscheinlichen – Umständen     betroffen. Auch in diesem Fall empfehlen wir ein Update.

Warum ist es wichtig, immer das aktuellste Sicherheitsupdate zu installieren?
TYPO3 ist ein Quellcode offenes System. Durch den Vergleich von alter Version und neuer Version können Hacker sehr schnell erkennen, welche Änderungen durchgeführt wurden. Auf diese Weise wird dann auch die Schwachstelle der alten Version sichtbar.
Daher eine der wichtigsten Regeln in Sachen Sicherheit:

Halten Sie das System immer auf dem neuesten Sicherheitspatch. 

Installation

Installieren Sie den Code direkt von get.typo3.org. Vermeiden Sie vermeintlich einfachere Installationspakete von Drittanwendern. Vergleichen Sie den Haswert der heruntergeladenen Datei mit dem auf der offiziellen Website veröffentlichten.

TYPO3 Installation
TYPO3 Installation: Checksum vergleichen

Schreib- und Leserechte sollte nur der User (z.B. “apache”) haben, unter dem der Webserver läuft. Programmierer/Administratoren sollten durch eine Gruppenzuordnung entsprechende Rechte erhalten. Grundsätzlich reichen die Schreibrechte für die Verzeichnisse “fileadmin”, “typo3conf” und “typo3temp”.

Die Datei typo3conf/LocalConfiguration.php ist die wichtigste Konfigurationsdatei in TYPO3. Sie sollte nicht von Unbefugten les-(weil hier Datenbankzugangsdaten im Klartext enthalten sind) oder schreibbar(weil eine Änderung des Installtool-Passwortes und damit die Erstellung eines Admin-Accounts möglich ist) sein.

Für die Benutzung des Installtools sollten nur ausgewählte Administratoren sog. “Maintainer-Rechte” haben.

Redakteure sollten grundsätzlich keinen ftp/ssh/scp-Zugang zum Webserver haben.

Unter dem Punkt “Reports” im TYPO3 Backend gibt es einen Bereich “Security”, der komplett auf grün stehen sollte.

Security Bereich im unter Logs im TYPO3-Backend
Security Bereich im unter Logs im TYPO3-Backend

Server Response on static files
Hierbei handelt es sich um eine häufige Warnmeldung, die nach einer Standard-Installation häufig angezeigt wird. Damit wird die Möglichkeit beschrieben, mit dem TYPO3 Filemanager Dateien mit der Syntax „maliciouscode.html.txt“ (oder „maliciouscode.svg.txt“) hochzuladen. Einige Webserver behandeln diese Dateien als HTML-Dateien, weil sie die Zeichenkette „.html“ enthalten. 
Da html- und svg-Dateien schadhaften Code enthalten können, besteht für Redakteure die Möglichkeit, das System auf diese Weise zu unterwandern. Wir beschreiben in einem separaten Artikel zum Thema Server Response on static files, wie Sie dieses Problem beheben können.

Log

Unter "Log" werden wichtige Ereignisse in TYPO3 protokolliert. Hierzu zählen u.a. Systemfehler, auch Loginversuche, redaktionelle Maßnahmen, Datei-Uploads u.v.m.

Dieses Protokoll ist somit ein wichtiges Instrument bei der laufenden Systemüberwachung:

Ausschnitt aus dem TYPO3-Logfile
Ausschnitt aus dem TYPO3-Logfile

Mailbenachrichtigungen

TYPO3 Mail nach Systemänderungen
TYPO3 Mail nach Systemänderungen

In TYPO3 gibt es einige Möglichkeiten, über Systemveränderungen oder andere Ereignisse per Mail informiert zu werden.

Systemeinstellungen automatisiert überwachen

Mit dem Scheduler-Task „System Status Update“ können Sie die Systemumgebung automatisiert überwachen. Bei Fehler/Warnungen (oder wenn gewünscht grundsätzlich) wird eine Mail an die in der Taskdefinition hinterlegte Adresse geschickt.

Fehlgeschlagene TYPO3 Loginversuche
Fehlgeschlagene TYPO3 Loginversuche anzeigen.

Logins protokollieren

Lassen Sie sich per Mail informieren, wenn sich ein User(“1”) oder zumindest Administrator(“2”) einloggt:

 

$GLOBALS['TYPO3_CONF_VARS']['BE']['warning_mode’] = 1 oder 2
$GLOBALS['TYPO3_CONF_VARS']['BE']['warning_email_addr’] = <MAILADRESSE>

 

(Beide Werte können über das Installtool eingestellt werden)

Redakteure können sich über ihre persönlichen Einstellungen (siehe Schalter "Notifiy me by email when somebody logs in from my account") ebenfalls informieren lassen, wenn sich jemand über ihren Account einloggt.

Fehlgeschlagene Loginversuche

Sie können fehlgeschlagene Loginversuche manuell nachvollziehen, indem Sie unter „Reports“ das Filterfeld „Action“ auf „Login“ setzen und den gewünschten Zeitraum angeben:

Weitere Maßnahmen

Im Folgenden weitere Maßnahmen, die den Schutz Ihres TYPO3 Systems weiter erhöht:

Multifaktor-Authentifizierung

Ab TYPO3 v11 besteht die Möglichkeit, Backend-User nur noch über eine Mehrfaktorauthentifizierung
Zugang zum Backend zu ermöglichen.
Mehr Infos dazu in unserem Artikel zur Multifaktor-Authentifizierung mit TYPO3.

