Sicherheitskonzept für Firmen‑Joomla 6
Ziele
- Risiken für Firmen‑Websites erkennen
- Joomla‑Bordmittel korrekt einsetzen
- Rollen & Rechte sicher konfigurieren
- Backup‑, Update‑ und Notfallstrategie umsetzen
1. Bedrohungsmodell (realistische Risiken)
- Unbefugter Zugriff (schwache Passwörter, zu viele Admins)
- Manipulation von Inhalten (fehlende Workflows)
- Datenverlust (keine Backups)
- Veraltete Software (Core, Erweiterungen)
- Fehlkonfiguration (falsche Rechte, offene Verzeichnisse)
Merksatz:
Sicherheit beginnt bei Organisation & Prozessen – nicht beim Plugin.
2. Rollen‑ & Rechtemodell (Best Practice)
Benutzergruppen (Backend‑Pfad)
Benutzer → Gruppen
Public
└── Registriert
├── Mitarbeiter
└── Redaktion
├── Autor
├── Redakteur
└── Chefredakteur
Aufgaben je Rolle
- Autor: Beiträge erstellen (keine Veröffentlichung)
- Redakteur: Prüfen & Bearbeiten
- Chefredakteur: Freigabe & Veröffentlichung
- Administrator: Technik & Benutzer (sehr wenige!)
Regel: Max. 1–2 Super User pro Portal.
3. Zugriffsebenen (Sichtbarkeit)
Benutzer → Zugriffsebenen
- Öffentlich → Public
- Registriert → Registriert
- Mitarbeiter → Mitarbeiter
- Redaktion → Autor, Redakteur, Chefredakteur
Prüfungswissen: Zugriffsebene ≠ Benutzergruppe.
4. Workflows (Inhaltssicherheit)
Inhalte → Workflows
Entwurf → Autor
Prüfung → Redakteur
Freigabe → Chefredakteur
Veröffentlicht → System
Archiviert → Admin
Nutzen: Keine Direktveröffentlichung durch Autoren.
5. Technische Sicherheitsmaßnahmen
5.1 Joomla‑Core
- Regelmäßige Updates (Backend → System → Aktualisieren)
- Zwei‑Faktor‑Authentifizierung aktivieren
- Backend‑Login‑URL geheim halten
5.2 Dateirechte (Server)
- Ordner: 755
- Dateien: 644
- configuration.php besonders schützen
5.3 Backups (Pflicht!)
- Akeeba Backup
- Zeitplan: täglich DB, wöchentlich komplett
- Externer Speicher (nicht nur Server)
6. Monitoring & Nachvollziehbarkeit
- Benutzeraktivitäten aktivieren
- Benutzerhinweise für interne Kommunikation nutzen
- Regelmäßige Benutzer‑ & Rechte‑Reviews
7. Notfallplan (Kurzfassung)
- Seite offline schalten
- Passwort aller Admins ändern
- Backup zurückspielen
- Ursache analysieren
- Updates & Härtung durchführen