Changelog

• RO CSVI: Import und Export gehen wieder. Die Erweiterung ruft dafür einen eigenen Einstiegspunkt direkt auf, und das Schutzschild hatte den mit „403 Zugriff verweigert" blockiert - so wie die Firewalls anderer Sicherheitswerkzeuge auch. Genau dieser eine Weg ist jetzt fest freigegeben, am übrigen Schutz ändert sich nichts.
• Benachrichtigungs-E-Mails nennen Dateinamen wieder im Klartext. Statt eines internen Platzhalters steht dort jetzt wieder der lesbare Name, und zwar in derselben Sprache wie der Rest der Mail - kein Sprachmischmasch mehr.
• Kleinigkeit. Beim Auto-Update-Schalter erscheint die Stufe „Nur Sicherheit" jetzt in Gold, einheitlich mit dem Dashboard.

Die Benutzerkonten aller verbundenen Websites lassen sich jetzt direkt aus dem Dashboard verwalten - Ende-zu-Ende-verschlüsselt.

• Das 1-Klick-Login nimmt jetzt den richtigen Administrator. Du gibst im Dashboard vor, unter welchem Konto es laufen soll - bis zu drei Kennungen in der Reihenfolge, die dir wichtig ist. Die Website sucht das passende Konto selbst heraus und meldet nur dessen Nummer zurück; Mailadressen bleiben auf der Website. Bisher wurde schlicht der älteste Administrator genommen. Gilt für neue Websites und per Klick auch für alle bestehenden.
• Neu: Nutzer-Manager für die ganze Flotte. Je Website Konten ansehen, anlegen, bearbeiten, Passwort setzen, sperren, entsperren und löschen, mit Suche und Filtern nach aktiv, gesperrt, unbestätigt und Super-User. Dazu eine Suche über alle Websites hinweg nach Name, Benutzername oder E-Mail sowie Sammelaktionen fürs Offboarding. Beim Datenschutz gibt es keine Abstriche: Nutzerdaten erreichen den HTProtect-Server nie, alles läuft verschlüsselt direkt zwischen deinem Browser und der Website. Die Verwaltung ist je Website standardmäßig aus und nur befristet freizuschalten, und der letzte verbleibende Administrator ist immer geschützt.
• Änderungen an der Schutzdatei von außen werden gemeldet. Wird sie außerhalb des internen Regelblocks verändert, von Hand oder durch einen Angriff, bekommst du jetzt eine E-Mail mit den genauen Zeilen - bevor HTProtect den korrekten Stand automatisch wiederherstellt. Eigene Aktualisierungen von HTProtect lösen wie bisher nichts aus.
• Kleinigkeiten. Ist das Backend über den geheimen Zugangs-String geschützt, wertet der Selbsttest das nicht mehr als Problem, sondern prüft die Erreichbarkeit richtig und meldet grün. Und einzelne Hinweise im Selbsttest erscheinen wieder mit echten Umlauten.

• Keine Fehlalarme mehr, wenn sich an der Schutzdatei nur die Form ändert. Vereinzelt meldete die Überwachung per E-Mail eine Änderung, obwohl im Backend nichts Inhaltliches zu sehen war und die Schutzregeln unverändert wirkten - vor allem bei Hostern, die die Datei automatisch leicht umformatieren. Der interne Regelblock verschiebt sich nämlich mit der Zeit von selbst: neue Schutz-Signaturen, andere Reihenfolge, geänderte Einrückung. HTProtect bewertet diesen Bereich jetzt genauso wie die Anzeige im Backend. Eine wirklich eingeschleuste fremde Regel - Umleitung, Schadcode, abgeschwächter Schutz - wird weiterhin zuverlässig erkannt und gemeldet.
• Die Benachrichtigung zeigt jetzt, was sich geändert hat. Bei einer echten Änderung außerhalb von HTProtect listet die E-Mail die abweichenden Zeilen auf: was HTProtect erwartet hat und fehlt, und was zusätzlich da ist. Damit siehst du sofort, ob es eine harmlose Anpassung war oder etwas Eingeschleustes, ohne die Dateien selbst vergleichen zu müssen.

• „Schutzschild heilen" legt eine fehlende Schutzdatei jetzt neu an. Ist sie ganz weg - versehentlich gelöscht, umbenannt oder von einem Angriff entfernt -, holt „Schutzschild heilen" den Schutz zurück, für eine Website oder gleich für viele. Bisher wurde nur eine vorhandene, veränderte Datei aufgefrischt. Klappt es nicht, etwa bei extern verwalteter Konfiguration oder auf Servern, die ohne diese Datei arbeiten, nennt das Dashboard jetzt den Grund.
• Backup zurückspielen, jetzt mit Wahl. „Überschreiben" lässt vorhandene und neuere Dateien stehen, wie bisher. „Komplett-Restore" bringt Webspace und Datenbank auf genau den Stand des Backups und entfernt alles später Hinzugekommene - auch von einem Angriff eingeschleuste Dateien und Tabellen. Nach einem Vorfall hast du damit sofort wieder eine saubere Website. HTProtect selbst, seine Backups und sein Datenordner bleiben immer erhalten, ebenso Tabellen, die du bewusst vom Backup ausgenommen hast. Vorausgewählt ist „Überschreiben"; „Komplett-Restore" musst du bewusst wählen und wirst deutlich gewarnt. Vor jedem Zurückspielen wird wie immer automatisch ein Backup des aktuellen Standes angelegt.
• Kürzeres Freischalt-Fenster. Die Datei- und Datenbankverwaltung ist jetzt eine Stunde lang freigeschaltet statt sechs. Erneut freischalten ist ein Klick.

• Freischalten geht schneller, das Zeitfenster ist berechenbar. Die Datei- und Datenbankverwaltung wird jetzt für eine feste Zeit freigeschaltet, statt sich bei jeder Nutzung weiter zu verlängern - sie schaltet sich also verlässlich wieder ab. Die zusätzliche Passwort- oder Passkey-Abfrage beim Freischalten entfällt. Der Schutz bleibt hoch: Jede Aktion ist mit dem Geräteschlüssel signiert und Ende-zu-Ende-verschlüsselt, und die Verwaltung ist weiterhin standardmäßig aus.
• Datenbank-Export und -Import laufen komprimiert. Als .sql.gz sind die Dateien deutlich kleiner, entsprechend mehr Daten passen in einen Export. Unkomprimiert geht weiterhin.

Datei- und Datenbankverwaltung direkt aus dem Dashboard - Ende-zu-Ende-verschlüsselt, ohne Backend-Login und ohne zusätzliches Werkzeug auf der Website.

• Dateien und Datenbank aus dem Dashboard verwalten. Im Dateimanager kannst du durchsuchen, ansehen, bearbeiten, hochladen, umbenennen, verschieben, kopieren und löschen, auch mehreres auf einmal; HTProtects eigener Programmordner und sensible Dateien bleiben geschützt. Die Datenbankverwaltung öffnet im Vollbild: Tabellen ansehen und bearbeiten, Struktur einsehen, SQL ausführen, als SQL oder CSV exportieren, importieren und über alle Tabellen suchen. Sie nutzt die Datenbank, mit der die Website ohnehin verbunden ist - separate Zugangsdaten brauchst du nicht.
• Standardmäßig aus, und nur befristet an. Die Verwaltung bleibt ausgeschaltet, bis du sie je Website freischaltest, mit Bestätigung deiner Identität davor. Ein sichtbarer Countdown zeigt, wann sie sich von selbst wieder abschaltet.
• Kleinigkeiten. In Joomlas globaler Konfiguration steht am Feld „Website offline" jetzt ein Hinweis: Dieser Offline-Modus hält keinen Angreifer auf, dafür gibt es den Notfallmodus von HTProtect. Und im Selbsttest wurden unter „Welche Prüfungen?" Umlaute teilweise als Platzhalter angezeigt; das ist behoben.

Joomla-3-Websites werden jetzt automatisch gegen die aktuellen JoomShaper-Lücken abgesichert, und der Schutz-Feed wurde breit erweitert.

• Joomla 3: Helix Ultimate und Helix3 werden automatisch abgesichert. Joomla 3 ist abgekündigt und JoomShaper hat den Support eingestellt - aber eigene, kostenlose Sicherheitspakete veröffentlicht. Genau diese offiziellen Pakete spielt HTProtect jetzt selbst ein: Jedes wird vorher gegen eine hinterlegte Prüfsumme geprüft, der betroffene Bereich wird gesichert, und schlägt etwas fehl, wird zurückgerollt. Das läuft im Rahmen der automatischen Sicherheitsupdates; sind die bewusst aus, löst du den Patch pro Website mit einem Klick im Dashboard aus. SP Page Builder ist bewusst nicht dabei: Die vieldiskutierte Upload-Lücke betrifft die Joomla-3-Fassung laut Hersteller gar nicht.
• Nach einem Helix-Update repariert HTProtect die Vorlage selbst. So ein Update kann die aktive Vorlage zurücksetzen - Kopfbereich, Logo und Mega-Menü verschwinden, der eigene Stil wird nicht mehr geladen. HTProtect erkennt das, stellt die Einstellungen wieder her und frischt den Stil-Zwischenspeicher auf; eigene Anpassungen bleiben erhalten. Und eine Joomla-3-Website mit dem offiziellen Patch gilt im Sicherheits-Radar jetzt als abgesichert, statt dauerhaft gewarnt zu werden.
• Schutz-Feed erweitert. Neu dabei: miniOrange OAuth und SAML, DPCalendar und Helix Ultimate. Dazu nachgezogene Versionsbereiche bei Erweiterungen, vor denen HTProtect schon warnt, etwa Sourcerer bis Version 16. Wo es zuverlässig geht, kommt zur Warnung Firewall-Schutz dazu.

Joomla mit getrenntem öffentlichem Ordner wird jetzt vollständig unterstützt, und der Admin-Bereich lässt sich wahlweise über einen geheimen Zugangs-String schützen statt über ein zweites Passwort.

