Seminar TYPO3 v14: Sicherheit und Systemhärtung

Das Seminar behandelt die Absicherung einer TYPO3-v14-Installation als fortlaufenden Prozess. Schutzmaßnahmen werden nach Risiko priorisiert, technisch umgesetzt, mit negativen Tests geprüft und in einen klaren Update-, Backup- und Störfallablauf eingebettet.

Die Inhalte sind auf einzelseminar mit hohem Praxisanteil ausgelegt. Theorie, Demonstration, geführte Konfiguration und kontrollierte Übungen greifen unmittelbar ineinander.

Lernziele

• Bedrohungen und schützenswerte Werte systematisch erfassen
• Zugriffe, Rollen, Dateien und Konfigurationen minimieren
• Eingaben, Ausgaben und Browser-Sicherheitsrichtlinien härten
• Core und Extensions kontrolliert aktuell halten
• Protokollierung, Backup und Incident Response erproben

Inhaltsübersicht

1. Bedrohungsmodell und Sicherheitsbaseline
2. Konten, Rollen und Authentisierung
3. Dateien, Verzeichnisse und Geheimnisse
4. Eingaben, Ausgaben und Browser-Schutz
5. Extensions, Abhängigkeiten und Updates
6. Logging, Erkennung und Alarmierung
7. Backup, Wiederherstellung und Störfall

Kapitel 1: Bedrohungsmodell und Sicherheitsbaseline

Inhaltsübersicht des Kapitels

• Schutzbedarf und Angriffsflächen erfassen
• Baseline definieren
• Kontrollpunkt und Dokumentation

Dieses Kapitel behandelt Schutzbedarf und Angriffsflächen erfassen, Baseline definieren. Die Reihenfolge orientiert sich am üblichen Arbeitsprozess von der Vorbereitung über die Umsetzung bis zur Prüfung.

Schritt 1.1: Schutzbedarf und Angriffsflächen erfassen

Fachliche Ausarbeitung: Backend, Frontend, Dateien, Datenbank, Zugangsdaten, Erweiterungen und Betriebszugriffe als Schutzobjekte bewertet. Praktische Umsetzung: Eine priorisierte Risikoübersicht für eine Beispielinstallation erstellt. Die entstandene Lösung wird mit einer Checkliste geprüft und bei Abweichungen gezielt korrigiert.

Schritt 1.2: Baseline definieren

Fachliche Ausarbeitung: Verbindliche Mindeststandards für Versionen, Verschlüsselung, Rechte, Backups und Protokollierung festgelegt. Praktische Umsetzung: Eine prüfbare Sicherheitsbaseline mit Verantwortlichkeiten formuliert. Ein definierter Kontrollpunkt gleicht Konfiguration, Funktion und redaktionelle Wirkung miteinander ab.

Kontrollpunkt und Dokumentation

Die Arbeitsergebnisse des Kapitels werden auf fachliche Vollständigkeit, sichere Konfiguration und reproduzierbare Umsetzung geprüft. Festgestellte Abweichungen werden priorisiert, korrigiert und in einer kompakten Betriebs- oder Redaktionsnotiz festgehalten.

Kapitel 2: Konten, Rollen und Authentisierung

Inhaltsübersicht des Kapitels

• Privilegien minimieren
• Anmeldung und Sitzungen absichern
• Kontrollpunkt und Dokumentation

Dieses Kapitel behandelt Privilegien minimieren, Anmeldung und Sitzungen absichern. Die Reihenfolge orientiert sich am üblichen Arbeitsprozess von der Vorbereitung über die Umsetzung bis zur Prüfung.

Schritt 2.1: Privilegien minimieren

Fachliche Ausarbeitung: Administrator-, Maintainer-, Integrator- und Redaktionsrechte nach tatsächlicher Aufgabe begrenzt. Praktische Umsetzung: Überprivilegierte Testkonten auf ein minimales Rollenmodell zurückgeführt. Ein definierter Kontrollpunkt gleicht Konfiguration, Funktion und redaktionelle Wirkung miteinander ab.

Schritt 2.2: Anmeldung und Sitzungen absichern

Fachliche Ausarbeitung: Starke Kennwörter, sichere Verbindungen, Sitzungsbedingungen und administrative Sonderzugriffe bewertet. Praktische Umsetzung: Eine Anmelde- und Kontenrichtlinie mit Sperr- und Änderungsprozess erstellt. Die Arbeitsschritte werden nachvollziehbar dokumentiert und anhand eines fachlichen Prüfkriteriums kontrolliert.

