Secure Audit Shield.
Sicherheit für Joomla! 5 und 6.
Eine Erweiterung, die deine Joomla!-Website zusätzlich absichert, überwacht und prüft: Firewall auf Anwendungsebene, Sicherheits-Audit mit 41 Prüfungen, Dateiintegritäts-Scan mit Quarantäne und Alarme per E-Mail — als ein Installationspaket, direkt im Joomla-Backend. Die Ereignisdaten bleiben auf deinem eigenen Server.
in 5 Gruppen
Normal · Erhöht · Under Attack
in einem Paket
5.4 und 6 · PHP 8.1+
— So sieht es aus
Die Oberfläche von Secure Audit Shield, dargestellt mit Beispieldaten und in den Farben dieser Website — im Joomla-Backend erscheint sie in Dunkelblau. Alle Zahlen, Adressen und Namen sind frei gewählt beziehungsweise für Dokumentation reserviert, IP-Adressen zusätzlich unkenntlich gemacht; es sind keine echten Besucher oder Websites abgebildet. Ein Klick vergrößert das Bild.
— Was es kann
Sperrliste & Rate-Limiting
Begrenzt die Anfragen pro IP-Adresse und Minute. Wer darüber liegt, wird gesperrt — bei Wiederholung deutlich länger. Häufen sich Sperren in einem Netz, kann das ganze /24-Netz gesperrt werden.
Web Application Firewall
Erkennt typische Angriffsmuster in Adresse, Parametern, Formularen und User-Agent:
- SQL-Injection und Cross-Site-Scripting
- Path Traversal, LFI und RFI
- Uploads von PHP-, Skript- und .htaccess-Dateien, doppelte Endungen
- Scanner- und Angriffswerkzeuge als User-Agent
Geprüft werden nur nicht angemeldete Besucher — Redakteure werden beim Bearbeiten nicht ausgebremst.
Schutz für /administrator
Login-Limit mit Sperre, sofortige Sperre bei Standard-Benutzernamen wie „admin“, optionaler geheimer Zugangsschlüssel (ohne Schlüssel kommt eine 404-Seite), Backend nur für freigegebene IPs und Geo-Blocking für einzelne Länder.
Normal · Erhöht · Under Attack
Drei Stufen mit strengeren Limits. Im Modus „Under Attack“ bekommt jeder neue Besucher eine kurze JavaScript-Prüfung. Bei Überlast schaltet die Auto-Eskalation selbst hoch und nach der Ruhezeit wieder zurück.
41 Prüfungen mit Score
Der Audit prüft System, Benutzer, Dateien, Server und Crawler-Erreichbarkeit in wenigen Sekunden, berechnet einen Sicherheits-Score von 0 bis 100 mit Note und speichert den Verlauf. Wo es sich automatisieren lässt, gibt es „Beheben“ per Klick.
Basislinie, Scan, Quarantäne
Die Basislinie hält den Hash jeder Datei fest. Der Scan vergleicht dagegen und sucht nach Webshell-Mustern und fremden PHP-Dateien in Upload-Ordnern. Verdächtiges wandert in die Quarantäne — und lässt sich jederzeit wiederherstellen.
Live-Ansicht & Dashboard
Übersicht mit Score-Ring, Bedrohungslage, 24-Stunden-Diagramm, Angriffstypen, Live-Ereignisstrom und Handlungsempfehlungen. Dazu eine Karte im Joomla-Dashboard und ein Status-Würfel in grün, gelb oder rot.
E-Mail-Alarme & Aufgaben
Alarme bei Flood- und Brute-Force-Sperren, Moduswechsel, verdächtigen Dateien und kritischen Audit-Befunden — mit Ruhezeit je Alarm und Test-Alarm. Audit, Dateiscan und Wartung laufen über den Joomla-Task-Scheduler.
Verifizierte Crawler gezielt ausnehmen
Erkannte und verifizierte Suchmaschinen und unterstützte KI-Crawler sind von Sperren, Rate-Limit und Prüfseite ausgenommen. sitemap.xml, robots.txt und llms.txt bleiben in der Regel lesbar. Der Audit warnt, wenn Einstellungen das Crawling behindern.
