Joomla | Markus Steinacher

Wie sicher ist WordPress im Vergleich zu anderen CMS wie Joomla, Drupal und TYPO3?

Markus Steinacher — Mon, 31 Aug 2026 04:20:55 +0000

Wenn es um die Sicherheit von WordPress-Websites geht, taucht früher oder später eine interessante Frage auf: Ist WordPress eigentlich unsicherer als andere Content-Management-Systeme wie Joomla, Drupal oder TYPO3? Meiner Meinung nach ist diese Frage durchaus berechtigt. Schließlich lesen wir regelmäßig von WordPress-Sicherheitslücken, Sicherheitsupdates und kompromittierten Websites. Jedoch ist die Frage viel komplexer als man zunächst meinen könnte. Sehen wir uns das Thema hier etwas genauer an.

Aber bedeutet das tatsächlich, dass WordPress als CMS unsicherer ist als andere Systeme?

Meine kurze Antwort darauf lautet: Nein: WordPress ist nicht unsicherer als andere Systeme, zumindest lässt sich das nicht pauschal behaupten. Meine längere Antwort ist wesentlich interessanter, denn bei der Sicherheit einer Website spielt nicht nur das verwendete CMS eine Rolle. Entscheidend ist vielmehr der Umgang mit der jeweiligen Website und das Zusammenspiel zwischen dem Kernsystem, seinen Erweiterungen (Plugins), der Konfiguration, Hosting, Server, Benutzerkonten, Updates, Wartung, Backups und weiteren technischen Komponenten.

Bei der Sicherheitsfrage verhält es sich genauso, wie bei der Frage, welches CMS beispielsweise über die beste Performance (Ladezeit, …) verfügt. Das beste CMS hilft nichts, wenn man das gewählte System nicht optimal aufsetzt. Die Qualität der Sicherheit ist stark abhängig vom persönlichen Umgang und Nutzung der zur Verfügung stehenden Ressourcen. Allein durch diesen Aspekt stellt sich die Frage nicht, welches CMS am sichersten ist. Wobei es durchaus Kriterien gibt, die einem bei der Entscheidungsfindung – welches CMS für einen selbst wohl am besten ist – helfen können.

WordPress ist nicht das einzige CMS, das Sicherheitsupdates benötigt

Zunächst einmal ist es wichtig, mit einem verbreiteten Missverständnis aufzuräumen. Sicherheitslücken gibt es in praktisch jeder komplexeren Software. Das betrifft nicht nur WordPress, sondern auch Joomla, Drupal, TYPO3 und viele andere Content-Management-Systeme. Diese werden allesamt laufend weiterentwickelt und müssen bei bekannt gewordenen Sicherheitsproblemen aktualisiert werden.

Wie CMS mit dem Thema Sicherheit umgehen

Solche Systeme verfügen über eigene Security-Teams und Prozesse zur Meldung, Bewertung und Behebung von Sicherheitsproblemen. Ohne diese Sicherheitsmaßnahmen könnten diese Systeme nicht lange bestehen. Dies ist demnach eine Grundvoraussetzung und Qualitätskriterium für ein CMS, wenn man sich die Frage stellt ob ein CMS sicher ist.

Bei Joomla beispielsweise werden im offiziellen Security Centre laufend behobene Sicherheitsprobleme veröffentlicht. Auch im Jahr 2026 finden sich dort unter anderem Meldungen zu Authentifizierungsumgehungen, XSS, fehlerhaften Zugriffskontrollen und problematischen Datei-Uploads.

Drupal veröffentlicht ebenfalls regelmäßig Sicherheitsmeldungen für den Core und für Erweiterungen. Im Jahr 2026 wurden beispielsweise auch hochkritische Sicherheitsprobleme im Drupal-Core veröffentlicht.

Und auch TYPO3 veröffentlicht regelmäßig Sicherheitsupdates. Allein am 14. Januar 2025 wurden beispielsweise mehrere Sicherheitsprobleme mit neuen TYPO3-Versionen behoben.

Das bedeutet für unsere Frage, dass keines dieser Systeme frei von Sicherheitslücken ist. Das ist allerdings auch nicht der für mich entscheidende Maßstab. Vielmehr ist mir wichtig, wie mit Sicherheitslücken umgegangen wird und wie schnell Sicherheitskorrekturen auf die tatsächlich betriebenen Websites gelangen. Und genau hier beginnt für mich das Thema Service und Wartung.

WordPress ist im Vergleich zu anderen CMS besonders weit verbreitet

Ein wichtiger Unterschied zwischen WordPress und anderen CMS ist die enorme Verbreitung. Nach den aktuellen Zahlen von W3Techs vom August 2026 wird WordPress von rund 40,7 % aller Websites eingesetzt. Betrachtet man nur Websites, bei denen das verwendete CMS bekannt ist, kommt WordPress auf einen Marktanteil von 58,9 %.

Diese Zahlen stammen aus der aktuellen W3Techs-Auswertung vom August 2026. WordPress wird damit unter den hier betrachteten CMS ungefähr 35-mal häufiger eingesetzt als Joomla, 59-mal häufiger als Drupal und mehr als 100-mal häufiger als TYPO3. Diese Größenverhältnisse sollte man im Hinterkopf behalten, wenn man Sicherheitsstatistiken miteinander vergleicht.

Warum WordPress in Sicherheitsstatistiken besonders präsent ist

Die große Verbreitung macht WordPress für Angreifer äußerst interessant. Viele Cyberangriffe auf Websites werden heute automatisiert durchgeführt. Ein Angreifer muss nicht unbedingt persönlich wissen, wem eine bestimmte Website gehört oder welches Unternehmen dahintersteht. Das ist heute nicht mehr so interessant, wie es vielleicht früher einmal der Fall war.

