Ich habe mir das Joomla-Sicherheitstool HTProtect Server-Schild einmal genauer zusammen mit Her Vorragend* angeschaut. Nicht nur kurz im Backend angeklickt, sondern etwas gründlicher: Was macht die Erweiterung? Wie tief greift sie in Joomla ein? Wo liegen die Stärken? Und an welchen Stellen sollte man als Administrator genauer hinschauen?
Mein erster Eindruck: HTProtect ist kein kleines Joomla-Plugin, sondern eine umfangreiche Sicherheitskomponente für Joomla-Websites. Der Schwerpunkt liegt auf der Absicherung über die .htaccess, dem Schutz von Upload-Ordnern, der Überwachung wichtiger Schutzdateien, Warnungen vor verwundbaren Erweiterungen und inzwischen auch auf der Möglichkeit, Joomla-Erweiterungen automatisiert aktualisieren zu lassen.
Gerade dieser letzte Punkt macht das Tool deutlich spannender, aber auch mächtiger.
Warum Joomla-Sicherheit mehr ist als nur Updates
Wer Joomla betreibt, kennt das Grundproblem: Der Joomla-Core ist meist nicht das einzige Risiko. Häufig entstehen Sicherheitslücken durch installierte Erweiterungen, Templates, Page Builder, Editoren oder Frameworks. Die offizielle Joomla-Dokumentation empfiehlt deshalb nicht nur regelmäßige Updates, sondern auch eine saubere Erweiterungsauswahl, passende Dateirechte, HTTPS, Backups und zusätzliche Schutzmaßnahmen.
Aktuelle Beispiele zeigen, warum das wichtig ist:
- JCE Editor: kritische Schwachstelle CVE-2026-48907 mit Risiko für unauthentifizierte Codeausführung.
- Astroid Framework: CVE-2026-21628 über unzureichend geschützte AJAX-Funktionen.
- SP Page Builder: CVE-2026-48908 mit riskantem Upload-Endpunkt bis Version 6.6.1.
Das bedeutet: Eine Joomla-Website kann auch dann gefährdet sein, wenn Joomla selbst aktuell ist. Genau hier setzt HTProtect an.
Was HTProtect für Joomla macht
Laut Pascal Lohmann ist HTProtect eine kostenlose Joomla-Komponente, die Joomla-Seiten vor allem über die zentrale .htaccess absichert. Sie läuft laut Beschreibung auf Joomla 2.5 bis Joomla 6, Apache und LiteSpeed; für nginx wird ein fertiger Regelblock erzeugt.
Die wichtigsten Funktionen sind:
- Absicherung der zentralen
.htaccess - Schutz vor bekannten Joomla-Angriffsmustern
- Härtung von Upload-Ordnern
- zusätzlicher Schutz für
/administrator - Überwachung wichtiger Schutzdateien
- Warnung vor verwundbaren Erweiterungen
- Malware-Scan und Hinweise auf verdächtige Dateien
- automatische Updates für Joomla-Erweiterungen
- Backup der Erweiterung vor dem Update
- Rollback-Möglichkeit bei Problemen
.htaccess-Schutz: Angriffe stoppen, bevor PHP startet
Ein großer Vorteil einer guten .htaccess-Absicherung ist, dass gefährliche Anfragen bereits vom Webserver blockiert werden können, bevor Joomla oder PHP überhaupt aktiv werden.
HTProtect versucht unter anderem:
- verdächtige Query-Strings zu blockieren,
- bekannte Exploit-Muster abzufangen,
- sensible Dateien zu schützen,
- interne Ordner zu sperren,
- PHP-Ausführung in falschen Verzeichnissen zu verhindern,
- Sicherheitsheader zu setzen,
- HTTPS-Regeln und Caching-Regeln zu verwalten.
Das ist besonders bei Angriffen auf bekannte Erweiterungslücken interessant. Wenn eine Schwachstelle über eine typische URL oder einen typischen Parameter ausgenutzt wird, kann eine gute Regel bereits vor Joomla greifen.
