TYPO3-Wartung: Sicherheitsupdates, Betrieb, Übernahme

Was TYPO3-Wartung tatsächlich bedeutet

TYPO3-Wartung besteht aus vier Arbeiten, die wenig miteinander zu tun haben: Core-Updates, Extension-Pflege, Pflege des Unterbaus und Redaktionssupport. Reguläre Maintenance-Releases erscheinen dienstags, etwa einmal im Monat je aktiver LTS-Version. Sicherheitsreleases erscheinen in der Regel an denselben Dienstagen — 2026 etwa am 9. Juni, am 14. Juli und am 11. August — und dann für alle unterstützten Versionen gleichzeitig. Wichtige Bulletins kündigt das TYPO3 Security Team vorab an, als Pre-Announcement im Format TYPO3-PSA; bei dringenden Fällen behält TYPO3 sich eine Veröffentlichung ohne Vorankündigung ausdrücklich vor. Planbar ist also der Termin, nicht der Umfang: Am 9. Juni 2026 waren es 14 Advisories auf einmal. Wer erst zum nächsten Monatstermin nachsieht, betreibt bis dahin eine Installation mit öffentlich dokumentierten Lücken.

Ein TYPO3 Security Bulletin ist kein Warnhinweis, sondern ein Arbeitsauftrag mit vollständigen Angaben: betroffene Komponente, Verwundbarkeitstyp, Schweregrad, CVSS-v4.0-Vektor, CVE- und CWE-Nummer, betroffene und behobene Versionen. TYPO3-CORE-SA-2026-021 vom 11. August 2026 meldet etwa Broken Access Control in ext:backend und ext:install, Schweregrad High, CVE-2026-19418, betroffen sind 13.0.0 bis 13.4.33 und 14.0.0 bis 14.3.5, behoben in 13.4.34 und 14.3.6. Daraus lässt sich in Minuten entscheiden, ob eine Installation betroffen ist. Vorausgesetzt, jemand liest mit.

Sharpness verfolgt die TYPO3 Security Bulletins über die Mailingliste typo3-announce, den RSS-Feed und die Kanäle des TYPO3 Security Teams. Eingespielt wird nicht direkt im Produktivsystem: Updates laufen zuerst auf einer Staging-Kopie, dort werden Backend, Formulare, Suche, Bildverarbeitung und Mailversand geprüft, danach folgt das Deployment. Die TYPO3-Dokumentation ist da selbst deutlich: Innerhalb einer LTS-Linie soll man jedes Patch-Release einspielen — auf 13.4.33 folgt 13.4.34, andere Sprünge gibt es dort nicht. Wer noch auf einem Sprint-Release wie 13.2 sitzt, muss auf die LTS-Linie 13.4 wechseln, weil die Vorgängerversionen nicht mehr unterstützt werden. Das ist keine Empfehlung einer Agentur, das steht im Handbuch.

TYPO3-Versionen und Support-Fristen (Stand 16. August 2026)

Die laufende TYPO3-Version steht im Backend unter Hilfe > Über TYPO3 und im Kopfbereich des Install Tools; auf der Kommandozeile liefert composer show typo3/cms-core die exakte Patchversion, in Composer-Installationen auch vendor/bin/typo3 --version. Von außen lässt sich die Version nicht zuverlässig ablesen. Für eine belastbare Einschätzung genügt die Domain allein deshalb nicht.

Kostenlose Sicherheitsupdates erhalten am 16. August 2026 nur TYPO3 v13 LTS und TYPO3 v14 LTS. Aktuelle Patch-Releases sind zu diesem Stand 13.4.34 und 14.3.6, beide vom 11. August 2026. Der kostenlose Support läuft für v13 LTS bis zum 31. Dezember 2027 und für v14 LTS bis zum 30. Juni 2029. TYPO3 v12.4 ist am 30. April 2026 herausgefallen, v11.5 am 31. Oktober 2024, v10.4 am 30. April 2023. Für TYPO3 v9 und älter gibt es überhaupt keinen Update-Pfad mehr: Der kostenpflichtige ELTS lief für v9.5 am 30. September 2025 aus, für v8.7 bereits am 31. März 2024. Quelle: get.typo3.org, abgerufen am 16. August 2026. Versionsstände und Fristen prüfen wir monatlich gegen diese Quelle.