• Joomla im Public-Folder-Modus wird vollständig unterstützt. Wer Joomla in dieser Betriebsart nutzt, bekommt jetzt alles wie gewohnt: Kern-Abgleich, Malware-Scan, Backups, automatische Updates, Backend-Schutz und die Echtzeit-Überwachung greifen genauso zuverlässig wie bei einer klassischen Installation. An normalen Installationen ändert sich dadurch nichts.
• Neu beim Backend-Schutz: ein geheimer Zugangs-String statt eines zweiten Passworts. Der Admin-Bereich lässt sich jetzt auch über eine frei wählbare, geheime Adresse freischalten: Wer sie kennt, meldet sich ganz normal an, für alle anderen ist der Login-Bereich schlicht nicht vorhanden. In Sekunden eingerichtet - im Backend, im Dashboard einzeln oder für viele Websites auf einmal - und jederzeit umschalt- oder abschaltbar. Wie beim Passwortschutz kommt danach eine Bestätigungs-Mail mit einem Notfall-Link, mit dem du den Schutz wieder abschalten kannst, falls du den String vergisst. Das 1-Klick-Login aus dem Dashboard funktioniert damit nahtlos.
• Kern-Abgleich: Patches vom Hoster als gewollt markieren. Manche Hoster spielen eigene Sicherheits-Patches direkt in Joomla-Kerndateien ein. Solche Änderungen kannst du jetzt als akzeptiert markieren, dann meldet der Abgleich sie nicht mehr als Abweichung. Ändert sich die Datei später erneut, taucht sie automatisch wieder auf - die Ausnahme gilt genau für diesen einen Inhalt.
• Kleinigkeiten. Liegen viele Websites auf demselben Server, laufen große Kern-Updates jetzt nacheinander statt alle gleichzeitig, damit der Server nicht überlastet wird; die Übersicht zeigt dabei, welche Website gerade wartet. Zugangs-Strings liegen im Dashboard verschlüsselt. Dazu zahlreiche kleinere Härtungen rund um den öffentlichen Ordner und den neuen Zugangs-String.

• Sicherheitsupdates für gebündelte Erweiterungen laufen wieder automatisch. Manche Erweiterungen kommen als Paket, also als Bündel mehrerer Bestandteile - eine Komponente samt ihrer Plugins etwa, wie bei JCE, Balbooa oder Sprachpaketen. Joomla merkt sich intern, welche Teile zusammengehören, und diese Zuordnung kann durcheinandergeraten. HTProtect erkannte ein fälliges Sicherheitsupdate dann zwar weiterhin, spielte es aber nicht mehr von selbst ein. Jetzt erkennt es am Hersteller, dass die Teile zusammengehören, und installiert wieder automatisch - der Zusatzweg greift nur dort, wo die interne Zuordnung wirklich fehlt. Websites, auf denen deshalb ein Update liegengeblieben ist, holen es von allein nach.

Erweiterte Erkennung eingeschleuster Administrator-Konten, Kern-Updates jetzt auch für Joomla-3-Websites, und frische Schutz-Warnungen erreichen die Website sofort.

• Neu erkannt: eingeschleuste Administrator-Konten mit der Adresse joomla@test.com. Bei einer verbreiteten Angriffswelle legen Angreifer auf gekaperten Websites ein Admin-Konto mit genau dieser E-Mail-Adresse an. HTProtect weist so ein Konto jetzt in der Konten-Überwachung als eingeschleust aus und legt es bei Bedarf automatisch still - immer umkehrbar, nie den letzten verbleibenden oder den gerade angemeldeten Administrator, jederzeit per „Bestätigen" wieder freizugeben. Bewusst eng auf genau diese Adresse gefasst, damit es keine Fehlalarme gibt.
• Kern-Updates jetzt auch für Joomla 3. Joomla 3 bekommt offiziell keine Updates mehr, die Community-Distribution „JoomlaWorks Joomla 3.x" versorgt Joomla 3.10+ aber weiter mit Sicherheits-Updates. Ist diese oder eine eigene Update-Quelle in Joomla eingetragen, aktualisiert HTProtect den Joomla-3-Kern jetzt genauso wie bei Joomla 5/6: robust, wiederaufsetzend, einzeln oder für die ganze Flotte, ohne Backend-Anmeldung - nur innerhalb derselben Hauptversion. In der Übersicht lässt sich der Update-Server für alle Joomla-3-Websites auf einen Schlag setzen. Auch der Kern-Abgleich unterstützt Joomla 3 jetzt, ohne Fehlalarme.
• Frische Schutz-Warnungen wirken sofort. Bisher wurde der Schutz-Feed alle sechs Stunden abgeglichen. Beim manuellen „Status aktualisieren" - einzeln oder für die ganze Flotte - und nach jedem Selbst-Update von HTProtect wird er jetzt zusätzlich sofort neu geladen. Neu veröffentlichte oder korrigierte Warnungen wirken damit umgehend statt erst im nächsten Zeitfenster. Der automatische Abgleich alle sechs Stunden bleibt daneben bestehen.
• Neue Warnungen im Schutz-Feed. HTProtect warnt jetzt zusätzlich vor Sicherheitslücken in JEM (Joomla Event Manager), JoomGallery und J2Store/J2Commerce und weist bei Fabrik auf das richtige Update hin - jeweils mit klarer Empfehlung. Diese Warnungen kommen über den Feed und erreichen dich unabhängig von deiner Version.

• Gridbox lädt wieder Bilder - und der Backend-Schutz lässt sich nach einem Umzug wieder einrichten. Im Baukasten Gridbox von Balbooa blockierte eine Schutzregel fälschlich bestimmte Bild-Adressen: Bilder fehlten, Änderungen ließen sich nicht speichern. Echte Bilder kommen jetzt immer durch, blockiert bleiben nur Nicht-Bilder und echte Angriffsmuster. Ebenfalls behoben: Nach einem Server-Umzug oder einem zurückgespielten Backup ließ sich der Passwortschutz für den Administrationsbereich manchmal nicht neu einrichten - HTProtect ermittelt den richtigen Ort jetzt selbst. Standard-Installationen waren nie betroffen.
• Automatischer Vorab-Fix für einen Joomla-Fehler im Template-Manager. Ein offizieller Joomla-Sicherheitspatch hat in Joomla 5.4.8 und 6.1.3 den Template-Manager beschädigt - Overrides anlegen, Ordner verwalten und Dateien hochladen ging nicht mehr. Joomla behebt das erst mit der nächsten Version; bis dahin spielt HTProtect die Korrektur selbst ein: nur auf genau diesen beiden Versionen, einmalig, umkehrbar und im Aktivitätsprotokoll vermerkt.
• Neue Warnungen zu YOOtheme Pro, Zoo und Convert Forms. Bei YOOtheme Pro kann bereits ein normaler Redakteur die Datenbank angreifen, beim Content-Baukasten Zoo lässt sich über Formularfelder ganz ohne Anmeldung Schadcode einschleusen, und bei Convert Forms konnten Unbefugte ohne Anmeldung die Einträge eines Formulars auslesen. Betroffene Websites sehen im Dashboard die Empfehlung, auf die korrigierte Version zu aktualisieren.
• Kleinigkeiten. Die Meldung „Schutz-Regelwerk veraltet" erschien auch kurz nach einem Update, obwohl sich das von selbst erledigt - sie kommt jetzt nur noch bei echtem Handlungsbedarf. Und ein sauberes Selbst-Update von HTProtect wird gleich beim ersten Versuch übernommen; ein wirklich fehlerhaftes wird weiterhin zurückgerollt.

• Joomla-Kern-Updates laufen in mehr Fällen durch. Die Upload-Ordner-Härtung schützt jetzt garantiert nur echte Upload-Ordner und nie ein Programm-Verzeichnis wie den Administrationsbereich - ein solcher Eintrag konnte ein Kern-Update mit „Zugriff verweigert" blockieren. Der Standard war nie betroffen. Nimmst du einen Ordner aus der Härtungsliste, verschwindet jetzt auch seine Schutzdatei, und eine fehlplatzierte räumt HTProtect von selbst weg. Die Kern-Update-Werkzeuge von BackupMonkey und RemoteMonkey laufen ohne jede Einstellung durch.
• Neu über den Live-Feed, ohne Update sofort aktiv. Die Firewall fängt ab sofort drei Angriffswege ab: eingeschleusten PHP-Code in Balbooa Forms (CVE-2026-67364, Höchstwertung 10.0, betroffen bis 2.4.3.1), das Löschen beliebiger Dateien in J-Business Directory von CMS Junkie (CVE-2026-75949, betroffen bis 6.2.2) und hochgeladene Web-Shells in Zoo von YOOtheme (betroffen bis 4.1.63). Neu als Warnung dazu: Cross-Site-Scripting in Phoca Cart (bis 6.1.7) und Phoca Download (bis 6.1.4). Vollständig geschlossen sind alle fünf erst mit den Updates auf Balbooa Forms 2.4.3.2, J-Business Directory 6.2.3, ZOO 4.1.64, Phoca Cart 6.1.8 und Phoca Download 6.1.5. Alles kommt beim nächsten stillen Selbst-Abgleich von allein auf deine Websites; zu tun ist nichts.

• Flottenweite Inhaltssuche. Durchsuche vom Dashboard aus die Inhalte ausgewählter Websites - Beiträge, Module, Eigene Felder - nach einem Wort oder Muster. Mit {source} findest du zum Beispiel, auf welchen Websites der Sourcerer-Baustein steckt. Ausführbarer Code in Inhalten wird hervorgehoben und zuerst gezeigt. Die Suche liest nur und ändert nichts.
• Kern-Updates brechen nicht mehr ab, wenn der Administrationsbereich zusätzlich mit einem Passwort geschützt ist. Das passierte bisher kurz nach dem Start. Die neuen Dateien werden jetzt außerdem in kleinen, fortsetzbaren Schritten übernommen.
• Kleinigkeit. Beim Massen-Kern-Update im Dashboard bleibt je Website die Meldung stehen - aktualisiert, läuft oder fehlgeschlagen -, auch wenn der Fortschrittsbalken verschwindet.

