Beiträge von skodi

Elwood Es ist zugegebenermaßen etwas schwierig, mit jemandem zu kommunizieren, der nach eigener Aussage nicht vollständig liest, worauf er antwortet.

Die vier Unterseiten waren lediglich ein bewusst vereinfachtes Beispiel für eine Joomla-Website, bei der man ohne große Diskussion einen kompletten Neuaufbau empfehlen würde.

Bei komplexeren Seiten ist die Situation häufig eine andere. Da ich mich jedoch – auch aus Respekt vor dem Thread-Ersteller – nicht wiederholen möchte, belasse ich es dabei und wünsche uns allen trotz der angespannten Security-Situation ein halbwegs ruhiges WE.

Zitat von Elwood

Ernsthaft? Du hast sie aufgerufen?

Selbstverständlich Nicht! Beitrag ganz lesen - Ich habe mir eine alte Version über archive org angeschaut. Und sie hat ja eben nicht nur 4 Unterseiten.

Das sieht leider nicht so gut aus. Wenn es zudem kein sauberes Backup gibt, wird das ganze noch schwieriger.
Die offizielle Empfehlung in solchen Fällen ist leider relativ klar: "Mach die Seite einfach neu".

Das ist auch absolut richtig, eine Seite mit 4 Unterseiten ist gleich neu gemacht und man hat ein 100% sauberes System. Fall erledigt.

Meine Erfahrung aus 21 Jahren Joomla-Dienstleistung ist aber, dass die Welt manchmal doch etwas kompexer ist.
Ich habe mir einfach mal über archive org eure Seite angesehen, eine recht umfangreiche Vereinsseite, die man nicht mal eben an einem Nachmittag komplett neu aufsetzt. Alles von Hand zu übernehmen und in eine neue Seite einzupflegen ist entweder sehr sehr viel Arbeit, oder kaum bezahlbar.

Ich persönlich würde es so machen, dass ich ein frisches Joomla aufsetzen würde, und in einer abgeschotteten lokalen umgebung die gehackte Seite erstmal lauffähig machen würde und dann User, Beiträge, Kategorien usw. exportieren würde, zur Not direkt aus der Datenbank.
Und dann in das frisch aufgesetzte Joomla User, Beiträge und Kategorien importieren würde.
Den Export kann man dann mal noch durchsuchen nach script aufrufen usw. man kann das dann ggf. auch nochmal durch einen html-cleaner jagen usw. um möglichst gut sicherzustellen, dass man keine sicherheitsrelevanten Altlasten übernimmt, die sich vielleicht in Beiträgen verstecken. So spart man sich das mühsame händische übertragen von zahlreichen Beiträgen.

Ja, das ist keine 1000% Prozent Lösung - aber ich habe es in der Vergangenheit schon öfter erfolgreich so gemacht.

Zur Ehrlichkeit gehört aber auch, dass das schon einigermaßen anspruchsvoll ist.

Das ist auch etwas das Dilemma der Vereinswebseiten, der Admin soll es ehrenamtlich machen und gleichsam werden die Ansprüche der Vereinsmitglieder immer höher. Ich betreue mittlerweile eine gute Hand voll Vereine, die genau an solchen Punkten den Schritt zur Betreuung durch einen professionellen Dienstleister gemacht haben.

Mein Tipp:

1. Mach dir klar, dass du Relevanz in deiner Nische brauchst - das ist klassisches Marketing in allen Formen, es gibt kein Plugin das man kaufen kann um Relevanz zu erlangen.

2. Positioniere dich ganz klar und stelle dir selbst die Frage: Ist das was ich anbiete ausreichend klar kommuniziert?

Beispiel Hausmeister-Service / Selbstbeschreibung auf der Startseite

Schlecht: "Wir bieten Dienstleistungen rund ums Haus – alles aus einer Hand. Zuverlässig, flexibel und kompetent."

Besser: Wir pflegen Ihre Immobilie und Außenanlagen. Rasenpflege, Heckenschnitt, Treppenhausreinigung, Winterdienst und kleinere Reparaturen für Eigentümer, Hausverwaltungen und Gewerbebetriebe in [Stadt / Region].

