Changelog

• Fernsteuern vom Dashboard wieder verlässlich. Notfall-Modus, Fehleranzeige und Abwärtskompatibilitäts-Plugin kamen beim schnellen Umschalten manchmal verzögert oder gar nicht an - jetzt wirkt es binnen Sekunden, und Dashboard wie Website zeigen den echten Stand. Beim Notfall-Modus erscheint der geheime Zugangs-Link wieder sofort, kommt per Mail, und „Beenden" gibt die Website zuverlässig frei.
• Außerdem: Die Konto-Bearbeitung nach dem 1-Klick-Login öffnet wieder zuverlässig, und zusätzliche Backend-Sprachpakete aktualisieren sich automatisch mit.

Der Notfall-Modus - die ganze Website vorübergehend sperren - ist neu gebaut: ein eigenständiges Werkzeug, ein Klick, und du kommst trotzdem jederzeit rein.

• Ein Klick, unabhängig vom Backend-Schutz. Bisher ging das Sperren nur zusammen mit dem Passwortschutz fürs Backend. Jetzt sperrst du die Seite eigenständig - an deinem Backend-Schutz ändert sich nichts.
• Du sperrst dich nicht aus. Statt eines Passworts bekommst du einen geheimen Zugangs-Link: einmal aufrufen, und du bist wieder drin, bis du den Notfall-Modus beendest. Der Browser, mit dem du aktivierst, ist sofort freigeschaltet, den Link bekommst du zusätzlich per Mail und findest ihn im Dashboard - und mit einem Klick erzeugst du einen neuen, der alte gilt dann nicht mehr.
• Wartungsseite, die deinem Ranking nicht schadet. Besucher sehen eine schlichte Wartungsseite auf Deutsch oder Englisch, je nach Browser, samt dem korrekten Signal „nur vorübergehend" - deine Seiten bleiben im Google-Index. Sie erscheint sogar dann, wenn die Website selbst gerade nicht läuft. Überschrift und Text kannst du selbst anpassen.
• Erinnerung, damit du es nicht vergisst. Solange gesperrt ist, siehst nur du einen kleinen Hinweis mit „beenden"-Link - unten auf der Website und im HTProtect-Backend. Ein- und ausschalten kannst du auch aus dem Dashboard; das Beenden kommt selbst bei komplett gesperrter Seite zuverlässig durch.

HTProtect wacht jetzt über die Administrator-Zugänge deiner Websites: Untergeschobene Konten werden automatisch stillgelegt, dein eigener Zugang notfalls wiederhergestellt.

• Untergeschobene Administratoren werden stillgelegt. Legt ein Angriff sich einen eigenen Administrator an - über eine veraltete Erweiterung oder direkt in der Datenbank, an Joomla vorbei, oft mit unmöglichem Anlage-Datum wie „30.11.-0001" -, wird dieser Zugang deaktiviert und verliert seine Rechte. Gelöscht wird nichts, und war er doch berechtigt, gibst du ihn mit einem Klick wieder frei. Administratoren, die du selbst über Joomla anlegst, bleiben unberührt.
• Ausgesperrt wirst du nicht. Sperrt ein Angreifer dein eigenes Administrator-Konto aus oder entzieht ihm an Joomla vorbei die Rechte, holt HTProtect deinen Zugang von selbst zurück. Was du über Joomlas Benutzerverwaltung selbst änderst, bleibt unangetastet, der letzte aktive Administrator wird nie angefasst, und alles lässt sich rückgängig machen.
• Deutlich schneller. Ein fremder Zugang wird schon beim ersten Anmeldeversuch gestoppt und sonst beim nächsten Aufruf im Backend erkannt - statt erst nach einer Wartezeit. Das läuft im Hintergrund, ohne deine Website zu verlangsamen.
• Spam-Konten aufräumen mit Live-Fortschritt. Beim Entfernen vieler Spam-Konten siehst du jetzt, wie weit es ist. Auch auf sehr großen Websites läuft das sicher zu Ende: Stoppt der Hoster den Vorgang zwischendurch, macht HTProtect von selbst dort weiter, wo es aufgehört hat. Entfernte Konten bleiben über die Sicherungskopie wiederherstellbar.
• Außerdem: Löschst du ein stillgelegtes Konto selbst, erinnert HTProtect nicht weiter daran.

• Neuanmeldung. Zeigt je Website, ob sich die Benutzer-Registrierung gefahrlos zusperren lässt, schaltet sie ein und aus und räumt nach einer Spam-Flut die Karteileichen auf - nur nachweislich untätige Bot-Konten, mit Vorschau, Rückfrage und 30 Tagen zum Rückgängigmachen.
• Vom Hoster gesperrte Dateien. Macht Dateien sichtbar, die der Virenscanner deines Hosters nur gesperrt statt gelöscht hat, prüft sie und lässt sie löschen, bereinigen oder - bei einem Fehlalarm - mit einem Klick wieder freigeben.
• Außerdem: zuverlässigeres Selbst-Update, deutlich seltener fälschliche Rückrollungen nach Updates und ein klareres Werkzeug zur Fehlersuche.

• Schutz vor einer aktiv ausgenutzten Lücke in SP Page Builder. In den Versionen 6.0.0 bis 6.7.1 konnten Angreifer ohne Anmeldung Daten aus der Datenbank auslesen. HTProtect wehrt solche Zugriffe ab, bis der Hersteller seinen Patch nachliefert (angekündigt für 6.8.0).
• Du musst nichts tun. Der Schutz kommt still über das automatische Selbst-Update - kein Login, keine Einstellung. Die „Mehr laden"-Funktion betroffener Seiten arbeitet unverändert weiter, abgewiesen werden nur die Angriffsversuche.
• Neuer Schutz für Fabrik (CVE-2026-66915). In allen Versionen bis 4.6.8 konnten Angreifer ohne Anmeldung eigenen Programmcode auf dem Server ausführen - der höchste Schweregrad, 10 von 10. HTProtects mitlaufende Web-Firewall (WAF) blockiert diese Angriffe ab sofort: Sie holt sich neue Schutzregeln selbsttätig über ihren Live-Feed, ohne dass ein Update nötig wäre. Empfehlung trotzdem: Fabrik auf 4.7.0 aktualisieren.

Websites, die gar nicht mehr laden, lassen sich jetzt aus der Ferne wieder flottbekommen - und die zwei häufigsten Ausfall-Ursachen behebst du direkt aus dem Dashboard.

• Notfall-Fernrettung. Lädt eine Website überhaupt nicht mehr, erreichst du sie jetzt trotzdem - über einen streng abgesicherten Notfall-Zugang.
• Zwei häufige Ausfall-Ursachen per Klick beheben, einzeln oder für viele Websites auf einmal: die Fehleranzeige einschalten, die die Ursache eines weißen Bildschirms sichtbar macht und sich nach 30 Minuten von selbst wieder abschaltet - und Joomlas Kompatibilitäts-Plugin wieder aktivieren, dessen Abschalten ältere Erweiterungen abstürzen lässt.
• Automatische Kern-Updates steuern jetzt Joomlas eigenes Bordmittel. Die Übersicht zeigt dadurch korrekt, wo der Kern automatisch aktualisiert wird. Am manuellen Kern-Update ändert sich nichts.
• Außerdem kleinere Korrekturen: offene Post-Install-Meldungen werden wieder erkannt und lassen sich ausblenden, und die Schutz-Ausnahmen greifen treffsicherer.

