Joomla gehackt?
Joomla 6 Migration
Sicherheitsupdate PHP & YOOtheme
Blog
Referenzen
Über uns
Preise
Kontakt
Wer zehn, fünfzig oder hundert Joomla-Websites betreut, will nicht in jedes Backend einzeln. Dafür gibt es Dienste, die alle Seiten an einem Ort zeigen, Updates einspielen, Sicherungen anstoßen und Alarm schlagen, wenn eine Seite ausfällt. Wir haben uns neun davon angesehen. Akeeba Panopticon haben wir selbst installiert und mit einer Joomla-6.2-Testseite verbunden. Vier Connectoren haben wir auf Joomla 6.2.0 installiert, ihren Code gelesen, die Ladezeit gemessen und sie wieder deinstalliert. Für die übrigen Punkte gelten die öffentlichen Angaben der Anbieter, jeweils mit Quelle.
Das Wichtigste in Kürze
- Akeeba Panopticon ist kostenlos und läuft auf Ihrem eigenen Server. Updates aus der Ferne funktionierten im Test sofort. Sicherungen und der Dateiscanner gehen aber nur mit den Pro-Versionen von Akeeba Backup und Admin Tools (zusammen 75 € im ersten Jahr, beliebig viele Websites).
- mySites.guru kostet 19,99 £ im Monat, egal wie viele Websites. Die Daten liegen in London.
- BackupMonkey aus Deutschland prüft, ob sich Akeeba-Sicherungen wirklich zurückspielen lassen. Das Paket, auf das das Joomla-Verzeichnis verlinkt, ließ sich auf Joomla 6 nicht installieren, der aktuelle Connector 4.9.1 schon.
- Kein Connector bremst messbar: Die Startseite lud mit jedem der vier getesteten Connectoren so schnell wie ohne.
- Für keinen der Dienste nennt die US-Schwachstellendatenbank NVD einen Eintrag. Akeeba veröffentlicht die Sicherheitshinweise zu Panopticon offen auf GitHub: drei seit 2023, alle behoben.
Die Kandidaten
Alle Dienste arbeiten nach demselben Prinzip: Auf jeder Joomla-Seite steckt eine kleine Erweiterung, der Connector. Über ihn fragt eine zentrale Oberfläche – das Dashboard – Versionen ab und gibt Aufträge wie „Update installieren“. Der Unterschied liegt darin, wo dieses Dashboard läuft: bei einem Anbieter im Netz oder auf Ihrem eigenen Server.
| Dienst | Art | Version | Joomla 6 | 10 Websites / Monat | 50 Websites / Monat |
|---|---|---|---|---|---|
| Akeeba Panopticon | selbst gehostet, Open Source (AGPLv3) | 2.4.0 vom 22.10.2026 | Connector auf 6.2.0 getestet | 6,25 € | 6,25 € |
| mySites.guru | Dienst, Blue Flame Digital Solutions (UK) | – | eigener Connector laut Anbieter | 23,92 € | 23,92 € |
| Watchful | Dienst, Watchful LLC | Client 3.0.14 vom 14.10.2026 | auf 6.2.0 getestet | 16,32 € | 81,58 € |
| BackupMonkey | Dienst aus Deutschland | Connector 4.9.1 vom 23.07.2026 | auf 6.2.0 getestet | 6,00 € | 16,50 € |
| UpdateKing | Dienst, Odenwald-IT-Service UG | 2.3.3, seit Mai 2026 im JED | laut JED J4–J6 | 5,00 € | auf Anfrage |
| CMS Inspect | Dienst, Revibe Digital | Agent 1.4.63, seit August 2026 im JED | auf 6.2.0 getestet | 8,92 € | 44,58 € |
| SiteOps | Dienst, nur Überwachung | 1.5.1, seit März 2026 im JED | JED: J4–J6, Beschreibung: 4.x/5.x | 35,00 € | 79,00 € |
| Securitycheck Pro Control Center | Joomla-Komponente auf eigener Seite | 4.0.5 vom 15.10.2026 | laut JED J3–J6 | 7,50 € | 7,50 € |
| YourSites | selbst gehostet, GWE Systems (UK) | – | laut JED J3–J6 | 10,97 € | 10,97 € |
Grundpreise netto, ohne Zusatzleistungen; Dollar und Pfund zum Kurs der Europäischen Zentralbank vom 02.11.2026 (1 € = 1,1216 $ = 0,8358 £). Bei Panopticon ist der Preis der beiden Akeeba-Pro-Lizenzen eingerechnet, ohne die es keine Sicherungen gibt. Nicht im Test: der Windows-Client JManager und das Joomla Toolkit in Plesk. Plesk unterstützt Joomla 6 laut eigenem Forum seit Toolkit 3.0.10, installiert neue Seiten aber weiter mit Joomla 5.
