TYPO3 Wartung und DSGVO: Was Website-Betreiber wissen müssen
„Die Website läuft doch“ — das ist der Satz, der mich am häufigsten erreicht, wenn es um Wartungskosten geht. Geld ausgeben für etwas, das man nicht sieht? Das fühlt sich für viele Kunden an, als würde man eine Versicherung für etwas bezahlen, das nie passiert. Das Problem: Mit der DSGVO ist genau das passiert. Wartung ist keine Versicherung mehr, sondern gesetzliche Pflicht. Und wer sie ignoriert, trägt das Risiko allein.
Hinweis: Ich bin kein Anwalt, sondern TYPO3-Spezialist. Dieser Artikel gibt meine Einschätzung der Rechtslage wieder, ersetzt aber keine juristische Beratung.
Warum „läuft doch“ nicht reicht
Die DSGVO schreibt nicht explizit vor: „Sie müssen immer die neueste TYPO3-Version installieren.“ Das wäre auch unrealistisch — nicht jeder kann alle 1,5 Jahre ein Major-Update durchführen.
Aber die DSGVO fordert etwas anderes: den sogenannten Stand der Technik (Artikel 32). Das bedeutet konkret: Ihr System muss so sicher sein, wie es mit angemessenem Aufwand möglich ist. Updates, die kostenlos zur Verfügung stehen und bekannte Sicherheitslücken schließen, nicht zu installieren — das lässt sich schwerlich als „angemessen“ verteidigen.
Was passiert, wenn es schiefgeht?
Stellen Sie sich vor: Ihre TYPO3-Website läuft auf einer Version, für die es seit über einem Jahr keine Sicherheitsupdates mehr gibt. Das ist nicht hypothetisch — automatisierte Angriffe scannen täglich tausende Websites auf bekannte Lücken. Wenn so ein Angriff trifft, sind Kundendaten kompromittiert: Namen, E-Mail-Adressen, vielleicht Bestelldaten oder Passwörter.
Jetzt kommt die DSGVO ins Spiel:
- Meldepflicht: Sie müssen den Vorfall innerhalb von 72 Stunden bei der zuständigen Datenschutz-Aufsichtsbehörde melden (Artikel 33).
- Haftung: Die Behörde fragt nicht, ob das Update teuer gewesen wäre. Sie fragt, ob Sie fahrlässig gehandelt haben. Wer ein System mit bekannten Sicherheitslücken betreibt, für den ist die Antwort aus Sicht der Behörde klar.
- Schadensersatz: Betroffene Personen können individuell Schadensersatz fordern. Bei mehreren hundert Datensätzen summiert sich das schnell.
Was es kosten kann
Die DSGVO kennt Bußgelder bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes — je nachdem, was höher ist (Artikel 83). Das klingt nach Großkonzern-Problem, ist es aber nicht. Kleine und mittelständische Unternehmen bekommen regelmäßig vier- bis fünfstellige Bußgelder.
Dazu kommt der Reputationsschaden: Wenn Kunden erfahren, dass ihre Daten bei Ihnen nicht sicher waren, ist das Vertrauen weg. Das kostet nicht nur den einen Kunden, sondern auch jeden, der sich im Umfeld darüber äußert.
Ein Jahreswartungspaket, das einige hundert Euro kostet, gerät da in ein anderes Licht.
Es geht um mehr als TYPO3 selbst
Die DSGVO-Anforderungen betreffen nicht nur das TYPO3-Hauptsystem (den sogenannten Core). Auch diese Komponenten müssen aktuell gehalten werden:
- Extensions (Zusatzmodule für TYPO3, z. B. ein Kontaktformular oder ein News-System) — eine veraltete Extension mit bekannter Lücke reicht aus, um ein Problem zu haben
- PHP (die Programmiersprache, in der TYPO3 geschrieben ist) — auch PHP hat Sicherheitsupdates und Unterstützungsenden
- Datenbank und Webserver — diese laufen im Hintergrund, sind aber Teil des Gesamtsystems
Kurz gesagt: Sie brauchen ein Wartungskonzept für das Gesamtsystem, nicht nur für TYPO3 selbst.