Vor allem Vorarbeit fürs Dashboard: Die Flotten-Übersicht erkennt jetzt zuverlässig, wenn eine Website neu gekoppelt werden muss, und bekommt neue Werkzeug-Ansichten. Dazu ein Schalter für automatische Joomla-Kern-Updates - und der Speicherfehler auf großen Websites ist strukturell behoben.

• Automatische Joomla-Kern-Updates ein- und ausschalten (ab Joomla 5.4). Im Dashboard siehst du auf einen Blick, wo sie aktiv sind, und schaltest sie einzeln oder für viele Websites auf einmal um. Zu der Ansicht kommst du über die Schaltfläche „Tools" in der Suchleiste.
• Speicherfehler auf großen Websites behoben. Große maschinell erzeugte Datenblöcke liegen jetzt außerhalb der auf 64 KB begrenzten Einstellungsspalte; dort bleibt nur die eigentliche Konfiguration. Die Meldung „Einstellungen konnten nicht gespeichert werden - Datenbank-Größenlimit erreicht" auf Websites mit vielen Erweiterungen gehört damit der Vergangenheit an. Die Umstellung läuft einmalig von selbst, mit Rückfall.
• Feinschliff bei Backend-Zugang und Schutzschild. Überspringst du den Backend-Passwortschutz bewusst, bleibt der Punkt im Selbst-Check zuverlässig grün - auch wenn sich die Website kurz nicht selbst erreichen kann; entfernst du den Schutz über das Dashboard, gilt er automatisch als übersprungen. Neu prüft der Schild nach dem Schreiben der .htaccess, ob der Administrator-Bereich noch erreichbar ist: sperrt ihn eine eigene Regel aus, rollt er automatisch zurück und benennt die Ursache.
• Die Übersicht erkennt jetzt, wenn eine Website neu gekoppelt werden muss. Bei jedem ohnehin stattfindenden Statuskontakt meldet HTProtect eine kurze Prüfsumme des Steuerungs-Schlüssels, dem die Website vertraut. Weicht sie vom Schlüssel des Arbeitsbereichs ab - etwa nach einem Zurücksetzen oder einer verlorenen Verbindung -, weist das Dashboard deutlich darauf hin, ganz ohne zusätzliche Anfragen. Übertragen wird nur die Prüfsumme des öffentlichen Schlüssels, nie ein Geheimnis.
• Datensparsame Zustandsdaten für neue Dashboard-Ansichten. HTProtect meldet je Website ein kompaktes Bündel - Backend-Passwortschutz, Hosting-Server, Schreibrechte, Fehleranzeige, offene Post-Install-Meldungen, E-Mail-Versand und bei Joomla 6 die Modul-Versionierung. Pro Statuskontakt geht nur eine Prüfsumme raus, die vollen Angaben nur bei echter Änderung; der E-Mail-Zustand stammt aus einem täglichen Verbindungstest, ohne je eine Mail zu verschicken. Dazu zwei sichere Sammel-Aktionen: offene Post-Install-Meldungen ausblenden und (nur Joomla 6) die Modul-Versionierung einschalten.

• HTProtect spricht jetzt viele Sprachen. Das Backend gab es bisher nur auf Deutsch und Englisch - jetzt stehen 27 Sprachpakete bereit. Läuft dein Joomla in einer anderen Sprache, bietet HTProtect im Überblick mit einem Klick das passende Paket an; geladen wird es signiert und vor der Installation geprüft. Regionale Varianten wie österreichisches Deutsch oder mexikanisches Spanisch nutzen automatisch das richtige Paket, und den Hinweis kannst du je Sprache ausblenden.

• Behoben: Fehlalarm „Datei verändert“ bei der zentralen Schutzdatei. Rund um HTProtects eigenes automatisches Update konnte fälschlich gemeldet werden, die zentrale Schutzdatei sei von außen verändert worden - obwohl niemand etwas geändert hatte (im Backend, je nach Einstellung auch per E-Mail). Ursache war ein kurzes Zeitfenster während des Selbst-Updates. Das ist jetzt behoben; bereits betroffene Websites beruhigen sich von selbst, und echte Fremdänderungen werden weiterhin zuverlässig erkannt und gemeldet. (Über das Forum gemeldet - danke dafür.)
• Beim Update sind alle Bausteine sofort aktuell. Bei einem Update bringt HTProtect jetzt alle mitgelieferten Hintergrund-Bausteine unmittelbar auf den neuen Stand - besonders praktisch, wenn man viele Websites betreut und nicht jede einzeln im Backend öffnet.

Vor allem für Flottenbetreiber: Masseninstallation in einem Rutsch, Backend-Passwortschutz für viele Websites auf einmal, klarer aufgezeigte Schadcode-Funde und ein Absichern, das Menüs und Design heil lässt.

• Masseninstallation in einem Rutsch. HTProtect lässt sich auf viele Websites gleichzeitig ausrollen - jede nimmt sich beim Installieren automatisch selbst ins Dashboard auf, ohne einzelne Kopplung und ohne ein Backend zu öffnen (auch über bereits verbundene Installationen hinweg).
• Backend-Passwortschutz für die ganze Flotte auf einmal. Die zusätzliche Passwortabfrage vor dem Admin-Login richtest du jetzt direkt aus dem Dashboard für viele Websites gleichzeitig ein oder entfernst sie - auf Wunsch je Website ein eigenes Passwort, Ende-zu-Ende verschlüsselt und aussperr-sicher (vorher getestet, bei Fehlschlag automatisch zurückgenommen).
• Eingeschleuster Schadcode klarer aufgezeigt. Verstecktes JavaScript in Baukasten-/Template-Optionen (z. B. YOOtheme) zeigt HTProtect jetzt genau an der Fundstelle und verständlich benannt (z. B. „Externes Script“) - mit weniger Fehlalarmen; selbst eingebaute Scripts markierst du mit einem Klick als unbedenklich.
• Menü und Design bleiben beim Absichern heil. Manche Menüs/Templates (z. B. MaxiMenu CK) bauen ihr Aussehen über kleine PHP-Dateien; HTProtect erkennt sie beim Absichern jetzt automatisch und gibt nur die unbedenklichen frei - das Layout zerfällt nicht mehr, der Schutz gegen echte Schaddateien bleibt scharf.

Ganz neu: die KI-Steuerung. Du kannst deinen KI-Assistenten - Claude oder ChatGPT - mit HTProtect verbinden und ihn in ganz normaler Sprache nach dem Sicherheitsstatus deiner kompletten Joomla-Flotte fragen. Wo du es erlaubst, hilft er sogar bei der Inhaltspflege. Die Kontrolle bleibt dabei jederzeit bei dir.