• Getarnte Spam-Seiten in einzelnen Sprachbereichen werden jetzt gefunden. Angreifer schmuggeln solche Seiten gern in einen einzelnen Sprachbereich einer mehrsprachigen Website, wo sie kaum auffallen. HTProtect prüft jetzt jede aktive Sprache statt nur der Startseite, erkennt Seiten, die sich als deine ausgeben, ihre Suchmaschinen-Signale aber heimlich auf eine fremde Adresse umleiten, und findet untergeschobene Dateien in einem Sprachbereich - laufend und beim Datei-Scan, jeweils auf Fehlalarm-Freiheit ausgelegt. Die Einfallstore blockt die Firewall ohnehin schon; das hier greift, falls doch etwas durchrutscht.
• Neu über den Live-Feed, ohne Update sofort aktiv. HTProtect blockt zwei weitere Lücken, die sich ohne Anmeldung ausnutzen lassen: im Kalender von iCagenda (CVE-2026-67365) und beim Dateizugriff von Cotton Cloud (CVE-2026-67283). Zusätzlich warnt HTProtect vor einer kritischen Lücke in Sourcerer von Regular Labs (Schweregrad 10 von 10, CVE-2026-74253) - betroffen sind alle Versionen bis 13.1.1, sicher bist du ab 14.0.0.
• Wichtig für Fabrik. Die Zwischenversionen 4.6.7 und 4.6.8 beheben die kritische Lücke aus 2.6.7 nicht - aktualisiere auf 4.7.0. Den Angriff selbst blockt HTProtect ohnehin bereits. Außerdem sind die Hinweistexte zu Sicherheitslücken jetzt kürzer und verständlicher.

• Sofortschutz gegen eine kritische Lücke in Phoca Cart. Über den Produktfilter des Shops konnten Angreifer ohne Anmeldung die Datenbank auslesen (CVE-2026-74251, Schweregrad 9.3 von 10). HTProtects Firewall blockt solche Angriffe bereits - die Regel kam automatisch über den Live-Feed, ohne Update oder Einrichtung. Betroffen sind die Versionen bis 6.1.6; für den vollen Schutz aktualisiere auf Phoca Cart 5.2.4 oder 6.1.7.
• Wartungsseite frei gestaltbar, auch mit Bildern. Text und Überschriften bearbeitest du im gewohnten Editor, eingefügte Bilder erscheinen auch bei gesperrter Seite. Anpassen kannst du sie schon vor dem Sperren. Sie setzt sich jetzt auch neben eigenen Server-Regeln zuverlässig durch, und der Hinweis „Notfall-Modus aktiv" erscheint verlässlich - gleich, ob du im Backend oder im Dashboard startest.
• Außerdem: eine Rückfrage, bevor die automatische Überwachung abgeschaltet wird, ein Direktlink zum Notfall-Modus auf der Übersicht, spürbar weniger Nachfragen beim Dashboard im Leerlauf und eine verbesserte Erkennung von Schadcode.

• Keine verwirrenden „aktualisiert"-Masseneinträge mehr im Joomla-Protokoll. Nach automatischen Updates konnten dort viele namenlose Einträge auftauchen. Ursache lag außerhalb von HTProtect: Manche Erweiterungen bauen beim Installieren Joomlas Update-Quellen neu auf, und Joomla schreibt dabei je Erweiterung einen Eintrag. HTProtect schaltet dieses Mitschreiben während der Installation im Hintergrund jetzt ab. Kein Sicherheitsvorfall - die Einträge waren nur irreführend, nicht schädlich.
• Sprachpakete bleiben wieder von selbst aktuell. Sie werden jetzt zuverlässig mit dem Selbst-Update von HTProtect auf Stand gehalten.

• Fernsteuern vom Dashboard wieder verlässlich. Notfall-Modus, Fehleranzeige und Abwärtskompatibilitäts-Plugin kamen beim schnellen Umschalten manchmal verzögert oder gar nicht an - jetzt wirkt es binnen Sekunden, und Dashboard wie Website zeigen den echten Stand. Beim Notfall-Modus erscheint der geheime Zugangs-Link wieder sofort, kommt per Mail, und „Beenden" gibt die Website zuverlässig frei.
• Außerdem: Die Konto-Bearbeitung nach dem 1-Klick-Login öffnet wieder zuverlässig, und zusätzliche Backend-Sprachpakete aktualisieren sich automatisch mit.

Der Notfall-Modus - die ganze Website vorübergehend sperren - ist neu gebaut: ein eigenständiges Werkzeug, ein Klick, und du kommst trotzdem jederzeit rein.

• Ein Klick, unabhängig vom Backend-Schutz. Bisher ging das Sperren nur zusammen mit dem Passwortschutz fürs Backend. Jetzt sperrst du die Seite eigenständig - an deinem Backend-Schutz ändert sich nichts.
• Du sperrst dich nicht aus. Statt eines Passworts bekommst du einen geheimen Zugangs-Link: einmal aufrufen, und du bist wieder drin, bis du den Notfall-Modus beendest. Der Browser, mit dem du aktivierst, ist sofort freigeschaltet, den Link bekommst du zusätzlich per Mail und findest ihn im Dashboard - und mit einem Klick erzeugst du einen neuen, der alte gilt dann nicht mehr.
• Wartungsseite, die deinem Ranking nicht schadet. Besucher sehen eine schlichte Wartungsseite auf Deutsch oder Englisch, je nach Browser, samt dem korrekten Signal „nur vorübergehend" - deine Seiten bleiben im Google-Index. Sie erscheint sogar dann, wenn die Website selbst gerade nicht läuft. Überschrift und Text kannst du selbst anpassen.
• Erinnerung, damit du es nicht vergisst. Solange gesperrt ist, siehst nur du einen kleinen Hinweis mit „beenden"-Link - unten auf der Website und im HTProtect-Backend. Ein- und ausschalten kannst du auch aus dem Dashboard; das Beenden kommt selbst bei komplett gesperrter Seite zuverlässig durch.

HTProtect wacht jetzt über die Administrator-Zugänge deiner Websites: Untergeschobene Konten werden automatisch stillgelegt, dein eigener Zugang notfalls wiederhergestellt.

• Untergeschobene Administratoren werden stillgelegt. Legt ein Angriff sich einen eigenen Administrator an - über eine veraltete Erweiterung oder direkt in der Datenbank, an Joomla vorbei, oft mit unmöglichem Anlage-Datum wie „30.11.-0001" -, wird dieser Zugang deaktiviert und verliert seine Rechte. Gelöscht wird nichts, und war er doch berechtigt, gibst du ihn mit einem Klick wieder frei. Administratoren, die du selbst über Joomla anlegst, bleiben unberührt.
• Ausgesperrt wirst du nicht. Sperrt ein Angreifer dein eigenes Administrator-Konto aus oder entzieht ihm an Joomla vorbei die Rechte, holt HTProtect deinen Zugang von selbst zurück. Was du über Joomlas Benutzerverwaltung selbst änderst, bleibt unangetastet, der letzte aktive Administrator wird nie angefasst, und alles lässt sich rückgängig machen.
• Deutlich schneller. Ein fremder Zugang wird schon beim ersten Anmeldeversuch gestoppt und sonst beim nächsten Aufruf im Backend erkannt - statt erst nach einer Wartezeit. Das läuft im Hintergrund, ohne deine Website zu verlangsamen.
• Spam-Konten aufräumen mit Live-Fortschritt. Beim Entfernen vieler Spam-Konten siehst du jetzt, wie weit es ist. Auch auf sehr großen Websites läuft das sicher zu Ende: Stoppt der Hoster den Vorgang zwischendurch, macht HTProtect von selbst dort weiter, wo es aufgehört hat. Entfernte Konten bleiben über die Sicherungskopie wiederherstellbar.
• Außerdem: Löschst du ein stillgelegtes Konto selbst, erinnert HTProtect nicht weiter daran.

• Neuanmeldung. Zeigt je Website, ob sich die Benutzer-Registrierung gefahrlos zusperren lässt, schaltet sie ein und aus und räumt nach einer Spam-Flut die Karteileichen auf - nur nachweislich untätige Bot-Konten, mit Vorschau, Rückfrage und 30 Tagen zum Rückgängigmachen.
• Vom Hoster gesperrte Dateien. Macht Dateien sichtbar, die der Virenscanner deines Hosters nur gesperrt statt gelöscht hat, prüft sie und lässt sie löschen, bereinigen oder - bei einem Fehlalarm - mit einem Klick wieder freigeben.
• Außerdem: zuverlässigeres Selbst-Update, deutlich seltener fälschliche Rückrollungen nach Updates und ein klareres Werkzeug zur Fehlersuche.

• Schutz vor einer aktiv ausgenutzten Lücke in SP Page Builder. In den Versionen 6.0.0 bis 6.7.1 konnten Angreifer ohne Anmeldung Daten aus der Datenbank auslesen. HTProtect wehrt solche Zugriffe ab, bis der Hersteller seinen Patch nachliefert (angekündigt für 6.8.0).
• Du musst nichts tun. Der Schutz kommt still über das automatische Selbst-Update - kein Login, keine Einstellung. Die „Mehr laden"-Funktion betroffener Seiten arbeitet unverändert weiter, abgewiesen werden nur die Angriffsversuche.
• Neuer Schutz für Fabrik (CVE-2026-66915). In allen Versionen bis 4.6.8 konnten Angreifer ohne Anmeldung eigenen Programmcode auf dem Server ausführen - der höchste Schweregrad, 10 von 10. HTProtects mitlaufende Web-Firewall (WAF) blockiert diese Angriffe ab sofort: Sie holt sich neue Schutzregeln selbsttätig über ihren Live-Feed, ohne dass ein Update nötig wäre. Empfehlung trotzdem: Fabrik auf 4.7.0 aktualisieren.

Websites, die gar nicht mehr laden, lassen sich jetzt aus der Ferne wieder flottbekommen - und die zwei häufigsten Ausfall-Ursachen behebst du direkt aus dem Dashboard.