Kontrollpunkt und Dokumentation

Die Arbeitsergebnisse des Kapitels werden auf fachliche Vollständigkeit, sichere Konfiguration und reproduzierbare Umsetzung geprüft. Festgestellte Abweichungen werden priorisiert, korrigiert und in einer kompakten Betriebs- oder Redaktionsnotiz festgehalten.

Kapitel 3: Dateien, Verzeichnisse und Geheimnisse

Inhaltsübersicht des Kapitels

• Datei- und Serverrechte härten
• Geheimnisse aus dem Code entfernen
• Kontrollpunkt und Dokumentation

Dieses Kapitel behandelt Datei- und Serverrechte härten, Geheimnisse aus dem Code entfernen. Die Reihenfolge orientiert sich am üblichen Arbeitsprozess von der Vorbereitung über die Umsetzung bis zur Prüfung.

Schritt 3.1: Datei- und Serverrechte härten

Fachliche Ausarbeitung: Schreibbare Verzeichnisse, öffentliche Dateien, Konfigurationspfade und Upload-Grenzen kontrolliert. Praktische Umsetzung: Ein unsicheres Berechtigungsschema erkannt und korrigiert. Die Arbeitsschritte werden nachvollziehbar dokumentiert und anhand eines fachlichen Prüfkriteriums kontrolliert.

Schritt 3.2: Geheimnisse aus dem Code entfernen

Fachliche Ausarbeitung: Datenbankzugänge, API-Schlüssel, Install-Tool-Zugang und Umgebungswerte getrennt verwaltet. Praktische Umsetzung: Eine Projektkonfiguration ohne eingecheckte Geheimnisse aufgebaut. Abschließend erfolgt eine Prüfung auf Konsistenz, Wartbarkeit und sichere Wiederholbarkeit.

Kontrollpunkt und Dokumentation

Die Arbeitsergebnisse des Kapitels werden auf fachliche Vollständigkeit, sichere Konfiguration und reproduzierbare Umsetzung geprüft. Festgestellte Abweichungen werden priorisiert, korrigiert und in einer kompakten Betriebs- oder Redaktionsnotiz festgehalten.

Kapitel 4: Eingaben, Ausgaben und Browser-Schutz

Inhaltsübersicht des Kapitels

• Datenwege absichern
• Content Security Policy planen
• Kontrollpunkt und Dokumentation

Dieses Kapitel behandelt Datenwege absichern, Content Security Policy planen. Die Reihenfolge orientiert sich am üblichen Arbeitsprozess von der Vorbereitung über die Umsetzung bis zur Prüfung.

Schritt 4.1: Datenwege absichern

Fachliche Ausarbeitung: Validierung, Parameterbindung, Dateiuploads, Request-Tokens und Escaping entlang kritischer Funktionen geprüft. Praktische Umsetzung: Mehrere manipulierte Eingaben kontrolliert abgefangen. Abschließend erfolgt eine Prüfung auf Konsistenz, Wartbarkeit und sichere Wiederholbarkeit.

Schritt 4.2: Content Security Policy planen

Fachliche Ausarbeitung: Skript-, Stil-, Bild- und Verbindungsquellen nach tatsächlichem Bedarf eingeschränkt. Praktische Umsetzung: Eine schrittweise CSP-Konfiguration mit kontrollierter Auswertung erstellt. Die entstandene Lösung wird mit einer Checkliste geprüft und bei Abweichungen gezielt korrigiert.

Kontrollpunkt und Dokumentation

Die Arbeitsergebnisse des Kapitels werden auf fachliche Vollständigkeit, sichere Konfiguration und reproduzierbare Umsetzung geprüft. Festgestellte Abweichungen werden priorisiert, korrigiert und in einer kompakten Betriebs- oder Redaktionsnotiz festgehalten.

Kapitel 5: Extensions, Abhängigkeiten und Updates

Inhaltsübersicht des Kapitels

• Erweiterungsbestand bewerten
• Sicherheitsupdates kontrolliert einspielen
• Kontrollpunkt und Dokumentation

Dieses Kapitel behandelt Erweiterungsbestand bewerten, Sicherheitsupdates kontrolliert einspielen. Die Reihenfolge orientiert sich am üblichen Arbeitsprozess von der Vorbereitung über die Umsetzung bis zur Prüfung.

Schritt 5.1: Erweiterungsbestand bewerten

Fachliche Ausarbeitung: Herkunft, Wartungsstatus, Versionsgrenzen, Berechtigungen und unnötige Pakete erfasst. Praktische Umsetzung: Eine Extension-Inventarliste mit Risikoklassen erstellt. Die entstandene Lösung wird mit einer Checkliste geprüft und bei Abweichungen gezielt korrigiert.