Offenlegung: Für unsere Wartungskunden setzen wir selbst mySites.guru und Akeeba Backup ein und zahlen dafür wie jeder andere Kunde. Für den Vergleich haben wir in mySites.guru nur gelesen, nichts verändert. Für die Erwähnung hat niemand bezahlt.
Einrichtung
Panopticon ist eine eigenständige PHP-Anwendung, kein Joomla. Sie braucht PHP 8.3 oder neuer, eine MySQL- oder MariaDB-Datenbank und einen Cron-Auftrag, der jede Minute läuft. Der Installer hat 5 Schritte und war bei uns auf Deutsch: Voraussetzungen prüfen, Datenbank, erster Benutzer, Cron einrichten, fertig. Nach dem Cron-Schritt misst Panopticon bis zu 3 Minuten lang, wie lange ein Cron-Lauf auf dem Server dauern darf. Danach installieren Sie auf jeder Joomla-Seite den Connector, erzeugen im Backend das API-Token und tragen Adresse und Token in Panopticon ein.
Wir haben für Panopticon einen eigenen Super User angelegt, statt das Token eines Menschen zu nehmen. Das empfehlen wir bei jedem Dienst: Verlässt eine Person das Team, bleibt die Verbindung bestehen, und im Joomla-Aktionsprotokoll sehen Sie, was der Dienst getan hat.
Bei den Diensten im Netz legen Sie ein Konto an, installieren den Connector und hinterlegen einen Schlüssel. Diese Dashboards haben wir nicht selbst bedient, weil wir dafür keine Testkonten angelegt haben. Den Connector von mySites.guru gibt es nur nach Anmeldung, ebenso die von UpdateKing und SiteOps; die haben wir deshalb nicht installiert.
Der Connector: was er auf Ihrer Website darf
Der Connector ist der heikle Teil. Wer das Dashboard oder den Schlüssel kontrolliert, kann auf allen verbundenen Seiten Software installieren. Vier Connectoren gab es ohne Konto zum Herunterladen. Wir haben sie einzeln auf einer frischen Joomla-6.2.0-Seite installiert, den Code gelesen und sie wieder entfernt.
| Panopticon 1.2.0 | Watchful 3.0.14 | BackupMonkey 4.9.1 | CMS Inspect 1.4.63 | |
|---|---|---|---|---|
| Installation auf Joomla 6.2.0 | ohne Probleme | ohne Probleme | ohne Probleme | ohne Probleme |
| Neue Dateien | 117 | 45 | 62 | 28 |
| Bestandteile | Komponente, 3 Plugins | Komponente | Bibliothek, Komponente, Plugin | Komponente, System-Plugin |
| Wie sich der Dienst anmeldet | Joomla-API-Token eines Super Users | Signatur mit geheimem Schlüssel | Signatur mit geheimem Schlüssel | Connector holt Aufträge selbst ab |
| Installiert Pakete von einer Adresse, die das Dashboard nennt | ja (abschaltbar) | ja | nein, nur Updates | nur von 5 festen Servern |
| Anmeldung ins Backend per Klick | nein | nicht im Client | nein | ja |
| Läuft bei jedem Seitenaufruf | System-Plugin, wird nur bei Fehlern in API-Anfragen aktiv | nein | nein | ja, System-Plugin |
Was uns aufgefallen ist:
- BackupMonkey: Das Joomla-Verzeichnis (JED) verlinkt auf ein Paket in Version 1.6.10 vom Oktober 2023. Auf Joomla 6.2 bricht seine Installation ab und verlangt das Kompatibilitäts-Plugin; selbst mit eingeschaltetem Plugin blieb es beim Abbruch, und das Paket erlaubt höchstens Joomla 5.9. Der öffentliche Update-Server des Anbieters nennt dagegen Version 4.9.1 vom Juli 2026 – die lief auf Joomla 6.2 ohne Probleme. Laut Code unterdrückt sie Joomlas eigene automatische Core-Updates, solange die Seite mit BackupMonkey verbunden ist; die Updates kommen dann vom Dienst.