Automatisierte Systeme können beispielsweise nach bestimmten technischen Merkmalen suchen und anschließend versuchen, bekannte Schwachstellen auszunutzen. Eine sehr große Zahl potenzieller WordPress-Installationen macht das System deshalb für automatisierte Angriffskampagnen so interessant. Das habe ich bereits ausführlicher in meinem Beitrag „Warum auch kleine WordPress-Websites für Cyberangriffe interessant sein können“ beschrieben.

Aber auch hier gilt, dass eine hohe Zahl von Angriffen auf WordPress nicht automatisch bedeutet, dass WordPress technisch unsicherer ist als andere CMS. Marktanteil und Sicherheitsrisiko müssen voneinander getrennt betrachtet werden, wobei diese Kennzahlen hinsichtlich Analyse durchaus in kausalem Zusammenhang erscheinen können. Demnach finde ich es richtig, dass wenn man sich für WordPress entscheidet, das Thema Sicherheit von Grund auf präventiv am Radar haben sollte, sich demnach damit auseinandersetzen sollte, was passieren kann, wenn man die Sicherheit der eigenen Website vernachlässigt.

Die Anzahl der Sicherheitslücken ist kein einfaches Sicherheitsranking

Hier wird es für mich besonders interessant. Immer wieder findet man Statistiken, die beispielsweise die Anzahl veröffentlichter Sicherheitslücken verschiedener Softwareprodukte vergleichen. Auf den ersten Blick könnte man daraus ein Ranking erstellen, wie zum Beispiel:

System A hat mehr Sicherheitslücken als System B – also ist System B sicherer.

So einfach funktioniert es jedoch nicht, denn die Zahl gemeldeter Sicherheitslücken hängt unter anderem davon ab, wie weit ein System verbreitet ist, wie intensiv es von Sicherheitsforschern untersucht wird, wie groß der Quellcode und das Ökosystem sind, wie viele Erweiterungen existieren, wie aktiv Sicherheitsprobleme gemeldet werden und welche Zählweise verwendet wird.

Eine hohe Zahl gemeldeter Sicherheitslücken kann deshalb auch bedeuten, dass dieses System sehr gründlich untersucht und überwacht wird und daher über einen sehr aktiven Sicherheitsprozess verfügt. Umgekehrt ist eine geringe Zahl von Meldungen nicht automatisch ein Beweis für ein besonders sicheres System.

Was passiert bei WordPress außerhalb des des Kernsystems?

Aktuelle Zahlen von Patchstack machen diesen Unterschied bei WordPress sehr deutlich. Nach dem „State of WordPress Security in 2026“ wurden im Jahr 2025 insgesamt 11.334 neue Schwachstellen im WordPress-Ökosystem erfasst. Das entspricht laut Patchstack einem Anstieg von 42 % gegenüber dem Jahr 2024. Auf den ersten Blick ist diese Zahl durchaus interessant. Noch interessanter wird sie jedoch, wenn man genauer hinsieht, denn 91 % der gemeldeten Schwachstellen haben WordPress-Plugins betroffen.

Nur 9 % der gemeldeten Schwachstellen betrafen Themes und lediglich 6 Schwachstellen wurden im WordPress-Core gemeldet. Darüber hinaus wurden laut Patchstack 1.966 Schwachstellen als hoch eingestuft, wobei Patchstack davon ausgeht, dass sie für automatisierte Angriffe besonders relevant sein können.

Die wichtigste Erkenntnis daraus ist für mich nicht diese hohe Zahl 11.334. Viel relevanter auf unsere Frage ist die prozentuelle Verteilung der gemeldeten Schwachstellen. Die große Mehrheit der von Patchstack erfassten Schwachstellen betrifft nicht den Core, sondern Erweiterungen von externen Entwicklern. Das ist ein entscheidender Unterschied und wir lernen daraus, dass es extrem wichtig ist, bei der Wahl von Plugins vorsichtig und gut überlegt damit umzugehen.

Mein Tipp im Umgang mit WordPress-Plugins

Je weniger unnötige Plugins eine WordPress-Website benötigt, desto geringer ist grundsätzlich auch die zusätzliche technische Angriffsfläche. Entscheidend ist aber nicht allein die Anzahl, sondern vor allem die Qualität und laufende Pflege der eingesetzten Plugins. Es macht auch durchaus Sinn, dass man deaktivierte Plugins (gilt im Prinzip auch für Themes, ein Standard-Theme sollte für den Notfall installiert sein) komplett entfernt, da auch weiterhin installierte Zusatzsoftware kompromittiert werden könnte.

Aber nicht nur die Anzahl der installierten Plugins ist von Bedeutung, sondern es kommt auch auf die Wahl der Plugins hinsichtlich Qualität an. Speziell WordPress verfügt über extrem viele Plugins, die man kostenfrei installieren kann. Bei der Wahl muss man unbedingt darauf achten, dass die jeweiligen Plugin-Entwickler sich laufend darum kümmern, damit ihre Plugins gewartet werden. Bevor man ein Plugin installiert, sollte man sich daher unbedingt vorher die Bewertungen und die Anzahl der Downloads dazu ansehen.

Und natürlich sollte man sich die Performance und Funktionalität der eigenen Website nach der Installation eines neuen Plugins ansehen. Ein neues Plugin kann den Zustand einer WordPress Website in mehrfacher Hinsicht beeinflussen. Beispielsweise könnten Darstellungsfehler auftreten, Formulare nicht mehr funktionieren oder der Bilder-Upload blockiert sein.

In meiner beruflichen Praxis habe ich es immer wieder erlebt, dass ich WordPress Websites repariert habe (Thema: Hilfe mit WordPress), welche eindeutig zu viele Plugins installiert hatten. In einigen dieser Fälle waren viele Plugins unnötig installiert. Wenn man clever vorgeht, kann man meiner Erfahrung nach mit dem nötigen Know How bis zu einem Drittel der Plugins einsparen. Das ist selbstverständlich keine allgemeingültige Kennzahl, sondern eine Erfahrung aus meiner eigenen Praxis.