• Notfall-Fernrettung. Lädt eine Website überhaupt nicht mehr, erreichst du sie jetzt trotzdem - über einen streng abgesicherten Notfall-Zugang.
• Zwei häufige Ausfall-Ursachen per Klick beheben, einzeln oder für viele Websites auf einmal: die Fehleranzeige einschalten, die die Ursache eines weißen Bildschirms sichtbar macht und sich nach 30 Minuten von selbst wieder abschaltet - und Joomlas Kompatibilitäts-Plugin wieder aktivieren, dessen Abschalten ältere Erweiterungen abstürzen lässt.
• Automatische Kern-Updates steuern jetzt Joomlas eigenes Bordmittel. Die Übersicht zeigt dadurch korrekt, wo der Kern automatisch aktualisiert wird. Am manuellen Kern-Update ändert sich nichts.
• Außerdem kleinere Korrekturen: offene Post-Install-Meldungen werden wieder erkannt und lassen sich ausblenden, und die Schutz-Ausnahmen greifen treffsicherer.

Vor allem Vorarbeit fürs Dashboard: Die Flotten-Übersicht erkennt jetzt zuverlässig, wenn eine Website neu gekoppelt werden muss, und bekommt neue Werkzeug-Ansichten. Dazu ein Schalter für automatische Joomla-Kern-Updates - und der Speicherfehler auf großen Websites ist strukturell behoben.

• Automatische Joomla-Kern-Updates ein- und ausschalten (ab Joomla 5.4). Im Dashboard siehst du auf einen Blick, wo sie aktiv sind, und schaltest sie einzeln oder für viele Websites auf einmal um. Zu der Ansicht kommst du über die Schaltfläche „Tools" in der Suchleiste.
• Speicherfehler auf großen Websites behoben. Große maschinell erzeugte Datenblöcke liegen jetzt außerhalb der auf 64 KB begrenzten Einstellungsspalte; dort bleibt nur die eigentliche Konfiguration. Die Meldung „Einstellungen konnten nicht gespeichert werden - Datenbank-Größenlimit erreicht" auf Websites mit vielen Erweiterungen gehört damit der Vergangenheit an. Die Umstellung läuft einmalig von selbst, mit Rückfall.
• Feinschliff bei Backend-Zugang und Schutzschild. Überspringst du den Backend-Passwortschutz bewusst, bleibt der Punkt im Selbst-Check zuverlässig grün - auch wenn sich die Website kurz nicht selbst erreichen kann; entfernst du den Schutz über das Dashboard, gilt er automatisch als übersprungen. Neu prüft der Schild nach dem Schreiben der .htaccess, ob der Administrator-Bereich noch erreichbar ist: sperrt ihn eine eigene Regel aus, rollt er automatisch zurück und benennt die Ursache.
• Die Übersicht erkennt jetzt, wenn eine Website neu gekoppelt werden muss. Bei jedem ohnehin stattfindenden Statuskontakt meldet HTProtect eine kurze Prüfsumme des Steuerungs-Schlüssels, dem die Website vertraut. Weicht sie vom Schlüssel des Arbeitsbereichs ab - etwa nach einem Zurücksetzen oder einer verlorenen Verbindung -, weist das Dashboard deutlich darauf hin, ganz ohne zusätzliche Anfragen. Übertragen wird nur die Prüfsumme des öffentlichen Schlüssels, nie ein Geheimnis.
• Datensparsame Zustandsdaten für neue Dashboard-Ansichten. HTProtect meldet je Website ein kompaktes Bündel - Backend-Passwortschutz, Hosting-Server, Schreibrechte, Fehleranzeige, offene Post-Install-Meldungen, E-Mail-Versand und bei Joomla 6 die Modul-Versionierung. Pro Statuskontakt geht nur eine Prüfsumme raus, die vollen Angaben nur bei echter Änderung; der E-Mail-Zustand stammt aus einem täglichen Verbindungstest, ohne je eine Mail zu verschicken. Dazu zwei sichere Sammel-Aktionen: offene Post-Install-Meldungen ausblenden und (nur Joomla 6) die Modul-Versionierung einschalten.

• HTProtect spricht jetzt viele Sprachen. Das Backend gab es bisher nur auf Deutsch und Englisch - jetzt stehen 27 Sprachpakete bereit. Läuft dein Joomla in einer anderen Sprache, bietet HTProtect im Überblick mit einem Klick das passende Paket an; geladen wird es signiert und vor der Installation geprüft. Regionale Varianten wie österreichisches Deutsch oder mexikanisches Spanisch nutzen automatisch das richtige Paket, und den Hinweis kannst du je Sprache ausblenden.

• Behoben: Fehlalarm „Datei verändert“ bei der zentralen Schutzdatei. Rund um HTProtects eigenes automatisches Update konnte fälschlich gemeldet werden, die zentrale Schutzdatei sei von außen verändert worden - obwohl niemand etwas geändert hatte (im Backend, je nach Einstellung auch per E-Mail). Ursache war ein kurzes Zeitfenster während des Selbst-Updates. Das ist jetzt behoben; bereits betroffene Websites beruhigen sich von selbst, und echte Fremdänderungen werden weiterhin zuverlässig erkannt und gemeldet. (Über das Forum gemeldet - danke dafür.)
• Beim Update sind alle Bausteine sofort aktuell. Bei einem Update bringt HTProtect jetzt alle mitgelieferten Hintergrund-Bausteine unmittelbar auf den neuen Stand - besonders praktisch, wenn man viele Websites betreut und nicht jede einzeln im Backend öffnet.

Vor allem für Flottenbetreiber: Masseninstallation in einem Rutsch, Backend-Passwortschutz für viele Websites auf einmal, klarer aufgezeigte Schadcode-Funde und ein Absichern, das Menüs und Design heil lässt.

• Masseninstallation in einem Rutsch. HTProtect lässt sich auf viele Websites gleichzeitig ausrollen - jede nimmt sich beim Installieren automatisch selbst ins Dashboard auf, ohne einzelne Kopplung und ohne ein Backend zu öffnen (auch über bereits verbundene Installationen hinweg).
• Backend-Passwortschutz für die ganze Flotte auf einmal. Die zusätzliche Passwortabfrage vor dem Admin-Login richtest du jetzt direkt aus dem Dashboard für viele Websites gleichzeitig ein oder entfernst sie - auf Wunsch je Website ein eigenes Passwort, Ende-zu-Ende verschlüsselt und aussperr-sicher (vorher getestet, bei Fehlschlag automatisch zurückgenommen).
• Eingeschleuster Schadcode klarer aufgezeigt. Verstecktes JavaScript in Baukasten-/Template-Optionen (z. B. YOOtheme) zeigt HTProtect jetzt genau an der Fundstelle und verständlich benannt (z. B. „Externes Script“) - mit weniger Fehlalarmen; selbst eingebaute Scripts markierst du mit einem Klick als unbedenklich.
• Menü und Design bleiben beim Absichern heil. Manche Menüs/Templates (z. B. MaxiMenu CK) bauen ihr Aussehen über kleine PHP-Dateien; HTProtect erkennt sie beim Absichern jetzt automatisch und gibt nur die unbedenklichen frei - das Layout zerfällt nicht mehr, der Schutz gegen echte Schaddateien bleibt scharf.

Ganz neu: die KI-Steuerung. Du kannst deinen KI-Assistenten - Claude oder ChatGPT - mit HTProtect verbinden und ihn in ganz normaler Sprache nach dem Sicherheitsstatus deiner kompletten Joomla-Flotte fragen. Wo du es erlaubst, hilft er sogar bei der Inhaltspflege. Die Kontrolle bleibt dabei jederzeit bei dir.

• KI-Assistent verbinden und einfach fragen. Verbinde Claude oder ChatGPT mit HTProtect und frage in normaler Sprache den Sicherheitsstatus deiner ganzen Joomla-Flotte ab - und lass ihn, wo du es erlaubst, bei der Inhaltspflege helfen.
• Verbinden mit einem Klick. Du trägst nur eine Adresse in Claude oder ChatGPT ein und bestätigst per Klick - kein Passwort, kein Schlüssel zum Kopieren.
• Du behältst die volle Kontrolle. Standard ist nur Lesen; Schreiben gibst du je Website einzeln frei, und die höhere Stufe (Erweiterungen verwalten) nur auf ausdrücklichen Wunsch je Website und zeitlich befristet.
• Sicher aufgebaut - und jederzeit sperrbar. Die Website vergibt immer nur einen eng begrenzten Dienst-Zugang, nie Super-User-Rechte - eine komplette Übernahme ist damit ausgeschlossen. Freigeschaltet wird nur durch dich (kryptografisch in deinem Browser, der Server sieht nie Zugangsdaten), und du sperrst den Zugriff jederzeit mit einem Klick komplett. Voraussetzung: Joomla 4 oder neuer.

Großes Update rund um automatische Updates und die neue Fernverwaltung: Auf dashboard-verbundenen Websites greifen Sicherheitsupdates jetzt zuverlässig, Fehlschläge werden ehrlich gemeldet, und große Versionssprünge werden nur noch gemacht, wenn sie die Lücke wirklich schließen.

• Sicherheitsupdates greifen auf verbundenen Websites jetzt zuverlässig. Bei mit dem Dashboard verbundenen Websites aktualisiert HTProtect angreifbare Erweiterungen automatisch - auch wenn der lokale Auto-Update-Schalter aus ist (nur Sicherheitsupdates).
• Ehrliche Fehlermeldung bei Updates. Ein fehlgeschlagenes Update wird jetzt klar als Fehlschlag mit Grund gemeldet - kein irreführendes „läuft im Hintergrund weiter“ mehr.
• Große Sicherheitsupdates abgesichert. Ein großer Versionssprung wird nur noch erzwungen, wenn er die Lücke wirklich schließt - kein riskanter Fehl-Sprung mehr, wenn die Schutzdaten kurz hinterherhängen.
• „Auto“-Auswahl aus dem Dashboard greift zuverlässig. Der dafür nötige Schalter wird jetzt mitgesetzt; weicht auf der Website etwas ab, erkennt das Dashboard es und setzt es per Klick durch.
• Neuer Menüpunkt „Fernverwaltung“. Die Kopplung mit dem Dashboard ist jetzt als eigener Komponenten-Menüpunkt erreichbar.
• Karenzzeit jetzt je Erweiterung. Die Wartezeit, bevor ein Update automatisch installiert wird, lässt sich über das Dashboard nun auch pro Erweiterung einstellen. Sicherheitsupdates laufen weiter sofort.

