Veraltete TYPO3-Systeme: Warum Ihr CMS das größte Sicherheitsrisiko in Ihrem Netzwerk sein kann

Ein TYPO3-System ohne Sicherheitsupdates ist in vielen Unternehmensnetzen das am leichtesten angreifbare System, weil es öffentlich erreichbar ist und jede bekannte Lücke offen bleibt. Für Sie als IT-Leitung heißt das: Die Website ist keine Marketingfrage, sondern ein Server in Ihrem Netz, der seit dem Supportende ungepatcht läuft.

Was das Supportende einer TYPO3-Version für Sie bedeutet

Sobald der kostenfreie Support einer TYPO3-Version endet, schließt die Community neu gefundene Lücken in dieser Version nicht mehr. Für TYPO3 v12 LTS ist dieser Zeitpunkt im Frühjahr 2026 erreicht worden. Wer heute noch v12 oder eine ältere Version ohne kostenpflichtigen Extended Long Term Support (ELTS) betreibt, bekommt keine Sicherheitskorrekturen mehr, während die betreuten Versionen v13 LTS und v14 LTS sie weiter erhalten.

Das Tückische daran: Das System läuft weiter wie immer. Es gibt keine Fehlermeldung, kein rotes Lämpchen. Die Redaktion pflegt Inhalte, die Seite ist erreichbar, und niemand merkt, dass sich die Lage jede Woche verschlechtert.

Warum jede veröffentlichte Lücke Ihr altes System trifft

Wenn das TYPO3-Sicherheitsteam eine Lücke meldet und für die aktuellen Versionen schließt, ist die Korrektur öffentlich. Angreifer lesen den Patch und wissen danach genau, wie die Lücke funktioniert. Auf betreuten Systemen ist sie zu diesem Zeitpunkt bereits geschlossen. Auf Ihrem alten System bleibt sie offen, und automatisierte Scanner finden sie ohne menschliches Zutun.

Typische Folgen aus den Sicherheitsmeldungen der vergangenen Jahre: Angreifer mit minimalen Rechten schreiben Dateien auf den Server, legen sich unbemerkt Administratorkonten an oder missbrauchen Formulare, um Daten aus Kontaktanfragen abzugreifen. Gehackte Installationen versenden anschließend Spam oder verteilen Schadsoftware unter Ihrem Namen.

Erweiterungen und Serverumgebung ziehen mit nach unten

Ein TYPO3-System besteht selten nur aus dem Kern. Die meiste Funktionalität steckt in Erweiterungen von Drittanbietern, und viele Einbrüche laufen über genau diese schlecht gepflegten Erweiterungen. Wer eine alte TYPO3-Version betreibt, kann die Erweiterungen meist ebenfalls nicht mehr aktualisieren, weil neue, sichere Versionen die alte Kernversion nicht mehr unterstützen.

Dasselbe gilt eine Ebene tiefer. Eine stark veraltete TYPO3-Version läuft nicht auf den aktuellen PHP-Versionen. Also bleibt auf dem Server eine PHP-Version stehen, die selbst keine Sicherheitsupdates mehr bekommt. Das Risiko beschränkt sich damit nicht auf die Website: Ein übernommener Webserver ist ein Sprungbrett in den Rest Ihres Netzes.

Datenschutz: Stand der Technik ist eine Pflicht

Die Datenschutz-Grundverordnung (DSGVO) verlangt Sicherheit der Verarbeitung nach dem Stand der Technik. Ein CMS, für das es keine Sicherheitsupdates mehr gibt, erfüllt diese Anforderung nicht. Kommt es über ein Kontaktformular zum Datenabfluss, geht es um Bußgeld, Meldepflichten und den Ruf des Unternehmens. Diese Einschätzung ist keine Rechtsberatung; sie ist der Grund, warum Ihr Datenschutzbeauftragter das Thema früher oder später auf den Tisch legt.

TYPO3 v12 auf v13 Upgrade durchführen oder ELTS buchen: Ihre zwei Wege

Wenn Ihre Website auf einer Version ohne Support läuft, gibt es zwei verantwortbare Wege, und beide sind besser als Abwarten.

Sofortschutz durch ELTS. Ist ein Upgrade kurzfristig nicht machbar, weil Budget oder Kapazität fehlen, buchen Sie den Extended Long Term Support der TYPO3 GmbH. Sie erhalten damit weiterhin Sicherheitskorrekturen und kaufen sich Zeit für ein geordnetes Projekt. ELTS ist eine Brücke, kein Dauerzustand.

Upgrade auf v13 LTS oder v14 LTS. Der nachhaltige Weg ist das Major-Upgrade. v13 LTS wird noch einige Zeit kostenfrei versorgt, v14 LTS ist die aktuelle Langzeitversion mit moderner PHP-Kompatibilität. Ein Sprung von v12 auf v14 ist möglich, läuft technisch aber über die Zwischenstufe v13 und braucht vorab ein Kompatibilitätsaudit aller Erweiterungen. Bei stark individualisierten Installationen kann es günstiger sein, ein frisches v14-System aufzusetzen und die Inhalte zu migrieren.

Erweiterungen aufräumen. Nutzen Sie das Upgrade, um zu prüfen, welche Erweiterungen wirklich noch gebraucht werden. Jede gelöschte Erweiterung ist Angriffsfläche, die Sie nicht mehr pflegen müssen.

Wie lange ein Upgrade dauert, hängt von der Zahl der Erweiterungen und der Tiefe der Anpassungen ab: von wenigen Tagen bei einer schlanken Installation bis zu mehreren Wochen bei gewachsenen Systemen. Planen Sie in jedem Fall Tests und einen Rückweg ein; wie das ohne Risiko für die laufende Seite geht, beschreibt der Artikel zur Staging-Umgebung.

So prüfen Sie Ihren Stand in wenigen Minuten

Öffnen Sie das TYPO3-Backend und lesen Sie unter „System > Informationen“ die Versionsnummer ab. Vergleichen Sie sie mit der offiziellen Versionsübersicht auf get.typo3.org. Steht Ihre Version dort ohne aktiven Support und Sie haben keinen ELTS-Vertrag, läuft Ihre Website heute ungepatcht.

Notieren Sie die Versionsnummer, die Zahl der installierten Erweiterungen und die PHP-Version des Servers. Mit diesen Angaben buchen Sie den Potenzial-Check: eine halbe Stunde, kostenlos, und Sie wissen danach, ob ELTS, ein Upgrade auf v13 oder der Sprung auf v14 für Ihr System der richtige Weg ist und was er ungefähr bedeutet.