WordPress-Core und WordPress-Website sind nicht dasselbe

Wenn jemand sagt: „WordPress hat 11.334 Sicherheitslücken.“, dann ist diese Aussage deshalb irreführend. Die für mich korrekte Aussage ist: „Im WordPress-Ökosystem wurden im Jahr 2025 laut Patchstack 11.334 neue Schwachstellen erfasst.“

Eine WordPress-Website besteht nicht nur aus dem WordPress-Core, sondern auch aus einer individuellen Komposition aus Plugins, Themes und individuellen Anpassungen, sowie Webserver, Hosting, Konfiguration, eventuell externen Diensten und der laufenden Wartung. Erst dieses gesamte Konzept ergibt die tatsächliche Angriffsfläche auf eine WordPress-Website.

Und genau dasselbe gilt für Joomla, Drupal und TYPO3

Das ist ein ganz wichtiger Punkt für einen fairen Vergleich, denn auch bei Joomla, Drupal und TYPO3 darf man nicht einfach nur den jeweiligen Core betrachten. Joomla verfügt beispielsweise ebenfalls über zahlreiche Erweiterungen und veröffentlicht Sicherheitsmeldungen sowohl für das CMS als auch für weitere Bestandteile des Joomla-Ökosystems. Drupal unterscheidet in seinem Security-System ausdrücklich zwischen Drupal Core und Contributed Projects, also zusätzlichen Erweiterungen. Und auch bei TYPO3 finden sich neben Core-Sicherheitsproblemen regelmäßig Meldungen zu Drittanbieter-Erweiterungen. Ein besonders anschauliches Beispiel war die TYPO3-Erweiterung „Backup Plus“. Dort wurden unter anderem Command Injection, vorhersehbare Speicherorte und Cross-Site-Scripting-Probleme festgestellt.

Damit zeigt sich, dass das Problem „Erweiterung“ kein ausschließliches WordPress-Problem ist. Jedes komplexe CMS erweitert seine Funktionalität über zusätzliche Komponenten, und jede zusätzliche Komponente muss ebenfalls gepflegt werden.

Was unterscheidet WordPress dann überhaupt von anderen CMS?

Natürlich gibt es Unterschiede zwischen den einzelnen Systemen, und – wie eingangs erwähnt – diese Unterschiede sind durchaus relevant. WordPress verfügt über ein außergewöhnlich großes Ökosystem und eine enorme Verbreitung. Das bedeutet, dass man hier auf eine sehr große Entwicklergemeinschaft zurückgreifen kann. Die Herausforderungen liegen bei der großen Angriffsfläche durch das riesige Ökosystem, bei den unzähligen unterschiedlichen Erweiterungen von Drittanbietern und damit einhergehenden Qualitätsunterschieden.

Joomla ist ebenfalls ein etabliertes Open-Source-CMS mit eigener Sicherheitsorganisation und einem umfangreichen Erweiterungsökosystem. Auch Joomla veröffentlicht regelmäßig Security Advisories, beispielsweise wurden im Jahr 2026 Sicherheitsprobleme in Bereichen wie 2FA, Zugriffskontrolle und Datei-Uploads behoben. Jedoch steht der Maßstab von Joomla im Vergleich zu WordPress in keiner Relation. Dies macht sich alleine schon beim Marktanteil bemerkbar.

Drupal wird häufig bei technisch komplexeren Websites und größeren Organisationen eingesetzt. Insofern ist ein direkter Vergleich mit WordPress schwierig. Das System verfügt über einen organisierten Security-Prozess. Drupal wird häufig in technisch komplexeren Projekten eingesetzt und stellt dadurch in der Praxis teilweise höhere Anforderungen an Planung, technischem Verständnis, Entwicklung und laufende Administration. Drupal selbst beschreibt seinen Sicherheitsprozess als etabliert und weist ausdrücklich darauf hin, dass sowohl Core als auch zusätzliche Projekte (Module) auf jeden Fall berücksichtigt werden müssen. Und natürlich benötigt auch Drupal laufende Sicherheitsupdates. Im Jahr 2026 wurden beispielsweise mehrere Core-Sicherheitsprobleme veröffentlicht, darunter auch eine als „Highly critical“ eingestufte SQL-Injection-Schwachstelle.

TYPO3 ist insbesondere im deutschsprachigen Raum ein etabliertes CMS für professionelle und häufig komplexere Unternehmensprojekte. Auch hier gibt es einen professionellen Security-Prozess und regelmäßige Sicherheitsupdates. Bereits am 14. Januar 2025 veröffentlichte TYPO3 beispielsweise eine Security-Release mit mehreren behobenen Sicherheitsproblemen. Im weiteren Jahresverlauf folgten weitere Security-Releases. Auch bei TYPO3 betrifft die Sicherheit nicht nur den Core, sondern ebenfalls Drittanbieter-Erweiterungen.

Gibt es also ein „sicherstes“ CMS?

Ich würde diese Frage mit Nein beantworten. Zumindest nicht in dem Sinne, dass man WordPress, Joomla, Drupal und TYPO3 auf einer einfachen Skala von 1 bis 10 einordnen könnte. Ein CMS kann technisch hervorragend entwickelt sein und trotzdem eine unsichere Website ermöglichen. Umgekehrt kann eine sehr sorgfältig geplante und professionell gewartete Website auf einem anderen System ein sehr hohes Sicherheitsniveau erreichen.