Gut: Hausmeisterservice für saubere Gebäude und gepflegte Außenanlagen
Wir kümmern uns um Rasenpflege, Heckenschnitt, Treppenhausreinigung, Winterdienst und kleinere Reparaturen – für Eigentümer, Hausverwaltungen und Gewerbebetriebe in [Stadt / Region]. Vereinbaren Sie direkt einen Termin

3. Kaufe erstmal keine Kurse oder Tools.
Höre Leuten zu, die einigermaßen wissen wie es gehen könnte und verschaff dir erstnal einen Überblick- ich schmökere z.B. in diesem Youtube Kurs von Ahrefs immer wieder mal, das ist schon recht umfangreich, fundiert und 4free:

Zitat von Norbert.R

Für mich ist das ein Problem, auf einer meiner Seiten verwende ich ein Template von Joomla TD, das auf Helix Ultimate basiert und das Framework benutzt. Joomla TD hat den Betrieb eingestellt und wenn die Lücke im Template selbst versteckt ist dann habe ich Handlungsbedarf...

In ihrem Forum schreiben sie dazu: "most changes are in plugin." , was irgendwie auch nur so halb weiterhilft.

Zitat von WM-Loose

Irgendwie läuft das hier in die Richtung wie auch bei den Frameworks. Braucht man alles nicht, da Joomla alles kann und die eierlegende Wollmilch... ist. Was wäre Joomla am Markt ohne sinnvolle und innovative Erweiterungen?

Wer nur den Core nutzen will soll es doch tun aber hier Erweiterungen runter zu machen wegen eines Hacks ist nicht ok. Hatte es in Joomla noch nie Sicherheitslücken gegeben?

Werbung für Erweiterungen soll man hier nicht machen aber Erweiterungen an den Pranger stellen ist ok?

Das Forum hat sich echt verändert. Gefällt mir aktuell immer weniger was hier passiert.

Mehr werde ich dazu auch nicht mehr schreiben.

Sorry, falls dir meine (aus meiner Sicht) nachvollziehbar begründete Meinung die Freude am Forum nimmt.
Werde mich künftig wieder mehr zurückhalten.

Zitat von bemerkenswelt

Der wievielte Hack von JCE war das denn?

Wenn das in überschaubarer Zeit nur dieses eine Mal passiert ist, dann muss man doch nicht gleich in Panik verfallen.
Zumal ich hier im Forum sehr oft gelesen habe, dass vermutlich nicht viel passiert wäre, wenn die Leute die grundlegendsten Sicherheitsregeln befolgt hätten.

Wenn die Haustür "offen" steht, dann ist es heute der JCE, der angegriffen wird und morgen ein anderes Plugin.

Es war halt nicht die erste krasse Lücke im JCE, ich erinnere mich noch an 2011 - da gab es im JCE mal eine Remote File Inclusion - und auch damals wurden dann schon entsprechende shells hochgeladen. Ich meine auch, damals wurde kommuniziert nur eingeloggte User könnten unkontrolliert Dateien hochladen - tatsächlich war sie aber komplett remote ausnutzbar. Also nicht nur eine krasse Lücke, sondern auch noch als weniger schlimm dargestellt wie sie dann tatsächlich war.

Bei unberechtigtem Schreibzugriff auf den Webspace hilft ein langes Joomla-Passwort oder eine 2FA dann halt oftmals leider auch nicht viel.
Da zu sagen, die "Haustür steht offen" wird der Sache nicht ganz gerecht - denn die Haustür ist in diesem Fall halt eine kommerzielle Erweiterung - wenn es dann noch dazu kommt, dass eine Lücke ausgenutzt wird bevor es ein Update gibt (0-day) viel Spaß.

Der TinyMce hingegen wird mit dem Joomla Core ausgeliefert, und wird so auch über die Autoupdate-Funktion von Joomla abdeckt, das ist sicherheitstechnisch schon ein anderes Level.

Abgesehen davon: Der JCE hat vielen über viele Jahre wehr wertvolle Dienste geleistet und bot früher halt mit dem Medienmanager, Profilen, Html Cleanup, Editor CSS usw. einfach auch Möglichkeiten die wir anderweitig im Joomla Core noch nicht oder noch nicht so komfortabel hatten. Der JCE lief wahrscheinlich auf einer erheblichen Anzahl der 1.5er Seiten. Er war eine der absoluten Top-Erweiterungen die man quasi fast immer mit installierte.

Bei mir ist er mittlerweile nur noch bei ganz wenigen alten 3er Seiten im Einsatz - der Core und der TinyMce sind mittlerweile so gut geworden, dass er aus meiner Sicht keine unglaublichen Vorteile mehr bietet. Zudem wurden die klassischen Editoren ja bei vielen mittlerweile von Pagebuildern wie Yootheme oder SPPagebuilder abgelöst.

