Die Zeiten einfacher Passwörter gehen zu Ende.
Cyberkriminelle nutzen heute automatisierte Angriffe, Phishing-Mails und gestohlene Zugangsdaten aus Datenlecks, um Webseiten zu kompromittieren.
Joomla begegnet dieser Entwicklung bereits seit mehr als zehn Jahren mit modernen Sicherheitsfunktionen, die weit über das klassische Passwort hinausgehen. Und seit 2022 machen Mechanismen wie die Zwei-Faktor-Authentifizierung, Passkeys oder Hardware-Sicherheitsschlüssel wie der YubiKey Joomla zu einem noch sichereren Open-Source-CMS.
Doch was steckt hinter diesen Technologien? Was ist der Unterschied zwischen 2FA, Passkey, WebAuthn und YubiKey? Und welche Lösung eignet sich für welche Joomla-Website?
Genau darum geht es in diesem Beitrag.
In diesem Beitrag findest du Antworten auf folgende Fragen:
Warum Passwörter allein nicht mehr ausreichen
Passwörter galten jahrzehntelang als Standard für die Anmeldung an Websites, Online-Shops, E-Mail-Konten und CMS-Systemen. Das Problem: Menschen verwenden Passwörter oft mehrfach, wählen zu einfache Kombinationen oder speichern sie an unsicheren Orten.
Gelangt ein Passwort in falsche Hände, kann ein Angreifer sofort versuchen, sich anzumelden. Genau hier liegt das Risiko: Das Passwort ist zwar ein Schlüssel, aber oft ein Schlüssel, der kopiert, erraten oder gestohlen werden kann.
Moderne Website-Sicherheit setzt deshalb auf zusätzliche Schutzebenen. Dazu gehören mehrere Anmeldefaktoren, kryptografische Verfahren, Hardware-basierte Sicherheit und im besten Fall sogar passwortlose Anmeldungen.
Bei Joomla spielen deshalb 2FA, Passkeys und Sicherheitsschlüssel eine immer wichtigere Rolle.
Zwei-Faktor-Authentifizierung (2FA)
Die Zwei-Faktor-Authentifizierung ergänzt das Passwort um einen zweiten Nachweis. Bei der Anmeldung reicht das Passwort allein nicht mehr aus. Zusätzlich muss ein zeitlich begrenzter Code eingegeben werden, der zum Beispiel auf dem Smartphone erzeugt wird.
Typische Apps dafür sind Google Authenticator, Microsoft Authenticator, Authy oder FreeOTP. Diese Apps erzeugen laufend neue Einmalcodes, die nur für kurze Zeit gültig sind.
Der grosse Vorteil: Selbst wenn ein Passwort gestohlen wird, kann sich ein Angreifer ohne den zweiten Faktor nicht ohne Weiteres anmelden. Für Joomla-Websites ist 2FA deshalb eine sehr sinnvolle Basismassnahme.
Der Nachteil: Benutzer müssen weiterhin Passwörter verwalten. Zudem ist klassische 2FA nicht vollständig gegen Phishing geschützt, wenn Angreifer Passwort und Code in Echtzeit abfangen.
Passkeys – Die Zukunft der Anmeldung
Passkeys gelten als Nachfolger des klassischen Passworts. Statt ein Passwort einzugeben, verwendet das System ein kryptografisches Schlüsselpaar: einen öffentlichen Schlüssel auf dem Server und einen privaten Schlüssel auf dem Gerät des Benutzers.
Der private Schlüssel verlässt das Gerät nie. Die Anmeldung wird lokal bestätigt, zum Beispiel per Fingerabdruck, Face ID, Windows Hello, Geräte-PIN oder Sicherheitsschlüssel.
Das ist nicht nur bequem, sondern auch sehr sicher. Ein Passkey funktioniert nur für die echte Website, für die er erstellt wurde. Wird ein Benutzer auf eine gefälschte Login-Seite gelockt, kann der Passkey dort nicht verwendet werden.
Damit lösen Passkeys gleich mehrere Probleme auf einmal: keine schwachen Passwörter, keine mehrfach verwendeten Passwörter und deutlich weniger Angriffsfläche für Phishing.
WebAuthn – Das technische Fundament
Hinter Passkeys und Hardware-Schlüsseln steckt WebAuthn. WebAuthn ist ein offener Standard für sichere Anmeldungen im Browser und bildet zusammen mit FIDO2 die technische Grundlage moderner passwortloser Authentifizierung.
Der entscheidende Unterschied zur klassischen Anmeldung: Es wird kein Passwort übertragen. Stattdessen bestätigt das Gerät des Benutzers kryptografisch, dass die Anmeldung legitim ist.
Für Website-Betreiber bedeutet das weniger Risiko. Es gibt keine klassische Passwortdatenbank, die als Hauptziel für Angreifer dient. Gleichzeitig bleibt die Lösung benutzerfreundlich, weil moderne Browser und Betriebssysteme WebAuthn direkt unterstützen.
Joomla nutzt diese Technologie, um sichere Anmeldungen mit Passkeys und kompatiblen Sicherheitsschlüsseln zu ermöglichen.
YubiKey – Sicherheit auf Hardware-Niveau
Ein YubiKey ist ein physischer Sicherheitsschlüssel. Er wird je nach Modell per USB, NFC oder Lightning verwendet und enthält einen geschützten Kryptografie-Chip.