- CMS Inspect setzt anders als die übrigen auf ein System-Plugin, das bei jedem Aufruf mitläuft. Ist die Seite verbunden, fragt es laut Code alle fünf Minuten (einstellbar zwischen 1 und 60) beim Dienst nach Aufträgen – und zwar während eines normalen Besucheraufrufs. Ohne Verbindung haben wir keinen Unterschied gemessen.
- Panopticon nutzt Joomlas eigene Web-Services-Schnittstelle mit einem API-Token im Header. Die Installation von Paketen aus dem Netz ist voreingestellt erlaubt und lässt sich in den Optionen des Connectors abschalten.
- Watchful überträgt laut Code unter anderem die Liste der Administratoren mit Name und E-Mail-Adresse an das Dashboard. Das lässt sich in den Optionen abschalten.
Bekannte Sicherheitslücken
Am 03.11.2026 haben wir die US-Schwachstellendatenbank NVD nach allen neun Diensten und ihren Connectoren durchsucht. Für keinen gibt es einen Eintrag. Auch in unserer Liste der Sicherheitslücken in Joomla-Erweiterungen 2026 mit 40 CVEs taucht keiner auf. Das heißt nicht, dass die Connectoren fehlerfrei sind; es heißt nur, dass keine Lücke öffentlich gemeldet wurde.
Akeeba veröffentlicht Sicherheitshinweise zu Panopticon offen im GitHub-Repository – bisher drei, alle betreffen das Dashboard, nicht den Connector: kritisch (Oktober 2023, behoben in 1.0.2), kritisch (Juni 2026, Anmeldung ohne zweiten Faktor bei Konten ohne MFA, behoben in 2.1.0) und hoch (Juli 2026, Server-Side Request Forgery über Verbindungsprüfung und Uptime-Monitor, behoben in 2.3.0). Wer Panopticon selbst betreibt, muss solche Updates auch selbst einspielen. Panopticon meldet neue Versionen im Dashboard und kann sich selbst aktualisieren.
Unabhängig vom Dienst gilt: Schützen Sie die Konten im Dashboard mit einem zweiten Faktor, geben Sie dem Dienst einen eigenen Joomla-Benutzer und entfernen Sie Connectoren von Seiten, die Sie nicht mehr betreuen.
Updates aus der Ferne
Für den Test haben wir in der Datenbank der Testseite die Version von Akeeba Backup auf 10.4.0 zurückgesetzt. Panopticon zeigte daraufhin das Update auf 10.5.0 an. Ein Klick plante es ein, beim nächsten Cron-Lauf war es nach 6 Sekunden installiert. Das Ergebnis steht im Bericht der Website.
Kommerzielle Erweiterungen mit Download-Schlüssel aktualisieren alle Dienste über Joomlas eigene Update-Server. Der Schlüssel muss also in Joomla hinterlegt sein. Panopticon zeigt je Erweiterung, ob ein Schlüssel nötig ist und fehlt, und filtert danach. Watchful hängt laut Code einen in Joomla gespeicherten Schlüssel an die Download-Adresse an. BackupMonkey schreibt in seiner Dokumentation, dass Erweiterungen mit eigenem Update-Weg am Joomla-Updater vorbei nicht unterstützt werden.