• KI-Assistent verbinden und einfach fragen. Verbinde Claude oder ChatGPT mit HTProtect und frage in normaler Sprache den Sicherheitsstatus deiner ganzen Joomla-Flotte ab - und lass ihn, wo du es erlaubst, bei der Inhaltspflege helfen.
• Verbinden mit einem Klick. Du trägst nur eine Adresse in Claude oder ChatGPT ein und bestätigst per Klick - kein Passwort, kein Schlüssel zum Kopieren.
• Du behältst die volle Kontrolle. Standard ist nur Lesen; Schreiben gibst du je Website einzeln frei, und die höhere Stufe (Erweiterungen verwalten) nur auf ausdrücklichen Wunsch je Website und zeitlich befristet.
• Sicher aufgebaut - und jederzeit sperrbar. Die Website vergibt immer nur einen eng begrenzten Dienst-Zugang, nie Super-User-Rechte - eine komplette Übernahme ist damit ausgeschlossen. Freigeschaltet wird nur durch dich (kryptografisch in deinem Browser, der Server sieht nie Zugangsdaten), und du sperrst den Zugriff jederzeit mit einem Klick komplett. Voraussetzung: Joomla 4 oder neuer.

Großes Update rund um automatische Updates und die neue Fernverwaltung: Auf dashboard-verbundenen Websites greifen Sicherheitsupdates jetzt zuverlässig, Fehlschläge werden ehrlich gemeldet, und große Versionssprünge werden nur noch gemacht, wenn sie die Lücke wirklich schließen.

• Sicherheitsupdates greifen auf verbundenen Websites jetzt zuverlässig. Bei mit dem Dashboard verbundenen Websites aktualisiert HTProtect angreifbare Erweiterungen automatisch - auch wenn der lokale Auto-Update-Schalter aus ist (nur Sicherheitsupdates).
• Ehrliche Fehlermeldung bei Updates. Ein fehlgeschlagenes Update wird jetzt klar als Fehlschlag mit Grund gemeldet - kein irreführendes „läuft im Hintergrund weiter“ mehr.
• Große Sicherheitsupdates abgesichert. Ein großer Versionssprung wird nur noch erzwungen, wenn er die Lücke wirklich schließt - kein riskanter Fehl-Sprung mehr, wenn die Schutzdaten kurz hinterherhängen.
• „Auto“-Auswahl aus dem Dashboard greift zuverlässig. Der dafür nötige Schalter wird jetzt mitgesetzt; weicht auf der Website etwas ab, erkennt das Dashboard es und setzt es per Klick durch.
• Neuer Menüpunkt „Fernverwaltung“. Die Kopplung mit dem Dashboard ist jetzt als eigener Komponenten-Menüpunkt erreichbar.
• Karenzzeit jetzt je Erweiterung. Die Wartezeit, bevor ein Update automatisch installiert wird, lässt sich über das Dashboard nun auch pro Erweiterung einstellen. Sicherheitsupdates laufen weiter sofort.

• 1-Klick-Login jetzt auch bei geheim geschütztem Backend. Ist das Backend durch ein geheimes Wort in der Adresse abgesichert (etwa mit Akeeba Admin Tools), klappt der 1-Klick-Login jetzt trotzdem - das Wort hinterlegst du einmalig im Dashboard, HTProtect hängt es beim Anmelden automatisch an und speichert es nicht. Behebt einen Verarbeitungsfehler aus 2.5.14.
• „Weitere Zugänge“ jetzt ausklappbar. Die zusätzlichen Backend-Zugänge (seit 2.5.14) liegen jetzt hinter einem Link neben „Zugangsdaten erneuern“ statt in eigener Box; mobil in eigener Zeile. Reine Optik.

Highlight: Du kannst den Joomla-Kern verbundener Websites jetzt aus der Ferne über das Dashboard aktualisieren - einzeln oder gleich mehrere. Dazu erreichen Sicherheitsbefunde das Dashboard in Sekunden (und werden dort konkret benannt), eine erweiterte Erkennung untergeschobener Admin-Konten, mehrere Backend-Passwort-Zugänge und schlankere Update-Sicherungen.

• Joomla-Kern aus der Ferne aktualisieren (Dashboard). Über das Dashboard aktualisierst du den Joomla-Kern verbundener Websites jetzt ohne Login vor Ort - einzeln oder mehrere auf einmal, mit Live-Fortschritt und optionalem Voll-Backup vorab. Bewusst konservativ: nur innerhalb derselben Hauptversion (z. B. 5.4 auf 5.4.7), kein Sprung auf die nächste Generation; schlägt etwas fehl, bleibt die alte Version unangetastet.
• Untergeschobene Admin-Konten der Gridbox-Kampagne: jetzt auch die fehlgeschlagenen. HTProtect erkennt die typischen Angreifer-Konten aus der Balbooa-Gridbox-Lücke jetzt unabhängig von ihrer Benutzergruppe - also auch die, deren Aufstieg zum Administrator nicht klappte und die bisher harmlos wirkten. Das Muster ist eng gefasst (keine Fehlalarme); HTProtect zeigt solche Konten nur an und löscht nie automatisch.
• Sicherheitsbefunde erreichen das Dashboard sofort - und werden konkret benannt. Eine neue oder behobene Bedrohung meldet HTProtect jetzt in Sekunden statt erst beim nächsten Abgleich (bis zu einer halben Stunde später); die Ampel schaltet sofort um. In der Flotten-Übersicht steht der Befund jetzt im Klartext an der Kachel (z. B. „Neues Admin-Konto“); übertragen werden nur Kategorie und Anzahl, nie Namen oder Pfade.
• Behoben: Normale Administratoren erscheinen in der Verbergen-Liste. Die seit 2.5.13 mögliche Liste „HTProtect vor einzelnen Nutzern verbergen“ zeigte bisher nur Super-User; normale Administratoren fehlten. Sie werden jetzt korrekt gelistet - Schutz und Standardeinstellung (nur Super-User) bleiben unverändert.
• Backend-Passwortschutz: mehrere Zugänge möglich. Die zusätzliche Passwortabfrage vor dem Backend ließ sich bisher nur mit einem Zugang einrichten; unter „Backend-Zugang“ legst du jetzt weitere an (z. B. je Mitarbeiter) und entfernst sie einzeln. Jeder neue Zugang wird vorab getestet, der letzte bleibt unlöschbar - aussperren kann sich niemand.
• Update-Sicherungen deutlich verschlankt. Die Rückroll-Sicherungen vor Auto-Updates bestehen jetzt aus je einer komprimierten Archivdatei statt zehntausender Kleindateien; HTProtect räumt alte automatisch auf und bereinigt den Altbestand einmalig. Reine Speicher-Verbesserung - das Zurückrollen bleibt voll funktionsfähig. (Aufgefallen im Forum - danke an webbie07.)
• Hilfe & Support verweist jetzt zuerst aufs Forum. Im Bereich „Hilfe & Support“ steht über dem Kontaktformular jetzt ein Hinweis auf das htprotect.app-Forum (dort die schnellste Hilfe); das Kontaktformular bleibt für persönliche Anliegen. Reiner Hinweis, keine Funktionsänderung.

Zwei greifbare Verbesserungen im Mittelpunkt: Deine Einstellungen bleiben jetzt zuverlässig erhalten (kein stilles Zurücksetzen mehr), und HTProtect lässt sich komplett vor normalen Administratoren verbergen. Dazu weniger Fehlalarme und etwas Feinschliff.

