Umbraco-Sicherheit: Praxisleitfaden zum Schutz Ihres CMS
(Wenn Sie Videoinhalte bevorzugen, sehen Sie sich bitte die kurze Videozusammenfassung dieses Artikels unten an.)
Das Wichtigste auf einen Blick
- Umbraco basiert auf ASP.NET Core und bringt solide Sicherheitsfunktionen mit – rollenbasierte Zugriffskontrolle, Zwei-Faktor-Authentifizierung, CSRF-Schutz und verschlüsselte Cookies.
- Umbraco HQ sichert den CMS-Kern; Entwickler und Administratoren sind für Serverkonfiguration, eigenen Code und Zugangsdaten verantwortlich.
- Veraltete CMS-Versionen, schwache Passwörter, zu weit reichende Benutzerberechtigungen und ungeschützter Backoffice-Zugriff.
- HTTPS erzwingen, Backoffice-URL einschränken, Zwei-Faktor-Authentifizierung aktivieren, Sicherheitsheader konfigurieren, regelmäßige Patches einspielen.
- Sicherheitskritische Patches sollten innerhalb von 24–72 Stunden nach Veröffentlichung auf einem Staging-System getestet und dann in Produktion eingespielt werden.
Umbraco ist technisch sicher, wenn es korrekt konfiguriert, regelmäßig aktualisiert und mit geeigneten Zugriffskontrollen betrieben wird. Wie sicher Umbraco ist, hängt jedoch nicht allein vom CMS-Kern ab, sondern auch von der Serverkonfiguration, dem eigenen Code, den Benutzerrechten und regelmäßigen Sicherheitsprüfungen. Eine strukturierte Auditierung hilft dabei, Schwachstellen systematisch zu erkennen und zu beheben.
Ist Umbraco sicher?
Umbraco bietet bereits integrierte Sicherheitsfunktionen wie rollenbasierte Zugriffsrechte, 2FA, CSRF-Schutz, sichere Cookies und Audit-Logs. Gleichzeitig gilt das Prinzip der geteilten Verantwortung: Umbraco patcht Schwachstellen im Core, während Betreiber für Hosting, eigenen Code und Pakete, Zugriffsrechte, Backups sowie die Aktualität des CMS verantwortlich sind.
Auch die Version ist entscheidend: Umbraco 10+ und 13+ basieren auf modernen .NET-Versionen und gelten als sicherheitstechnisch aktuell. Umbraco 7 und 8 haben dagegen ihr End-of-Life erreicht und erhalten keine Sicherheitsupdates mehr.
Aktuelle Sicherheitsmeldungen zeigen, dass auch Umbraco regelmäßig Sicherheitslücken aufweist. Allein im August 2026 wurden vier Schwachstellen – eine davon mit hoher und drei mit mittlerer Schwere – in Umbraco-Produkten behoben.
Quelle: Security Advisory: Security Patches for Umbraco CMS, Umbraco Forms, and Umbraco AI now available, Umbraco
Integrierte Sicherheitsfunktionen im Umbraco CMS
Umbraco bringt ohne zusätzliche Konfiguration mehrere Sicherheitsmechanismen mit:
- Authentifizierung mit Kontosperrung nach Fehlversuchen.
- Rollenbasierte Zugriffskontrolle auf Inhalts-, Medien- und Konfigurationsebene.
- Zwei-Faktor-Authentifizierung (2FA) für Backoffice-Benutzer.
- CSRF-Schutz für alle Formular-Endpunkte.
- Sichere, HttpOnly- und SameSite-konfigurierte Cookies.
- Verschlüsselung sensibler Konfigurationsdaten.
- Audit-Logs für Inhalts- und Benutzeraktionen.
Das Modell der geteilten Verantwortung
Sicherheitslücken im Core werden vom Umbraco-Sicherheitsteam dokumentiert, gepatcht und über offizielle Kanäle kommuniziert. Entwicklerteams und Serveradministratoren tragen die Verantwortung für alle darüber hinausgehenden Bereiche:
- Konfiguration der Hosting-Infrastruktur und Firewall.