• 1-Klick-Login jetzt auch bei geheim geschütztem Backend. Ist das Backend durch ein geheimes Wort in der Adresse abgesichert (etwa mit Akeeba Admin Tools), klappt der 1-Klick-Login jetzt trotzdem - das Wort hinterlegst du einmalig im Dashboard, HTProtect hängt es beim Anmelden automatisch an und speichert es nicht. Behebt einen Verarbeitungsfehler aus 2.5.14.
• „Weitere Zugänge“ jetzt ausklappbar. Die zusätzlichen Backend-Zugänge (seit 2.5.14) liegen jetzt hinter einem Link neben „Zugangsdaten erneuern“ statt in eigener Box; mobil in eigener Zeile. Reine Optik.

Highlight: Du kannst den Joomla-Kern verbundener Websites jetzt aus der Ferne über das Dashboard aktualisieren - einzeln oder gleich mehrere. Dazu erreichen Sicherheitsbefunde das Dashboard in Sekunden (und werden dort konkret benannt), eine erweiterte Erkennung untergeschobener Admin-Konten, mehrere Backend-Passwort-Zugänge und schlankere Update-Sicherungen.

• Joomla-Kern aus der Ferne aktualisieren (Dashboard). Über das Dashboard aktualisierst du den Joomla-Kern verbundener Websites jetzt ohne Login vor Ort - einzeln oder mehrere auf einmal, mit Live-Fortschritt und optionalem Voll-Backup vorab. Bewusst konservativ: nur innerhalb derselben Hauptversion (z. B. 5.4 auf 5.4.7), kein Sprung auf die nächste Generation; schlägt etwas fehl, bleibt die alte Version unangetastet.
• Untergeschobene Admin-Konten der Gridbox-Kampagne: jetzt auch die fehlgeschlagenen. HTProtect erkennt die typischen Angreifer-Konten aus der Balbooa-Gridbox-Lücke jetzt unabhängig von ihrer Benutzergruppe - also auch die, deren Aufstieg zum Administrator nicht klappte und die bisher harmlos wirkten. Das Muster ist eng gefasst (keine Fehlalarme); HTProtect zeigt solche Konten nur an und löscht nie automatisch.
• Sicherheitsbefunde erreichen das Dashboard sofort - und werden konkret benannt. Eine neue oder behobene Bedrohung meldet HTProtect jetzt in Sekunden statt erst beim nächsten Abgleich (bis zu einer halben Stunde später); die Ampel schaltet sofort um. In der Flotten-Übersicht steht der Befund jetzt im Klartext an der Kachel (z. B. „Neues Admin-Konto“); übertragen werden nur Kategorie und Anzahl, nie Namen oder Pfade.
• Behoben: Normale Administratoren erscheinen in der Verbergen-Liste. Die seit 2.5.13 mögliche Liste „HTProtect vor einzelnen Nutzern verbergen“ zeigte bisher nur Super-User; normale Administratoren fehlten. Sie werden jetzt korrekt gelistet - Schutz und Standardeinstellung (nur Super-User) bleiben unverändert.
• Backend-Passwortschutz: mehrere Zugänge möglich. Die zusätzliche Passwortabfrage vor dem Backend ließ sich bisher nur mit einem Zugang einrichten; unter „Backend-Zugang“ legst du jetzt weitere an (z. B. je Mitarbeiter) und entfernst sie einzeln. Jeder neue Zugang wird vorab getestet, der letzte bleibt unlöschbar - aussperren kann sich niemand.
• Update-Sicherungen deutlich verschlankt. Die Rückroll-Sicherungen vor Auto-Updates bestehen jetzt aus je einer komprimierten Archivdatei statt zehntausender Kleindateien; HTProtect räumt alte automatisch auf und bereinigt den Altbestand einmalig. Reine Speicher-Verbesserung - das Zurückrollen bleibt voll funktionsfähig. (Aufgefallen im Forum - danke an webbie07.)
• Hilfe & Support verweist jetzt zuerst aufs Forum. Im Bereich „Hilfe & Support“ steht über dem Kontaktformular jetzt ein Hinweis auf das htprotect.app-Forum (dort die schnellste Hilfe); das Kontaktformular bleibt für persönliche Anliegen. Reiner Hinweis, keine Funktionsänderung.

Zwei greifbare Verbesserungen im Mittelpunkt: Deine Einstellungen bleiben jetzt zuverlässig erhalten (kein stilles Zurücksetzen mehr), und HTProtect lässt sich komplett vor normalen Administratoren verbergen. Dazu weniger Fehlalarme und etwas Feinschliff.

• Gespeicherte Einstellungen setzen sich nicht mehr von selbst zurück. In seltenen Fällen konnte HTProtect seine gespeicherte Konfiguration kurz nicht lesen (etwa bei einem Datenbank-Aussetzer während eines Updates) und fiel dann still auf die Werkseinstellungen zurück, die anschließend festgeschrieben wurden - es sah aus, als setzten sich Einstellungen nach einem Update von selbst zurück (oft: Auto-Updates wieder auf „an“). HTProtect unterscheidet jetzt „noch nichts gespeichert“ von „vorhandene Einstellungen gerade nicht lesbar“ und überschreibt im zweiten Fall nichts; deine Wahl bleibt erhalten, eine betroffene Website übernimmt beim nächsten Speichern wieder ihren Stand. (Aus dem Forum, mehrere Testseiten.)
• HTProtect lässt sich komplett auf Super-User beschränken. Ab dieser Version ist HTProtect standardmäßig nur noch für Super-User sichtbar und bedienbar - normale Administratoren sehen weder den Menüpunkt noch die Statuskachel. Unter „Backend-Zugang“ lässt sich das mit einem Klick auch für normale Administratoren freigeben; der Sichtbarkeits-Schalter selbst und die Dashboard-Kopplung bleiben aber immer den Super-Usern vorbehalten. Reine Sichtbarkeit - der Schutz läuft für die ganze Website unberührt weiter, und aussperren kann sich niemand.
• Schutzdatei holt neue Regeln jetzt zuverlässig nach. Neue Angriffsregeln griffen sofort über den Echtzeit-Wächter, die serverseitige Regeldatei zog aber nur bei größeren Änderungen nach und konnte sichtbar hinterherhinken; sie wird jetzt beim nächsten stillen Selbst-Abgleich sauber mit allen aktuellen Regeln neu geschrieben - ohne Fehlalarm. Der Schutz war durchgehend aktiv, neu ist nur, dass die Datei nicht mehr hinterherhinkt. (Aufgefallen im Forum, Dank an Tom.)
• Weniger Fehlalarme beim Malware-Scanner (harmlose Grafiken). Manche Erweiterungen legen kurz kleine Symbol-Grafiken im Zwischenspeicher ab, die HTProtect vorsichtshalber meldete. Der Scanner prüft jetzt, ob es wirklich nur eine reine Grafik ohne eingebetteten Code ist, und schlägt dann keinen Alarm mehr - als Grafik getarnte Schaddateien werden unverändert erkannt. (Über eine Schwarm-Meldung aufgefallen.)
• HTProtect ist keine abwählbare Zeile mehr in der Auto-Update-Liste. In der Liste „weitere Erweiterungen automatisch aktualisieren“ tauchte HTProtect selbst als ankreuzbare Zeile auf - überflüssig, denn dafür gibt es den eigenen Schalter „HTProtect selbst immer aktuell halten“. Statt des Ankreuzfelds steht dort jetzt nur eine feste Info-Zeile; was tatsächlich automatisch aktualisiert wird, ändert sich nicht.

Neuer Schutz gegen aktiv ausgenutzte Lücken in Balbooa Gridbox und Balbooa Forms, eine weitere Schwachstellen-Warnung und ein Dashboard, das Website-Umbenennungen automatisch nachzieht.

• Neuer Schutz gegen drei aktiv ausgenutzte Balbooa-Gridbox-Lücken. Auch die aktuelle Version 2.20.1 hat noch drei offene, derzeit ausgenutzte Frontend-Zugänge ohne Hersteller-Fix: ohne Anmeldung ein Konto bis hin zum Administrator anlegen, beliebige Dateien der Website auslesen (inklusive der zentralen Konfigurationsdatei mit den Zugangsdaten) oder eigene Dateien einschleusen. HTProtect fängt alle drei ab, ohne Legitimes zu stören (normale Bildanzeige und Bild-Editor bleiben nutzbar); einzeln abschaltbar. An Balbooa gemeldet.
• Neuer Schutz gegen eine kritische Fernausführungs-Lücke in Balbooa Forms. In allen Versionen bis 2.4.2.1 konnte ein Angreifer über ein Formular mit Unterschriftsfeld ohne Anmeldung beliebigen Code auf dem Server ausführen - höchste Schwere, aktiv ausgenutzt. HTProtect erkennt genau diesen Angriff im abgesendeten Formular und blockt ihn; normale Formulare bleiben unberührt. Empfehlung: auf 2.4.3 oder neuer aktualisieren.
• Website-Titel im Dashboard bleibt automatisch aktuell. Bisher übernahm HTProtect den im Dashboard angezeigten Namen nur einmalig beim Verbinden; wer ihn später in Joomla umbenannte, sah weiterhin den alten. Jetzt zieht das Dashboard eine Umbenennung automatisch nach - spätestens beim nächsten Statusabgleich oder sofort per „Status aktualisieren“.
• Neue Schwachstellen-Warnung: Aimy Captcha-Less Form Guard. Betroffen sind die Versionen 18.0 bis 20.0 (freie und PRO-Edition); eine Zwischenlösung gibt es nicht - nur das Update auf 20.1 hilft. HTProtect warnt betroffene Websites und verweist auf 20.1.

Zwei Verbesserungen: Das Exploit-Schild erkennt Angriffe jetzt reihenfolge-unabhängig, und das 1-Klick-Login sitzt auch nach längerer Pause zuverlässig beim ersten Versuch.