• Gespeicherte Einstellungen setzen sich nicht mehr von selbst zurück. In seltenen Fällen konnte HTProtect seine gespeicherte Konfiguration kurz nicht lesen (etwa bei einem Datenbank-Aussetzer während eines Updates) und fiel dann still auf die Werkseinstellungen zurück, die anschließend festgeschrieben wurden - es sah aus, als setzten sich Einstellungen nach einem Update von selbst zurück (oft: Auto-Updates wieder auf „an“). HTProtect unterscheidet jetzt „noch nichts gespeichert“ von „vorhandene Einstellungen gerade nicht lesbar“ und überschreibt im zweiten Fall nichts; deine Wahl bleibt erhalten, eine betroffene Website übernimmt beim nächsten Speichern wieder ihren Stand. (Aus dem Forum, mehrere Testseiten.)
• HTProtect lässt sich komplett auf Super-User beschränken. Ab dieser Version ist HTProtect standardmäßig nur noch für Super-User sichtbar und bedienbar - normale Administratoren sehen weder den Menüpunkt noch die Statuskachel. Unter „Backend-Zugang“ lässt sich das mit einem Klick auch für normale Administratoren freigeben; der Sichtbarkeits-Schalter selbst und die Dashboard-Kopplung bleiben aber immer den Super-Usern vorbehalten. Reine Sichtbarkeit - der Schutz läuft für die ganze Website unberührt weiter, und aussperren kann sich niemand.
• Schutzdatei holt neue Regeln jetzt zuverlässig nach. Neue Angriffsregeln griffen sofort über den Echtzeit-Wächter, die serverseitige Regeldatei zog aber nur bei größeren Änderungen nach und konnte sichtbar hinterherhinken; sie wird jetzt beim nächsten stillen Selbst-Abgleich sauber mit allen aktuellen Regeln neu geschrieben - ohne Fehlalarm. Der Schutz war durchgehend aktiv, neu ist nur, dass die Datei nicht mehr hinterherhinkt. (Aufgefallen im Forum, Dank an Tom.)
• Weniger Fehlalarme beim Malware-Scanner (harmlose Grafiken). Manche Erweiterungen legen kurz kleine Symbol-Grafiken im Zwischenspeicher ab, die HTProtect vorsichtshalber meldete. Der Scanner prüft jetzt, ob es wirklich nur eine reine Grafik ohne eingebetteten Code ist, und schlägt dann keinen Alarm mehr - als Grafik getarnte Schaddateien werden unverändert erkannt. (Über eine Schwarm-Meldung aufgefallen.)
• HTProtect ist keine abwählbare Zeile mehr in der Auto-Update-Liste. In der Liste „weitere Erweiterungen automatisch aktualisieren“ tauchte HTProtect selbst als ankreuzbare Zeile auf - überflüssig, denn dafür gibt es den eigenen Schalter „HTProtect selbst immer aktuell halten“. Statt des Ankreuzfelds steht dort jetzt nur eine feste Info-Zeile; was tatsächlich automatisch aktualisiert wird, ändert sich nicht.

Neuer Schutz gegen aktiv ausgenutzte Lücken in Balbooa Gridbox und Balbooa Forms, eine weitere Schwachstellen-Warnung und ein Dashboard, das Website-Umbenennungen automatisch nachzieht.

• Neuer Schutz gegen drei aktiv ausgenutzte Balbooa-Gridbox-Lücken. Auch die aktuelle Version 2.20.1 hat noch drei offene, derzeit ausgenutzte Frontend-Zugänge ohne Hersteller-Fix: ohne Anmeldung ein Konto bis hin zum Administrator anlegen, beliebige Dateien der Website auslesen (inklusive der zentralen Konfigurationsdatei mit den Zugangsdaten) oder eigene Dateien einschleusen. HTProtect fängt alle drei ab, ohne Legitimes zu stören (normale Bildanzeige und Bild-Editor bleiben nutzbar); einzeln abschaltbar. An Balbooa gemeldet.
• Neuer Schutz gegen eine kritische Fernausführungs-Lücke in Balbooa Forms. In allen Versionen bis 2.4.2.1 konnte ein Angreifer über ein Formular mit Unterschriftsfeld ohne Anmeldung beliebigen Code auf dem Server ausführen - höchste Schwere, aktiv ausgenutzt. HTProtect erkennt genau diesen Angriff im abgesendeten Formular und blockt ihn; normale Formulare bleiben unberührt. Empfehlung: auf 2.4.3 oder neuer aktualisieren.
• Website-Titel im Dashboard bleibt automatisch aktuell. Bisher übernahm HTProtect den im Dashboard angezeigten Namen nur einmalig beim Verbinden; wer ihn später in Joomla umbenannte, sah weiterhin den alten. Jetzt zieht das Dashboard eine Umbenennung automatisch nach - spätestens beim nächsten Statusabgleich oder sofort per „Status aktualisieren“.
• Neue Schwachstellen-Warnung: Aimy Captcha-Less Form Guard. Betroffen sind die Versionen 18.0 bis 20.0 (freie und PRO-Edition); eine Zwischenlösung gibt es nicht - nur das Update auf 20.1 hilft. HTProtect warnt betroffene Websites und verweist auf 20.1.

Zwei Verbesserungen: Das Exploit-Schild erkennt Angriffe jetzt reihenfolge-unabhängig, und das 1-Klick-Login sitzt auch nach längerer Pause zuverlässig beim ersten Versuch.

• Exploit-Schild: Angriffs-Erkennung jetzt reihenfolge-unabhängig. Manche Schutzregeln erkennen einen Angriff an mehreren Merkmalen in der Web-Adresse, die bisher in fester Reihenfolge stehen mussten - ein Angreifer hätte sie umsortieren und so an einer einzelnen Regel vorbeikommen können, während der Angriff identisch funktioniert. Jetzt greifen die Regeln unabhängig von der Reihenfolge (in beiden Schutzschichten, auch bei abgesendeten Formularen); die theoretische Umgehung ist geschlossen, Treffsicherheit und Fehlalarm-Freiheit bleiben unverändert. Dank an Tom aus dem Community-Forum für den Hinweis.
• 1-Klick-Login: auch nach längerer Pause zuverlässig beim ersten Versuch. War die vorige Joomla-Sitzung nach längerer Inaktivität abgelaufen, erschien beim Direkteinstieg aus dem Dashboard gelegentlich erst die Anmeldemaske, sodass ein zweiter Klick nötig war. Das ist an der Wurzel gelöst - der erste Klick sitzt jetzt zuverlässig, auch nach einer Pause, in jeder Joomla-Version.

Aufräumen: Auch HTProtects große Kern-Vergleichskopie liegt jetzt im zentralen Ordner - so genügt in anderen Backup-Tools weiterhin ein einziger Ausschluss.

• Alle großen HTProtect-Dateien jetzt an einem Ort. Auch die rund 30 MB große Vergleichskopie des Joomla-Kerns (dient dem Abgleich der Kern-Dateien) liegt jetzt im zentralen Ordner administrator/_htprotect_backups. So genügt in anderen Backup-Tools weiterhin ein einziger Ausschluss für alle großen HTProtect-Dateien; an Funktion und Prüfung ändert sich nichts, die Kopie wird bei Bedarf automatisch neu erzeugt.

Sicherheit und Backup: Ein Update wird nicht mehr fälschlich zurückgerollt (und Sicherungen bleiben schadcodefrei), dazu getrennte Zeitpläne für Voll- und Datenbank-Backup, durchgehende Fortschrittsanzeige und ein zentraler, geschützter Speicherort.