- Sicherheit des eigenen Codes, der Pakete und Integrationen.
- Zugangsdatenverwaltung und Benutzerberechtigungen.
- Aktualität der Umbraco-Version und der verwendeten Pakete.
- Sicherung und Wiederherstellung von Daten (Sicherungskopien).
Sicherheitsunterschiede zwischen den CMS-Versionen
Umbraco 10+ (auf .NET 6+) und Umbraco 13+ (auf .NET 8, aktueller Long-Term-Support-Release) gelten als sicherheitstechnisch aktuell. Ältere Versionen auf dem veralteten .NET-Framework erhalten keine Sicherheitsupdates mehr und sollten migriert werden. Umbraco 7 und 8 erreichten ihr End-of-Life; Websites auf diesen Versionen gelten als sicherheitskritisch und sollten priorisiert aktualisiert werden.
Individuelle Umbraco-Lösungen, Integrationen und Optimierungen für Ihre digitale Plattform
Was sind die häufigsten Sicherheitsrisiken bei Umbraco?
Die häufigsten Sicherheitsrisiken bei Umbraco sind veraltete CMS-Versionen und Pakete, unsichere Administrator-Zugangsdaten und zu weitreichende Benutzerberechtigungen. Weitere Risiken entstehen durch anfälligen individuellen Code und ungeschützte Endpunkte sowie durch fehlkonfigurierte Server und Dateizugriffe.
| Risiko | Potenziale Benefits | Migration |
| Veraltete CMS-Versionen und Pakete | Regelmäßige Updates reduzieren bekannte Schwachstellen. | Versionen und Pakete aktualisieren, Abhängigkeiten prüfen. |
| Unsichere Administrator-Zugangsdaten | Starke Passwörter und MFA schützen privilegierte Zugänge. | Zugangsdaten absichern, MFA aktivieren, alte Konten entfernen. |
| Zu weitreichende Benutzerberechtigungen | Rollenbasierte Rechte reduzieren das Risiko unbefugter Änderungen. | Berechtigungen überprüfen und nach dem Least-Privilege-Prinzip anpassen. |
| Anfälliger benutzerdefinierter Code und ungeschützte Endpunkte | Sichere Entwicklung und API-Absicherung verringern Angriffsflächen. | Code prüfen, Schwachstellen beheben und Endpunkte absichern. |
| Fehlkonfigurierte Server und Dateizugriffe | Sichere Serverkonfiguration und Zugriffskontrollen schützen Daten und Infrastruktur. | Servereinstellungen prüfen, Dateizugriffe einschränken und unnötige Zugänge entfernen. |
Veraltete CMS-Versionen und Pakete
Bekannte Schwachstellen werden öffentlich dokumentiert – Angreifer scannen aktiv das Internet nach verwundbaren Versionen. Dasselbe gilt für Drittanbieter-Pakete aus dem Umbraco Package Repository.
Unsichere Administrator-Zugangsdaten
Standardmäßig erlaubt Umbraco einfache Passwörter. Ohne erzwungene Passwortrichtlinie nutzen Administratoren häufig schwache oder wiederverwendete Kennwörter. Typische Risiken sind:
- Schwache Passwörter,
- Wiederverwendete Kennwörter,
- Brute-Force-Angriffe,
- Öffentliches Backoffice.
Besonders kritisch ist eine öffentlich erreichbare Backoffice-URL ohne zusätzliche Zugriffsbeschränkungen.
Zu weitreichende Benutzerberechtigungen
Redakteure mit mehr Rechten als nötig können versehentlich oder absichtlich Inhalte löschen, Systemkonfigurationen ändern oder auf Inhalte zugreifen, die nicht für sie bestimmt sind.
Anfälliger benutzerdefinierter Code und ungeschützte Endpunkte
Eigene Controller, API-Endpunkte und Integrationen können ohne ausreichende Absicherung zusätzliche Angriffsvektoren schaffen:
- Fehlende Eingabevalidierung,
- Fehlende Autorisierung,
- Cross-Site-Scripting (XSS),
- SQL-Injection.