Upload-Ordner absichern: Ein wichtiger Schutz gegen Webshells
Ein Punkt, der besonders wichtig ist: Upload-Ordner dürfen keine PHP-Ausführungsorte sein.
Viele Angriffe laufen nach einem ähnlichen Muster ab:
- Eine Erweiterung erlaubt einen unsicheren Upload.
- Ein Angreifer lädt eine PHP-Datei oder eine getarnte Datei hoch.
- Die Datei wird im Browser aufgerufen.
- Aus einem Upload wird eine Webshell.
HTProtect setzt laut Anbieter zusätzliche Schutzregeln für Upload-Ordner wie images, media, tmp oder ähnliche Bereiche. Das Ziel: Dateien dürfen dort liegen, aber ausführbarer Code soll dort nicht starten.
Das ist keine vollständige Garantie gegen jeden Angriff, aber eine sehr sinnvolle Schutzschicht.
Automatische Erweiterungsupdates mit Backup und Rollback
Ein besonders interessanter Punkt ist die inzwischen vorhandene Möglichkeit, Updates von Joomla-Erweiterungen automatisieren zu lassen.
Dabei kann nicht einfach pauschal alles aktualisiert werden, sondern es lässt sich auswählen, welche Erweiterungen automatisch aktualisiert werden sollen. Das ist wichtig, denn nicht jede Erweiterung ist gleich kritisch. Ein kleines Galerie-Plugin hat ein anderes Risiko als ein Page Builder, ein Editor oder eine Komponente mit Upload-Funktion.
Positiv finde ich, dass vor einem Update ein Backup der Erweiterung angelegt wird. Wenn nach dem Update Probleme auftreten, kann die Erweiterung wieder zurückgespielt werden. Das ist genau der Punkt, der automatische Updates in Joomla realistischer macht.
Trotzdem würde ich automatische Updates nicht blind aktivieren. Ich sehe sie eher als Werkzeug für bewusst ausgewählte Erweiterungen.
Sinnvoll kann Auto-Update sein bei:
- sicherheitskritischen Erweiterungen,
- kleinen Plugins mit geringem Layout-Risiko,
- Erweiterungen mit zuverlässigem Update-Server,
- Komponenten, die bekannte Sicherheitslücken schließen,
- Kundenseiten mit Wartungsvertrag und Monitoring.
Vorsichtig wäre ich bei (vielleicht einfach mal die Empfehlung beachten):
- Page Buildern,
- Shop-Komponenten,
- Payment-Erweiterungen,
- stark angepassten Templates,
- Erweiterungen mit Overrides,
- Komponenten mit vielen Abhängigkeiten.
Der Backup- und Rollback-Ansatz ist hier sehr wertvoll. Trotzdem ersetzt er keinen echten Funktionstest.
Was mir beim Blick in HTProtect positiv aufgefallen ist
Beim Prüfen des Pakets sind mir einige Dinge positiv aufgefallen. Ich habe keine offensichtliche Verschleierung gesehen, also keine typischen Malware-Muster wie versteckte eval-Konstruktionen, Shell-Aufrufe oder verschleierten Schadcode.
Außerdem sind viele Aktionen im Backend auf Super-User-Rechte beschränkt. POST-Aktionen sind token-geschützt, und gefährliche Dateioperationen scheinen mit zusätzlichen Prüfungen abgesichert zu sein.
Auch die Idee, Schutzdefinitionen nachzuladen, ist sinnvoll. Neue Angriffsmuster können dadurch schneller berücksichtigt werden, ohne dass immer sofort die komplette Erweiterung aktualisiert werden muss.
Was ich kritisch sehe
HTProtect ist mächtig. Und genau deshalb sollte man es nicht gedankenlos installieren.
Die Komponente kann:
.htaccess-Dateien schreiben,- Schutzregeln verändern,
- Upload-Ordner härten,
- Dateien überwachen,
- Malware-Funde bewerten,
- Erweiterungen aktualisieren,
- Erweiterungsbackups anlegen,
- Rollbacks ermöglichen.