Wann müssen Sie wirklich updaten?
Die gute Nachricht: Sie müssen nicht jede neue Version sofort installieren. Entscheidend ist der Support-Status Ihrer TYPO3-Version.
| Status | Was bedeutet das? | Was müssen Sie tun? |
|---|---|---|
| Regulärer Support | Die TYPO3-Community veröffentlicht kostenlose Sicherheitsupdates | Sicherheitsupdates einspielen, kein Major-Upgrade nötig |
| Extended Support (ELTS) | Der reguläre Support ist ausgelaufen, aber es gibt kostenpflichtige Weiter-Unterstützung durch die TYPO3 GmbH | Sicherheitsupdates einspielen (kostenpflichtig), Upgrade planen |
| Kein Support mehr | Weder regulärer noch Extended Support — keine Sicherheitsupdates mehr | Upgrade ist Pflicht. Wer hier weiter wartet, hat den Stand der Technik verlassen |
TYPO3 veröffentlicht sogenannte LTS-Versionen (Long Term Support), die in der Regel mehrere Jahre unterstützt werden. Mit ELTS (Extended Long Term Support) verlängert sich das noch einmal. Aber irgendwann ist auch die längste Supportzeit vorbei — und dann ist ein Upgrade unausweichlich.
Ein Vergleich aus dem echten Leben
Stellen Sie sich vor, Sie haben ein Firmengebäude mit einem Sicherheitssystem — Alarmanlage, Schlösser, Überwachungskameras. Der Hersteller stellt nach einigen Jahren fest, dass ein bestimmtes Schloss geknackt werden kann, und bietet kostenlos ein Update an. Sie installieren es nicht, weil „es ja bisher auch funktioniert hat“.
Wenn jetzt eingebrochen wird, wird keine Versicherung fragen, ob das Update teuer gewesen wäre. Sie wird fragen, ob Sie das Angebot kannten und warum Sie es nicht genutzt haben.
Bei TYPO3 ist es genau so: Die Sicherheitsupdates sind das Update für Ihr Schloss. Kostenlos verfügbar, solange Ihr System Support hat. Nicht zu installieren ist eine bewusste Entscheidung — und die hat Konsequenzen, wenn etwas passiert.
Was ich für Sie tue
Wenn ich Ihre TYPO3-Website betreue oder gebaut habe, gehören zu meiner Arbeit:
- Überwachung: Ich prüfe regelmäßig, ob Sicherheitsupdates für TYPO3, Extensions und PHP verfügbar sind
- Einspielen: Ich installiere Updates in einem Testsystem, prüfe sie auf Kompatibilität und spiele sie anschließend produktiv ein
- Beratung: Ich informiere Sie frühzeitig, wenn Ihre TYPO3-Version das Ende des Supports erreicht und ein Major-Upgrade ansteht
- Dokumentation: Ich halte fest, welche Wartungsarbeiten durchgeführt wurden — das ist im Fall einer Prüfung durch die Behörde relevant
Haben Sie keine Wartungsvereinbarung mit mir oder einer anderen Agentur? Dann laufen Sie Gefahr, dass Sicherheitsupdates unbemerkt bleiben. Gerne berate ich Sie, welche Lösung für Ihre Website sinnvoll ist.
Fazit
TYPO3-Wartung ist keine Koste-nichts-Option mehr. Die DSGVO hat aus regelmäßigen Updates eine Rechtspflicht gemacht — und die Haftung liegt beim Website-Betreiber, also bei Ihnen.
Die gute Nachricht: Mit einer Wartungsvereinbarung ist das kein ständiger Aufwand, sondern ein planbarer Prozess. Sie wissen, dass Ihr System aktuell ist, und im Fall der Fälle haben Sie es schriftlich.
Haben Sie Fragen zu Ihrer TYPO3-Website oder möchten Sie eine Wartungsvereinbarung abschließen? Kontaktieren Sie mich — ich berate Sie gerne.