HTProtect.org
Unabhängige Informationsseite zu Joomla-Sicherheitslücken
DE
HTProtect HTProtect JOOMLA SECURITY
Neu htprotect.app - Zentrales Joomla Site Management für mehrere Websites
htprotect.org Sicherheitslücken & Update-Anleitungen
Neu htprotect.app - Zentrales Joomla Site Management für mehrere Websites
Soforthilfe

Website leitet Besucher auf fremde Seiten weiter - was jetzt zu tun ist

Kunden melden, dass sie auf Glücksspiel- oder Spam-Seiten landen. Sie rufen die Website selbst auf, und alles sieht normal aus. Das ist kein Fehlalarm - so funktioniert das.

Dass Sie nichts sehen, beweist nichts
Angreifer verstecken einen Einbruch gezielt vor dem Betreiber - Google nennt das Cloaking und warnt ausdrücklich davor, sich täuschen zu lassen. Nehmen Sie Meldungen von Kunden deshalb ernst, auch wenn Sie selbst nichts nachstellen können.

Die .htaccess-Datei - normal und ein beliebtes Ziel

Eine .htaccess-Datei im Joomla-Hauptverzeichnis ist nichts Ungewöhnliches. Joomla liefert eine vorbereitete Datei htaccess.txt mit, die nach Joomlas eigener Beschreibung Anweisungen gegen verbreitete Angriffe und für suchmaschinenfreundliche Adressen enthält; üblich ist, sie in .htaccess umzubenennen. Daraus folgen zwei Dinge. Erstens weist das Handbuch ausdrücklich darauf hin, htaccess.txt nicht zu bearbeiten, weil ein Joomla-Update sie überschreiben kann - gearbeitet wird in der umbenannten Datei. Zweitens hat Sucuri 2019 einen Joomla-Fall dokumentiert, in dem das Schadskript darauf ausgelegt war, sein Weiterleitungsmuster in jede gefundene .htaccess-Datei zu schreiben. Eine bereinigte Datei bedeutet also nicht, dass die Website sauber ist.

Wo sich solcher Code versteckt

Sucuri nennt in seiner Joomla-Anleitung die typischen Stellen: Hintertüren, die in Dateien wie index.php und in Verzeichnisse wie /components, /modules und /templates eingeschleust werden, sowie Dateien, die den Namen einer echten Joomla-Datei tragen, aber im falschen Verzeichnis liegen. Im Joomla-Fall vom April 2026 saß der Code ganz oben in der index.php der Website. Es gibt außerdem Schadsoftware, die sich als ganz normales Joomla-Plugin einnistet und verschleiertes JavaScript in die Seite einfügt - Sucuri führt sie unter der Kennung php.spam-seo.joomla-injector.002. Für Sie folgt daraus zweierlei: Ein Plugin, das Sie nicht kennen, verdient einen genauen Blick, und Template-Dateien lassen sich ohne FTP und ohne Kommandozeile direkt im Backend unter System›Site-Templates ansehen.

Was meistens harmlos ist

Joomla bringt im Kern eine eigene Weiterleitungs-Funktion mit: Das Plugin System - Redirect sammelt fehlende Seiten, die Komponente Weiterleitungen lenkt sie auf vorhandene um. Einträge dort gehören zum Normalbetrieb. Weiterleitungen in dieser Komponente zu finden ist also kein Nachweis für einen Angriff.

Kerndateien ersetzen - und was das nicht abdeckt

Joomla kann seine eigenen Kerndateien ohne Kommandozeile ersetzen. Die Update-Komponente enthält eine Schaltfläche mit der Beschriftung Reinstall Joomla! core files, beschrieben als Neuinstallation aller Kerndateien, um beschädigte oder fehlende zu reparieren. Kennen Sie die Grenze, bevor Sie sich darauf verlassen: Der Wortlaut erfasst ausdrücklich nur die Kerndateien. Erweiterungen, Templates, zusätzlich abgelegte Dateien und die Datenbank sind nicht erfasst - eine Hintertür in einem Template oder einem Plugin überstünde das unberührt.

Aufräumen ist nur die halbe Arbeit
Solange der Weg hinein offen bleibt, steht dasselbe in wenigen Tagen wieder da. Aktualisieren Sie Joomla und jede Erweiterung und gleichen Sie Ihre Installation mit der offiziellen Liste verwundbarer Erweiterungen ab.

Quellen & weiterführende Links

Maßgeblich sind stets die offiziellen Angaben des jeweiligen Herstellers. Diese Seite fasst öffentlich verfügbare Informationen neutral zusammen.