• Exploit-Schild: Angriffs-Erkennung jetzt reihenfolge-unabhängig. Manche Schutzregeln erkennen einen Angriff an mehreren Merkmalen in der Web-Adresse, die bisher in fester Reihenfolge stehen mussten - ein Angreifer hätte sie umsortieren und so an einer einzelnen Regel vorbeikommen können, während der Angriff identisch funktioniert. Jetzt greifen die Regeln unabhängig von der Reihenfolge (in beiden Schutzschichten, auch bei abgesendeten Formularen); die theoretische Umgehung ist geschlossen, Treffsicherheit und Fehlalarm-Freiheit bleiben unverändert. Dank an Tom aus dem Community-Forum für den Hinweis.
• 1-Klick-Login: auch nach längerer Pause zuverlässig beim ersten Versuch. War die vorige Joomla-Sitzung nach längerer Inaktivität abgelaufen, erschien beim Direkteinstieg aus dem Dashboard gelegentlich erst die Anmeldemaske, sodass ein zweiter Klick nötig war. Das ist an der Wurzel gelöst - der erste Klick sitzt jetzt zuverlässig, auch nach einer Pause, in jeder Joomla-Version.

Aufräumen: Auch HTProtects große Kern-Vergleichskopie liegt jetzt im zentralen Ordner - so genügt in anderen Backup-Tools weiterhin ein einziger Ausschluss.

• Alle großen HTProtect-Dateien jetzt an einem Ort. Auch die rund 30 MB große Vergleichskopie des Joomla-Kerns (dient dem Abgleich der Kern-Dateien) liegt jetzt im zentralen Ordner administrator/_htprotect_backups. So genügt in anderen Backup-Tools weiterhin ein einziger Ausschluss für alle großen HTProtect-Dateien; an Funktion und Prüfung ändert sich nichts, die Kopie wird bei Bedarf automatisch neu erzeugt.

Sicherheit und Backup: Ein Update wird nicht mehr fälschlich zurückgerollt (und Sicherungen bleiben schadcodefrei), dazu getrennte Zeitpläne für Voll- und Datenbank-Backup, durchgehende Fortschrittsanzeige und ein zentraler, geschützter Speicherort.

• Sicherheit: Ein automatisches Update wird nicht mehr fälschlich zurückgerollt - und Sicherungspakete bleiben frei von Schadcode. Lag schon vor einem Update fremder Schadcode in einem Erweiterungs-Ordner, machte HTProtect das (oft sicherheitskritische) Update bisher vorsorglich rückgängig; jetzt wird nur noch zurückgerollt, wenn das Update selbst etwas eingeschleust oder verändert hat - eine bereits vorhandene Infektion blockiert es nicht mehr (wird weiter vom Scan gemeldet), ein echt kompromittiertes Update wird weiterhin gestoppt. Zudem werden bekannte Schaddateien aus dem Rückroll-Paket ausgeschlossen, sodass es beim Zurückspielen nichts wieder einschleppt und keine Viren-Scanner-Fehlalarme mehr auslöst.
• Getrennte Zeitpläne für Voll- und Datenbank-Backup. Beide lassen sich jetzt unabhängig planen (eigener Rhythmus und eigene „Behalten“-Anzahl) und werden getrennt aufbewahrt - das eine verdrängt nie das andere. Das inkrementelle Datei-Backup entfällt; bestehende Zeitpläne bleiben gültig.
• Datenbank-Backup: durchgehende Fortschrittsanzeige, robuster und zuverlässiger. Bei sehr großen Datenbanken verschwand der Fortschrittsbalken zeitweise; jetzt läuft er durchgehend bis zum Ende (auch innerhalb riesiger Tabellen) und springt nicht mehr zurück. Die Sicherung arbeitet in kleinen Häppchen und bricht auch auf langsamen Servern nie mittendrin ab.
• Backup räumt zuverlässig auf und lässt fremde Backup-Archive draußen. Abgebrochene Sicherungs-Reste werden jetzt täglich aufgeräumt (auch ohne Backup-Zeitplan), ein laufendes Backup dabei nie angefasst. Außerdem werden die Ablagen anderer Backup-Tools (Akeeba, JoomlaPack, XCloner) ausgeschlossen, damit sie das Backup nicht aufblähen - normale .zip-Dateien landen wieder ganz normal im Backup.
• Alle großen Sicherungen an einem geschützten Ort. HTProtects große Sicherungen liegen jetzt gebündelt in einem klar benannten Ordner (administrator/_htprotect_backups) - so lässt er sich in anderen Backup-Tools mit einem Griff ausschließen. Der Ort ist mehrfach abgeschottet (ein direkter Web-Download ist ausgeschlossen); bestehende Sicherungen werden beim Update verlustsicher dorthin verschoben.
• Warnliste erweitert: SP Page Builder. Betroffene Websites werden jetzt vor zwei frisch veröffentlichten Lücken bis Version 6.7.0 gewarnt (u. a. Auslesen von Datenbank-Inhalten ohne Anmeldung). Empfehlung: auf 6.7.1 aktualisieren.
• Klareres Label: „Hostnamen vereinheitlichen (www-Redirect)“. Das Feld für die einheitliche www-Schreibweise trägt jetzt den Zusatz „(www-Redirect)“ - reine Beschriftung, Funktion unverändert.

Vier Verbesserungen - die wichtigste: Ein aktiv ausgenutzter HelixUltimate-Menü-Angriff, der heimlich einen versteckten Administrator anlegt, wird jetzt erkannt und ist per Klick entfernbar.

• Aktiv ausgenutzter HelixUltimate-Menü-Angriff wird jetzt erkannt - und ist per Klick entfernbar. Über die HelixUltimate-Lücke schleusen Angreifer in die Hauptmenü-Einstellungen ein verstecktes Skript ein, das eine offene Administrator-Sitzung kapert, um heimlich einen versteckten Super-Administrator anzulegen; bisher schlug die Übersicht nicht an, weil es kein klassisches Schadmuster trug und tief in einem Menü-Feld steckte. Jetzt wird es zuverlässig gemeldet und lässt sich gezielt entfernen (umkehrbares Backup) - ein bereits angelegtes Fremd-Konto meldet zusätzlich die Konten-Überwachung, legitime Menü-Einstellungen lösen weiterhin keinen Fehlalarm aus. Gemeldet aus dem Forum (Chris), an einer betroffenen Seite bestätigt.
• 1-Klick-Login greift jetzt zuverlässig beim ersten Versuch (Joomla 6). Auf Joomla 6 erschien beim direkten Einloggen aus dem Dashboard gelegentlich erst die Anmeldemaske, sodass ein zweiter Klick nötig war. Das ist behoben - der erste Klick sitzt jetzt zuverlässig, in jeder Joomla-Version.
• Sauberes Backend-Scan-Ergebnis erscheint sofort im Dashboard. Nach einem sauberen Scan im Joomla-Backend blieb die Malware-Kachel im Dashboard bisher auf dem alten Stand, bis man dort einen weiteren Scan startete. Jetzt zieht die Kachel sofort mit - übertragen werden nur Zeitpunkt und Trefferzahl (0 = sauber), nie Dateipfade.
• Voll-Backup-Downloads funktionieren jetzt auch in Safari. Der Download eines kompletten Website-Backups über das HTProtect.app-Dashboard startete in Safari bisher nicht; HTProtect fordert ihn jetzt über ein echtes Browser-Fenster an, sodass er dort genauso zuverlässig läuft wie in anderen Browsern. Am Backup selbst ändert sich nichts.

Speicher-Korrektur: HTProtects eigene Update-Sicherungen sind drastisch geschrumpft - und alter Ballast wird automatisch aufgeräumt.

• Update-Sicherungen von HTProtect selbst massiv verkleinert. In die Rückroll-Sicherung vor jeder Selbst-Aktualisierung geriet versehentlich der eigene Arbeits-Zwischenspeicher (vor allem eine rund 30 MB große Vergleichskopie des Joomla-Kerns), der dafür gar nicht gebraucht und bei Bedarf neu erzeugt wird. Er wird jetzt ausgenommen - eine Sicherung schrumpft so von rund 33 MB auf wenige MB, das Zurückrollen bleibt voll funktionsfähig. Gemeldet von einem Nutzer (Sicherung über 60 MB).
• Bereits angesammelter Sicherungs-Ballast wird automatisch aufgeräumt. Ältere, vor diesem Update entstandene Sicherungen enthalten den überflüssigen Zwischenspeicher noch; die tägliche Aufräum-Routine entfernt ihn jetzt nachträglich und gibt den Platz wieder frei - die Sicherungen selbst bleiben erhalten und voll restaurierbar.

Weniger Ballast, vollständige Speicherplatz-Analyse und eine neue Erkennung für getarnte Schadskripte in Templates.

• Eingeschleustes Schadskript in den Template-Einstellungen wird jetzt erkannt - und per Klick entfernbar. Eine verbreitete Masche versteckt in den Helix-Template-Optionen ein Skript, das getarnt Schadcode nachlädt und auf jeder Seite läuft; bisher schlug die Übersicht nicht an, weil das Sichtbare harmlos wirkte. Jetzt wird es zuverlässig gemeldet und lässt sich gezielt herausschneiden - übrige Einstellungen bleiben unberührt, mit umkehrbarem Backup; legitime Skripte lösen weiterhin keinen Fehlalarm aus. Gemeldet über eine betroffene Kundenseite.
• Die Speicherplatz-Analyse läuft jetzt immer vollständig durch - auch auf riesigen Seiten. Bisher brach sie nach kurzer Zeit ab und zeigte nur die größten Ordner, sodass ein großer Speicherfresser übersehen werden konnte. Jetzt vermisst sie alles in kleinen Häppchen bis zum Ende - mit Fortschrittsanzeige und ohne Abbruch, auch auf langsamen Servern.
• Alte Sprach-Zwischenspeicher werden automatisch aufgeräumt. Weil HTProtect sich mehrmals täglich aktualisiert, sammelten sich mit der Zeit viele veraltete Sprach-Zwischenspeicher an (normales Joomla-Verhalten, nur durch die häufigen Updates verstärkt). Die tägliche Aufräum-Routine behält jetzt je Sprache nur den aktuellen und löscht die alten - fremde bleiben unberührt.

Spürbar flotteres Dashboard, automatisches Aufräumen alter Sicherungen und eine vorbeugende Härtung gegen einen möglichen Speicherfehler.