• Sicherheit: Ein automatisches Update wird nicht mehr fälschlich zurückgerollt - und Sicherungspakete bleiben frei von Schadcode. Lag schon vor einem Update fremder Schadcode in einem Erweiterungs-Ordner, machte HTProtect das (oft sicherheitskritische) Update bisher vorsorglich rückgängig; jetzt wird nur noch zurückgerollt, wenn das Update selbst etwas eingeschleust oder verändert hat - eine bereits vorhandene Infektion blockiert es nicht mehr (wird weiter vom Scan gemeldet), ein echt kompromittiertes Update wird weiterhin gestoppt. Zudem werden bekannte Schaddateien aus dem Rückroll-Paket ausgeschlossen, sodass es beim Zurückspielen nichts wieder einschleppt und keine Viren-Scanner-Fehlalarme mehr auslöst.
• Getrennte Zeitpläne für Voll- und Datenbank-Backup. Beide lassen sich jetzt unabhängig planen (eigener Rhythmus und eigene „Behalten“-Anzahl) und werden getrennt aufbewahrt - das eine verdrängt nie das andere. Das inkrementelle Datei-Backup entfällt; bestehende Zeitpläne bleiben gültig.
• Datenbank-Backup: durchgehende Fortschrittsanzeige, robuster und zuverlässiger. Bei sehr großen Datenbanken verschwand der Fortschrittsbalken zeitweise; jetzt läuft er durchgehend bis zum Ende (auch innerhalb riesiger Tabellen) und springt nicht mehr zurück. Die Sicherung arbeitet in kleinen Häppchen und bricht auch auf langsamen Servern nie mittendrin ab.
• Backup räumt zuverlässig auf und lässt fremde Backup-Archive draußen. Abgebrochene Sicherungs-Reste werden jetzt täglich aufgeräumt (auch ohne Backup-Zeitplan), ein laufendes Backup dabei nie angefasst. Außerdem werden die Ablagen anderer Backup-Tools (Akeeba, JoomlaPack, XCloner) ausgeschlossen, damit sie das Backup nicht aufblähen - normale .zip-Dateien landen wieder ganz normal im Backup.
• Alle großen Sicherungen an einem geschützten Ort. HTProtects große Sicherungen liegen jetzt gebündelt in einem klar benannten Ordner (administrator/_htprotect_backups) - so lässt er sich in anderen Backup-Tools mit einem Griff ausschließen. Der Ort ist mehrfach abgeschottet (ein direkter Web-Download ist ausgeschlossen); bestehende Sicherungen werden beim Update verlustsicher dorthin verschoben.
• Warnliste erweitert: SP Page Builder. Betroffene Websites werden jetzt vor zwei frisch veröffentlichten Lücken bis Version 6.7.0 gewarnt (u. a. Auslesen von Datenbank-Inhalten ohne Anmeldung). Empfehlung: auf 6.7.1 aktualisieren.
• Klareres Label: „Hostnamen vereinheitlichen (www-Redirect)“. Das Feld für die einheitliche www-Schreibweise trägt jetzt den Zusatz „(www-Redirect)“ - reine Beschriftung, Funktion unverändert.

Vier Verbesserungen - die wichtigste: Ein aktiv ausgenutzter HelixUltimate-Menü-Angriff, der heimlich einen versteckten Administrator anlegt, wird jetzt erkannt und ist per Klick entfernbar.

• Aktiv ausgenutzter HelixUltimate-Menü-Angriff wird jetzt erkannt - und ist per Klick entfernbar. Über die HelixUltimate-Lücke schleusen Angreifer in die Hauptmenü-Einstellungen ein verstecktes Skript ein, das eine offene Administrator-Sitzung kapert, um heimlich einen versteckten Super-Administrator anzulegen; bisher schlug die Übersicht nicht an, weil es kein klassisches Schadmuster trug und tief in einem Menü-Feld steckte. Jetzt wird es zuverlässig gemeldet und lässt sich gezielt entfernen (umkehrbares Backup) - ein bereits angelegtes Fremd-Konto meldet zusätzlich die Konten-Überwachung, legitime Menü-Einstellungen lösen weiterhin keinen Fehlalarm aus. Gemeldet aus dem Forum (Chris), an einer betroffenen Seite bestätigt.
• 1-Klick-Login greift jetzt zuverlässig beim ersten Versuch (Joomla 6). Auf Joomla 6 erschien beim direkten Einloggen aus dem Dashboard gelegentlich erst die Anmeldemaske, sodass ein zweiter Klick nötig war. Das ist behoben - der erste Klick sitzt jetzt zuverlässig, in jeder Joomla-Version.
• Sauberes Backend-Scan-Ergebnis erscheint sofort im Dashboard. Nach einem sauberen Scan im Joomla-Backend blieb die Malware-Kachel im Dashboard bisher auf dem alten Stand, bis man dort einen weiteren Scan startete. Jetzt zieht die Kachel sofort mit - übertragen werden nur Zeitpunkt und Trefferzahl (0 = sauber), nie Dateipfade.
• Voll-Backup-Downloads funktionieren jetzt auch in Safari. Der Download eines kompletten Website-Backups über das HTProtect.app-Dashboard startete in Safari bisher nicht; HTProtect fordert ihn jetzt über ein echtes Browser-Fenster an, sodass er dort genauso zuverlässig läuft wie in anderen Browsern. Am Backup selbst ändert sich nichts.

Speicher-Korrektur: HTProtects eigene Update-Sicherungen sind drastisch geschrumpft - und alter Ballast wird automatisch aufgeräumt.

• Update-Sicherungen von HTProtect selbst massiv verkleinert. In die Rückroll-Sicherung vor jeder Selbst-Aktualisierung geriet versehentlich der eigene Arbeits-Zwischenspeicher (vor allem eine rund 30 MB große Vergleichskopie des Joomla-Kerns), der dafür gar nicht gebraucht und bei Bedarf neu erzeugt wird. Er wird jetzt ausgenommen - eine Sicherung schrumpft so von rund 33 MB auf wenige MB, das Zurückrollen bleibt voll funktionsfähig. Gemeldet von einem Nutzer (Sicherung über 60 MB).
• Bereits angesammelter Sicherungs-Ballast wird automatisch aufgeräumt. Ältere, vor diesem Update entstandene Sicherungen enthalten den überflüssigen Zwischenspeicher noch; die tägliche Aufräum-Routine entfernt ihn jetzt nachträglich und gibt den Platz wieder frei - die Sicherungen selbst bleiben erhalten und voll restaurierbar.

Weniger Ballast, vollständige Speicherplatz-Analyse und eine neue Erkennung für getarnte Schadskripte in Templates.