Logdaten anonymisieren

Anonymisieren Sie die Daten in der Tabelle sys_log über den Scheduler(Task „ Anonymize IP addresses in database tables”)

Anzahl Loginversuche limitieren

Aber TYPO3 Version 11 können Sie die Anzahl von gescheiterten Loginversuchen limitieren. Wählen Sie als Admin mit Maintainer-Rechten den Punkt "Settings" -> "Configure Installationwide Options" und ändern Sie hier je nach Wunsch die Parametern [BE][loginRateLimit], [BE][loginRateLimitInterval] und [BE][loginRateLimitIPExcludeList]

Verwendung des HTTP Security Headers

Die Verwendung von HTTP Security Headern ist eine weitere Möglichkeit, die eigene Website sicherer zu machen. Die Header weisen Browser z.B. an, Serveranfragen nur über "https" zu stellen( "HTTP Strict Transport Security response header" oder kurz HSTS), verhindern und vermeiden u.a. Angriffe durch Cross Site Scripting, MIME Sniffing und Clickjacking.

Ob Ihre Website mit diesen Headern ausreichend geschützt ist, können Sie unter https://securityheaders.com testen.

Eine einfache Lösung zum Setzen des HTTP Security Headers finden Sie in unserem DSGVO Artikel.

Inhaltselement “Plain HTML” deaktivieren

In TYPO3 gibt es die Möglichkeit, HTML(und damit auch svg/JavaScript)-Code als Inhaltselement auf einer Seite auszugeben. Diese Funktion sollten Sie zumindest für Redakteure über die „Access Lists“ in den Einstellungen des Users(oder besser der Gruppe) deaktivieren.

TYPO3 Inhaltselement Plain HTML
Inhaltselement Plain HTML
Inhaltselement Plain HTML deaktivieren
Inhaltselement für Redakteure deaktivieren

Hochladen von HTML, JavaScript- und SVG-Dateien unterbinden

HTML-, JavaScript- und SVG-Dateien können schadhaften Code enthalten. Die Möglichkeit des Hochladens solcher Dateien über den Filemanager sollte daher nach Möglichkeit unterbunden werden.

Hochladen von HTML und SVG-Dateien unterbinden
Hochladen von HTML und SVG-Dateien unterbinden

Table Garbage Collection

Löschen Sie regelmäßig über den scheduler-Task Table Garbage Collection die Tabellen syslog und sys_history
Wenn Sie – wie die meisten – die Extension powermail nutzen, löschen Sie auch die Tabellen tx_powermail_domain_model_mail und tx_poswer,ail_domain_model_answer.

Backupstrategie

Ein wichtiger Bestandteil für einen möglichst ausfallfreien Betrieb einer Website, ist das Vorhalten eines Backups. 

Komponenten eines TYPO3 Backups

Das Backup einer TYPO3 Installation umfasst zwei Komponenten:

1. Dateien
Ausschlaggebend sind i.d.R. die beiden Verzeichnisse:

<WEBROOT>/fileadmin
<WEBROOT>/typo3conf

Hierbei handelt es sich um Standardverzeichnisse, die in speziellen Fällen auch an anderer Stelle liegen können. „typo3conf“ kann z.B. aus Sicherheitsgründen auch außerhalb des Webroot Pfades liegen. „fileadmin“ kann anders heißen bzw. kann es weitere Verzeichnisse(„File Mounts“) geben.

2. Datenbank
TYPO3 benötigt eine Datenbank, die selbstverständlich auch zu sichern ist.

Backup testen
Um sicher zu gehen, dass Backups vollständig sind und problemlos zurück gespielt werden können, sollten diese getestet werden. In der Praxis bietet es sich häufig an, ein Backup in einer zweiten Umgebung zurückzuspielen und diese dann gleichzeitig als Testumgebung für Aufgaben zu verwenden, die nicht sofort im Live System durchgeführt werden sollen (wie z.B. Security Update, Template Änderungen usw.).

Weitere Hinweise

Backups sollten nicht (nur) lokal gehalten werden. Wir haben ein eigenes Backup Script entwickelt, das die Spiegelung von Backups auf andere Server ermöglicht.

Bedenken Sie, dass Backups persönliche Daten im Sinne der DSGVO enthalten können und treffen Sie entsprechende Schutzmaßnahmen, wie z.B. die Verschlüsselung und einen Passwortschutz.

Backup Intervalle

Da mögliche Funktions-Fehler, Datenverlust und/oder schadhafter Code in den meisten Fällen erst spät erkannt werden, sollten Backups nicht nur vom Vortag sondern über einen längeren Zeitraum verfügbar sein.

Wir empfehlen die folgenden Backup Intervalle:

  • Machen Sie ein tägliches Backup
  • Behalten Sie ein Backup der letzten 7 Tage
  • Behalten Sie ein Backup des letzten Monats
  • Behalten Sie ein Backup des letzten halben Jahres
  • Behalten Sie ein Backup der letzten 12 Monate

TYPO3 Support

Sie benötigen Support bei dem sicheren Betrieb Ihrer TYPO3 Installation(en)? Als TYPO3 Agentur mit zertifizierten Entwicklern unterstützen wir Sie gerne und bieten Ihnen einen profeesionellen TYPO3-Support. Wir freuen uns über Ihre Kontaktaufnahme.