Die Contao Security Suite macht Sicherheitsrisiken Ihrer Contao-Installation sichtbar, verständlich und direkt behebbar. Sie analysiert Anmeldeversuche, Sicherheits-Header, Content Security Policy, Benutzerrechte, Dateien, Erweiterungen und Systemkonfigurationen, bewertet erkannte Risiken und zeigt konkrete Maßnahmen. Viele Probleme können direkt per Mausklick behoben werden – einzeln, bereichsweise oder zentral über „Alle Probleme beheben“.

Contao Security Suite – Sicherheit zentral analysieren, überwachen und verbessern

Die Contao Security Suite erweitert das Contao-Backend um eine zentrale Sicherheitszentrale für Ihre Website. Sie untersucht wichtige sicherheitsrelevante Bereiche der Installation, bewertet erkannte Schwachstellen und stellt verständlich dar, wo Handlungsbedarf besteht.

Die Sicherheitsübersicht zeigt auf einen Blick den aktuellen Sicherheitszustand der Website, offene Feststellungen nach Schweregrad, verdächtige Anmeldeaktivitäten, den Zustand wichtiger Schutzmechanismen sowie die Entwicklung der Sicherheitsbewertung.

Umfassende Sicherheitsanalyse

Die Suite prüft unter anderem:

• fehlgeschlagene und verdächtige Backend-Anmeldungen

• Administratoren und Zwei-Faktor-Authentifizierung

• Benutzer- und Gruppenberechtigungen

• Content Security Policy

• HTTP-Sicherheits-Header

• sensible und verdächtige Dateien

• Dateiintegrität und Berechtigungen

• installierte Contao-Erweiterungen und Composer-Abhängigkeiten

• bekannte Sicherheitslücken in Abhängigkeiten

• PHP-, Contao- und Systemkonfiguration

• HTTPS-, Sitzungs- und Cookie-Einstellungen

Nicht prüfbare Bereiche werden ausdrücklich als „Nicht bewertet“ oder „Nicht überwacht“ gekennzeichnet. Die Suite meldet niemals einen sicheren Zustand, wenn dieser technisch nicht bestätigt werden konnte.

Sicherheitsprobleme direkt beheben

Die Contao Security Suite beschränkt sich nicht auf das Erkennen von Problemen. Viele Feststellungen können unmittelbar aus dem Backend heraus behoben werden.

Je nach Art der Feststellung unterscheidet die Suite zwischen:

Automatisch behebbar
Sichere Änderungen können nach Bestätigung direkt durchgeführt werden.

Bestätigung erforderlich
Bei Änderungen mit möglichen Auswirkungen auf die Website wird zunächst angezeigt, was geändert wird und welche Folgen dies haben könnte.

Unterstützte Behebung
Die Suite führt den Administrator direkt zur entsprechenden Contao-Einstellung und erklärt die erforderlichen Schritte.

Manuelle Aktion erforderlich
Probleme, die beispielsweise Serverzugriff, eine Erweiterungsaktualisierung oder die persönliche Einrichtung einer Zwei-Faktor-Authentifizierung erfordern, werden eindeutig gekennzeichnet.

Eine Feststellung wird erst dann als behoben markiert, wenn die anschließende Prüfung bestätigt, dass die Ursache tatsächlich beseitigt wurde.

Alle automatisch behebbaren Probleme auf einmal korrigieren

Über „Alle Probleme beheben“ können sämtliche sicher automatisch korrigierbaren Feststellungen zentral bearbeitet werden.

Vor der Ausführung zeigt die Suite übersichtlich:

• welche Probleme automatisch behoben werden können,

• welche Änderungen eine zusätzliche Bestätigung erfordern,

• und welche Feststellungen weiterhin manuelle Maßnahmen benötigen.

Manuelle Probleme werden dabei niemals ausgeblendet oder fälschlicherweise als erledigt markiert.

Anmeldeaktivitäten erkennen und bewerten

Die Suite wertet Backend-Anmeldungen aus und erkennt auffällige Muster wie:

• wiederholte fehlgeschlagene Anmeldungen,

• häufig angegriffene Benutzernamen,

• viele Anmeldeversuche von derselben IP-Adresse,

• Angriffe auf mehrere Benutzerkonten,

• verteilte Angriffe auf ein einzelnes Konto,

• erfolgreiche Anmeldung nach mehreren Fehlversuchen.