Diese Risiken entstehen meist im benutzerdefinierten Code und nicht im Umbraco-Kern.
Fehlkonfigurierte Server und Dateizugriffe
Fehlende HTTPS-Erzwingung, fehlende Sicherheitsheader (CSP, X-Frame-Options, HSTS) und zu offene Dateisystemberechtigungen ermöglichen Angriffe, die durch korrekte Serverkonfiguration vollständig verhindert werden könnten.
Besonders kritisch: direkter Zugriff auf Konfigurationsdateien wie appsettings.json, die Verbindungsstrings und API-Schlüssel enthalten.
Welche integrierten Sicherheitsfunktionen bietet Umbraco?
Umbraco bietet Authentifizierung mit Kontosperrung, granulare rollenbasierte Zugriffskontrolle und 2FA mit TOTP. Zudem unterstützt es externe Identitätsanbieter wie Microsoft Entra ID und Google für SSO und zentrale MFA-Richtlinien. Sichere Cookies mit HttpOnly, Secure und SameSite sowie konfigurierbare Datenschutzfunktionen schützen vor Session-Hijacking und CSRF und unterstützen die DSGVO-Compliance.
Wie lässt sich eine Umbraco-Installation absichern?
Eine Umbraco-Installation lässt sich durch Maßnahmen auf Server- und Anwendungsebene absichern. Dazu gehören die Beschränkung des Backoffice-Zugriffs, der Schutz von Konfigurations- und Systemdateien sowie die konsequente Durchsetzung von HTTPS. Zusätzlich sollten Sicherheitsheader und eine restriktive CSP eingerichtet und nicht benötigte Entwicklungsfunktionen wie ModelBuilder und Debug-Modus deaktiviert werden.
Wie lässt sich eine Umbraco-Installation absichern?
Eine Umbraco-Installation lässt sich durch Maßnahmen auf Server- und Anwendungsebene absichern. Dazu gehören die Beschränkung des Backoffice-Zugriffs, der Schutz von Konfigurations- und Systemdateien sowie die konsequente Durchsetzung von HTTPS. Zusätzlich sollten Sicherheitsheader und eine restriktive CSP eingerichtet und nicht benötigte Entwicklungsfunktionen wie ModelBuilder und Debug-Modus deaktiviert werden.
Einschränkung des Backoffice-Zugriffs
Das Umbraco-Backoffice ist standardmäßig unter /umbraco erreichbar. Empfohlen wird:
- Backoffice-Zugriff auf bekannte IP-Adressen oder VPN beschränken (Firewall-Regel oder Reverse-Proxy-Konfiguration).
- Den Backoffice-Pfad in appsettings.json auf eine nicht-standardisierte URL umkonfigurieren.
- HTTP-Basic-Authentication auf Webserverebene als zusätzliche Schicht vor dem Backoffice aktivieren.
Schutz von Konfigurations- und Systemdateien
Die Datei appsettings.json enthält Datenbankverbindungsstrings, API-Schlüssel und Umbraco-Interna. Sie darf niemals über den Webserver abrufbar sein. Zusätzlich sollten folgende Pfade vom direkten Zugriff ausgeschlossen werden:
- /App_Data/ – enthält Datenbankdateien bei SQLite-Instanzen.
- /umbraco/ – Backoffice-Dateien.
- /Views/ – Razor-Templates.
- /config/ – zusätzliche Konfigurationsdateien.
Durchsetzung von HTTPS
Alle Umbraco-Installationen sollten HTTPS erzwingen. Das umfasst die HSTS-Konfiguration (HTTP Strict Transport Security) mit einem Mindestalter von einem Jahr, die automatische HTTP-zu-HTTPS-Weiterleitung im Webserver und die Verwendung eines gültigen SSL/TLS-Zertifikats mit mindestens TLS 1.2 (empfohlen: TLS 1.3).
Konfiguration von Sicherheitsheadern
Sicherheitsheader werden auf Webserverebene (IIS, Nginx, Cloudflare) konfiguriert und sind unabhängig von Umbraco selbst:
- X-Frame-Options: DENY – verhindert Clickjacking.