Auch hinter Cloudflare
Funktioniert hinter Cloudflare, Load Balancern und eigenen Proxys. Die echte Besucher-Adresse wird nur übernommen, wenn die Anfrage nachweislich von einem vertrauenswürdigen Proxy kommt — gefälschte Kopfzeilen werden ignoriert.
— Der Audit im Detail
System & Versionen 7
- Joomla-Version und Updates
- PHP-Version (Ende der Unterstützung)
- Erweiterungen mit offenen Updates
- Datenbank-Präfix, Debug-Modus, Fehleranzeige, Session-Dauer
Benutzer & Zugriff 8
- Anzahl der Super-User, Multifaktor-Authentifizierung
- Verwaiste Gruppenrechte und API-Tokens gelöschter Benutzer
- Admin-Konten, die lange nicht genutzt wurden
- Standard-Benutzernamen, Sitzungen, Passwort-Mindestlänge
Dateien & Konfiguration 6
- Rechte der configuration.php, Installationsordner
- Weltweit beschreibbare Kerndateien
- Verdächtige und geänderte Dateien
- Upload-Ordner ohne .htaccess, Log-Verzeichnis im Webroot
Server & Schutz 13
- Schutz-Plugin aktiv, HTTPS erzwungen, Security-Header
- Proxy- und CDN-Erkennung, Joomla-Schalter „Hinter Load Balancer“
- Geheimer Zugangsschlüssel, Geo-Blocking, Alarm-Empfänger
- Geplante Aufgaben, Laufzeitverzeichnis, Menüeintrag
SEO, GEO & Crawler 7
- Crawler-Verifikation und blockierte Suchmaschinen-Kennungen
- robots.txt und Meta-Robots-Einstellung
- Erreichbarkeit der Sitemap
— Das Paket
Ein Installationspaket, fünf Erweiterungen — das Paket aktiviert die Plugins und legt das Dashboard-Modul selbst an.
— Installation in fünf Schritten
- ZIP hochladenIm Backend unter „System → Installieren → Erweiterungen“ die ZIP-Datei hochladen. Das Paket erledigt den Rest.
- Eigene IP freigebenUnter „DDoS & Firewall“ die eigene IP-Adresse in die Freigabeliste eintragen — sie zeigt dir die Komponente direkt an. So sperrst du dich nie selbst aus.
- Audit startenEin Klick in der Werkzeugleiste. Nach wenigen Sekunden steht der Score fest, mit den Handlungsempfehlungen dazu.
- Basislinie erstellen, Scan startenUnter „Dateiintegrität“ einmal die Basislinie erzeugen und danach den Scan starten.
- Alarme einrichtenE-Mail-Adresse eintragen und „Test-Alarm senden“. Optional Audit und Dateiscan täglich über „Geplante Aufgaben“ laufen lassen.
Voraussetzungen: Joomla 5.0 oder neuer, PHP 8.1 oder neuer, MySQL oder MariaDB. Getestet mit Joomla 5.4 und Joomla 6. Das Verzeichnis
administrator/cache/secaudit muss für den Webserver beschreibbar sein. Oberfläche in Deutsch und Englisch.
Ein Update spielst du ein, indem du die neue ZIP-Datei einfach über die bestehende Installation installierst —
Einstellungen, Sperrlisten und Ereignisse bleiben erhalten.
— Ehrlich gesagt: Grenzen
- Kein Ersatz für Updates und Backups. Secure Audit Shield senkt Risiken und macht Probleme sichtbar. Eine Garantie, dass eine Website nicht angegriffen oder kompromittiert wird, gibt es nicht — von keiner Erweiterung.
- Schutz auf Anwendungsebene. Die Firewall stoppt Floods, die PHP und Datenbank belasten, dazu Brute-Force und Scanner. Volumetrische Angriffe auf die Leitung müssen vor dem Server abgefangen werden — beim Hoster oder über ein CDN. Der Audit prüft, ob ein solcher Schutz erkannt wird.
- Herkunftsländer und Geo-Blocking funktionieren, wenn der Server einen Länder-Header liefert (etwa Cloudflare oder mod_geoip). Ohne Header bleiben diese Anzeigen leer.
