Sicherheitsupdates einspielen — schnell, aber nicht hektisch.

Wie Sicherheitsmeldungen laufen.

Das TYPO3-Projekt sammelt Sicherheitsthemen und veröffentlicht sie zu festen Terminen, meist an einem Dienstag. Einige Tage vorher gibt es eine Vorankündigung: Es kommt etwas, in welcher Größenordnung, aber ohne Details. Das ist bewusst so — die Details würden Angreifern die Arbeit abnehmen, bevor Betreiber reagieren können.

Für dich bedeutet das: Du kannst Kapazität einplanen, bevor es akut wird. Wer die Vorankündigung sieht, hält sich den Nachmittag frei, statt am Abend überrascht zu werden.

Rechtzeitig mitbekommen.

• Ankündigungen abonnieren — das Projekt bietet dafür Mailinglisten und Kanäle an.
• Backend beobachten: TYPO3 weist auf verfügbare Updates hin, wenn die Prüfung aktiv ist.
• Extensions im Blick behalten — der Erweiterungsmanager zeigt verfügbare Aktualisierungen.
• Feste Zuständigkeit: Eine Person, die es sieht und handelt. Ohne das verpufft jede Benachrichtigung.
• Kalendereintrag für den regelmäßigen Blick, wenn sonst niemand zuständig ist.

Der vierte Punkt entscheidet. In der Praxis scheitert Updatepflege fast nie am Wissen, sondern daran, dass es niemandes Aufgabe ist.

Dringlichkeit einschätzen.

Nicht jede Meldung ist gleich dringend. Die Veröffentlichungen enthalten eine Einstufung und eine Beschreibung, wer betroffen ist. Drei Fragen helfen bei der Einordnung:

Eine kritische Lücke, die ohne Anmeldung ausnutzbar ist, gehört am selben Tag geschlossen. Eine Lücke, die einen angemeldeten Redakteur voraussetzt, lässt sich mit etwas mehr Ruhe behandeln — aber nicht wochenlang liegen lassen. Faustregel: kritisch am selben Tag, alles andere innerhalb einer Woche.

Einspielen bei Composer.

Bei Composer-Installationen läuft das Update über die Paketverwaltung. Der saubere Weg führt über eine Testumgebung oder zumindest über eine Sicherung vorab — auch bei kleinen Updates, weil Abhängigkeiten gelegentlich überraschen.

Bei größeren Sprüngen innerhalb der Hauptversion lohnt ein Blick in das Änderungsprotokoll. Innerhalb einer Hauptversion sind Updates in der Regel verträglich, aber es gibt Ausnahmen — besonders wenn eigene Erweiterungen auf interne Schnittstellen zugreifen.

Einspielen bei klassischen Installationen.

Ohne Composer wird der Kern als Paket ausgetauscht. Der Ablauf: Sicherung ziehen, neues Kernpaket herunterladen, entpacken, den Verweis auf die Quellen umstellen, Caches leeren, Datenbankabgleich ausführen, testen. Das klingt aufwendiger als es ist, dauert aber länger als der Composer-Weg und ist fehleranfälliger.

Wenn du häufiger aktualisierst — und das solltest du —, ist das ein Argument, bei nächster Gelegenheit auf eine Composer-Installation umzustellen. Das ist ein eigenes kleines Projekt, zahlt sich aber bei jedem Update aus (Hosting-Anforderungen).

Nach dem Update.

1. Alle Caches leeren (Cache leeren).
2. Datenbankabgleich ausführen, hinzufügende Änderungen zulassen.
3. Startseite und zwei Unterseiten im Frontend prüfen.
4. Backend prüfen: Anmeldung, Seitenbaum, ein Inhaltselement öffnen und speichern.
5. Formular testen — der stillste aller Ausfälle (E-Mails).
6. Protokoll ansehen auf neue Meldungen.

Diese sechs Punkte dauern zehn Minuten und fangen das meiste ab. Wer sie auslässt, erfährt von Problemen durch Kunden.