| Dienst | Joomla-Core | Erweiterungen | automatisch |
|---|---|---|---|
| Akeeba Panopticon | ja, je Website sofort oder zu fester Uhrzeit | ja (getestet) | je Website und je Erweiterung |
| mySites.guru | ja, große Versionssprünge nur auf Anforderung | ja, auch gebündelt | je Erweiterung mit Update-Server |
| Watchful | ja | ja, auch gebündelt | nur Premium |
| BackupMonkey | ja | ja | laut Anbieter nicht beschrieben |
| UpdateKing | ja, nach bestätigtem Backup | ja | nicht beschrieben |
| CMS Inspect | ja (laut Code) | ja | Warteschlange, Wiederholung bei Fehlern |
Sicherungen
Fast alle Dienste steuern dafür Akeeba Backup auf der Website. Entscheidend ist die Edition: Panopticon braucht Akeeba Backup Professional. Mit der kostenlosen Core-Version 10.5.0 meldete Panopticon im Test „Akeeba Backup Core ist nicht mit Panopticon kompatibel“, der Backup-Befehl brach ab. Auch BackupMonkey setzt laut Dokumentation Akeeba Backup Pro voraus.
- BackupMonkey lässt die Sicherungen an Ihrem Speicherort. Für einen Wiederherstellungstest wird eine Kopie zum Anbieter übertragen, in einem Docker-Container entpackt und installiert, danach gelöscht. Ein Test kostet 0,10 € bis 2 GB, der Zeitplan 0,10 € je Website und Monat.
- mySites.guru plant Sicherungen über Akeeba Backup und erhält laut Datenschutzerklärung nur den Status, nie das Archiv.
- Watchful bietet geplante Sicherungen; laut Datenschutzerklärung liegen sie verschlüsselt auf Servern in der EU, und nur Sie haben den Schlüssel.
- CMS Inspect sichert selbst: einen Datenbank-Dump und ein ZIP ausgewählter Ordner, auf Wunsch zu Google Drive oder Dropbox. Die Dateien liegen laut Code in
administrator/cache. - UpdateKing sichert nicht und verlangt vor jedem Core-Update die Bestätigung, dass ein aktuelles Backup existiert.
Welche Sicherungs-Erweiterung zu Ihrer Website passt, zeigt unser Test der Backup-Erweiterungen für Joomla 6.
Überwachung
Panopticon prüft außerdem täglich das Ablaufdatum der SSL-Zertifikate und wöchentlich das der Domains. Für Dateiänderungen gibt es zwei Wege, die wir getestet haben:
- Die Kerndatei-Prüfung vergleicht Joomlas eigene Dateien mit den offiziellen Prüfsummen. Sie ist kostenlos und fand die Joomla-Datei, die wir für den Test verändert hatten.
- Eine zusätzliche PHP-Datei, die wir in
images/abgelegt hatten – typisch für eine Hintertür nach einem Angriff –, fand sie nicht. Dafür braucht Panopticon den Dateiscanner aus Admin Tools Professional.
Die Dienste im Netz beschreiben ihre Prüfungen so: mySites.guru prüft laut Anbieter jede Datei im Webspace und sucht nach Schadcode und Hintertüren. Watchful scannt mehrmals täglich (Premium: achtmal, Free: einmal) und meldet verwundbare Erweiterungen. BackupMonkey prüft auf Schadcode und mögliche Hacks. SiteOps überwacht zusätzlich DNS, SEO und Leistung. Selbst nachgeprüft haben wir diese Angaben nicht.