• Eingeschleustes Schadskript in den Template-Einstellungen wird jetzt erkannt - und per Klick entfernbar. Eine verbreitete Masche versteckt in den Helix-Template-Optionen ein Skript, das getarnt Schadcode nachlädt und auf jeder Seite läuft; bisher schlug die Übersicht nicht an, weil das Sichtbare harmlos wirkte. Jetzt wird es zuverlässig gemeldet und lässt sich gezielt herausschneiden - übrige Einstellungen bleiben unberührt, mit umkehrbarem Backup; legitime Skripte lösen weiterhin keinen Fehlalarm aus. Gemeldet über eine betroffene Kundenseite.
• Die Speicherplatz-Analyse läuft jetzt immer vollständig durch - auch auf riesigen Seiten. Bisher brach sie nach kurzer Zeit ab und zeigte nur die größten Ordner, sodass ein großer Speicherfresser übersehen werden konnte. Jetzt vermisst sie alles in kleinen Häppchen bis zum Ende - mit Fortschrittsanzeige und ohne Abbruch, auch auf langsamen Servern.
• Alte Sprach-Zwischenspeicher werden automatisch aufgeräumt. Weil HTProtect sich mehrmals täglich aktualisiert, sammelten sich mit der Zeit viele veraltete Sprach-Zwischenspeicher an (normales Joomla-Verhalten, nur durch die häufigen Updates verstärkt). Die tägliche Aufräum-Routine behält jetzt je Sprache nur den aktuellen und löscht die alten - fremde bleiben unberührt.

Spürbar flotteres Dashboard, automatisches Aufräumen alter Sicherungen und eine vorbeugende Härtung gegen einen möglichen Speicherfehler.

• Die Speicherplatz-Analyse der Backups reagiert jetzt flott. Beim Aufschlüsseln des belegten Speichers Ordner für Ordner wurde bisher jedes Mal alles neu vermessen - auf großen Seiten zäh. Jetzt wird der Ordnerbaum einmal vermessen und jedes Aufklappen sofort aus diesem Ergebnis beantwortet; Größen bleiben exakt, und die Backup-Inhalte verlassen die Website nie.
• Dashboard-Aktionen werden jetzt sofort ausgeführt. Jede Aktion stößt die Website an, damit sie den Auftrag gleich erledigt statt bis zur nächsten Runde (bis zu 10 Minuten) zu warten. Eine kurze Sperre ließ bisher einen schnellen zweiten Klick „hängen“; sie ist nun so kurz, dass praktisch jede Aktion sofort läuft - Scans, 1-Klick-Login und Einstellungen inklusive.
• Alte Sicherungen und Protokolle werden automatisch aufgeräumt. Ein täglicher Aufräumer entfernt jetzt zurückgebliebene Update-Sicherungen (etwa von deinstallierten Erweiterungen oder abgebrochenen Läufen) und Editor-Rücksicherungen nach 30 Tagen und begrenzt interne Protokolle - das gibt belegten Speicher wieder frei. Meldung aus dem Forum.
• Möglicher „Datenbankfehler“ beim Speichern zusätzlich vorgebeugt. Der SEO-Wächter legt einen Vergleichs-Abzug der Startseite an; auf sehr textlastigen Seiten konnte dieser so groß werden, dass er - wie zuvor an anderer Stelle behoben - das Speichern der Einstellungen blockierte. Der Abzug ist jetzt deutlich kompakter (ohne die Erkennung spürbar zu schwächen); bestehende große Abzüge schrumpfen beim nächsten Lauf von selbst.

Behebt den „Datenbankfehler“ beim Speichern und sorgt dafür, dass sich Funde auch hinter strengen Hoster-Firewalls entfernen lassen.

• „Datenbankfehler“ beim Speichern behoben. HTProtects ständig wachsende Erkennungs-Signaturen füllten mit der Zeit den Speicher, den sie sich mit deinen Einstellungen teilten - danach scheiterte jedes weitere Speichern (z. B. einer eigenen Regel) mit „Datenbankfehler“. Die Signaturen liegen jetzt in einem eigenen, unbegrenzten und komprimierten Speicher; die Umstellung läuft automatisch beim ersten Aufruf nach dem Update.
• Klartext statt „Datenbankfehler“. Scheitert ein Speichern doch einmal, nennt HTProtect jetzt die tatsächliche Ursache statt einer pauschalen Meldung - und bricht sauber ab, bevor die Einstellungen beschädigt werden könnten.
• Löschen von Funden klappt jetzt auch bei aktiver Hoster-Firewall. Auf manchen Servern hielt die Server-Firewall das Entfernen einer gefundenen Schaddatei fälschlich für einen Angriff und blockte es („403“). HTProtect umgeht das jetzt zuverlässig - Löschen, das Freigeben von Fehlalarmen und die Vorschau funktionieren wieder, die Sicherheitsprüfung bleibt unverändert.

Auto-Update-Einstellungen lassen sich jetzt an beiden Stellen bearbeiten - im Dashboard und direkt im Joomla-Backend - und bleiben dauerhaft synchron.

• Auto-Update-Einstellungen jetzt an beiden Stellen bearbeitbar - und immer synchron. „Automatisch aktualisieren“ je Erweiterung lässt sich ab sofort sowohl im HTProtect.app-Dashboard als auch direkt im Joomla-Backend setzen; beide Ansichten bleiben dauerhaft gleich, und nichts setzt sich mehr unbemerkt zurück (die jeweils neueste Änderung gewinnt, im seltenen Gleichstand die direkt an der Website). Angreifbare Erweiterungen mit bekannter Lücke werden weiterhin immer automatisch aktualisiert - deine manuelle „Aus“-Wahl bleibt gespeichert und greift wieder, sobald die Lücke geschlossen ist.

Kleines Release mit Schwerpunkt auf behobenen Fehlalarmen und einer spürbar schnelleren Status-Rückmeldung im Dashboard.

• Schnellere Status-Rückmeldung. Wird eine Website vom Dashboard aktiv angestoßen - etwa nach dem Beheben eines roten oder gelben Hinweises -, meldet sie ihren Stand jetzt binnen Sekunden zurück, statt bis zu 30 Minuten aufs nächste Lebenszeichen zu warten.
• Keine Fremd-Scanner-Fehlalarme mehr durch Update-Sicherungen. Die Sicherung, die HTProtect vor einem Update für den Rückweg anlegt, enthält jetzt nur noch die nötigen Daten und wird kompakt abgelegt - fremde Malware-Scanner schlagen darauf nicht mehr fälschlich an. Das Zurückrollen bleibt voll funktionsfähig.
• Weniger Fehlalarm-Mails vom Schutzdatei-Wächter. Der Wächter übersieht jetzt seine eigenen, harmlosen Zeitstempel- und Versionsmarker - eingeschleuste bösartige Regeln erkennt er weiterhin sofort, eigene harmlose Änderungen lösen aber keine Warnung mehr aus.
• SEO-Wächter: Fehlalarm bei eingebettetem HTML behoben. Seiten mit eingebetteten HTML-Bausteinen (häufig bei Page-Buildern) werden nicht mehr fälschlich als manipuliert gewertet.
• Verständlicherer Hinweis auf das kostenlose Dashboard. Der Überblick-Hinweis stellt jetzt den Nutzen für jede einzelne Website in den Vordergrund - Sicherheitsstatus, Scans, 1-Klick-Login, Backups und Auto-Updates an einem Ort, auch vom Handy, kostenlos für bis zu 5 Websites. Ein dezenter Verweis steht nun auch im Hilfe-Center.

Kleines, gezieltes Folge-Release zu 2.5.0: Das Verbinden mit dem Dashboard klappt jetzt auch dort, wo es vorher am Server scheiterte, dazu mehr Sicherheit bei der Kopplung und weniger Fehlalarme.

