Kein Zugang zum Backend — es gibt immer einen Weg zurück.

Erst einordnen.

Die Unterscheidung spart viel Zeit. Besonders die zweite Zeile wird oft als falsches Passwort missverstanden — dabei hat die Anmeldung funktioniert, die Sitzung hält nur nicht.

Passwort zurücksetzen.

Der reguläre Weg führt über die Funktion an der Anmeldemaske: Adresse eingeben, Mail abwarten, neues Passwort setzen.

Scheitert das, liegt es fast nie an der Funktion, sondern am Mailversand. Contao verschickt über die konfigurierte Methode — ist dort nichts Vernünftiges hinterlegt, geht die Nachricht direkt über den Webserver raus und wird vom Empfänger aussortiert.

Prüf in diesem Fall zuerst den Spam-Ordner und danach die Versandkonfiguration. Das Problem betrifft dann auch alle anderen Mails der Website (Mails im Spam, SPF, DKIM, DMARC).

Zweite mögliche Ursache: Die hinterlegte Adresse am Benutzerkonto ist veraltet — ein Postfach eines ausgeschiedenen Mitarbeiters. Dann hilft die Funktion nicht, egal wie oft man sie auslöst.

Über die Kommandozeile.

Der verlässlichste Weg, wenn Zugriff besteht. Contao bringt Befehle mit, mit denen sich ein Benutzerpasswort setzen und ein neuer Administrator anlegen lässt — ohne Mailversand und ohne Backend.

Die Befehle laufen im Projektverzeichnis über das mitgelieferte Konsolenwerkzeug. Wichtig dabei: unter demselben Systembenutzer ausführen, unter dem auch der Webserver läuft, sonst entstehen Dateien mit falschen Rechten im Zwischenspeicher — und dann ist das nächste Problem programmiert (Dateirechte).

Wenn dein Hosting keinen Kommandozeilenzugriff bietet, ist das ein guter Anlass, darüber nachzudenken. Für ein System, das auf Abhängigkeitsverwaltung aufsetzt, ist der Zugriff keine Spielerei, sondern Arbeitsgrundlage (Hosting-Anforderungen).

Notfall über die Datenbank.

Ohne Kommandozeile bleibt der Weg über die Datenbankverwaltung. Passwörter liegen dort verschlüsselt — ein Klartextpasswort einzutragen funktioniert nicht.

Praktikabel ist, einen gültigen Hashwert zu erzeugen und einzusetzen, oder den Hashwert eines bekannten Passworts aus einer Testinstallation zu übernehmen. Beides setzt voraus, dass dasselbe Verschlüsselungsverfahren verwendet wird.

Vor jedem Eingriff: Sicherung der Datenbank. Und danach das Passwort über das Backend neu setzen, damit es im regulären Verfahren erzeugt wird.

Prüf bei dieser Gelegenheit auch die Felder zur Sperrung und zur Gültigkeit des Kontos — dazu gleich mehr.

Sofort wieder abgemeldet.

Die Anmeldung wird angenommen, und im nächsten Moment steht man wieder vor der Maske. Ursachen, in dieser Häufigkeit:

• Vorgeschaltetes Caching, das Backend-Antworten zwischenspeichert. Muss ausgenommen werden (Caching-Ausnahmen).
• Zwei Domainvarianten: Anmeldung unter der einen, Weiterleitung auf die andere — das Cookie gilt nicht mehr.
• Gemischte Verschlüsselung: teils verschlüsselt, teils nicht.
• Sitzungsverzeichnis nicht beschreibbar, die Sitzung wird nicht gespeichert.
• Systemzeit falsch, Sitzung gilt sofort als abgelaufen.
• Cookie-Einstellungen im Browser oder eine Erweiterung, die blockiert.

Schneller Test für die ersten drei Punkte: in einem privaten Fenster anmelden und dabei genau die Adresse verwenden, unter der das Backend laufen soll. Funktioniert es dort, liegt es an Weiterleitung oder Zwischenspeicher (Weiterleitung auf HTTPS).

Zwei-Faktor-Sperre.

Ist die zweistufige Anmeldung aktiv und das Gerät mit der Anwendung verloren oder zurückgesetzt, kommt man ohne Eingriff nicht mehr hinein.

Wege zurück: Ein Wiederherstellungsschlüssel, falls bei der Einrichtung notiert. Oder ein anderer Administrator deaktiviert die Prüfung für das betroffene Konto. Oder die Deaktivierung erfolgt direkt am Datensatz in der Datenbank — dort steht ein Schalter samt hinterlegtem Geheimnis.

Nach dem Zugang: sofort neu einrichten und die Wiederherstellungsschlüssel an einem sicheren Ort ablegen, der nicht dasselbe Gerät ist. Das ist der ganze Trick an der Sache.

Konto gesperrt.