Lange Rede, kurzer Sinn: JCE - Ja, aber nur wenn man einen ganz konkreten Grund hat warum man ihn braucht (viele gibts dafür nicht mehr).

Wer sich auf der Kommandozeile nicht so wohl fühlt, der hat mit Notepad++ unter Windows ein gar nicht so schlechtes Tool an der Hand.

Gerade wenn man x-tausende Zeilen Logs hat wirds schnell unübersichtlich. Man kann sich in Notepad++ für jeden Treffer der auf das Suchwort passt jedoch ein Lesezeichen setzen lassen (die blauen Punkte am Zeilenbeginn).

Anschließend kann man einfach nur diese Zeilen in ein neues Dokument kopieren, so kommt man meistens auch in großen Logfiles relativ schnell an die relevanten Einträge.

Zitat von JoomlaWunder

Die "normalen" Profile findest du hier: RE: Neues Sicherheitsrelease für JCE-Editor

Neue Profile können doch sonstwie heißen.

Deswegen mein Gedanke das mal abzugleichen nicht das die "normalen" Profile als "neue" angesehen wurden. Aber gut, der Screenshot hat jetzt leider Gewissheit gebracht - das ist definitiv gehackt

Zitat von Hasenmann

Hallo zusammen,

ich denke mich hat es schon erwischt.

Ich habe heute das bereitgestellte JCE Update gemacht und leider danach erst die Warnung von Pascal gelesen.

Im Profile Verzeichnis habe ich tatsächlich vier neue öffentliche Profile entdeckt.

Die habe ich erstmal versteckt.

Was nun? Ich bin definitiv kein Profi. Wie bekomme ich die Seite wieder sauber?

Alles anzeigen

Wie heißen denn die Profile?
Kannst du evtl. mal einen Screenshot der Profilübersicht - und den Einstellungen eines der "neuen" Profile machen?

Re:Later So wie ich es verstanden habe, erlaubt die Lücke ein NEUES Profil ohne entsprechende Prüfung hochzuladen. Ein Angreifer könnte dann beim neuen Profil die Usergroup Öffentlich hinzufügen und so dann im Nachgang Code einschleusen. Ein ändern / überschreiben der bestehenden Benutzergruppen ist wohl nicht möglich.

Zitat von Rabea74

Ich überlege, wenn man die älteren Blog-Artikel (die nicht seo-freundlich sind) aus den suchmaschinen-relevanten Seiten rausnehmen könnte (wie macht man das dann?), ob sich dann nicht die Sichtbarkeit verbessern würde.

Servus Rabea74,
technisch gesehen hat man zwei Möglichkeiten:
1. Artikel löschen, das ergibt dann einen 404-Fehler, und Google nimmt die Seiten dann irgendwann aus dem Index.

2. Artikel auf "noindex follow" setzen (geht in den Artikeleinstellungen, Google bekommt das Signal nicht indexieren und nimmt die Seiten irgendwann dann auch aus dem index). Vorteil dieser Variante - die Artikel können online bleiben.

Neben dem technischen Aspekt gibts den aus SEO-Sicht und da schlagen zwei Herzen in meiner Brust.

A) Ja, es kann manchmal sehr hilfreich sein keine inhaltlich schwachen Artikel zu präsentieren und das Konzept weniger aber besser zu verfolgen. So um 2021 rum war das einer der größten SEO-Trends, Seiten aus dem Index zu entfernen und dann die "Kraft" auf weniger Seiten zu verteilen.

B) Wenn alte Artikel von extern Links oder gar regelmäßige Besucher bekommen, wäre es ein grober SEO-Fehler diese ersatzlos zu entfernen oder auf noindex zu stellen. Nur weil etwas alt ist, muss es ja nicht zwingend unrelevant sein. Das muss man vorher prüfen z.B. über die Search Console oder Logfile-Analysen.

Man muss das ganze Thema aber auch richtig gewichten und einordnen: Das ist einer von vielleicht 30 oder 40 Bausteinen - der alleine bringt kaum etwas. Es gibt in mindestens 90% der Fälle die mir so im Alltag begegnen viel viel grundlegendere Sachen an denen es im Bezug auf SEO massiv scheitert.
Meistens bringt es viel mehr, sich erstmal auf das Offensichtliche und die absoluten Basics zu konzentrieren anstatt sich in ganz speziellen Themen zu verzetteln.