• Dashboard-Verbindung trotz „Fehler 406“. Auf manchen Servern blockierte ein Schutzmodul das Koppeln, bevor HTProtect überhaupt lief. Die Ursache wurde entfernt - betroffene Websites lassen sich jetzt problemlos verbinden.
• Dashboard-Kopplung zusätzlich abgesichert. Das Kopplungsziel wird jetzt ausschließlich aus der fest hinterlegten, internen Adresse gelesen - die Fernverwaltung einer Website lässt sich so nicht auf einen fremden Server umbiegen.
• Fehlalarm nach automatischer Freigabe behoben. Nach dem automatischen Freischalten sicherer Inhalte meldete der Wächter seine eigene, legitime Änderung fälschlich als Fremdeingriff (samt Warn-Mail). Das passiert nicht mehr.
• Abgebrochener Malware-Scan meldet nicht mehr fälschlich „sauber“. Ein unterbrochener Scan wird nicht länger als Ergebnis mit null Funden gespeichert - eine womöglich befallene Website erscheint dadurch nicht mehr irrtümlich als sauber.
• Drei neue Warnungen im Live-Feed: Events Booking, DJ-Classifieds und Balbooa Gridbox (jeweils in älteren Versionen) - betroffene Websites werden gewarnt.

Die bisher größte Version: eigene Sicherungen — und ein zentrales Dashboard für alle deine Websites.

• Sicherungen direkt aus HTProtect. Voll- und Ergänzungs-Sicherungen nach deinem Zeitplan; der Download läuft direkt von deiner Website in deinen Browser, und vor dem Wiederherstellen wird der aktuelle Stand gesichert.
• Neu: alle Websites zentral im Blick — auf HTProtect.app. Freiwillig zuschaltbar: Update-Regeln für alle Seiten auf einmal und Anmeldung in die Joomla-Verwaltung per Klick. Die Kontrolle bleibt bei dir — jeder Befehl muss zusätzlich in deinem entsperrten Browser bestätigt werden.
• Alle Websites mit einem Klick auf Schadcode prüfen. Auf Wunsch automatisch nach Zeitplan — bei einem Fund geht sofort eine E-Mail an dich.
• Auch am Handy voll im Blick. Die Darstellung ist konsequent für kleine Bildschirme gebaut — volle Übersicht also auch unterwegs.
• Sicherheits-Ereignisse im Klartext. Meldungen stehen jetzt verständlich da statt als Kürzel — und eine gemeldete Konto-Änderung hakst du aus der Ferne als bekannt ab.
• Automatische Updates laufen jetzt auch auf Joomla 3.

• Bessere Versions-Erkennung. Sicherheitswarnungen erkennen jetzt auch Versionsangaben mit Zusätzen wie „Stable“ zuverlässig (u. a. relevant für die jDownloads-Lücke). Wartungs-Update.
• Neue Sicherheitswarnungen im Live-Feed: JoomCCK und ChronoForms — Bestandsinstallationen sehen sie sofort, ganz ohne Update. Die JoomCCK-Lücke wird zusätzlich per Schutzregel aktiv abgewehrt.

• Kein Fehlalarm mehr bei Imunify360. HTProtects Datei mit den Erkennungs-Signaturen enthält naturgemäß viele Schadcode-Muster — deshalb hielt der Server-Schutz Imunify360 (bei manchen Hostern aktiv) sie fälschlich für verdächtig. Sie wurde so überarbeitet, dass der Fehlalarm entfällt — kein grundloses Quarantäne-Risiko mehr.

• Schluss mit endlosen Update-Fehlversuchen. Lässt sich ein Update wiederholt nicht automatisch installieren — etwa eine kommerzielle Erweiterung, deren Download ohne gültigen Hersteller-Key kein Paket liefert —, versucht HTProtect es nicht mehr endlos im Stundentakt: Der Abstand wächst (1 h → 2 h → … → max. 12 h), und nach einem fairen Fenster steht das automatische Update neutral auf „Manuell erforderlich“ (der genaue Grund wird bewusst nicht behauptet). Keine zusätzliche Mail — eine neu angebotene Version oder ein Klick auf „Jetzt prüfen“ startet wieder frisch.
• Aufgeräumtes Aktivitätslog. Wiederholte identische „übersprungen“-Einträge werden zu einer Zeile mit Zähler verdichtet — die Historie bleibt übersichtlich statt von einem Dauer-Skip geflutet.
• Wichtig: Die Sicherheits-Warnung (rote Ampel + Erinnerung) und der Echtzeit-Schutz laufen davon unberührt weiter — nur das automatische Einspielen entfällt, die Lücke bleibt sichtbar und wird weiter blockiert. Update-Paket und Feed bleiben wie gewohnt kryptografisch signiert.

• Verwundbare Erweiterung: Warnung „Aufschieben“. Kannst du eine angreifbare Erweiterung nicht aktualisieren (verwaist, Breaking Changes, Lizenz), stellst du die Warnung jetzt pro Erweiterung mit einem Klick still — keine wiederkehrenden Mails, die Ampel wird nicht rot. Ehrlich bleibt es dennoch: blockt HTProtect den Angriff mit aktivem Schild bereits ab, ist die Zeile grün („aktiv geschützt“), bei echtem Restrisiko gelb — nie auf „alles grün“ geschönt. Läuft bei neuer Version, höherem Schweregrad oder einem neuen Sicherheitshinweis automatisch aus, jederzeit per „Wieder aktivieren“ rückgängig.
• Neue Sicherheitswarnung im Live-Feed: 4Analytics < 5.0.2 (kritisch, ohne Login ausnutzbar) — Bestandsinstallationen sehen die Warnung sofort, ganz ohne Update.

• Schutzschild hält sich selbst aktuell. Verbessert HTProtect sein .htaccess Schutz-Regelwerk, wird das Schild ab sofort automatisch neu angewendet — du musst nicht mehr auf jeder Seite von Hand „Jetzt absichern“ klicken, wenn die Ampel nach einem Update kurz orange wird. Alles vollautomatisch im Hintergrund, ganz ohne Backend-Login (praktisch, wenn du viele Seiten verwaltest).
• Sicher gelöst: mit Selbsttest und automatischer Rücknahme, falls etwas nicht passt — extern verwaltete oder selbst angepasste .htaccess bleiben unberührt. Der Schalter „Regelwerk automatisch aktuell halten“ sitzt im Schutzschild-Bereich (standardmäßig an, jederzeit abschaltbar).
• Neu: versteckter Schadcode in der Datenbank wird gefunden und entfernt. HTProtect durchsucht jetzt zwei bisher blinde Stellen: eingeschleustes JavaScript in Helix-Ultimate-Mega-Menüs und manipulierte SP-Page-Builder-Einträge. Funde lassen sich per Klick bereinigen — vorher wird immer eine Sicherung angelegt, legitime Inhalte bleiben unangetastet.