Bei der Anmeldung fordert Joomla über den Browser eine Bestätigung an. Der YubiKey signiert diese Anfrage kryptografisch. Ein kurzer Tastendruck genügt, und Joomla kann prüfen, ob der richtige Schlüssel verwendet wurde.
Der geheime Schlüssel verlässt den YubiKey nie. Das macht solche Hardware-Schlüssel besonders robust gegen Phishing, Schadsoftware und gestohlene Zugangsdaten.
Für Administratoren, Agenturen und Unternehmen mit sensiblen Daten ist ein YubiKey deshalb eine der stärksten Schutzmassnahmen. Sinnvoll ist allerdings immer ein zweiter Schlüssel als Reserve, falls der erste verloren geht.
Passkey oder YubiKey – Was ist der Unterschied?
Passkey und YubiKey werden oft verwechselt. Der Unterschied ist einfach: Ein Passkey ist die Anmeldemethode. Ein YubiKey ist ein mögliches Gerät, auf dem ein solcher Schlüssel besonders sicher gespeichert werden kann.
Ein Passkey kann auf dem Smartphone, auf dem Computer, in einem Passwortmanager oder auf einem Hardware-Schlüssel liegen. Der YubiKey ist dabei die besonders robuste Variante für Menschen, die maximale Sicherheit wollen.
Für die meisten Benutzer ist ein Passkey auf Smartphone oder Laptop sehr komfortabel. Für Administratoren ist ein Hardware-Schlüssel oft die bessere Wahl, weil er unabhängig vom normalen Gerät verwendet wird.
Man kann es sich so vorstellen: Der Passkey ist der digitale Haustürschlüssel. Der YubiKey ist ein besonders sicherer Schlüsselbund, der diesen Schlüssel schützt.
Joomla unterstützt moderne Authentifizierung bereits heute
Joomla bietet bereits heute mehrere Möglichkeiten für sichere Anmeldungen. Neben der klassischen Benutzername-Passwort-Anmeldung lassen sich zusätzliche Schutzmechanismen aktivieren.
Dazu gehören die Zwei-Faktor-Authentifizierung mit zeitbasierten Einmalcodes, WebAuthn, Passkeys und kompatible Hardware-Sicherheitsschlüssel.
Das ist ein grosser Vorteil für Website-Betreiber. Nicht jede Website braucht sofort dieselbe Sicherheitsstufe. Ein kleiner Verein hat andere Anforderungen als eine Agentur, ein Verband oder ein Unternehmen mit vielen Redaktoren.
Joomla erlaubt deshalb einen pragmatischen Aufbau: zuerst sichere Passwörter und 2FA, danach Passkeys oder Hardware-Schlüssel für besonders wichtige Konten.
Welche Lösung ist die richtige?
Für viele Vereins- und KMU-Websites ist die Kombination aus starkem Passwort und Zwei-Faktor-Authentifizierung bereits ein grosser Sicherheitsgewinn. Der Aufwand bleibt überschaubar, der Schutz steigt deutlich.
Für Agenturen, professionelle Website-Betreiber und regelmässige Backend-Benutzer sind Passkeys besonders interessant. Sie erhöhen die Sicherheit und machen die Anmeldung gleichzeitig bequemer.
Für Administratoren, Unternehmen und Websites mit sensiblen Daten empfiehlt sich zusätzlich ein Hardware-Sicherheitsschlüssel wie der YubiKey. Gerade Super-User-Konten sollten besonders geschützt werden.
Wichtig ist: Sicherheit darf nicht nur theoretisch stark sein. Sie muss im Alltag funktionieren. Die beste Lösung ist deshalb jene, die konsequent genutzt wird und gleichzeitig zum Risiko der Website passt.
Fazit: Joomla wird zum Tresor
Moderne Cyberangriffe richten sich längst nicht mehr nur gegen Server, sondern sehr oft gegen Benutzerkonten. Genau dort setzen 2FA, Passkeys und Hardware-Schlüssel an.
Die Zwei-Faktor-Authentifizierung ist ein starker erster Schritt. Passkeys gehen weiter und machen die Anmeldung komfortabler und deutlich widerstandsfähiger gegen Phishing. YubiKeys bringen zusätzlich Sicherheit auf Hardware-Niveau.
Joomla bietet damit eine moderne Sicherheitsbasis, die sich flexibel an unterschiedliche Projekte anpassen lässt. Vom kleinen Verein bis zur professionellen Agenturinstallation ist vieles möglich, ohne das System unnötig kompliziert zu machen.
Wer heute eine Joomla-Website betreibt, sollte Benutzerkonten deshalb nicht mehr nur mit Passwörtern schützen. Besonders Administratoren verdienen einen besseren Schutz.
Joomla wird nicht nur schneller. Joomla wird auch deutlich sicherer. Aus dem soliden Arbeitstier wird damit nicht nur eine Rakete, sondern auch ein Tresor.
Wichtige Ergänzung
Keiner dieser Sicherheitsschlüssel, mit denen das Login in die Website oder ins Backend abgesichert werden kann, sind ein Ersatz für andere Sicherheitsmassnahmen. Die wichtigste Massnahmen sind und bleiben IMMER folgende:
- Joomla und Erweiterungen immer aktuell halten
- Nur vertrauenswürdige Erweiterungen verwenden
- So wenige Erweiterungen wie möglich einsetzen (so wenig wie möglich, so viel wie nötig)
Die oben genannten Mechanismen dienen als zwar wichtige - aber nur als zusätzliche - Absicherung für die Website.
