Was ist ein CMS?

Einfach erklärt

Ein CMS, ausgeschrieben Content-Management-System, ist die Software hinter vielen Websites. Mit ihm pflegen Sie Texte, Bilder und Seiten in einer Oberfläche im Browser, ohne Programmcode anzufassen. Bekannte Beispiele sind WordPress, TYPO3, Joomla und Drupal. Man kann es sich wie ein Redaktionssystem vorstellen: Die Redaktion schreibt, das System setzt die Seiten.

Was das für Ihren Betrieb bedeutet

Ein CMS besteht aus drei Teilen, die alle gepflegt werden müssen:

• dem Kern, also der eigentlichen Software,
• den Erweiterungen, bei WordPress „Plugins“, etwa für Formulare, Shop oder Cookie-Banner,
• dem Theme, das das Aussehen bestimmt.

Jeder Teil bekommt eigene Updates. Und jeder kann eine Sicherheitslücke haben. Erweiterungen stammen von vielen verschiedenen Entwicklern. Manche werden irgendwann nicht mehr gepflegt, laufen aber weiter.

Was Sie tun können

• Klären Sie, wer die Updates einspielt und wie oft. WordPress spielt kleinere Updates des Kerns von sich aus ein, solange das nicht abgeschaltet ist. Erweiterungen und Themes aktualisiert es nur, wenn das eigens eingeschaltet ist.
• Lassen Sie Erweiterungen entfernen, die niemand mehr braucht. Deaktiviert reicht nicht, denn der Code liegt weiter auf dem Server.
• Fragen Sie, ob alle Teile noch vom Hersteller unterstützt werden (Support-Ende).

Was ein CMS nicht erledigt

Ein CMS pflegt sich nicht vollständig selbst. Ein Update kann eine Website auch beschädigen, deshalb gehört vor jedes größere Update ein Backup. Und das System ist nur so sicher wie die Zugänge seiner Benutzer. Für Administratoren ist eine Zwei-Faktor-Anmeldung deshalb sinnvoll.

Aufbau

WordPress, TYPO3, Joomla und Drupal sind PHP-Anwendungen mit einer SQL-Datenbank. Sie erzeugen Seiten serverseitig, je nach Einrichtung mit einem Cache davor. Ein Headless-CMS liefert Inhalte dagegen nur über eine API aus, die Darstellung übernimmt ein eigenes Frontend.

Die Sicherheit hängt damit an vier Schichten: Webhosting und PHP, CMS-Kern, Erweiterungen und Themes, Konfiguration und Benutzerkonten.

Updates und Unterstützung

• WordPress: Offiziell unterstützt ist nur die neueste Version. Das Security-Team spielt kritische Korrekturen aus Kulanz auch in ältere Reihen zurück, damit ältere Installationen sie über automatische Updates erhalten. Automatische Hintergrund-Updates gibt es seit WordPress 3.7, standardmäßig für Wartungs- und Sicherheitsversionen. Neue Installationen ab 5.6 aktualisieren auch Hauptversionen automatisch. Plugins und Themes aktualisiert WordPress ohne eigene Einstellung nur in Sonderfällen.
• Drupal 7 bekommt seit dem 5. Januar 2025 keine Sicherheitsmeldungen und Korrekturen des Drupal-Security-Teams mehr, auch nicht für Module und Themes.

Typische Fehler

• Version im Generator-Tag. <meta name="generator" content="WordPress …"> verrät die Version, ebenso Versionsparameter an Skripten und Stylesheets.
• Verwaiste Erweiterungen, deaktiviert, aber noch auf dem Server.
• Schreibrechte des Webservers auf den gesamten Code. Eine Lücke in einer Erweiterung wird so zum Einfallstor für Schadcode in der ganzen Installation. In WordPress schaltet DISALLOW_FILE_EDIT in der wp-config.php zumindest den Code-Editor im Backend ab.
• Anmeldeseite ohne Schutz, etwa wp-login.php oder /typo3 ohne Zwei-Faktor-Anmeldung und ohne Begrenzung der Anmeldeversuche.
• Updates direkt im Livesystem, ohne Backup und ohne Testumgebung.

Prüfen

curl -s https://ihre-firma.de/ | grep -i -o '<meta name="generator"[^>]*>'
wp core version
wp plugin list --update=available

wp ist WP-CLI für WordPress. wp core verify-checksums vergleicht zusätzlich die Dateien des Kerns mit den offiziellen Prüfsummen und meldet veränderte Dateien, ein Hinweis auf Schadcode. Für Drupal zeigt drush status die Version.