Nach mehreren Fehlversuchen sperrt Contao ein Konto für eine gewisse Zeit — eine sinnvolle Schutzfunktion gegen das Durchprobieren von Passwörtern.

Abwarten reicht meist. Wer nicht warten kann, hebt die Sperre über die Kommandozeile oder am Datensatz auf. Prüf dabei auch, ob das Konto deaktiviert oder mit einem Gültigkeitszeitraum versehen ist — ein abgelaufenes Enddatum ist ein häufiger und leicht übersehener Grund.

Wenn Sperren gehäuft auftreten, ohne dass jemand sich vertippt hat, probiert vermutlich jemand Passwörter durch. Dann gehört das Backend abgesichert (Absicherung).

Angemeldet, aber nichts sichtbar.

Die Anmeldung funktioniert, das Backend ist leer oder zeigt kaum Bereiche. Das ist kein Fehler, sondern das Rechtesystem.

In Contao steuern Benutzergruppen, welche Module, Seitenbereiche, Dateibereiche und Felder ein Benutzer sieht. Wird eine Gruppe geändert oder gelöscht, verschwinden Bereiche ohne Fehlermeldung.

Prüf die Gruppenzuordnung des Kontos und die Rechte der Gruppe. Bei einem Administratorkonto greift das nicht — wenn also auch dort nichts erscheint, ist es kein Rechteproblem, sondern ein technisches (Weiße Seite).

Keine Anmeldemaske.

Zwei Fälle. Bei einer Meldung über verweigerten Zugriff liegt eine Zugriffsbeschränkung vor: ein Passwortschutz auf Serverebene, eine Beschränkung auf bestimmte Adressbereiche oder eine Sicherheitsregel. Das ist oft gewollt und manchmal vergessen — etwa wenn die Bürokennung sich geändert hat.

Bei einer weißen Seite ist es ein Serverfehler, und der Weg führt über das Protokoll. Dasselbe gilt, wenn die Maske erscheint, aber ohne Gestaltung — dann fehlen die veröffentlichten Backend-Dateien.

Prüfweg.

1. Fehlerbild einordnen nach der Tabelle oben.
2. Privates Fenster und exakte Backend-Adresse verwenden.
3. Passwort-Funktion versuchen, Spam-Ordner prüfen.
4. Kommandozeile: Passwort setzen oder Administrator anlegen.
5. Datensatz prüfen: deaktiviert, gesperrt, Gültigkeit abgelaufen?
6. Caching-Ausnahmen für den Backend-Pfad prüfen.
7. Dateirechte für Zwischenspeicher und Sitzungen.
8. Protokoll lesen, wenn gar nichts erscheint.

Vorbeugen.

• Mindestens zwei Administratorkonten mit getrennten Postfächern.
• Funktionsadresse hinterlegen, keine Personenadresse eines Einzelnen.
• Mailversand testen, bevor man ihn braucht.
• Wiederherstellungsschlüssel sicher ablegen.
• Kommandozeilenzugriff klären, bevor der Ernstfall eintritt.
• Zugangsdaten im Passwortverwalter, nicht im Kopf einer Person.
• Beim Ausscheiden von Mitarbeitern Konten übergeben statt löschen.

Der erste Punkt löst die meisten dieser Notfälle im Voraus, und er kostet nichts. Der vorletzte ist der, an dem es in der Praxis am häufigsten scheitert — die Zugangsdaten hat der frühere Dienstleister, und der antwortet nicht (Agentur wechseln).

Wenn du nicht weiterkommst.

Wenn du nicht mehr ins Backend kommst und keinen Kommandozeilenzugriff hast. Ich finde die Ursache, behebe sie und erkläre dir, was passiert ist. Bei einem laufenden Ausfall hilft der Notfall-Support, dauerhaft begleitet die Contao-Wartung.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, Webentwickler aus Quakenbrück. Content-Management-Systeme sind mein Fachgebiet — ich arbeite seit Jahren damit, unterrichte das Thema als Dozent und kenne die Systeme nicht nur aus der Anwendung, sondern von innen: Datenmodell, Rechtekonzept, Templating, Erweiterungsarchitektur, Betrieb.

Das ist bei Contao besonders nützlich, weil es auf demselben Unterbau aufsetzt wie andere professionelle Systeme. Wer versteht, wie Abhängigkeitsverwaltung, Zwischenspeicherung und Konfigurationsebenen zusammenspielen, findet Fehler schneller — unabhängig davon, welcher Name über dem Backend steht.

Was du von mir bekommst: eine Diagnose in verständlicher Sprache, eine Behebung, die nicht nur das Symptom wegräumt, und eine ehrliche Einschätzung dazu, ob dein System weiterbetrieben, aktualisiert oder abgelöst gehört. Auch wenn die Antwort lautet, dass alles so bleiben kann.