Insgesamt sind meine Erfahrungen mit "Kostenlos für gemeinnützige Organisationen" ziemlich unterirdisch - ich hatte bereits ein paar Vereine als Kunden die bei Bürgernetz-Vereinen o.ä. gehostet waren und es war immer ein Zirkus. Die Kunden hatten selber häufig keinen Zugriff auf eine Verwaltungsoberfläche und alles musste per Mail angefragt werden. Der Support war dann 1x wöchentlich ein Ehrenamtlicher, der von 18.00 - 20.00 Uhr Mails beantwortet hat. Ich erinnere mich dass einmal auf die Bitte eine Datenbank anzulegen, mit der Frage geantwortet wurde wie die Datenbank heißen soll - meine Antwort darauf wurde dann natürlich erst wieder 1 Woche später gelesen und beantwortet.
Die PHP-Einstellungen konnten nicht geändert werden usw.
Das war für jemanden der halbwegs professionell Webseiten betreut echt ultra nervig.

Aber zurück zum Thema:
Auf mich macht dieses Angebot einen zumindest ungewöhnlichen Eindruck. Die Gründe dafür:

1. Der Umfang des Angebots ist mir nicht ganz klar - wie verhält es sich z.B. mit Domains sind die ebenfalls kostenfrei oder werden sie kostenpflichtig angeboten?
2. Die handelnden Person(en) und ihre Motivation wird für mich nicht so ganz deutlich - und ein mit Postflex anonymisiertes Impressum trägt zumindest nicht zur Transparenz bei.
3. Es gibt scheinbar keine Rezensionen bzw. Referenzen

Aber ich will auch nicht vorverurteilen - vielleicht bietet hier wirklich jemand sehr selbstlos gut gemeinte Hilfestellung an und war nur nicht so ganz glücklich in der Kommunikation.

Wir hatten in der JUG-Online schon öfter Sessions zum Thema SEO, neben Grundlagen auch Workshops wo wir live in der Session eine Seite gebaut und gerankt haben usw. Da könnte man extrem viel mitnehmen - kostenlos und ohne Einstiegshürden.

Wenn Interesse besteht, kann ich dazu gerne mal wieder eine Session halten.

Tatsächlich ist es aber aktuell auch so, dass SEO quasi ziemlich out ist, weil sich alle auf GEO (Optimierung für LLMs als ChatGPT, Gemini usw.) stürzen. Ich glaube, dass das in naher Zukunft ein sehr großes Thema wird.

Ein Anbieter mit Sitz in Deutschland wäre rapidmail, kann man sich auch mal anschauen.

Bei RSforms kann man alle Submissions die in einem Formular getätigt wurden als Excel-Datei herunterladen, zusätzlich besteht auch die Möglichkeit die Formulardaten z.B. an ein GoogleSheet zu senden.

Mit den Formularkomponenten ist schon echt viel möglich, es braucht aber etwas Einarbeitungszeit.

Plugin - Google Sheets (send form data to your Google Sheets)

Zu 1.:
Die Gretchenfrage . Zunächst solltest du dir mal das Prinzip überlegen nach dem du vorgehen möchtest: Wer soll der Vertragspartner deiner Kunden beim Thema Hosting sein? Du oder ein Hostinganbieter? Wer soll dran verdienen?
Ich habe das vor 20 Jahren nicht ganz überblickt und hoste eine handvoll Kunden selber, der Rest ist quer verteilt auf alle möglichen und unmöglichen Hoster. So ein Wildwuchs ist eigentlich die schlechteste Lösung - so würde ich es nicht nochmal machen. Entweder alle Kunden extern hosten oder von Anfang an auf ein Agentur- oder Resellerhosting setzen. Es gibt mittlerweile einige Hoster die den Geschäftsvorfall der "Webdesigner" verstanden haben und entsprechende Lösungen anbieten. Als Vorreiter in diesem Agenturhosting ist sicher Mittwald zu nennen, aber auch andere wie allinkl etc. bieten Lösungen an. Schau dir ggf. die verschiedenen Geschäftsmodelle an und entscheide dich dann für eins. Ein Problem bei den Hostern ist, dass Empfehlungen manchmal schlecht altern - d.h. irgendein Hoster ist toll, der Laden wir verkauft, und entwickelt sich dann zum Problem.