Schritt 5.2: Sicherheitsupdates kontrolliert einspielen

Fachliche Ausarbeitung: Meldung, Bewertung, Staging-Test, Backup, Deployment und Nachkontrolle in einen Ablauf gebracht. Praktische Umsetzung: Ein simuliertes Sicherheitsupdate mit dokumentiertem Rückfallweg durchgeführt. Ein definierter Kontrollpunkt gleicht Konfiguration, Funktion und redaktionelle Wirkung miteinander ab.

Kontrollpunkt und Dokumentation

Die Arbeitsergebnisse des Kapitels werden auf fachliche Vollständigkeit, sichere Konfiguration und reproduzierbare Umsetzung geprüft. Festgestellte Abweichungen werden priorisiert, korrigiert und in einer kompakten Betriebs- oder Redaktionsnotiz festgehalten.

Kapitel 6: Logging, Erkennung und Alarmierung

Inhaltsübersicht des Kapitels

• Sicherheitsrelevante Ereignisse protokollieren
• Auffälligkeiten bewerten
• Kontrollpunkt und Dokumentation

Dieses Kapitel behandelt Sicherheitsrelevante Ereignisse protokollieren, Auffälligkeiten bewerten. Die Reihenfolge orientiert sich am üblichen Arbeitsprozess von der Vorbereitung über die Umsetzung bis zur Prüfung.

Schritt 6.1: Sicherheitsrelevante Ereignisse protokollieren

Fachliche Ausarbeitung: Anmeldefehler, Rechteverletzungen, Ausnahmen, Dateiereignisse und administrative Änderungen nach Relevanz gefiltert. Praktische Umsetzung: Eine zielgerichtete Protokollierung ohne unnötige sensible Daten eingerichtet. Ein definierter Kontrollpunkt gleicht Konfiguration, Funktion und redaktionelle Wirkung miteinander ab.

Schritt 6.2: Auffälligkeiten bewerten

Fachliche Ausarbeitung: Schwellwerte, Alarmwege, Zuständigkeiten und erste Analyse für typische Ereignisse festgelegt. Praktische Umsetzung: Einen verdächtigen Ereignisverlauf anhand vorgegebener Logs untersucht. Die Arbeitsschritte werden nachvollziehbar dokumentiert und anhand eines fachlichen Prüfkriteriums kontrolliert.

Kontrollpunkt und Dokumentation

Die Arbeitsergebnisse des Kapitels werden auf fachliche Vollständigkeit, sichere Konfiguration und reproduzierbare Umsetzung geprüft. Festgestellte Abweichungen werden priorisiert, korrigiert und in einer kompakten Betriebs- oder Redaktionsnotiz festgehalten.

Kapitel 7: Backup, Wiederherstellung und Störfall

Inhaltsübersicht des Kapitels

• Sichere Backups planen
• Incident Response üben
• Kontrollpunkt und Dokumentation

Dieses Kapitel behandelt Sichere Backups planen, Incident Response üben. Die Reihenfolge orientiert sich am üblichen Arbeitsprozess von der Vorbereitung über die Umsetzung bis zur Prüfung.

Schritt 7.1: Sichere Backups planen

Fachliche Ausarbeitung: Datenbank, Dateien, Konfiguration, Schlüssel, Aufbewahrung und getrennte Speicherung zusammengeführt. Praktische Umsetzung: Einen vollständigen Backup- und Restore-Plan erstellt. Die Arbeitsschritte werden nachvollziehbar dokumentiert und anhand eines fachlichen Prüfkriteriums kontrolliert.

Schritt 7.2: Incident Response üben

Fachliche Ausarbeitung: Eindämmung, Beweissicherung, Bereinigung, Wiederanlauf, Kommunikation und Nachprüfung als feste Schritte durchlaufen. Praktische Umsetzung: Einen simulierten Sicherheitsvorfall mit Rollen und Entscheidungsprotokoll bearbeitet. Abschließend erfolgt eine Prüfung auf Konsistenz, Wartbarkeit und sichere Wiederholbarkeit.

Kontrollpunkt und Dokumentation

Die Arbeitsergebnisse des Kapitels werden auf fachliche Vollständigkeit, sichere Konfiguration und reproduzierbare Umsetzung geprüft. Festgestellte Abweichungen werden priorisiert, korrigiert und in einer kompakten Betriebs- oder Redaktionsnotiz festgehalten.

Didaktischer Aufbau

Jeder Themenblock beginnt mit einer Einordnung, wird am System demonstriert und anschließend praktisch umgesetzt. Übungen bauen aufeinander auf, sodass am Ende eine zusammenhängende, prüfbare TYPO3-Konfiguration oder ein vollständiger redaktioneller Arbeitsablauf vorliegt.