Nach den W3Techs-Zahlen vom 16. August 2026 verteilen sich die erkannten Installationen so: TYPO3 v13 auf 24,8 Prozent, v12 auf 24,7 Prozent, v11 auf 17,0 Prozent, v10 auf 10,3 Prozent, v14 erst auf 1,2 Prozent. Hält man das gegen die Support-Fristen, bekommen 26 Prozent der von W3Techs erfassten Installationen kostenlose Sicherheitsupdates. 22 Prozent der von W3Techs erfassten Installationen laufen auf Version 9 oder älter und haben gar keinen Pfad mehr. Für diese 22 Prozent ist ein Versionssprung in aller Regel kein Upgrade mehr, sondern ein Relaunch: Die eingesetzten Extensions existieren meist nicht mehr in kompatibler Form, und der Weg über mehrere Hauptversionen kostet mehr als ein Neuaufbau auf TYPO3 v13 LTS mit Migration von Inhalten, Medien und Redirects. Wenn Ihre Installation veraltet ist, sind Sie damit in der Mehrheit. Ungefährlicher wird sie davon nicht.

Zwischen ELTS und Upgrade entscheidet die Restlaufzeit, nicht der Geschmack. ELTS ist gekaufte Zeit: Die TYPO3 GmbH ruft für v12 seit April 2026 3.200 Euro pro Jahr und Instanz vor Rabatten auf, für v10 und v11 unverändert 2.800 Euro. Ein Upgrade kostet einmalig mehr und beendet die Frage. Dazu gehört immer der Unterbau: v13 und v14 verlangen beide PHP 8.2 bis 8.5, MariaDB ab 10.4.3 oder MySQL ab 8.0.17 und Composer ab 2.1. Da PHP 8.2 am 31. Dezember 2026 sein Lebensende erreicht, planen wir gleich auf 8.3 oder 8.4 — sonst steht die nächste Migration in wenigen Monaten an.

Warum eine ungepflegte Installation teuer wird

Eine ungepflegte TYPO3-Installation wird nicht am Tag des Angriffs teuer, sondern in den Monaten davor: Der Abstand zwischen Ihrer Version und dem aktuellen Stand wächst, und mit ihm die Zahl der Arbeitsschritte, die ein Update nachholen muss. Eine TYPO3-Instanz, die zwei Jahre niemand angefasst hat, ist nicht ein Update entfernt, sondern eine Kette: Core-Sprung, Extensions ohne kompatiblen Nachfolger, PHP-Version, Datenbank, dazwischen Custom-Code, den niemand dokumentiert hat. Jeder Schritt hängt vom vorherigen ab. Genau deshalb wird aus einem Update irgendwann ein Projekt mit Angebot, Zeitplan und Budgetfreigabe.

Die zweite Kostenstelle einer ungepflegten TYPO3-Installation ist der Zeitdruck. Wenn ein Security Bulletin erscheint und die eigene Instanz betroffen ist, gibt es keine Wahl mehr zwischen sauber und schnell. Der 9. Juni 2026 war so ein Tag. Ein gepflegtes System nimmt vierzehn Advisories in einem Arbeitsgang auf. Ein ungepflegtes braucht erst Bestandsaufnahme, dann Testumgebung, dann Nacharbeit an Extensions — alles gleichzeitig und alles eilig.

Zur dritten Kostenstelle wird der fehlende Nachweis, meist erst, wenn jemand danach fragt. Artikel 32 Absatz 1 DSGVO verlangt technische und organisatorische Maßnahmen nach dem Stand der Technik, ausdrücklich die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung. Seit Dezember 2025 gilt zusätzlich das deutsche NIS2-Umsetzungsgesetz für rund 30.000 Unternehmen in 18 Sektoren — 11 Sektoren hoher Kritikalität nach Anlage 1, 7 weitere nach Anlage 2 —, mit Registrierungspflicht und Meldefristen von 24 und 72 Stunden. Ob Ihr Unternehmen darunterfällt, beurteilt ein Anwalt, nicht Ihre Agentur.

Was ein Wartungsvertrag nicht kann: einen Einbruch verhindern. Er verkürzt das Fenster zwischen Bulletin und Patch, hält den Unterbau auf einem unterstützten Stand und macht belegbar, wann gehandelt wurde. Mehr nicht. Wer mehr verspricht, verwechselt Wartung mit einer Versicherung.

Übernahme einer fremden TYPO3-Installation

Sharpness übernimmt bestehende TYPO3-Installationen unabhängig davon, wer sie gebaut hat — auch als laufende Wartung ohne vorherige Zusammenarbeit. Das ist der häufigste Anlass für eine Anfrage: Die bisherige Agentur reagiert nicht mehr, hat den Betrieb eingestellt, oder die Zusammenarbeit endet aus anderen Gründen. Gebraucht werden ein Backend-Zugang mit Administratorrechten, SSH- und SFTP-Zugang zum Server, Zugriff auf das Git-Repository und möglichst die Domain- und DNS-Verwaltung. SSH ist dabei der kritische Punkt: Ohne Shell-Zugriff lässt sich ein TYPO3-Projekt nur mit erheblichem Umweg betreuen. Wenn der Vorgänger nicht antwortet, fordern wir die Zugänge selbst an.