• Die Speicherplatz-Analyse der Backups reagiert jetzt flott. Beim Aufschlüsseln des belegten Speichers Ordner für Ordner wurde bisher jedes Mal alles neu vermessen - auf großen Seiten zäh. Jetzt wird der Ordnerbaum einmal vermessen und jedes Aufklappen sofort aus diesem Ergebnis beantwortet; Größen bleiben exakt, und die Backup-Inhalte verlassen die Website nie.
• Dashboard-Aktionen werden jetzt sofort ausgeführt. Jede Aktion stößt die Website an, damit sie den Auftrag gleich erledigt statt bis zur nächsten Runde (bis zu 10 Minuten) zu warten. Eine kurze Sperre ließ bisher einen schnellen zweiten Klick „hängen“; sie ist nun so kurz, dass praktisch jede Aktion sofort läuft - Scans, 1-Klick-Login und Einstellungen inklusive.
• Alte Sicherungen und Protokolle werden automatisch aufgeräumt. Ein täglicher Aufräumer entfernt jetzt zurückgebliebene Update-Sicherungen (etwa von deinstallierten Erweiterungen oder abgebrochenen Läufen) und Editor-Rücksicherungen nach 30 Tagen und begrenzt interne Protokolle - das gibt belegten Speicher wieder frei. Meldung aus dem Forum.
• Möglicher „Datenbankfehler“ beim Speichern zusätzlich vorgebeugt. Der SEO-Wächter legt einen Vergleichs-Abzug der Startseite an; auf sehr textlastigen Seiten konnte dieser so groß werden, dass er - wie zuvor an anderer Stelle behoben - das Speichern der Einstellungen blockierte. Der Abzug ist jetzt deutlich kompakter (ohne die Erkennung spürbar zu schwächen); bestehende große Abzüge schrumpfen beim nächsten Lauf von selbst.

Behebt den „Datenbankfehler“ beim Speichern und sorgt dafür, dass sich Funde auch hinter strengen Hoster-Firewalls entfernen lassen.

• „Datenbankfehler“ beim Speichern behoben. HTProtects ständig wachsende Erkennungs-Signaturen füllten mit der Zeit den Speicher, den sie sich mit deinen Einstellungen teilten - danach scheiterte jedes weitere Speichern (z. B. einer eigenen Regel) mit „Datenbankfehler“. Die Signaturen liegen jetzt in einem eigenen, unbegrenzten und komprimierten Speicher; die Umstellung läuft automatisch beim ersten Aufruf nach dem Update.
• Klartext statt „Datenbankfehler“. Scheitert ein Speichern doch einmal, nennt HTProtect jetzt die tatsächliche Ursache statt einer pauschalen Meldung - und bricht sauber ab, bevor die Einstellungen beschädigt werden könnten.
• Löschen von Funden klappt jetzt auch bei aktiver Hoster-Firewall. Auf manchen Servern hielt die Server-Firewall das Entfernen einer gefundenen Schaddatei fälschlich für einen Angriff und blockte es („403“). HTProtect umgeht das jetzt zuverlässig - Löschen, das Freigeben von Fehlalarmen und die Vorschau funktionieren wieder, die Sicherheitsprüfung bleibt unverändert.

Auto-Update-Einstellungen lassen sich jetzt an beiden Stellen bearbeiten - im Dashboard und direkt im Joomla-Backend - und bleiben dauerhaft synchron.

• Auto-Update-Einstellungen jetzt an beiden Stellen bearbeitbar - und immer synchron. „Automatisch aktualisieren“ je Erweiterung lässt sich ab sofort sowohl im HTProtect.app-Dashboard als auch direkt im Joomla-Backend setzen; beide Ansichten bleiben dauerhaft gleich, und nichts setzt sich mehr unbemerkt zurück (die jeweils neueste Änderung gewinnt, im seltenen Gleichstand die direkt an der Website). Angreifbare Erweiterungen mit bekannter Lücke werden weiterhin immer automatisch aktualisiert - deine manuelle „Aus“-Wahl bleibt gespeichert und greift wieder, sobald die Lücke geschlossen ist.

Kleines Release mit Schwerpunkt auf behobenen Fehlalarmen und einer spürbar schnelleren Status-Rückmeldung im Dashboard.

• Schnellere Status-Rückmeldung. Wird eine Website vom Dashboard aktiv angestoßen - etwa nach dem Beheben eines roten oder gelben Hinweises -, meldet sie ihren Stand jetzt binnen Sekunden zurück, statt bis zu 30 Minuten aufs nächste Lebenszeichen zu warten.
• Keine Fremd-Scanner-Fehlalarme mehr durch Update-Sicherungen. Die Sicherung, die HTProtect vor einem Update für den Rückweg anlegt, enthält jetzt nur noch die nötigen Daten und wird kompakt abgelegt - fremde Malware-Scanner schlagen darauf nicht mehr fälschlich an. Das Zurückrollen bleibt voll funktionsfähig.
• Weniger Fehlalarm-Mails vom Schutzdatei-Wächter. Der Wächter übersieht jetzt seine eigenen, harmlosen Zeitstempel- und Versionsmarker - eingeschleuste bösartige Regeln erkennt er weiterhin sofort, eigene harmlose Änderungen lösen aber keine Warnung mehr aus.
• SEO-Wächter: Fehlalarm bei eingebettetem HTML behoben. Seiten mit eingebetteten HTML-Bausteinen (häufig bei Page-Buildern) werden nicht mehr fälschlich als manipuliert gewertet.
• Verständlicherer Hinweis auf das kostenlose Dashboard. Der Überblick-Hinweis stellt jetzt den Nutzen für jede einzelne Website in den Vordergrund - Sicherheitsstatus, Scans, 1-Klick-Login, Backups und Auto-Updates an einem Ort, auch vom Handy, kostenlos für bis zu 5 Websites. Ein dezenter Verweis steht nun auch im Hilfe-Center.

Kleines, gezieltes Folge-Release zu 2.5.0: Das Verbinden mit dem Dashboard klappt jetzt auch dort, wo es vorher am Server scheiterte, dazu mehr Sicherheit bei der Kopplung und weniger Fehlalarme.

• Dashboard-Verbindung trotz „Fehler 406“. Auf manchen Servern blockierte ein Schutzmodul das Koppeln, bevor HTProtect überhaupt lief. Die Ursache wurde entfernt - betroffene Websites lassen sich jetzt problemlos verbinden.
• Dashboard-Kopplung zusätzlich abgesichert. Das Kopplungsziel wird jetzt ausschließlich aus der fest hinterlegten, internen Adresse gelesen - die Fernverwaltung einer Website lässt sich so nicht auf einen fremden Server umbiegen.
• Fehlalarm nach automatischer Freigabe behoben. Nach dem automatischen Freischalten sicherer Inhalte meldete der Wächter seine eigene, legitime Änderung fälschlich als Fremdeingriff (samt Warn-Mail). Das passiert nicht mehr.
• Abgebrochener Malware-Scan meldet nicht mehr fälschlich „sauber“. Ein unterbrochener Scan wird nicht länger als Ergebnis mit null Funden gespeichert - eine womöglich befallene Website erscheint dadurch nicht mehr irrtümlich als sauber.
• Drei neue Warnungen im Live-Feed: Events Booking, DJ-Classifieds und Balbooa Gridbox (jeweils in älteren Versionen) - betroffene Websites werden gewarnt.

Die bisher größte Version: eigene Sicherungen — und ein zentrales Dashboard für alle deine Websites.

• Sicherungen direkt aus HTProtect. Voll- und Ergänzungs-Sicherungen nach deinem Zeitplan; der Download läuft direkt von deiner Website in deinen Browser, und vor dem Wiederherstellen wird der aktuelle Stand gesichert.
• Neu: alle Websites zentral im Blick — auf HTProtect.app. Freiwillig zuschaltbar: Update-Regeln für alle Seiten auf einmal und Anmeldung in die Joomla-Verwaltung per Klick. Die Kontrolle bleibt bei dir — jeder Befehl muss zusätzlich in deinem entsperrten Browser bestätigt werden.
• Alle Websites mit einem Klick auf Schadcode prüfen. Auf Wunsch automatisch nach Zeitplan — bei einem Fund geht sofort eine E-Mail an dich.
• Auch am Handy voll im Blick. Die Darstellung ist konsequent für kleine Bildschirme gebaut — volle Übersicht also auch unterwegs.
• Sicherheits-Ereignisse im Klartext. Meldungen stehen jetzt verständlich da statt als Kürzel — und eine gemeldete Konto-Änderung hakst du aus der Ferne als bekannt ab.
• Automatische Updates laufen jetzt auch auf Joomla 3.

• Bessere Versions-Erkennung. Sicherheitswarnungen erkennen jetzt auch Versionsangaben mit Zusätzen wie „Stable“ zuverlässig (u. a. relevant für die jDownloads-Lücke). Wartungs-Update.
• Neue Sicherheitswarnungen im Live-Feed: JoomCCK und ChronoForms — Bestandsinstallationen sehen sie sofort, ganz ohne Update. Die JoomCCK-Lücke wird zusätzlich per Schutzregel aktiv abgewehrt.

• Kein Fehlalarm mehr bei Imunify360. HTProtects Datei mit den Erkennungs-Signaturen enthält naturgemäß viele Schadcode-Muster — deshalb hielt der Server-Schutz Imunify360 (bei manchen Hostern aktiv) sie fälschlich für verdächtig. Sie wurde so überarbeitet, dass der Fehlalarm entfällt — kein grundloses Quarantäne-Risiko mehr.

• Schluss mit endlosen Update-Fehlversuchen. Lässt sich ein Update wiederholt nicht automatisch installieren — etwa eine kommerzielle Erweiterung, deren Download ohne gültigen Hersteller-Key kein Paket liefert —, versucht HTProtect es nicht mehr endlos im Stundentakt: Der Abstand wächst (1 h → 2 h → … → max. 12 h), und nach einem fairen Fenster steht das automatische Update neutral auf „Manuell erforderlich“ (der genaue Grund wird bewusst nicht behauptet). Keine zusätzliche Mail — eine neu angebotene Version oder ein Klick auf „Jetzt prüfen“ startet wieder frisch.
• Aufgeräumtes Aktivitätslog. Wiederholte identische „übersprungen“-Einträge werden zu einer Zeile mit Zähler verdichtet — die Historie bleibt übersichtlich statt von einem Dauer-Skip geflutet.
• Wichtig: Die Sicherheits-Warnung (rote Ampel + Erinnerung) und der Echtzeit-Schutz laufen davon unberührt weiter — nur das automatische Einspielen entfällt, die Lücke bleibt sichtbar und wird weiter blockiert. Update-Paket und Feed bleiben wie gewohnt kryptografisch signiert.

