Core und Module
Das Drupal Security Team veröffentlicht Hinweise zu Core und zu Modulen unter Sicherheitsabdeckung. Geschützt sind Sie erst, wenn das Update auf Ihrer Website läuft.
Drupal-Sicherheit
verlässlich betreiben
Security-Updates, Härtung und Hilfe im Ernstfall
Drupal bringt ein eigenes Security Team und feste Veröffentlichungsfenster mit. Sicher bleibt eine Website trotzdem nur, wenn Updates zeitnah laufen, Zugänge geschützt sind und jemand reagiert, wenn es ernst wird. Als Drupal-Agentur kennen wir diese Situationen aus dem Betrieb.
Wo Risiken entstehen
Der Drupal Core ist nur ein Teil der Rechnung. Vier Bereiche entscheiden darüber, wie sicher Ihre Website tatsächlich ist. Angreifer suchen dabei selten gezielt Ihre Website, sondern automatisiert nach bekannten Lücken.
Eigener Code
Custom Modules und Themes prüft außer Ihrem Team niemand. Typische Schwachstellen sind fehlende Rechteprüfungen und ungefilterte Eingaben.
Rollen und Zugänge
Zu weit gefasste Rechte, verwaiste Konten und Anmeldungen ohne zweiten Faktor öffnen auch gut gepflegte Systeme. Das gilt auch für Hosting-Panel und SSH.
Server und Betrieb
PHP, Betriebssystem, Datenbank und Webserver haben eigene Lücken. Dazu kommen Dateirechte, HTTPS und Backups, die sich wirklich zurückspielen lassen.
Sechs Situationen aus der Praxis
Diese Fälle haben wir im Betrieb von Websites erlebt, von kleinen Unternehmen bis zu Hochschulen und öffentlichen Plattformen. Die Kunden nennen wir hier bewusst nicht.
Kritisches Update am Sonntag
Das Problem:
Für ein weit verbreitetes Formularmodul erscheint ein kritischer Sicherheitshinweis, mitten am Wochenende.
Die Ursache:
Lücken und ihre Ausnutzung halten sich nicht an Bürozeiten.
Die Lösung:
Wir prüfen anhand der Paketliste, ob die Website betroffen ist, und spielen das Update bei Bedarf sofort ein. In diesem Fall noch am selben Sonntag.
Die Lücke steckt in PHP
Das Problem:
Eine Schwachstelle betrifft nicht Drupal, sondern die Serversoftware. Die IT-Sicherheit einer Hochschule fragt nach: behoben, warum weiter online, wurde sie ausgenutzt?
Die Ursache:
Solche Hinweise tauchen in keinem Drupal-Bericht auf.
Die Lösung:
Wir beobachten auch PHP und Server, schließen die Lücke, prüfen auf Spuren und dokumentieren die Abwägung. Hier blieb das System 28 Minuten ungepatcht.
Massenzugriffe legen die Seite lahm
Das Problem:
Eine öffentliche Plattform fällt innerhalb von 18 Stunden dreimal aus. Der Betreiber vermutet einen verteilten Angriff über viele IP-Adressen.
Die Ursache:
Eine Suche mit vielen Filtern ist teuer. Tausende Kombinationen binden jeden PHP-Prozess und treffen keinen Cache.
Die Lösung:
Wir sichern die Stelle: begrenzte gleichzeitige Suchen, Grenzen pro IP-Adresse, nur bekannte Parameter mit wenigen Filtern. Dazu die Abstimmung mit dem Hosting.
Das Update wirkt noch gar nicht
Das Problem:
Der Server meldet alles aktuell, trotzdem läuft ein alter Kernel mit bekannten Lücken.
Die Ursache:
Kernel-Updates greifen erst nach einem Neustart. Automatische Updates erledigen das oft nicht.
Die Lösung:
Neustarts planen wir mit Sicherung und angekündigtem Wartungsfenster und prüfen danach, was tatsächlich läuft.
Das Passwort ist die Schwachstelle
Das Problem:
Ein gestohlenes Passwort reicht für den Zugriff auf Hosting-Panel oder Administration.
Die Ursache:
Zugänge wachsen über Jahre, oft ohne zweiten Faktor und ohne Aufräumen.
Die Lösung:
Wir führen Zwei-Faktor-Anmeldung ein, stellen SSH auf Schlüssel um und entfernen verwaiste Konten.
Die Version bekommt keine Updates mehr
Das Problem:
Eine Website läuft weiter wie immer, doch seit Januar 2025 erscheinen für Drupal 7 keine Sicherheitsupdates mehr.
Die Ursache:
Solange alles funktioniert, fällt das Supportende niemandem auf.