Die Bestandsaufnahme steht vor der Zusage, nicht danach. Wir sehen uns Core-Version und Extension-Inventar an, die Backend-Konten und wer davon überhaupt noch aktiv ist, PHP- und Datenbankversion, ob eine Composer- oder eine Legacy-Installation vorliegt, wie umfangreich die Custom-Extensions sind, TypoScript und TSConfig einschließlich der in der Datenbank gespeicherten Teile — und wir sehen im fileadmin nach, ob dort Dateien liegen, die dort nichts zu suchen haben. Finden wir Spuren einer Kompromittierung, ist das kein Wartungsfall: Dann steht eine saubere Neuaufsetzung an, mit eigenem Angebot. Für einen Zustand, den man nicht kennt, kann man keine Verantwortung übernehmen.

Was dabei zutage kommt, ist selten überraschend und trotzdem unangenehm: fehlende Dokumentation, proprietäre Extensions ohne Quellcode, kommerzielle Lizenzen auf den Namen der alten Agentur, Domain oder Hosting auf fremdem Namen registriert, Backups, die nie zurückgespielt wurden, ungeklärte Nutzungsrechte an Individualentwicklungen. Wir dokumentieren den Ausgangszustand und lassen ihn schriftlich bestätigen, damit später unterscheidbar bleibt, was wir vorgefunden und was wir verursacht haben. Und wir sagen ab, wenn ein System so gebaut ist, dass wir dafür nicht geradestehen können.

Wie ein Wartungsvertrag bei uns aussieht

Ein Wartungsvertrag besteht bei Sharpness aus einem festen und einem vereinbarten Teil. Fest sind: Beobachtung der TYPO3 Security Bulletins und Bewertung der Betroffenheit, Einspielen von Sicherheits- und Bugfix-Releases nach Test auf Staging, Extension-Pflege einschließlich der Frage, was mit unbetreuten Erweiterungen geschieht, Pflege von PHP und Datenbank, Backups mit Rücksicherungstest, Monitoring und ein Protokoll der durchgeführten Arbeiten. Vereinbart werden Reaktions- und Servicezeiten: Die stehen in einem individuellen Service Level Agreement, weil eine Hochschulwebsite andere Anforderungen hat als ein Vertriebsportal. Für Behörden und Hochschulen gehören die üblichen Nachweise dazu: Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, Serverstandort Deutschland und Update-Protokolle in einer Form, die man dem Datenschutzbeauftragten vorlegen kann. Prüfung und Nachbesserung der Barrierefreiheit nach BITV 2.0 sind dagegen ein eigenes Projekt.

Unsere Regelzeiten sind Mo–Fr 9:00–16:00 Uhr. Ein Bulletin, das Freitagabend erscheint, bewerten wir am Montag. Wer eine Abdeckung außerhalb dieser Zeiten braucht, vereinbart eine Rufbereitschaft im Service Level Agreement — sie kostet extra, und ohne ausdrückliche Vereinbarung gibt es sie nicht. Gehört der Betrieb dazu, läuft die Installation im Managed Hosting von Sharpness auf eigenen Proxmox-Clustern mit Serverstandort Deutschland. Laufende Störungen melden Sie über das Support-Formular unter sharpness.de/support oder telefonisch unter 0441 21 21 63 0.

Nicht im Wartungsvertrag enthalten sind Major-Upgrades zwischen zwei Hauptversionen — etwa von TYPO3 v12 über v13 auf v14 —, weil sie Breaking Changes, den Upgrade Wizard und Anpassungen am Custom-Code bedeuten. Neue Funktionen, Redesigns und zusätzliche Erweiterungen sind ebenfalls Projekte. Das klingt zunächst nach weniger Leistung als bei Anbietern, die alles einschließen. Ob es für Sie günstiger ist, hängt davon ab, wie oft ein Hauptversionssprung ansteht — nötig ist er spätestens, wenn der kostenlose Support Ihrer LTS-Linie endet.

Redaktionssupport ist die vierte dieser Arbeiten und bei Sharpness fester Bestandteil der TYPO3-Wartung, kein Zusatzposten. Kurze Fragen aus der Redaktion — warum ein Bild im Frontend nicht erscheint, wie ein Inhaltselement in eine andere Sprache kopiert wird, was der Cache gerade zurückhält — beantworten wir, ohne dass daraus ein Angebotsvorgang wird. Und wir richten die Betreuung so ein, dass Sie sie beenden können: Quellcode in Ihrem Repository, Zugänge und Lizenzen auf Ihr Unternehmen ausgestellt, Domains auf Ihren Namen registriert, Installation dokumentiert. Abhängigkeit ist ein schlechtes Geschäftsmodell und ein noch schlechteres Argument.