Die tatsächliche Sicherheit einer Website entsteht auf mehreren Ebenen

Wenn ich die Sicherheit einer Website beurteile, würde ich daher wesentlich mehr betrachten als nur das CMS. Hosting und Server, sowie Benutzer und Zugriffsrechte finden im laienhaften Umgang mit Website oftmals viel zu wenig Beachtung. Diese Bereiche sind für Laien oft nicht greifbar oder sichtbar. Daher bleiben Defizite in diesen Bereichen oftmals über lange Zeiträume hinweg auch unerkannt. Das ist auch einer der Gründe, warum ich in meinen bisherigen Beiträgen immer wieder auf den Begriff „Gesamtsystem“ zurückkomme.

Ein Beispiel aus der Praxis

Stellen wir uns zwei Websites vor: Website A (WordPress) und Website B (TYPO3)

Website A

Eine WordPress-Website mit wenigen, sorgfältig ausgewählten Plugins, aktuellem WordPress-Core, aktuellen Erweiterungen, aktuellem PHP, abgesichertem Hosting, restriktiven Benutzerrechten und professioneller Waertung.

Website B

Eine TYPO3-Website mit veralteter TYPO3-Version, alten Erweiterungen, nicht mehr gepflegten Komponenten, schwachen Zugangsdaten und niemandem, der die Website regelmäßig kontrolliert.

Welche Website ist sicherer?

Natürlich lässt sich das nicht allein anhand des verwendeten CMS beantworten. Und genau deshalb halte ich pauschale Aussagen wie „TYPO3 ist sicherer als WordPress“ oder „WordPress ist unsicherer als Drupal“ für wenig hilfreich.

Die Kehrseite der großen WordPress-Verbreitung

Trotzdem möchte ich WordPress an dieser Stelle auch nicht schönreden. Die enorme Verbreitung bringt einen echten Nachteil mit sich: WordPress ist für automatisierte Angriffe ausgesprochen interessant, daher nochmals mein Tipp:

Wenn man sich für WordPress entscheidet, sollte man das Thema Sicherheit von Beginn an am Radar haben!

Wenn ein Angreifer eine Schwachstelle in einer weit verbreiteten WordPress-Erweiterung findet, kann sich ein Angriff theoretisch gegen sehr viele Websites gleichzeitig richten, speziell wenn es sich um einen automatisierten Angriff handelt. Das erklärt auch, warum die schnelle Durchführung von Sicherheitsupdates so wichtig ist. Patchstack berichtet für das Jahr 2025 nicht nur von einer steigenden Zahl an Schwachstellen, sondern auch von einer zunehmenden Geschwindigkeit, mit der Schwachstellen ausgenutzt werden. Das Unternehmen betont, dass Angreifer neue Schwachstellen teilweise innerhalb sehr kurzer Zeit „weaponisieren“. Das bedeutet, dass die Zeit zwischen „Sicherheitslücke bekannt“ und „Update installiert“ entscheidend sein kann. Und genau hier schließt sich der Kreis zu meinem ersten Beitrag dieser Serie. Ich befürchte, dass uns dieses Thema künftig noch mehr beschäftigen wird.

Ein Sicherheitsupdate ist nicht nur ein kleines Update

Wenn ein Entwickler eine Sicherheitslücke behebt, ist damit die konkrete Website noch nicht geschützt. Es gibt mehrere Schritte in diesem Sicherheitsprozess:

Sicherheitsproblem wird entdeckt
Problem wird analysiert
Entwickler erstellt eine Korrektur
Sicherheitsupdate wird veröffentlicht
Update muss auf der Website installiert werden
Website muss nach dem Update funktionieren
Weitere Komponenten müssen gegebenenfalls auf Kompatibilität geprüft werden

Erst dann ist die konkrete WordPress-Website tatsächlich auf dem neuen Stand. Genau deshalb bedeutet professionelle WordPress-Wartung für mich nicht einfach: „Auf den Update-Button klicken.“ Es steckt in der Praxis viel mehr dahinter.

Warum ich WordPress weiterhin für ein sehr gutes CMS halte

An dieser Stelle möchte ich ausdrücklich keine Angst vor WordPress erzeugen. Ganz im Gegenteil: Ich halte WordPress grundsätzlich für ein sehr leistungsfähiges und professionelles CMS. Die große Verbreitung ist neben der beschriebenen möglichen Angriffsfläche gleichzeitig auch eine seiner größten Stärken. Es gibt eine enorme Entwicklergemeinschaft, eine sehr große Sicherheits-Community und zahlreiche etablierte Werkzeuge und Dienstleister.

Die Tatsache, dass regelmäßig Sicherheitslücken entdeckt und behoben werden, ist für mich deshalb nicht automatisch ein Argument gegen WordPress, auch hier ganz im Gegenteil. Vielmehr ist entscheidend, wie professionell mit diesen Sicherheitsproblemen umgegangen wird. Das gilt übrigens genauso für Joomla, Drupal und TYPO3. Daher würde ich nie der Sicherheitsfrage wegen mich für eines der besagten CMS entscheiden. Andere Aspekte der Entscheidungsfindung spielen für mich eine größere Rolle (zB Benutzerfreundlichkeit).

Mein persönliches Fazit

Wenn mich ein Kunde fragt: „Wäre meine Website mit Joomla, Drupal oder TYPO3 sicherer als mit WordPress?“ würde ich nicht automatisch mit Ja oder Nein antworten. Ich würde zunächst fragen: „Warum soll das andere CMS eingesetzt werden?“ Wenn die Anforderungen einer Website mit WordPress sinnvoll erfüllt werden können, sehe ich grundsätzlich keinen Grund, WordPress aus Sicherheitsgründen auszuschließen.

Viel wichtiger ist für mich, wie die konkrete Website geplant, umgesetzt, gehostet, abgesichert, aktualisiert und betreut wird. Eine professionell gewartete WordPress-Website kann ein sehr hohes Sicherheitsniveau erreichen. Eine schlecht gewartete Website kann dagegen unabhängig vom verwendeten CMS zum Sicherheitsrisiko werden.