Dabei bleibt die Bewertung bewusst sachlich. Ein auffälliges Muster wird beispielsweise als möglicher Brute-Force-Angriff bezeichnet und nicht ohne ausreichende Belege als erfolgreicher Einbruch dargestellt.

Content Security Policy und Sicherheits-Header

Für jede Website-Wurzel kann eine eigene Content Security Policy verwaltet werden. Vordefinierte Optionen erleichtern die Konfiguration typischer externer Dienste wie Google Fonts, YouTube, Vimeo, Matomo, Google Analytics oder Kartenanbieter.

Darüber hinaus prüft die Suite wichtige HTTP-Sicherheits-Header wie:

• Strict-Transport-Security

• X-Content-Type-Options

• Referrer-Policy

• Permissions-Policy

• X-Frame-Options

• Cross-Origin-Richtlinien

Dabei kann zwischen innerhalb von Contao konfigurierten Einstellungen und den tatsächlich vom Webserver ausgelieferten Headern unterschieden werden.

Datei- und Integritätsprüfung

Relevante Bereiche der Installation können auf sensible oder verdächtige Dateien untersucht werden.

Die Suite erkennt unter anderem:

• öffentlich erreichbare Konfigurationsdateien,

• Datenbank-Sicherungen,

• private Schlüssel,

• verdächtige PHP-Dateien,

• doppelte Dateiendungen,

• ausführbare Dateien in Upload-Verzeichnissen,

• unsichere Dateiberechtigungen.

Über eine Integritätsbasis können spätere Änderungen an Anwendungsdateien erkannt werden. Verdächtige Dateien werden jedoch niemals automatisch gelöscht.

Erweiterungen und bekannte Sicherheitslücken

Installierte Contao-Erweiterungen und Composer-Abhängigkeiten werden analysiert. Bekannte Sicherheitsmeldungen können über die etablierten Composer-Prüfmechanismen ermittelt werden.

Die Suite unterscheidet klar zwischen:

• einer tatsächlich bekannten Sicherheitslücke,

• einem aufgegebenen Paket,

• einer lediglich veralteten Version,

• und einem nicht verfügbaren Prüfergebnis.

System- und Konfigurationsprüfung

Auch die technische Umgebung wird berücksichtigt, beispielsweise:

• Contao- und PHP-Version

• Produktions- und Entwicklungsmodus

• PHP-Fehlerausgabe

• Sitzungs- und Cookie-Sicherheit

• HTTPS

• Webserver

• Datenbanktreiber

• relevante PHP-Sicherheitseinstellungen

Passwörter, geheime Schlüssel und andere sensible Zugangsdaten werden nicht angezeigt.

Sicherheitsereignisse und nachvollziehbare Historie

Wichtige sicherheitsrelevante Vorgänge werden protokolliert, darunter:

• fehlgeschlagene und erfolgreiche Anmeldungen,

• erkannte oder behobene Feststellungen,

• ausgeführte Sicherheitsprüfungen,

• geänderte Sicherheitseinstellungen,

• automatisch durchgeführte Behebungen,

• fehlgeschlagene Behebungsversuche.

So entsteht eine nachvollziehbare Sicherheitschronik der Installation.

Sicherheitsberichte

Aus den tatsächlich erfassten Daten können strukturierte Berichte erstellt werden, beispielsweise:

• aktueller Sicherheitsbericht,

• Prüfbericht,

• Bericht über Sicherheitsfeststellungen,

• Ereignisbericht,

• Bericht zur Anmeldesicherheit.

Die Berichte können sowohl technisch detailliert als auch für Kunden oder Verantwortliche verständlich dargestellt und unter anderem als CSV-Datei oder druckoptimierte Ansicht ausgegeben werden.

Transparenz statt falscher Sicherheit

Die Contao Security Suite verfolgt einen klaren Grundsatz:

Erkennen → Bewerten → Erklären → Beheben → Überprüfen

Sie soll nicht nur Warnungen produzieren, sondern Administratoren dabei unterstützen, den tatsächlichen Sicherheitszustand ihrer Contao-Installation kontinuierlich zu verstehen und gezielt zu verbessern.

Damit wird Sicherheit von einer verstreuten technischen Aufgabe zu einem zentralen, nachvollziehbaren Prozess direkt im Contao-Backend.