- X-Content-Type-Options: nosniff – verhindert MIME-Type-Sniffing.
- Referrer-Policy: no-referrer-when-downgrade.
- Permissions-Policy – deaktiviert nicht benötigte Browser-APIs.
Implementierung einer Content Security Policy
Eine Content Security Policy (CSP) definiert, welche externen Ressourcen – Skripte, Styles, Medien – die Website laden darf. Eine zu offene oder fehlende CSP erlaubt das Einschleusen externer Schadsoftware über XSS-Angriffe.
Die CSP sollte restriktiv beginnen und auf Basis des tatsächlichen Ressourcenbedarfs erweitert werden.
Deaktivierung nicht benötigter Entwicklungsfunktionen
In Produktionsumgebungen müssen folgende Umbraco-Entwicklungsfunktionen deaktiviert sein:
- ModelBuilder auf Nothing setzen – verhindert automatische Codegenerierung.
- Debug-Modus deaktivieren (ASPNETCORE_ENVIRONMENT = Production).
- Entwicklerspezifische Routen und Endpunkte entfernen.
Wie lässt sich das Umbraco-Backoffice schützen?
Das Umbraco-Backoffice lässt sich durch strenge Passwortrichtlinien, rollenbasierte Berechtigungen und eine begrenzte Sitzungsdauer absichern. Zusätzlich sollte der Zugriff auf vertrauenswürdige IP-Bereiche oder VPNs beschränkt werden. Wichtig sind auch die regelmäßige Überprüfung und Entfernung inaktiver Benutzerkonten, insbesondere ehemaliger Mitarbeiter und externer Partner.
Wie lassen sich benutzerdefinierter Code, APIs und Integrationen schützen?
Benutzerdefinierter Code, APIs und Integrationen sollten nach dem Security-by-Design-Prinzip abgesichert werden. Wichtig sind Eingabevalidierung und Output-Kodierung, sichere API-Authentifizierung und -Autorisierung sowie Schutz vor XSS und CSRF. Zudem sollten Abhängigkeiten regelmäßig auf Schwachstellen geprüft und API-Schlüssel, Passwörter und andere Secrets sicher verwaltet werden.
Validierung von Eingaben und Kodierung von Ausgaben
Alle Benutzereingaben – Formulardaten, URL-Parameter, Query-Strings – müssen serverseitig validiert werden, bevor sie verarbeitet oder gespeichert werden. Ausgaben, die Benutzerdaten in HTML wiedergeben, müssen HTML-kodiert werden. Diese zwei Maßnahmen zusammen verhindern den Großteil von XSS- und Injection-Angriffen.
API-Authentifizierung und -Autorisierung
Umbraco-Endpunkte, die über die Delivery API oder eigene Controller bereitgestellt werden, müssen mit Authentifizierungsprüfungen gesichert sein. API-Schlüssel müssen rotiert werden und dürfen nicht im Quellcode hinterlegt sein. Für interne APIs empfiehlt sich OAuth 2.0 mit kurzlebigen Access Tokens.
Schutz vor Cross-Site-Scripting
Neben der Output-Kodierung sollte eine restriktive Content Security Policy implementiert sein, die Inline-Skripte und externe Skriptquellen ohne explizite Freigabe blockiert.
Razor-Views in Umbraco kodieren Ausgaben standardmäßig – direktes HTML-Rendering über Html.Raw() sollte nur dann eingesetzt werden, wenn der Inhalt aus einer vertrauenswürdigen Quelle stammt.
Schutz vor Cross-Site-Request-Forgery
Umbraco implementiert CSRF-Schutz für Backoffice-Formulare automatisch. Für eigene Formulare auf der öffentlichen Website müssen Entwickler Anti-CSRF-Tokens manuell implementieren.
Das ASP.NET Core [ValidateAntiForgeryToken]-Attribut steht für alle eigenen Controller-Aktionen zur Verfügung.