Häufige Fragen

Ist WordPress unsicherer als Joomla, Drupal oder TYPO3?

Website Updates – CMS, PHP, Server und Datenbank

Markus Steinacher — Thu, 06 Dec 2018 10:18:02 +0000

Wer kennt das nicht: Updates immer in letzter Sekunde zu machen, wenn es wirklich gar nicht mehr anders geht oder sich nicht mehr vermeiden lässt. Das ist nur gut für mich und die Website-Branche – vielen Dank!

Spaß beiseite, aber es ist in der Tat Realität, dass viele Website-Betreiber bis zum Schluss warten um Ihre Website auf den neuesten Stand zu bringen. Dabei macht es aus kosten-effizienter Sicht gesehen wirklich Sinn, seine Website stets im Auge zu behalten und regelmäßig upzudaten.

Als Inhaber einer Homepage-Baukasten-Website (zB WIX, Jimdo, etc…) bleibt Ihnen das erspart, denn (und das ist der große wirkliche Vorteil von Baukästen) in diesem Fall werden notwendige System-Updates automatisch für Sie durchgeführt. Dies ist quasi im Preis und Service des Baukasten-Anbieters inkludiert und somit sehr praktisch.

Bei Open Source CMS-Sytemen wie WordPress, Joomla und Drupal ist das nicht so einfach. Denn hier muss jede Installation (Website) für sich selbst „manuell“ regelmäßig upgedatet werden, damit auf „kurz oder lang“ keine Probleme entstehen, dessen Lösung oftmals mit viel Mühe und Know How verbunden sind.

Mein Tipp: Halten Sie Ihre Website regelmäßig UP TO DATE

Stellt Sie das vor ein zeitliches, fachliches oder sonstiges Problem, so stehe ich Ihnen gerne mit meinem umfangreichen Service- und Leistungsangebot gerne zur Verfügung. Nehmen Sie in diesem Fall einfach Kontakt zu mir auf.

Aktuelle Gefahr: Bevorstehendes Ende aller PHP 5-Versionen

Zunächst möchte ich nur darauf hinweisen, dass nur weil PHP 5.6 kurz vor dem sogenannten End of Life steht, es nicht bedeutet, dass Provider ihren Support dafür auch gleich einstellen. Fakt ist, dass es aber in der Tat nicht mehr sehr lange dauert, bis PHP 5-Versionen komplett verschwinden. Daher macht es jetzt Sinn, sich mit diesem Thema ernsthaft auseinander zu setzen.

Prüfung der jeweils aktuellen CMS-, Datenbank und PHP-Version

In folgenden aufgelisteten Beiträgen habe ich zusammen gefasst, wie man am besten erkennen kann, ob die eigene Website überhaupt betroffen ist:

Wenn Sie wissen, welche CMS-Version und welche PHP-Version für Ihre Website aktiv ist, können Sie das Gefahrenpotential hinsichtlich dem End of Life von PHP 5 einschätzen. Gerne stehe ich mit Rat und Tat zur Verfügung.

The post Website Updates – CMS, PHP, Server und Datenbank first appeared on Markus Steinacher.

Joomla – Version und PHP-Version prüfen

Markus Steinacher — Tue, 04 Dec 2018 06:33:35 +0000

Was ist PHP und warum ist es wichtig, dies upzudaten?

PHP ist eine sogenannte Skriptsprache, die grundsätzlich zur Erstellung dynamischer Websites konzipiert ist. Open Source CMS-Systeme wie Joomla, WordPress oder Drupal sind Programme, die dynamische Websites erstellen und PHP als serverseitige Programmiersprache verwenden. Im Jahr 2013 wurde die Anzahl von PHP-basierten Websites auf 244 Millionen geschätzt. Damit ist dies die weltweit meist verwendetste serverseitige Programmiersprache der Welt. Grund genug, dass die meisten Provider auf ihren Servern PHP bereits vorinstalliert haben. Die genau Funktionsweise von PHP ist relativ komplex, wichtig ist nur zu wissen, dass ohne dieser Skriptsprache keine Kommunikation zwischen Server, Client (Browser) und dem Internet hergestellt werden kann.

Das Internet entwickelt sich, somit auch die Anforderungen an PHP und dynamische Websites

Seit PHP1 im Jahr 1995 von Rasmus Lerdorf ins Leben gerufen wurde, hat sich viel verändert. Nun steht auch das Ende von PHP5 bevor. Dies hat einige erforderliche Vorteile, bringt aber auch eine Menge zusätzlichen Aufwandes für Website-Betreiber mit sich, die schon etwas ältere Websites betreiben.

Mit der aktuellen PHP Version 7 (7.2 Stable) haben sich eindeutige Verbesserungen in der Ausführungszeit von mehr als 30 Prozent im Gegensatz zu PHP 5-Versionen ergeben. Ein großer Nachteil für Website-Betreiber ist die Tatsache, dass mit PHP 7 eine Abwärtskompatibilität zum Teil aufgegeben worden ist. Das bedeutet, dass dynamische Websites mit einem veralteten Kernsystem Gefahr laufen, nicht mit PHP 7 kommunizieren zu können.

Wie in meinem Artikel über das End of Life von PHP 5 beschrieben, stellen viele Provider den technischen Support von PHP 5 (und allen betroffenen Unter-Versionen bis PHP 5.6) ein. Damit sind Website-Betreiber gezwungen auf eine PHP 7-Version zu wechseln, was zu Folge haben kann, dass alte Websites plötzlich nicht mehr funktionieren.

Frage: Ist meine Joomla-Website davon betroffen?