Zu 2.: Wahrscheinlich musst du erstmal 5 nehmen, weil nicht alle Erweiterungen die du evtl. brauchst auch sofort mit Veröffentlichung der 6 zur Verfügung stehen. Das ist aber nicht so wild - die Upgradeprozesse wurden immer besser. Von 4 auf 5 geht das relativ problemlos. Hilfreich ist es übrigens auch, wenn man sich einmal ein Grundsystem zusammenstellt mit dem man arbeitet und damit eine möglichst gleiche Infrastruktur für jedes Projekt hat. D.h. man nimmt nicht für jedes Projekt verschiedenste neue Erweiterungen sondern stellt sich halt einmal einen Werkzeugkoffer zusammen mit den man alles an Standard-Funktionalität abdeckt und setzt dann wirklich nur für ganz spezielle Zwecke mal zusätzliche Erweiterungen ein. Das lernt man spätestens beim nächsten großen Update zu schätzen.

Zur Eingangsfrage: Neu machen, das dauert nur unwesentlich länger und du hast wieder ein frisches System unter der Haube.

Aus meiner Sicht ist es im Moment relativ wichtig, sich mit dem Thema auseinanderzusetzen.
Mir persönlich hilft es, verschiedene Meinungen dazu dazu einzufangen und mir auch eigene Gedanken zu machen.

Meine zwei Lieblingsquellen dazu gebe ich hier gerne weiter:

1. Podcast

Der Content Performance Podcast - SEO für Fortgeschrittene

Ein Tekkie und ein Kreativer sprechen darüber, was in SEO und Online-Marketing läuft – und was nicht. Jeden Montag eine halbe Stunde Podcast.

www.jaeckert-odaniel.com

2. Youtube

Evergreen Media / https://www.youtube.com/@EvergreenMediaAT/videos

Zitat von Leopardosz

habe seit neuem folgendes Problem, irgendjemand verschickt über meine email adresse spam emails an andere, wenn die Empfänger email nicht existiert bekomme ich eine mail zurück mit: Mail delivery failed: returning message to sender

Ich würde einfach mal die E-Mail die zurückkommt anschauen, meistens wird ja die ursprünglich gesendete Mail mit zurückgeschickt - da kann man dann evtl. herausfinden wie die ursprüngliche Spam Mail verschickt wurde. Dann weiß man im Idealfall ob tatsächlich über deinen Account verschickt wurde (das wäre ein Problem) - oder ob jemand einfach nur deine Mailadresse als Absender eingetragen hat (Mail Spoofing).

Für Joomla habe ich da leider auch keine einfache Lösung im Kopf. Grundsätzlich kann bei solchen Automatisierungen Chat-GPT ganz hilfreich sein.
Ich habe Chat-GPT mal gefüttert - herausgekommen ist ein Skript und ein geplanter Task.
Die Funktionsweise wäre dann so.

🚀 Was macht das Skript?

1️⃣ Es überprüft täglich, ob eine bestimmte Datei noch existiert.
2️⃣ Wenn die Datei da ist, zählt es mit (1 Tag, 2 Tage, usw.).
3️⃣ Falls die Datei 2 Tage lang nicht gelöscht wurde, wird eine E-Mail (Notruf) gesendet.
4️⃣ Wenn die Datei gelöscht wird, setzt das Skript den Zähler auf 0 und erstellt die Datei neu.

👉 Kurz gesagt:

• Datei muss jeden Tag gelöscht werden.
• Falls nicht gelöscht, gibt es nach 2 Tagen einen Notruf per E-Mail.
• Falls sie doch gelöscht wird, startet der Zähler neu, und die Datei wird wieder automatisch angelegt.

🕒 Was macht der Task Scheduler?

Der Task Scheduler (Aufgabenplanung) sorgt dafür, dass das Skript automatisch jeden Tag läuft, ohne dass du es manuell starten musst.

🔹 Beispiel-Szenario

• Montag: Die Datei ist da ✅ (Zähler = 1)
• Dienstag: Datei immer noch da ✅ (Zähler = 2)
• Mittwoch: Oh nein! Die Datei wurde 2 Tage lang nicht gelöscht → E-Mail wird gesendet! 🚨
• Donnerstag: Jemand löscht die Datei ❌ → Zähler zurück auf 0, Datei wird neu erstellt.

🔹 Fazit:
Dieses Skript und der Task helfen dir, sicherzustellen, dass eine Datei gelöscht wird – sonst gibt es einen automatischen Notruf! 🚨