Berichte und Benachrichtigungen
| Dienst | Berichte für Kunden | Benachrichtigungen |
|---|---|---|
| Akeeba Panopticon | Aktionsprotokoll je Website, Zusammenfassungen per E-Mail; kein PDF mit eigenem Logo gefunden | E-Mail (Vorlagen anpassbar), Browser-Push |
| mySites.guru | Berichte mit eigenem Branding | E-Mail, auch bei geänderten Dateien und Admin-Anmeldungen |
| Watchful | PDF mit eigenem Logo; E-Mail-Berichte nach Zeitplan nur Premium | |
| BackupMonkey | monatlicher Wartungsbericht mit Logo und Farben, Text per Markdown | E-Mail bei Ausfall und Wiederkehr |
| UpdateKing | – | tägliche und wöchentliche Update-Mails |
| CMS Inspect | Berichte mit eigenem Branding | nicht beschrieben |
| SiteOps | PDF ab Tarif „Pro“ | E-Mail; ab „Starter“ Slack, Telegram, SMS, WhatsApp |
Mehrere Benutzer und Rollen
Panopticon kennt Benutzergruppen mit drei Stufen – Anzeigen, Ausführen (Updates und Sicherungen anstoßen) und Verwaltung – je Website. So können Kunden ihre eigene Seite sehen, ohne etwas zu ändern. Anmelden lässt sich mit zweitem Faktor (TOTP-App) oder Passkey. Seit Version 2.2 hat Panopticon eine eigene Schnittstelle für KI-Assistenten (MCP), die ab Werk ausgeschaltet ist; je Gruppe lässt sich festlegen, welche Werkzeuge erlaubt sind.
mySites.guru erlaubt laut Preisseite beliebig viele Teammitglieder mit eigenem Login und Rollen, ohne Aufpreis. SiteOps staffelt nach Tarif (3, 10 oder unbegrenzt). Watchful nennt ein Agentur-Dashboard und Single Sign-on für Premium. Bei BackupMonkey, UpdateKing und CMS Inspect haben wir dazu keine Angaben gefunden.
Eine Besonderheit ist die Anmeldung ins Joomla-Backend per Klick: mySites.guru wirbt damit, dass sie auch an der Zwei-Faktor-Abfrage der eigenen Seiten vorbeiführt. CMS Inspect meldet laut Code als erster aktiver Super User an. Das ist bequem, macht aber das Dashboard-Konto zum Generalschlüssel für alle Backends.
Datenschutz
| Dienst | Server | Auftragsverarbeitung | Was die Website verlässt |
|---|---|---|---|
| Akeeba Panopticon | Ihr eigener Server | nicht nötig | nichts an Dritte; Panopticon selbst meldet regelmäßig anonyme Versionsdaten an Akeeba (abschaltbar, ab Werk an) |
| mySites.guru | DigitalOcean, London | gilt automatisch | Kennzahlen und Versionen; Benutzerdaten nur bei Suche; KI-Analyse von Dateien nur, wenn eingeschaltet |
| Watchful | AWS in der EU | im Konto abzuschließen | Versionen, Erweiterungen, Admin-Liste mit E-Mail (abschaltbar), verschlüsselte Sicherungen |
| BackupMonkey | Deutschland laut Anbieter | in der Dokumentation nicht genannt | Versionen und Erweiterungen; für Wiederherstellungstests eine Kopie der Sicherung |
| UpdateKing | Mittwald, Espelkamp | ja | Versionen und Updates |
| CMS Inspect | nicht genannt | nicht genannt | laut Code u. a. Server-IP und Datenbankname; Dateien auf Anforderung |
| SiteOps | nicht genannt | nicht genannt | Daten zu Erreichbarkeit, System, Sicherheit, SEO, Inhalten |
Für Großbritannien gilt ein Angemessenheitsbeschluss der EU-Kommission; mySites.guru nennt ihn ausdrücklich. Ob Sie für Kundenseiten einen Vertrag zur Auftragsverarbeitung brauchen, klären Sie bitte mit Ihrer Datenschutzberatung – das hier ist eine technische Übersicht, keine Rechtsberatung.
Preise
Bei wenigen Websites liegen alle Dienste unter 40 € im Monat. Die Unterschiede wachsen mit der Zahl der Seiten: Pauschalpreise wie bei mySites.guru und Panopticon bleiben gleich, Preise je Website steigen mit. Bei Panopticon kommen zum Lizenzpreis die Kosten für den eigenen Server und die Zeit für dessen Pflege; die Akeeba-Lizenzen kosten ab dem zweiten Jahr 45 €. YourSites verkauft Lizenzen mit 3, 6 oder 12 Monaten Updates; eingerechnet ist der Jahrestarif.
