Eine der nützlichsten Neuerungen der letzten Joomla-Generation wird kaum besprochen: Joomla kann sich seit Version 5.4 und 6.0 selbst aktualisieren. Keine Anmeldung im Verwaltungsbereich, kein Klick auf «Jetzt aktualisieren» — die Installation holt sich Sicherheitsupdates von allein.
Für Websites, um die sich niemand regelmässig kümmert, ist das ein Gewinn. Trotzdem lohnt sich ein genauer Blick, bevor Sie den Schalter umlegen.
Was die Funktion tut — und was nicht
Automatisch aktualisiert wird ausschliesslich der Joomla-Core. Erweiterungen, Komponenten, Module, Plugins und Templates bleiben unberührt.
Genau hier liegt der Haken. Der Joomla-Core wird selten zum Einfallstor: Er ist gut gepflegt, Sicherheitsupdates erscheinen zeitnah, und das Projekt kommuniziert sauber. Angegriffen werden Joomla-Seiten fast immer über Erweiterungen von Drittanbietern — oft solche, die seit Jahren niemand mehr angefasst hat und die trotzdem installiert sind. Wie das aussieht, haben wir bei den alten Lücken in Astroid und JCE beschrieben.
Die neue Funktion deckt also den Teil ab, der ohnehin meist in Ordnung ist, und lässt den Teil offen, über den es tatsächlich schiefgeht. Das ist kein Vorwurf an das Projekt — Erweiterungen automatisch zu aktualisieren wäre deutlich riskanter. Man sollte es nur wissen, bevor man sich in Sicherheit wiegt.
Bei Ihnen ist es vermutlich noch aus
Ein Punkt, der leicht übersehen wird: Die Funktion ist nur bei neuen Installationen standardmässig aktiv. Wer von einer älteren Version auf 5.4 oder 6 aktualisiert hat — also die grosse Mehrheit —, bei dem ist sie abgeschaltet und muss von Hand eingeschaltet werden.
Zu finden ist der Schalter im Verwaltungsbereich unter System, dann Aktualisierung, dort bei den Joomla-Optionen im Reiter für die automatischen Updates.
Damit es verlässlich läuft, braucht es zusätzlich einen Cronjob, der den Joomla-Aufgabenplaner regelmässig anstösst. Ohne den hängt die Ausführung davon ab, dass jemand die Seite besucht — bei einer wenig frequentierten Website also genau dann nicht, wenn es darauf ankäme. Auf unseren Servern richten wir das ein; bei anderen Anbietern lohnt die Nachfrage.
Wann es sich lohnt — und wann nicht
Einschalten würden wir es bei Websites, um die sich sonst niemand kümmert. Die Vereinsseite, die der Vorstand vor vier Jahren aufgesetzt hat. Die Seite des Quartierladens. Überall dort ist ein automatisches Update besser als der Zustand, in dem seit zwei Jahren nichts passiert ist. Das Risiko, dass ein Core-Update etwas verstellt, wiegt weniger schwer als die Gewissheit, dass eine bekannte Lücke offen bleibt.
Zurückhaltend wären wir bei gewachsenen Firmenseiten. Der Grund ist Joomla-spezifisch: Template-Overrides greifen tief in die Darstellung ein, und ein Update kann ein Override stillschweigend ausser Kraft setzen. Auffällig wird das oft erst Wochen später — wenn jemand meldet, dass ein Formular nicht mehr abgeschickt werden kann. Wer eine Seite mit vielen Anpassungen betreibt, will Updates zuerst in einer Kopie sehen.
Und ein Hinweis, den das Projekt selbst gibt: Ein Backup wird nicht automatisch erstellt. Die Empfehlung eines vollständigen Sicherungskonzepts steht in der Ankündigung, umgesetzt werden muss es von Ihnen. Ein automatisches Update ohne geprüfte Sicherung ist ein Sprung ohne Netz — und ob eine Sicherung wirklich zurückspielbar ist, weiss man erst, wenn man es ausprobiert hat.
Die ehrliche Zusammenfassung
Automatische Core-Updates sind ein Fortschritt, und für einen Teil der Websites die beste verfügbare Antwort. Sie ersetzen aber keine Betreuung, weil sie den Bereich nicht berühren, in dem die Angriffe stattfinden.
Wer den Schalter umlegt, sollte deshalb zwei Dinge zusätzlich tun: die Erweiterungen im Blick behalten — welche werden überhaupt noch weiterentwickelt? — und Sicherungen führen, die schon einmal zurückgespielt wurden. Wie ein Update Schritt für Schritt abläuft und was der Pre-Update-Check prüft, steht in unserem Leitfaden zum Aktualisieren von Joomla.
Wenn Ihnen die Abwägung zu heikel ist oder niemand da ist, der die Erweiterungen verfolgt: Genau das übernimmt unsere Joomla-Wartung — kontrollierte Updates mit vorheriger Prüfung in einer Kopie, statt blind automatisiert.