Wie Sie die Sicherheit von Contao verbessern und Schwachstellen beseitigen

Wer sein Contao vor ungewollten Zugriffen oder Hackerangriffe zusätzlich schützen will, sollte das Backend nicht vernachlässigen. Dort kann unter anderem der meiste Schaden angerichtet werden.

Um das Backend weiter abzusichern, sollte man es durch die Aktivierung 2FA / Zwei-Faktor-Authentifizierung zusätzlich absichern. Damit erschweren Sie es Häckern Zugriff auf den Administrationsbereich zu erlangen und verbessern damit die Sicherheit im Betrieb vom Contao System.

Im Backend oben auf Benutzer > Sicherheit > Aktivieren.

Sie müssen dann zusätzlich zu Ihrem Benutzernamen und Passwort einen Bestätigungscode eingeben, den Sie mit einer Zwei-Faktor-App wie z. B. 1Password, Authy, Google Authenticator, Microsoft Authenticator, LastPass Authenticator oder jeder anderen TOTP-App generieren können.

2FA lässt sich sogar für alle Backendbenutzer erzwingen. Dazu bearbeitest du die Datei config.yml wie folgt:

Allgemein kann kein CMS eine 100% Sicherheit anbieten. Um darauf im Vorfeld zu reagieren sind regelmäßige Sicherheitsupdates für das CMS und deren Erweiterung die Grundlage zuverlässig eine Website zu betreiben.

Hier finden Sie hilfreiche Tipps und meinen Contao Update Service, um mögliche unsicher Installationen auf die aktuelle sichere Version anzuheben. Mit der neuen Contao 4 Installation kümmert sich der Contao-Manager um die Updates.

Der Einfluss auf das System mit der Benutzung von Fremdanbieter-Modulen, kann mit SQL-Injection oder Cross-Site-Scripten, sprich das Einschleusen von Fremdcode durch den Angreifer möglich sein. Mit dem einspielen von verbesserten Versionen, kann das Risiko minimiert werden, einem Angriff zum Opfer zu fallen.

Welche Contao Version und Erweiterungen Sie einsetzen, sehen Sie im Backend anhand folgender Informationen.

Eine weitere Möglichkeit ist die Umstellung der Datenübertragung von http auf https der gesamten Webseite und somit auch dem Contao Backend. Bei meinen Projekten und hier auf der Webseite habe ich die Übertragung der Daten auf das https Protokoll umgestellt. Einige Provider bieten kostenfreie SSL Zertifikate an, mit der die Domain auf https umgestellt werden kann. Meine Empfehlung für günstige Hostingtarife mit SSL Zertifikaten wäre Webgo. Hier findet ihr die speziellen Hosting Angebote für Contao.

Da sich über den Weg der Datenübertragung ohne Verschlüsselung (http) in einem öffentlichen WLAN Netz die Zugangsdaten zum Backend abgreifen lassen können, ist es ratsam das zu vermeiden, oder den Zugriff über VPN zu lösen. Die FritzBox z.B. bietet die Möglichkeit über einen VPN Zugriff und lässt sich einfach einrichten. Alternativ ist ein eigener Hotspot über sein Mobiltelefon (Wischkastl) auch eine Möglichkeit seine Zugangsdaten zum Contao Backend über eine gesicherte Verbindung zu übertragen.

Ich hoffe ich kann mit den Tipps einigen helfen, die Contao Sicherheit zu erhöhen. Falls Sie Hilfe zum Einrichten, einem Contao-Update oder sonstigen Umsetzungen rund um Contao und Ihrem Hosting benötigen, dann sprechen Sie mich gerne an.