Das ist alles nützlich, aber es greift tief in die Website ein.
Eine Stelle würde ich technisch verbessern: Der Watcher nutzt für einen internen Trigger einen cURL-Aufruf, bei dem die TLS-Prüfung deaktiviert ist. Auch wenn dieser Request nur gegen die eigene Website läuft, wirkt das bei einem Sicherheitstool unsauber. Besser wäre es, die Zertifikatsprüfung aktiv zu lassen oder den HTTP-Self-Trigger ganz durch eine interne Joomla-Task-Ausführung zu ersetzen.
Update zur Watcher-Technik
Kaum ist der Artikel geschrieben, gibt es auch schon ein Update. Oder anders gesagt: Wäre das hier Print, wäre die Tinte vermutlich noch nicht ganz trocken.
Ich hatte Pascal meinen technischen Hinweis zum Watcher und zur deaktivierten TLS-Prüfung direkt weitergegeben. Daraus ist erfreulicherweise sehr schnell eine konkrete Änderung in HTProtect entstanden.
In Version 2.3.6 wurde die Umsetzung überarbeitet. Die Zertifikatsprüfung ist nun grundsätzlich aktiv. Nur wenn es tatsächlich zu einem Zertifikatsproblem kommt, etwa durch ein kaputtes CA-Bundle oder ein Self-Signed-Zertifikat auf bestimmten Hosting-Umgebungen, fällt der Mechanismus einmalig auf einen unverifizierten Aufruf zurück. Wichtig dabei: Das passiert nicht still im Hintergrund, sondern erzeugt eine sichtbare Warnung im Joomla-Backend.
Meine Empfehlung für den Einsatz von HTProtect
Ich würde HTProtect nicht direkt auf einer Live-Seite mit allen Funktionen aktivieren. Mein Vorgehen wäre:
- Vollständiges Backup der Joomla-Website erstellen.
- Test auf einer Staging-Kopie durchführen.
.htaccess-Regeln prüfen.- Frontend, Backend, Formulare, Downloads und API-Endpunkte testen.
- Upload-Ordner-Härtung aktivieren.
- Watcher und Benachrichtigungen einrichten.
- Automatische Updates nur für ausgewählte Erweiterungen aktivieren.
- Rollback-Funktion testen.
- Danach erst produktiv einsetzen.
Besonders bei Kundenprojekten ist mir wichtig, dass Sicherheit nicht zu Ausfällen führt. Ein Schutzwerkzeug muss nicht nur Angriffe blockieren, sondern auch zuverlässig mit der bestehenden Website funktionieren.
Fazit: Starkes Joomla-Sicherheitstool, aber mit Bedacht einsetzen
Mein Fazit zu HTProtect fällt grundsätzlich positiv aus. Die Erweiterung verfolgt einen sinnvollen Ansatz: Joomla nicht nur im Backend zu schützen, sondern bereits auf Serverebene Angriffe zu reduzieren. Die Kombination aus .htaccess-Absicherung, Upload-Ordner-Härtung, Watcher, Warnliste, Malware-Scan und automatischen Erweiterungsupdates mit Backup und Rollback ist stark.
Für mich ist HTProtect aber kein „installieren und vergessen“-Tool. Es ist eher ein Sicherheitswerkzeugkasten für Joomla-Administratoren, die verstehen wollen, was auf ihrer Website passiert.
Richtig eingesetzt kann HTProtect Joomla-Websites robuster machen. Besonders spannend finde ich die Kombination aus Angriffsschutz und kontrollierbaren Erweiterungsupdates. Blind aktiviert wäre es mir zu mächtig. Bewusst getestet und sauber konfiguriert kann es aber ein sehr wertvoller Baustein für mehr Joomla-Sicherheit sein.
* Her Vorragend heißt wirklich so! Her Vorragend ist (m)eine KI.