• Neu: Prüfung der Joomla-Kerndateien. Vergleicht deine Kerndateien mit dem Original, markiert veränderte Zeilen farbig und setzt sie per Klick zurück — Manipulationen sind schnell gefunden und behoben.
• Neuer Schutz vor der DPCalendar-Lücke. Über den Kalender konnten Fremde deine Datenbank auslesen — HTProtect blockt das jetzt automatisch und warnt bei einer verwundbaren Version.
• Hält sich ab Werk selbst aktuell. Neu installierte Kopien aktualisieren sich von allein — jederzeit mit einem Klick abschaltbar.
• Behoben: fehlendes Design auf manchen Servern. Eine problematische Einstellung wurde entfernt; betroffene Seiten laden wieder normal und reparieren sich von selbst.
• Dezente Einladung zu einer Bewertung im Joomla Extensions Directory — erst wenn sich der Schutz bewährt hat (grüne Ampel, frühestens nach 7 Tagen), nie bei einer offenen Warnung und jederzeit wegklickbar.

• Update-Quellen-Wächter: schaltet Joomla eine Update-Quelle nach einem kurzen Server-Hänger versehentlich ab, aktiviert HTProtect sie automatisch wieder — so gehen dir keine Update-Hinweise still verloren. Mit Ausnahmen-Dialog für Quellen, die bewusst in Ruhe bleiben sollen.

• Sicherheit: HTProtects eigene Update-Pakete sind jetzt kryptografisch signiert und werden VOR der Installation geprüft — ein manipuliertes Paket wird abgelehnt.
• Neu: einmalige Willkommens-Mail nach der Einrichtung; Backend-Passwortschutz per sicherem Mail-Link wiederherstellbar; große Versionssprünge (Major-Updates) auf Wunsch zurückhalten.
• Verbessert: Angriffs-Signaturen und die Liste verwundbarer Erweiterungen aktualisieren jetzt alle 3 Stunden (vorher 6) — neue Angriffswellen werden schneller geblockt.
• Galerie-Vorschaubilder funktionieren trotz Backend-Passwortschutz; klarere Texte und Anleitungen.

• Code-Aufräumarbeiten für die Konformität mit dem Joomla Extensions Directory — keine Änderung am Verhalten oder Schutz.

• Erkennt obfuskierte JavaScript-Malware, die in legitime Dateien eingeschleust wurde (z. B. die „jmtouch“-Kampagne) — zuverlässig und ohne Fehlalarme.

• Malware-Scanner findet jetzt auch leere „Sonden“-PHP-Dateien in /images und Backtick-Befehls-Shells; dazu ein paar Fehlalarm-Feinschliffe.

• Kein „Aktualisierung verfügbar“ mehr nach reinen Formatänderungen; dezenter Spenden-Hinweis auf der Hilfe-Seite; Dashboard-Kachel erscheint zuverlässig auf allen Joomla-5/6-Setups; kein Fehlalarm „Passwort geändert“ beim Login.

• Erkennt als Bilder getarnte PHP-Shells; der „Schutz nicht aktuell“-Hinweis erscheint nur noch bei echten Regeländerungen; einfacherer Ein-Knopf-Malware-Scan mit ehrlichem Fortschritt.

• Das PHP-Schild meldet nicht mehr fälschlich nicht vorhandene .php-Pfade; der Malware-Scanner läuft jetzt in fortsetzbaren Häppchen (keine Timeouts auf riesigen Seiten) mit Schnell-Rescans und Fortschrittsbalken.

• Erkennt den Token-Schutz von EasyCalcCheck Plus als gültigen Backend-Schutz (Ampel wird grün).

• Neuer Rogue-Admin-Check für die SP-Page-Builder-Kampagne (untergeschobene Super-User); neue Status-Kachel im Joomla-Home-Dashboard; behobene seltene Speicher-Race-Condition.

• Blockt den SP-Page-Builder-Zero-Day (unauthentifizierter Icon-Upload → Codeausführung) in Echtzeit — nur Gäste werden geblockt, eingeloggte Builder bleiben unberührt.

• iCagenda < 4.0.8 (unauthentifizierter Upload) in die Warnliste aufgenommen — Bestandsinstallationen sehen die Warnung über den Live-Feed, ganz ohne Update.

• Macht seine .htaccess-Dateien schreibgeschützt — blockt die häufige Masche, dass Malware sie umschreibt, ohne dich je auszusperren.

• Eine Weiterleitung, die AJAX-Kalender stören konnte, entfernt; der Malware-Scanner findet als Bilder getarnte PHP-Dateien webspace-weit.

• Akeeba Panopticon-Monitoring funktioniert ab Werk auf Joomla 3–6; der Scanner meldet .shtml-Includes und einen bekannten Backdoor-Dateinamen.

• Vertrauenswürdige Pfade wirken jetzt über alle Schutzebenen; der neu aufgebaute „URL-Test“ prüft eine ganze URL gegen jede Ebene und zeigt genau, was blockiert; neuer Einstiegspunkt-Integritäts-Wächter; deutlich mehr Malware-Erkennungen (weiterhin fehlalarmfrei); neue Super-User-Konten-Überwachung; Unterstützung für Joomlas public-Ordner (5.1+).

• Der Tiefen-Scan nach Schaddateien ist nun ein optionales (nur per Knopf startbares) Feature unter „Site-Scan“; gehackte JCE-Profile per Ein-Klick entfernbar.

• Eigene Whitelist pro Seite („Als sicher“) für den Malware-Scanner; der Blogvault/MalCare-Connector-Ordner wird von Scans ausgenommen.

• Neuer Tiefen-Scanner durchsucht den gesamten Webspace nach PHP-Schadcode — mit Inhalts-Vorschau und sicherem Ein-Klick-Löschen.

• Zuverlässige Erkennung des realen bösartigen .htaccess-Artefakts; die Übersicht lädt wieder schnell.

• Der Scan nach bösartigen .htaccess-Dateien läuft jetzt rekursiv über den ganzen Webspace, Aufräumen per Ein-Klick.

• Erkennt aktive Spuren des JCE-Hacks (öffentliches Upload-Profil) und die abgelegten bösartigen .htaccess-Dateien, per Klick entfernbar.

• Sicherheitsnetz gegen Weiterleitungs-Schleifen — rollt nach einer problematischen Regel automatisch zurück.

• Ruhiger „Vollständig abgesichert“-Erfolgszustand in der Übersicht statt eines dauernden „Jetzt absichern“-Buttons.

• Zeigt nach „Jetzt absichern“, welche eigenen .htaccess-Regeln nicht übernommen wurden — mit positionstreuer Ein-Klick-Übernahme; Joomlas SVG-Schutz bleibt erhalten.

• Joomla 5/6: leeren Werkzeugleisten-Balken entfernt; Umlaute im Seitentitel korrigiert.

• Die Joomla-Aktualitätsanzeige holt die neueste Version jetzt live aus der offiziellen Joomla-API — immer korrekt, kein Pflegeaufwand.

• Toolbar-Titel-Darstellung auf Joomla 3–6 korrigiert (Kurzform am Handy).

• UI-Politur über Joomla 2.5–6 (Light-Mode auf altem Joomla, dynamisch in 5/6); gestauchte Felder auf Joomla 3 behoben.

• „Paranoid-Modus“ entfernt; die generischen Dauer-Schutzsignaturen bleiben aktiv.

• Echtzeit-Firewall deutlich verstärkt (prüft auch POST-Daten, mehrlagiges Dekodieren, ReDoS-sicher); Exploit-Signaturen kryptografisch signiert; zweisprachige Definitionen im Live-Feed; Benachrichtigungen mit Anti-Spam.

• Basis dieses Changelogs — die letzte zuvor veröffentlichte Version.