Sicheres Abhängigkeits- und Paketmanagement
Jedes Umbraco-Paket aus dem Package Repository oder über NuGet ist eine potenzielle Angriffsfläche. Empfohlene Maßnahmen:
- NuGet-Abhängigkeiten regelmäßig mit dotnet list package –vulnerable prüfen
- Nur aktiv gepflegte Pakete mit bekanntem Wartungsstatus verwenden
- Pakete vor dem Einsatz auf bekannte Schwachstellen in der CVE-Datenbank prüfen
Verwaltung von Zugangsschlüsseln und Konfigurationen
API-Schlüssel, Datenbankpasswörter und andere Geheimnisse dürfen nicht im Quellcode oder in appsettings.json im Repository hinterlegt werden.
Für die Produktion empfiehlt sich Azure Key Vault, AWS Secrets Manager oder .NET User Secrets für die lokale Entwicklung. Umgebungsvariablen auf Serverebene sind eine akzeptable Alternative für einfachere Setups.
Wie sollten Umbraco-Updates und Sicherheitspatches verwaltet werden?
Umbraco-Updates und Sicherheitspatches sollten systematisch überwacht und zeitnah eingespielt werden. Wichtig sind eine unterstützte CMS-Version, offizielle Security Advisories und das Monitoring von Abhängigkeiten. Patches sollten in einer Staging-Umgebung getestet und über CI/CD-Workflows bereitgestellt werden. Vor Updates sind vollständige Backups und getestete Rollback-Verfahren erforderlich.
| Phase | Maßnahme | Erwartetes Ergebnis |
| Überwachung | Security Advisories und neue Updates verfolgen | Sicherheitsupdates werden rechtzeitig erkannt |
| Bewertung | Relevanz und Auswirkungen des Updates prüfen | Update-Risiken und Abhängigkeiten sind bekannt |
| Tests | Update in einer Staging-Umgebung testen | Kritische Funktionen bleiben funktionsfähig |
| Bereitstellung | Update über den CI/CD-Workflow ausrollen | Sicheres und kontrolliertes Deployment |
| Verifizierung | Funktionen und Logs nach dem Update prüfen | Erfolgreiches Update ohne neue Fehler |
| Rollback | Backup und vorherige Version wiederherstellen | Schnelle Wiederherstellung bei Problemen |
Überwachung unterstützter CMS-Versionen
Umbraco HQ veröffentlicht Long-Term-Support-Versionen (LTS) und Standard-Releases. LTS-Versionen erhalten Sicherheitsupdates für drei Jahre. Websites auf nicht mehr unterstützten Versionen erhalten keine Sicherheitspatches mehr und müssen als kritisch eingestuft werden. Die aktuelle Support-Matrix ist unter umbraco.com/products/umbraco-cms/roadmap einsehbar.
Beobachtung von Sicherheitshinweisen
Umbraco-Security-Advisories und GitHub-Hinweise sollten aktiv verfolgt werden. Tools wie Dependabot oder OWASP Dependency-Check können zusätzlich über Schwachstellen in NuGet-Abhängigkeiten informieren.
Testen von Patches vor der Bereitstellung
Patches sollten zunächst in einer produktionsnahen Staging-Umgebung getestet werden. Automatisierte Tests prüfen dabei kritische Funktionen wie Authentifizierung, Inhaltsbearbeitung und APIs.
Einrichtung automatisierter Update-Workflows
CI/CD-Pipelines können Updates automatisch erkennen, Pull Requests erstellen und Tests ausführen. Dadurch wird das Patch-Management schneller und zuverlässiger.
Vorbereitung von Rollback-Verfahren
Vor jedem Update sollte ein vollständiges Backup erstellt werden. Das Rollback-Verfahren muss dokumentiert und regelmäßig getestet werden.
Wie lassen sich Inhalte, Medien und personenbezogene Daten schützen?
Inhalte, Medien und personenbezogene Daten sollten durch strikte Zugriffskontrollen und sichere Authentifizierung geschützt werden. Für Uploads sind begrenzte Dateitypen, Malware-Scanning und sichere Speicherorte wichtig. Personenbezogene Daten sollten minimiert, verschlüsselt und nur so lange wie nötig gespeichert werden. Zusätzlich sind verschlüsselte Datenbankverbindungen und getestete Backups erforderlich.