Um diese Frage zu beantworten, können sie ganz einfach über das Backend, unter dem Reiter „Systeminformationen“ nachsehen. Hier finden Sie alle relevanten Systeminformationen über Server, Joomla-Version, PHP-Version und Datenbank. Es gibt ein paar Versionsunterschiede, aber diese sind in diesem nützlichen Artikel über Systeminforrmationen von Joomla zu finden.

Welche Joomla-Version sollte verwendet werden?

Die aktuellste Version ist Joomla 3.9.1. Diese wird nach dem One-Klick-Verfahren auf die folgende Version 3.10 upgegradet werden können. Es ist dokumentiert, dass alle Joomla-Versionen ab Version 3.2 mit PHP 5.3.10 (oder höher) funktionieren. Um jedoch Ihren Server auf PHP 7.x updaten zu können, müssen Sie Ihre Installation mindestens auf Joomla Version 3.6.5 updaten. Erst dann wird das PHP-Update am Server mit der Website harmonieren.

Nur zum Verständnis: Sie können natürlich den Server jederzeit auf PHP 7 umstellen. Es kann (bzw. wird mit ziemlicher Sicherheit) passieren, dass Ihre alte Joomla-Website (zB Version 3.3.3), welche auf diesem Server liegt, plötzlich nach dem PHP-Update nicht mehr online verfügbar ist. Es erscheint statt der Website eine Server-Fehlermeldung. Keine Panik: Stellen Sie am Server die alte PHP-Version (5.x) ein. Beim nächsten Aufruf der Website sollte diese wieder angezeigt werden.

Joomla Website von PHP 5 auf PHP 7 umstellen

Nun ist verständlich, warum es wichtig ist, im Vorfeld die jeweilige Joomla-Version auszuforschen. Anhand des Beispiels, dass Sie Joomla 3.3.3 verwenden, müssen Sie nun versuchen, das System auf die erforderliche Joomla-Version 3.6.5 upzudaten. Ist Ihnen das gelungen, dann können Sie ohne Risiko den Server auf eine PHP 7-Version updaten, ohne Gefahr zu laufen, Ihre Website zu verlieren.

Die technische Dokumentation aller Joomla-Versionen informiert übersichtlich. Demnach sollte in Bezug auf PHP beim Update auf Joomla-Version 3.2 aufpassen. Eine Garantie für ein fehlerfreies PHP-Update kann dieser Artikel natürlich nicht geben. Im Bedarfsfall stehe ich gerne mit Rat und Tat zur Seite.

The post Joomla – Version und PHP-Version prüfen first appeared on Markus Steinacher.

Joomla auf https umstellen

Markus Steinacher — Mon, 03 Dec 2018 21:43:54 +0000

Wie bei WordPress, zahlt es sich auf jeden Fall auch aus, bei Joomla vor der Umstellung auf https ein Backup zu machen, damiit im Falle des Falles nichts verloren geht. Die Umstellung verläuft grundsätzlich ähnlich, wobei man die Unterschiede beider Systeme auf jeden Fall berücksichtigen sollte. Gehen Sie jedenfalls Schritt für Schritt vor:

Extension Akeeba Backup Pro installieren (DE Version). Hier gibt es eine praktische Videoanleitung: https://youtu.be/Th9yYqWyW0w
Backup der aktuellen Joomla-Version erstellen
SSL-Zertifikat bei Provider anfordern
Sobald SSL aktiviert ist, im Joomla Backend (Konfiguration / Server) SSL erzwingen

Sollte nun aus irgendeinem Grund nach diesem Schritt die Webseite nicht mehr aufrufbar sein:

Öffnen Sie am FTP-Server die Datei: configuration.php
Setzen Sie beim Eintrag public $force_ssl =‘ ‚; den Wert auf 0. Es kann sein, dass dort eine 1 steht.
Der Eintrag sollte so aussehen: public $force_ssl =’0′;

Joomla Extension DB Replacer um Fehler zu bereinigen

Ähnlich wie bei WordPress, ist man nun gefordert alte http-Einträge aus dem System zu entfernen und durch die neuen https-Einträge zu ersetzen. Dazu eignet sich die Joomla-Extension DB Replacer (Pendant zu WordPress Plugin Better Search Replace) hervorragend.

ACHTUNG: Doppelpunkt nicht vergessen!

Sollte es in der Datenbank schon Einträge mit https geben, würde es ohne Doppelpunkt dazu führen, dass diese nach dem Ersetzen nun ein zusätzliches „s“ beinhalten. Das würde dann so aussehen: httpss://

Im Klartext:

HTTP: nicht HTTP
HTTPS: nicht HTTPS

Das Programm soll demnach nach https: suchen und alle gefundenen Einträge durch https: ersetzen.

The post Joomla auf https umstellen first appeared on Markus Steinacher.

Vorteile von schlanken Websites

Markus Steinacher — Wed, 28 Nov 2018 18:23:18 +0000

Obwohl dieser Artikel einen leicht anzüglichen oder gar provokanten Titel besitzt, steckt in Bezug auf die Konzeptionierung einer Website doch viel Wahrheit dahinter. Der Begriff „schlank“ suggeriert heut zu Tage das Schönheitsideal und puristische Designlinien, die als äußerst exklusiv angesehen werden. In der Tat versuchen viele Designer und Schöpfer kunstvoller Schönheit ihre Komplexität auf den Punkt zu bringen und ihre vollendete Kunstform auf das Wesentliche zu reduzieren. Ich hingegen meine neben diesem erhabenen Anspruch die Benutzerfreundlichkeit und das Handling einer Website, in erster Linie für den Website-Besucher und ebenso den Betreiber, der seine Website möglichst erfolgreich in Betrieb haben will.