Was nach der Deinstallation bleibt
| Connector | Reste nach der Deinstallation (gemessen) |
|---|---|
| Akeeba Panopticon | eine leere Tabelle #__panopticon_coresums; das Installationspaket enthält keinen Befehl zum Löschen |
| Watchful | nichts |
| BackupMonkey | das Plugin „Extension – remotemonkey“ bleibt installiert und aktiv (5 Dateien). Ohne die Komponente tut es nichts, muss aber von Hand entfernt werden. |
| CMS Inspect | eine Markierungsdatei im Cache; laut Code bleiben angelegte Sicherungsordner in administrator/cache liegen |
Gemessen haben wir ohne Verbindung zum Dienst. Was der Connector im Betrieb verändert – etwa das Einschalten der Akeeba-JSON-Schnittstelle durch Panopticon oder BackupMonkey –, bleibt nach dem Entfernen ebenfalls bestehen.
Ladezeit
Wir haben die Startseite der Testseite je Connector in drei Runden mit je 300 Abrufen direkt auf dem Server gemessen, immer im Wechsel mit der Seite ohne Connector. Kein Connector machte die Seite messbar langsamer. Gemessen ist der Ruhezustand ohne Verbindung; wenn ein Dienst Daten abruft oder ein Update einspielt, entsteht kurz zusätzliche Last.
Welcher Dienst passt?
- Sie wollen die Daten im eigenen Haus und nutzen ohnehin Akeeba: Panopticon. Updates, Kerndatei-Prüfung und Überwachung funktionieren ohne Lizenz; für Sicherungen und den Dateiscanner brauchen Sie die Akeeba-Pro-Produkte. Sie betreiben dafür einen Server mit Cron jede Minute und halten Panopticon selbst aktuell.
- Viele Websites zum Festpreis: mySites.guru – der Preis bleibt bei 5 wie bei 500 Seiten gleich, die Daten liegen in Großbritannien.
- Sie wollen wissen, ob sich Sicherungen zurückspielen lassen: BackupMonkey mit seinem Wiederherstellungstest; Akeeba Backup Pro ist Voraussetzung, jeder Test kostet extra.
- Nur Updates für wenige Seiten, Server in Deutschland: UpdateKing, eine Seite kostenlos. Der Dienst ist seit Mai 2026 im JED und hat dort noch keine Bewertungen.
- Securitycheck Pro ist schon im Einsatz: Das Control Center ergänzt es für wenig Geld und läuft auf Ihrer eigenen Joomla-Seite.
Lieber nicht selbst kümmern?
Im Joomla-Wartungsvertrag übernehmen wir Updates von Joomla und Ihren Erweiterungen, Sicherungen, Sicherheitschecks und die Überwachung der Erreichbarkeit – Sie müssen kein Werkzeug auswählen und keinen Server betreiben.
So haben wir getestet
Testseite: Joomla 6.2.0 mit PHP 8.4.26 und MariaDB 10.11 in Docker, deutsch, ohne Inhalte. Akeeba Panopticon 2.4.0 auf PHP 8.4 mit MariaDB, Connector 1.2.0, Akeeba Backup Core 10.5.0. Getestet am 03.11.2026. Alle Pakete stammen aus den öffentlichen Download-Adressen der Anbieter; Konten haben wir keine angelegt. Ladezeit: Zeit bis zum ersten Byte der Startseite, gemessen mit curl im Container. Reste: Dateiliste, Tabellen und Erweiterungen vor der Installation und nach der Deinstallation verglichen. Preise und Angaben der Dienste im Netz: Websites und Datenschutzerklärungen der Anbieter, abgerufen am 03.11.2026.
Mehr Vergleiche aus unserem Testlabor: YOOtheme Pro oder SP Page Builder, Download-Manager für Joomla und Backup-Erweiterungen.
Quellen: Akeeba Panopticon (Releases) · Panopticon-Sicherheitshinweise · Akeeba-Preise · mySites.guru Preise · mySites.guru Datenschutz · mySites.guru Funktionen · Watchful Preise · Watchful Datenschutz · BackupMonkey Preise · BackupMonkey Dokumentation · UpdateKing · CMS Inspect · SiteOps Preise · Securitycheck Preise · YourSites Preise · Plesk-Forum zu Joomla 6 · EZB-Referenzkurse