• Verwundbare Erweiterung: Warnung „Aufschieben“. Kannst du eine angreifbare Erweiterung nicht aktualisieren (verwaist, Breaking Changes, Lizenz), stellst du die Warnung jetzt pro Erweiterung mit einem Klick still — keine wiederkehrenden Mails, die Ampel wird nicht rot. Ehrlich bleibt es dennoch: blockt HTProtect den Angriff mit aktivem Schild bereits ab, ist die Zeile grün („aktiv geschützt“), bei echtem Restrisiko gelb — nie auf „alles grün“ geschönt. Läuft bei neuer Version, höherem Schweregrad oder einem neuen Sicherheitshinweis automatisch aus, jederzeit per „Wieder aktivieren“ rückgängig.
• Neue Sicherheitswarnung im Live-Feed: 4Analytics < 5.0.2 (kritisch, ohne Login ausnutzbar) — Bestandsinstallationen sehen die Warnung sofort, ganz ohne Update.

• Schutzschild hält sich selbst aktuell. Verbessert HTProtect sein .htaccess Schutz-Regelwerk, wird das Schild ab sofort automatisch neu angewendet — du musst nicht mehr auf jeder Seite von Hand „Jetzt absichern“ klicken, wenn die Ampel nach einem Update kurz orange wird. Alles vollautomatisch im Hintergrund, ganz ohne Backend-Login (praktisch, wenn du viele Seiten verwaltest).
• Sicher gelöst: mit Selbsttest und automatischer Rücknahme, falls etwas nicht passt — extern verwaltete oder selbst angepasste .htaccess bleiben unberührt. Der Schalter „Regelwerk automatisch aktuell halten“ sitzt im Schutzschild-Bereich (standardmäßig an, jederzeit abschaltbar).
• Neu: versteckter Schadcode in der Datenbank wird gefunden und entfernt. HTProtect durchsucht jetzt zwei bisher blinde Stellen: eingeschleustes JavaScript in Helix-Ultimate-Mega-Menüs und manipulierte SP-Page-Builder-Einträge. Funde lassen sich per Klick bereinigen — vorher wird immer eine Sicherung angelegt, legitime Inhalte bleiben unangetastet.

• Neu: Prüfung der Joomla-Kerndateien. Vergleicht deine Kerndateien mit dem Original, markiert veränderte Zeilen farbig und setzt sie per Klick zurück — Manipulationen sind schnell gefunden und behoben.
• Neuer Schutz vor der DPCalendar-Lücke. Über den Kalender konnten Fremde deine Datenbank auslesen — HTProtect blockt das jetzt automatisch und warnt bei einer verwundbaren Version.
• Hält sich ab Werk selbst aktuell. Neu installierte Kopien aktualisieren sich von allein — jederzeit mit einem Klick abschaltbar.
• Behoben: fehlendes Design auf manchen Servern. Eine problematische Einstellung wurde entfernt; betroffene Seiten laden wieder normal und reparieren sich von selbst.
• Dezente Einladung zu einer Bewertung im Joomla Extensions Directory — erst wenn sich der Schutz bewährt hat (grüne Ampel, frühestens nach 7 Tagen), nie bei einer offenen Warnung und jederzeit wegklickbar.

• Update-Quellen-Wächter: schaltet Joomla eine Update-Quelle nach einem kurzen Server-Hänger versehentlich ab, aktiviert HTProtect sie automatisch wieder — so gehen dir keine Update-Hinweise still verloren. Mit Ausnahmen-Dialog für Quellen, die bewusst in Ruhe bleiben sollen.

• Sicherheit: HTProtects eigene Update-Pakete sind jetzt kryptografisch signiert und werden VOR der Installation geprüft — ein manipuliertes Paket wird abgelehnt.
• Neu: einmalige Willkommens-Mail nach der Einrichtung; Backend-Passwortschutz per sicherem Mail-Link wiederherstellbar; große Versionssprünge (Major-Updates) auf Wunsch zurückhalten.
• Verbessert: Angriffs-Signaturen und die Liste verwundbarer Erweiterungen aktualisieren jetzt alle 3 Stunden (vorher 6) — neue Angriffswellen werden schneller geblockt.
• Galerie-Vorschaubilder funktionieren trotz Backend-Passwortschutz; klarere Texte und Anleitungen.

• Code-Aufräumarbeiten für die Konformität mit dem Joomla Extensions Directory — keine Änderung am Verhalten oder Schutz.

• Erkennt obfuskierte JavaScript-Malware, die in legitime Dateien eingeschleust wurde (z. B. die „jmtouch“-Kampagne) — zuverlässig und ohne Fehlalarme.

• Malware-Scanner findet jetzt auch leere „Sonden“-PHP-Dateien in /images und Backtick-Befehls-Shells; dazu ein paar Fehlalarm-Feinschliffe.

• Kein „Aktualisierung verfügbar“ mehr nach reinen Formatänderungen; dezenter Spenden-Hinweis auf der Hilfe-Seite; Dashboard-Kachel erscheint zuverlässig auf allen Joomla-5/6-Setups; kein Fehlalarm „Passwort geändert“ beim Login.

• Erkennt als Bilder getarnte PHP-Shells; der „Schutz nicht aktuell“-Hinweis erscheint nur noch bei echten Regeländerungen; einfacherer Ein-Knopf-Malware-Scan mit ehrlichem Fortschritt.

• Das PHP-Schild meldet nicht mehr fälschlich nicht vorhandene .php-Pfade; der Malware-Scanner läuft jetzt in fortsetzbaren Häppchen (keine Timeouts auf riesigen Seiten) mit Schnell-Rescans und Fortschrittsbalken.

• Erkennt den Token-Schutz von EasyCalcCheck Plus als gültigen Backend-Schutz (Ampel wird grün).

• Neuer Rogue-Admin-Check für die SP-Page-Builder-Kampagne (untergeschobene Super-User); neue Status-Kachel im Joomla-Home-Dashboard; behobene seltene Speicher-Race-Condition.

• Blockt den SP-Page-Builder-Zero-Day (unauthentifizierter Icon-Upload → Codeausführung) in Echtzeit — nur Gäste werden geblockt, eingeloggte Builder bleiben unberührt.

• iCagenda < 4.0.8 (unauthentifizierter Upload) in die Warnliste aufgenommen — Bestandsinstallationen sehen die Warnung über den Live-Feed, ganz ohne Update.

• Macht seine .htaccess-Dateien schreibgeschützt — blockt die häufige Masche, dass Malware sie umschreibt, ohne dich je auszusperren.

• Eine Weiterleitung, die AJAX-Kalender stören konnte, entfernt; der Malware-Scanner findet als Bilder getarnte PHP-Dateien webspace-weit.

• Akeeba Panopticon-Monitoring funktioniert ab Werk auf Joomla 3–6; der Scanner meldet .shtml-Includes und einen bekannten Backdoor-Dateinamen.

• Vertrauenswürdige Pfade wirken jetzt über alle Schutzebenen; der neu aufgebaute „URL-Test“ prüft eine ganze URL gegen jede Ebene und zeigt genau, was blockiert; neuer Einstiegspunkt-Integritäts-Wächter; deutlich mehr Malware-Erkennungen (weiterhin fehlalarmfrei); neue Super-User-Konten-Überwachung; Unterstützung für Joomlas public-Ordner (5.1+).

• Der Tiefen-Scan nach Schaddateien ist nun ein optionales (nur per Knopf startbares) Feature unter „Site-Scan“; gehackte JCE-Profile per Ein-Klick entfernbar.

• Eigene Whitelist pro Seite („Als sicher“) für den Malware-Scanner; der Blogvault/MalCare-Connector-Ordner wird von Scans ausgenommen.

• Neuer Tiefen-Scanner durchsucht den gesamten Webspace nach PHP-Schadcode — mit Inhalts-Vorschau und sicherem Ein-Klick-Löschen.

• Zuverlässige Erkennung des realen bösartigen .htaccess-Artefakts; die Übersicht lädt wieder schnell.

• Der Scan nach bösartigen .htaccess-Dateien läuft jetzt rekursiv über den ganzen Webspace, Aufräumen per Ein-Klick.

• Erkennt aktive Spuren des JCE-Hacks (öffentliches Upload-Profil) und die abgelegten bösartigen .htaccess-Dateien, per Klick entfernbar.

• Sicherheitsnetz gegen Weiterleitungs-Schleifen — rollt nach einer problematischen Regel automatisch zurück.

• Ruhiger „Vollständig abgesichert“-Erfolgszustand in der Übersicht statt eines dauernden „Jetzt absichern“-Buttons.

• Zeigt nach „Jetzt absichern“, welche eigenen .htaccess-Regeln nicht übernommen wurden — mit positionstreuer Ein-Klick-Übernahme; Joomlas SVG-Schutz bleibt erhalten.

• Joomla 5/6: leeren Werkzeugleisten-Balken entfernt; Umlaute im Seitentitel korrigiert.

• Die Joomla-Aktualitätsanzeige holt die neueste Version jetzt live aus der offiziellen Joomla-API — immer korrekt, kein Pflegeaufwand.

• Toolbar-Titel-Darstellung auf Joomla 3–6 korrigiert (Kurzform am Handy).

• UI-Politur über Joomla 2.5–6 (Light-Mode auf altem Joomla, dynamisch in 5/6); gestauchte Felder auf Joomla 3 behoben.

• „Paranoid-Modus“ entfernt; die generischen Dauer-Schutzsignaturen bleiben aktiv.

• Echtzeit-Firewall deutlich verstärkt (prüft auch POST-Daten, mehrlagiges Dekodieren, ReDoS-sicher); Exploit-Signaturen kryptografisch signiert; zweisprachige Definitionen im Live-Feed; Benachrichtigungen mit Anti-Spam.

• Basis dieses Changelogs — die letzte zuvor veröffentlichte Version.