Effizientes Arbeiten mit schlank erstellten Websites

Natürlich ist es angenehm, eine mobile Website zu besuchen, die gleich verständlich auf den Punkt kommt. Aber noch viel angenehmer ist es für den Website-Betreiber, der es relativ einfach hat, seine Inhalte regelmäßig upzudaten und auszubauen, nach einem von Beginn an definierten Schema, welches leicht zu merken, intuitiv und wesentlich ist. Wenn sich der Website-Betreiber nicht einmal mit seiner Website auskennt, wie sollen sich dann seine Kunden damit umgehen?

Das Kredo lautet: „Weniger ist mehr!“. Doch welches Weniger ist besser als vieles Mehr? Wie ist es möglich am besten zu differenzieren, was wesentlich ist und was eher in die Kategorie „nice to have“ fällt und vielleicht sogar besser ist, erst gar nicht zu verwenden.

Mobile First – die sicherste Taktik um schlank zu arbeiten

Im Prinzip fängt das Problem überladener Websites schon bei der Konzeptionierung an. Der Wunsch, alles auf einen Blick sichtbar zu machen, wird beim ersten Gedanken an die mobile Version der Website meistens gleich verworfen, außer es handelt sich um etwas ganz Einfaches. Der „above the fold“-Bereich (alles was wir auf den ersten Blick sehen) der mobilen Website bietet uns relativ wenig Fläche an, um Inhalte darzustellen und zu kommunizieren. Das beginnt schon damit, dass ich es wertschätze, den mobilen Header sehr reduziert darzustellen, damit er mir möglichst wenig Platz von der Bildschirmfläche wegnimmt. Auf der anderen Seite sollte er aber auch nicht zu klein sein, damit die Bedienbarkeit des Toggle-Menüs (meine mobile Lieblingsnavigation) nicht eingeschränkt ist. Das Logo hat natürlich Priorität und darf seinen prominenten Platz (meistens links oben) haben. Ist die Kontaktaufnahme (Telefon, E-Mail, Bestell- oder Anfrageformular) eine wichtige Conversion (Zielerreichung) für die Website, dann werde ich natürlich auch einen permanenten Bereich zur Kontaktaufnahme auf der mobilen Website bereitstellen, zum Beispiel als fixierter Button am seitlichen Rand der Website. Aber das war es dann auch schon. Der Rest der Website sollte lediglich durch den Inhalt selbst am mobilen Bildschirm erscheinen. Und auch da sollten nur Elemente zu sehen sein, die …

auf mobilen Endgeräten darstellbar sind
relativ wenig Ladezeit in Anspruch nehmen
sich dem jeweiligen Bildschirmformat automatisch (relativ) anpassen
und wesentlich für die Besucher der Website sind

Alles andere kann auf der mobilen Website ruhigen Gewissens ausblenden, oder anders gesagt, fügt man im Rahmen der Konzeptionierung erst später auf der Tablet und/oder Desktop-Variante hinzu.

Fragen? Gerne stehe ich mit Rat und Tat auch persönlich zur Verfügung! Nehmen Sie einfach Kontakt zu mir auf.

Mit CMS-Systemen können wir relativ einfach zwischen den jeweiligen Darstellungsvarianten / Bildschirmformaten differenzieren

Mit WordPress (zB mit dem Elementor) ist man in der Lage, sehr einfach die Inhalte für

Mobile
Tablet
Desktop

separat zu stylen. Das bedeutet, ich kann beispielsweise bei jedem Bild entscheiden, ob und wie ich es auf welchem Bildschirmformat dargestellt haben will. Auch der jeweilige Breakpoint (jene Bildschirmbreite, bei welcher mittels CSS das Design von Desktop auf Mobile wechselt) kann grundsätzlich individuell eingestellt werden, wobei es sich in den meisten Fällen empfiehlt, die Grundeinstellung (default) beizubelassen.

Beispiel um eine mobile Website schlank zu machen

Hier sieht man auf der linken Seite die Desktop-Version einer sehr inhaltsreichen Website – www.sport-oesterreich.at. In der Mitte ist die Tablet-Version zu sehen. Grundsätzlich hat sich hier noch nicht sehr viel verändert. Lediglich das Hauptmenü verwandelt sich in ein Toggle-Menü welches mit einem Fingerdruck aufklappt. Die Bilder und Grafiken passen sich dem jeweiligen Bildschirmformat proportional / relativ an. Die größte Veränderung erleben wir dann allerdings bei der mobilen Version (rechts zu sehen). Hier verschwindet das Above-Menü (mit den Social Media-Links und dem Sekundär-Menü) und die große Slideshow mit den Teasern. „Above the fold“ bleiben somit die Buttons zu den wichtigsten Bereichen der Website übrig. Dies hat somit einen leichten App-Charakter, ladet schnell und ist übersichtlich.

Fragen? Gerne stehe ich mit Rat und Tat auch persönlich zur Verfügung! Nehmen Sie einfach Kontakt zu mir auf.

Noch ein Beispiel für die Konzeptionierung einer (mobilen) Website

Eine Website, die einen Prozess oder gewissen Ablauf erklären muss, sollte im Idealfall auf der mobilen Variante „step by step“ erklären, wie man am einfachsten zum Ziel kommt. Wir wollen somit die Besucher an der Hand nehmen und Punkt für Punkt durch den gesamten Ablauf führen.

Das geht im Prinzip ganz einfach mit Link-Buttons und Anker-Menüs. Wir erklären den ersten Schritt mit einem Bild und möglichst aussagekräftigen Text. Ein Button darunter, dessen Text lauten könnte: „Weiter zum nächsten Schritt“, verlinkt zum Anker des nächsten Schrittes, u.s.w.