Extensions nicht vergessen.

Auch für Extensions werden Sicherheitslücken veröffentlicht — und sie werden deutlich häufiger übersehen als die des Kerns. Der Erweiterungsmanager zeigt verfügbare Updates, aber nur für Extensions aus dem offiziellen Verzeichnis. Kommerzielle Erweiterungen und Eigenentwicklungen musst du selbst im Blick behalten.

Besonders heikel sind Extensions, die seit Jahren kein Update bekommen haben: Dort werden Lücken oft gar nicht erst geschlossen. Eine verwaiste Extension ist damit ein dauerhaftes Risiko, unabhängig davon, wie stabil sie läuft (Extensions bewerten).

Wenn deine Version keinen Support hat.

Dann kommen die Updates nicht bei dir an. Für v12 endete der freie Support am 30. April 2026 — veröffentlichte Lücken bleiben dort offen, sofern kein kostenpflichtiger erweiterter Support gebucht ist. Das ist keine Grauzone, sondern eine klare Lage: Jede neue Meldung betrifft potenziell auch deine Installation, ohne dass du reagieren könntest.

Wenn das auf dich zutrifft, ist das Einspielen von Updates nicht dein Thema, sondern die Entscheidung über den weiteren Weg (Version ohne Support, ELTS oder Upgrade).

Wenn du nicht sofort kannst.

Es gibt Situationen, in denen ein Update warten muss — laufende Kampagne, niemand verfügbar, Abhängigkeit von einer Extension. Dann lässt sich das Risiko für die Zwischenzeit senken: Backend-Zugang auf bekannte Adressbereiche beschränken, Zwei-Faktor-Anmeldung aktivieren, nicht benötigte Konten deaktivieren, ein Backup ziehen und die Protokolle beobachten.

Das ersetzt das Update nicht und sollte Tage dauern, nicht Wochen. Aber es ist deutlich besser, als nichts zu tun — und es gehört dokumentiert, mit Datum und geplantem Nachholtermin.

Eine Routine aufbauen.

Updatepflege funktioniert nur als Gewohnheit. Was sich bewährt hat: eine feste Person als zuständig benennen, die Ankündigungen abonnieren, einen monatlichen Termin für reguläre Updates setzen und Sicherheitsupdates davon ausnehmen — die laufen sofort. Dazu eine Sicherung, die automatisch läuft und deren Wiederherstellung einmal getestet wurde.

Wenn das intern nicht zuverlässig passiert, gehört es abgegeben. Nicht aus Bequemlichkeit, sondern weil eine Installation mit offenen Lücken teurer ist als jede Betreuung (TYPO3-Wartung).

Wenn du nicht weiterkommst.

Wenn du Sicherheitsupdates nicht selbst einspielen willst oder nach einem Update etwas nicht mehr stimmt, übernehme ich das. Schreib mir mit Domain, TYPO3-Version und einer kurzen Beschreibung — du bekommst eine ehrliche Einschätzung, ob ich der Richtige bin. Den Überblick über alle Themen gibt TYPO3-Fehler beheben. Wenn sich am Ende herausstellt, dass ein Wechsel die bessere Lösung ist: TYPO3 zu WordPress.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, Web-Entwickler aus Quakenbrück. Mein Schwerpunkt liegt auf WordPress — an TYPO3-Installationen arbeite ich dort, wo es um Betrieb und Fehlersuche geht: Ausfälle, Serverthemen, Datenbank, Mailversand, Updates und die Frage, wie es mit einer alten Installation weitergehen soll. Das sind die Probleme, bei denen die Ursache meist nicht im System selbst liegt, sondern darunter. Geht es um tiefe Entwicklung in TYPO3 — eigene Extensions, komplexe Mehrsprachigkeit, große Redaktionssysteme —, sage ich dir das offen und empfehle jemanden, der genau das macht. Ehrlich beraten heißt für mich auch, eine Anfrage abzugeben.