- Datenschutz. Ereignisse mit Zeit, IP-Adresse, Art und aufgerufener Adresse werden für die eingestellte Dauer gespeichert (Standard: 30 Tage). Sperrlisten, Protokolle und Ergebnisse bleiben auf deinem Server; heruntergeladen werden nur öffentliche IP-Listen der Suchmaschinen- und Cloudflare-Netze für den Abgleich. Die Bremind-Edition lädt beim Öffnen der Komponente außerdem das Bremind-Logo von bremind.de; eine mitgelieferte Kopie dient als Ersatz. Weil IP-Adressen personenbezogen sind, gehört ein Hinweis in die Datenschutzerklärung deiner Website.
— In Planung, noch nicht enthalten
— Für wen das sinnvoll ist
— Erwerben
Secure Audit Shield gibt es als Installationspaket (ZIP-Datei) für Joomla 5 und 6. Was Paket, Updates und Support kosten und wie du sie beziehst, besprechen wir kurz und persönlich — ohne Verkaufsgespräch, mit einer klaren Antwort.
Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB — nicht an Verbraucher. Lizenz der Erweiterung: GNU GPL v2 oder neuer, wie bei Joomla üblich.
— Häufige Fragen
Für welche Joomla-Versionen ist das gedacht?
Getestet ist sie mit Joomla 5.4 und Joomla 6. Sie ist nach der aktuellen Joomla-Architektur aufgebaut und verwendet keine Legacy-Klassen. Voraussetzung sind Joomla 5.0 oder neuer, PHP 8.1 oder neuer und MySQL oder MariaDB.
Kann ich mich selbst aussperren?
Die Freigabeliste hat immer Vorrang. Trage deine eigene IP-Adresse dort ein, bevor du strenge Modi oder den geheimen Zugangsschlüssel nutzt — die Komponente zeigt dir deine aktuelle Adresse direkt an. Falls doch etwas schiefgeht, lässt sich das Schutz-Plugin notfalls in der Datenbank deaktivieren.
Werden verifizierte Suchmaschinen und unterstützte KI-Crawler ausgesperrt?
Im Regelfall nein. Verifizierte Crawler werden über die offiziellen IP-Listen und per Reverse-DNS erkannt und sind von Sperren, Rate-Limit und Prüfseite ausgenommen. Das hängt von externen Angaben (IP-Listen, DNS) ab und ist keine Garantie. sitemap.xml, robots.txt und llms.txt bleiben in der Regel für alle lesbar.
Hilft es gegen DDoS-Angriffe?
Gegen Überlast auf Anwendungsebene — viele Anfragen, die PHP und Datenbank belasten — ja: Rate-Limiting, Sperren und der Under-Attack-Modus greifen dort. Angriffe, die schon die Leitung füllen, müssen vor dem Server abgefangen werden, etwa beim Hoster oder über ein CDN.
Funktioniert es hinter Cloudflare oder einem Proxy?
Ja. Die echte Besucher-Adresse wird aus den Proxy-Kopfzeilen gelesen, aber nur, wenn die Anfrage von einem vertrauenswürdigen Proxy kommt. Cloudflare-Netze sind eingebaut und werden wöchentlich aktualisiert, eigene Proxys trägst du in den Einstellungen ein.
Welche Daten werden gespeichert?
Zur Erkennung und Abwehr sicherheitsrelevanter Ereignisse verarbeitet Secure Audit Shield unter anderem IP-Adressen, Zeitpunkte, aufgerufene Adressen und erkannte Ereignistypen, dazu Sperr- und Freigabelisten sowie die Ergebnisse von Audits und Dateiscans. Die Protokolldaten werden standardmäßig 30 Tage gespeichert; die Dauer ist einstellbar. Diese Daten bleiben auf deinem Server. Betreiber sollten die Verarbeitung samt Zweck, Rechtsgrundlage und Speicherdauer in ihrer Datenschutzerklärung berücksichtigen.
Du willst deine Joomla-Seite besser im Blick haben?
Schreib mir kurz, worum es geht — ich melde mich mit einer klaren Antwort zu Paket und Konditionen.
Paket anfragen →Joomla!® ist eine eingetragene Marke von Open Source Matters, Inc. Secure Audit Shield ist ein unabhängiges Produkt von Bremind und steht in keiner Verbindung zum Joomla!-Projekt. Cloudflare und weitere genannte Namen sind Marken ihrer jeweiligen Inhaber und dienen hier nur der Beschreibung der Kompatibilität. Hintergrund-Video KI-generiert und als solches gekennzeichnet.