Das Prinzip ist klar: Der Websitebesucher sieht nur das, was er genau zu jenem Zeitpuunkt benötigt, schnell und unmissverständlich. Dies führt in der Regel zu einer hohen Nutzererfahrung und zu einem guten Suchergebnis bei Suchmaschinen, die so etwas durchaus erkennen, wenn das SEO relevant darauf abgestimmt ist. Die Conversion (zB Kundenzufriedenheit, wenn es sich um eine Serviceleistung oder Erklärung zu einem Produkt, Fehlerbehebung, etc.. handelt) ist dann eigentlich nur mehr eine angenehme Begleiterscheinung.

Weitere Kennzeichen einer schlanken Website

Grundsätzlich denke ich als Webdesigner auch immer daran, was ich alles weglassen kann. Das beginnt auch schon damit, dass ich aktiv versuche Bytes zu sparen. Wo kann ich bei einer Website Bytes sparen?

Im Quellcode
Bei Bildern und Grafiken
Beim Design (CSS)
Bei Anwendungen (JavaScript)
Bei Downloads
Beim CMS-System und dessen zusätzlichen Modulen / Plugins

Das Open Source CMS Drupal ist zwar ein sehr mächtiges Instrument, produziert aber Aufgrund seiner Grundstruktur her schon sehr viel Code, was Drupal vielleicht ein wenig „schwerer“ macht als WordPress, welches in seiner Struktur doch wesentlich einfacher aufgebaut ist. Daher ist es bei Drupal ungleich schwieriger als bei WordPress die sogenannte Text to Code Ratio über den erwünschten Normwert von 25 Prozent zu halten. Angeblich ist dieser Wert mitunter ein kleiner SEO-relevanter Aspekt, der von Suchmaschinen gewertet wird. Wenn, dann bin ich davon überzeugt, dass dies bei weitem nicht der wichtigste Aspekt für ein gutes Suchergebnis ist. Aber dennoch macht es Sinn, bei kleineren Websites auf ein schlankes CMS-System zurück zu greifen.

Große Bilder (mit mehr als 1 Megabyte) verbrauchen oftmals den größten Teil der zu ladenden Datenmenge einer Website. Daher gibt es auch bei modernen Browsern die Möglichkeit, dass Bilder mittels „Cache“ (Speicher) lokal am Endgerät gespeichert werden, damit die Website beim nächsten Aaufruf schneller laden kann. Dies hat mitunter vielleicht den kleinen Nachteil, dass der Cache aktualisiert werden muss, wenn sich an der Website etwas ändert. Auf dem ähnlichen Prinzip funktioniert Google, jene Suchmaschine, die alle indexierten Websites auf der ganzen Welt lokal abgespeichert hat, beziehungsweise die jeweils letzte indexierte Version jeder Webseite (indexierter URL). Denn nur so ist es für die Suchmaschine möglich, in so kurzer Zeit extrem viele Suchergebnisse, die noch dazu relevant sind, zu liefern. Google Search liefert dabei nur die Links zu den „echten“ Websites mit dem jeweils letzten indexierten „Snippet“ (Meta-Title und Meta-Description) aus. Effizienter geht es wohl kaum: Extrem viel Information in kürzester Zeit durch extrem wenig aktiven Content. Somit ist für mich google.com die puristischte und reduzierteste / effizienteste Website mit der besten Nutzererfahrung auf der ganzen Welt. Lange Rede kurzer Sinn – je schlanker die Bilder, umso schloanker die Website. Die meisten Bilder kommen mit einer Dateigröße von 150 – 200 Kilobyte (72 dpi, Bildformat: maximal 2.000 px in der Breite, und das auch nur, wenn es sich um ein Vollformat-Hintergrundbild handeln sollte) aus. Großflächige Bilder der Desktop-Version sind grundsätzlich mobil auszublenden. Je simpler der Hintergrund, umso deutlicher können oftmals auch die Inhalte für sich sprechen.

Das Thema CSS ist eine komplett eigene Welt, mit der „normale“ Website-Besucher wahrscheinlich niemals in Kontakt kommen. CSS (Cascading Style Sheets) ist eine „Programmiersprache“ oder „Stylesheet-Sprache“, die das Aussehen einer Website definiert. Browser interpretieren die Befehle des Stylesheets einer Website und führen diese in Form von Webdesign aus. Seit der Ära HTML 5 / CSS 3, in welcher das Internet wieder cooler geworden ist, haben sich die gestalterischen Möglichkeiten von Websites drastisch erhöht. Nun ist es möglich, Bilder, Texte und ganze Bereiche einer Website animiert, verdreht, kunstvoll oder aufsehenerregend darzustellen. Dies birgt natürlich auch die Gefahr, dass besonders kreative Menschen dazu neigen, es vollkommen zu übertreiben. Zu viel Effekte überfordern nicht nur den Besucher, sondern überladet den Code und erhöht die Ladezeit, was sich negativ auf die erwünschte Nutzererfahrung auswirkt. Weniger ist mehr!

Und selbst das Kernsystem, welches im sogenannten Backend verwaltet wird, birgt Gefahren. Bei Open Source CMS-Systemen gibt es eine Vielzahl an zusätzlichen kostenfreien Modulen (Drupal) / Plugins (WordPress), welche die Funktionalität einer Website erhöhen. Zu viele installierte / aktivierte Module hingegen machen das Kernsystem schwer und wartungsintensiv. Um die Website langfristig am Laufen zu halten, sollten regelmäßig Modul- und Sichererheits-Updates gemacht werden. Das ist manchmal nicht so einfach und erfordert (speziell bei Drupal) Erfahrung und Fachwissen. Daher empfiehlt es sich, bei der Wahl strukturiert vorzugehen und Ordnung zu halten. Jene Plugins, die nicht (mehr) benötigt werden, löscht man am besten um dass Kernsystem schlank zu halten.

Fragen? Gerne stehe ich mit Rat und Tat auch persönlich zur Verfügung! Nehmen Sie einfach Kontakt zu mir auf.

The post Vorteile von schlanken Websites first appeared on Markus Steinacher.