Die Lösung:
Wir machen das Risiko sichtbar und planen die Migration auf eine aktuelle Version, Schritt für Schritt.
So geht Drupal mit Sicherheitslücken um
Wer die Abläufe kennt, kann besser einschätzen, wann es eilt.
Security Advisories
Das Security Team veröffentlicht Hinweise für Core (SA-CORE) und Module (SA-CONTRIB). Sie beschreiben die Lücke, die betroffenen Versionen und die Lösung.
Risikostufen
Jeder Hinweis nennt eine Stufe von „nicht kritisch“ bis „hochkritisch“. Sie hilft bei der Einordnung, ersetzt aber nicht die Prüfung, ob Ihre Website betroffen ist.
Feste Zeitfenster
Core-Sicherheitsreleases erscheinen in festen Fenstern, meist am dritten Mittwoch im Monat. Nicht jedes Fenster bringt ein Release, Zeit einplanen sollten Sie trotzdem.
Sicherheitsabdeckung
Nicht jedes Modul steht unter Sicherheitsabdeckung. Auf der Projektseite auf drupal.org steht das ausdrücklich. Das sollten Sie vor dem Einsatz prüfen.
Typische Angriffe und was dagegen hilft
Die meisten Angriffe folgen bekannten Mustern. Mehrere Schichten fangen auf, was einer allein nicht schafft.
SQL-Injection
Manipulierte Eingaben greifen auf die Datenbank zu. Hilft: die Datenbank-API von Drupal und Prüfung von eigenem Code.
Cross-Site-Scripting
Eingeschleuster Code läuft im Browser anderer. Hilft: Textformate eng halten, Twig-Escaping und Content-Security-Policy.
Umgangene Rechte
Inhalte oder Funktionen sind ohne Berechtigung erreichbar. Hilft: Rollen prüfen und Rechteprüfungen in jeder eigenen Route.
Passwort-Angriffe
Automatisierte Anmeldeversuche. Hilft: Begrenzung der Versuche, starke Passwörter und ein zweiter Faktor.
DDoS und Bots
Massenhafte Anfragen legen Dienste lahm. Hilft: Caching, Grenzen pro IP-Adresse, Schutz teurer Seiten und eine Web Application Firewall.
Formular-Spam
Bots füllen Formulare aus, Mails gehen ins Leere. Hilft: Honeypot, datensparsames CAPTCHA und saubere Weiterverarbeitung.
Supportende
Drupal 10 läuft am 9. Dezember 2026 aus
Danach erscheinen für Drupal 10 keine Sicherheitsupdates mehr. Wer dann noch darauf läuft, trägt bekannt werdende Lücken selbst.
Wie wir Sie unterstützen
Vom ersten Überblick bis zum laufenden Betrieb. Sie entscheiden, welcher Einstieg zu Ihrer Situation passt.
Sicherheitsstand prüfen
Im technischen Audit erfassen wir Version, Module, Custom Code und Betrieb und priorisieren, was zuerst behoben werden sollte.
Updates einspielen
Security-Updates bewerten wir nach Risiko, prüfen sie zuerst auf DEV oder Staging und dokumentieren den Release.
Website übernehmen
Betreut bisher jemand anderes Ihre Website? Unsere Agentur für Drupal klärt den Stand und führt Sicherheit und Betrieb geordnet weiter.
Drupal absichern: Das können Sie selbst prüfen
- Updates: Unter „Berichte“ zeigt Drupal verfügbare Aktualisierungen. Aktivieren Sie die Benachrichtigung per E-Mail.
- Statusbericht: Lesen Sie ihn regelmäßig, er zeigt Warnungen zu Konfiguration und Server.
- Konten: Halten Sie Administrator-Konten klein, entfernen Sie verwaiste Zugänge und richten Sie eine Zwei-Faktor-Anmeldung ein.
- Fehlermeldungen: Geben Sie auf der Live-Website keine Fehlermeldungen an Besucherinnen und Besucher aus.
- Module: Entfernen Sie, was nicht genutzt wird, und prüfen Sie die Sicherheitsabdeckung.
- Dateien: Vertrauliche Dateien gehören in den privaten Dateibereich, nicht in den öffentlichen.
- Backups: Testen Sie regelmäßig, ob sich eine Sicherung auch wirklich zurückspielen lässt.
Sie möchten das nicht selbst machen? Unsere Drupal-Agentur übernimmt die Prüfung und Umsetzung.
Häufige Fragen
Ja. Als Drupal-Agentur seit 2005 verschaffen wir uns zuerst einen Überblick über den technischen Stand und besprechen dann, wie Sicherheit und Betrieb weiterlaufen.