Wie wird die Umbraco-Sicherheit überwacht und getestet?
Die wichtigsten Maßnahmen zur Überwachung und Prüfung der Umbraco-Sicherheit sind:
- Protokollierung von Anwendungen und Zugriffen,
- Warnmeldungen bei verdächtigen Aktivitäten,
- Schwachstellenscans,
- Statische und dynamische Codeanalyse,
- Penetrationstests,
- Übungen zur Reaktion auf Sicherheitsvorfälle.
| Sicherheitsmethode | Was sie erkennt | Empfohlene Häufigkeit |
| Log-Monitoring | Verdächtige Zugriffe und Anwendungsfehler | Kontinuierlich |
| Schwachstellenscans | Bekannte Schwachstellen in Software und Konfiguration | Regelmäßig |
| Statische Codeanalyse | Unsichere Muster im Quellcode | Während der Entwicklung |
| Dynamische Tests | Schwachstellen der Anwendung zur Laufzeit | Vor größeren Releases |
| Penetrationstests | Ausnutzbare Schwachstellen und Angriffswege | Regelmäßig oder nach größeren Änderungen |
Was sollte eine Umbraco-Sicherheitscheckliste enthalten?
Eine Umbraco-Sicherheitscheckliste sollte vier Bereiche abdecken: Prüfungen vor dem Launch, regelmäßige Wartung, Kontrollen nach der Installation neuer Pakete und Maßnahmen bei Sicherheitsvorfällen.
Prüfungen vor dem Website-Launch
- HTTPS erzwungen, HSTS konfiguriert
- Sicherheitsheader gesetzt (X-Frame-Options, CSP, X-Content-Type-Options)
- Backoffice-Zugriff auf bekannte IPs eingeschränkt
- Zwei-Faktor-Authentifizierung für alle Administratoren aktiviert
- Passwortrichtlinie konfiguriert und durchgesetzt
- Debug-Modus deaktiviert, Produktionskonfiguration aktiv
- Konfigurations- und Systemdateien vom Webzugriff ausgeschlossen
- Backup-Verfahren eingerichtet und getestet
- Logging konfiguriert und auf externe Plattform weitergeleitet
- Eingabevalidierung in allen eigenen Formularen und API-Endpunkten
Regelmäßige Wartungsprüfungen
- Umbraco-Version und installierte Pakete auf aktuellem Stand
- Sicherheitsadvisories der letzten 30 Tage geprüft
- Inaktive Benutzerkonten deaktiviert oder gelöscht
- Zugriffsrechte bestehender Benutzergruppen überprüft
- Backup-Integrität durch Test-Wiederherstellung bestätigt
- Logs der letzten 30 Tage auf Anomalien geprüft
- SSL-Zertifikat läuft nicht innerhalb von 30 Tagen ab
Prüfungen nach der Installation eines Pakets
- Paket-Quelle und Wartungsstatus geprüft
- Bekannte Schwachstellen in CVE-Datenbank und NuGet-Audit geprüft
- Paket in Staging getestet, bevor es in Produktion installiert wurde
- Neue Konfigurationseinstellungen des Pakets auf Sicherheitsimplikationen geprüft
Maßnahmen nach einem vermuteten Sicherheitsvorfall
- Betroffene Benutzerkonten sofort sperren
- Kompromittierte Sitzungen ungültig machen
- Forensische Kopie der Logs sichern
- Angriffspfad analysieren und Einstiegspunkt identifizieren
- Schwachstelle schließen, bevor der Zugang wiederhergestellt wird
- Backup aus dem Zeitraum vor dem Vorfall auf Integrität prüfen
- Vorfall dokumentieren und betroffene Parteien entsprechend DSGVO informieren
Ist die Umbraco-Entwicklung von SaM Solutions sicher?
SaM Solutions implementiert Umbraco-Projekte nach einem strukturierten Sicherheitsrahmen – von der Architekturplanung über sichere Entwicklungspraktiken bis zur Konfiguration der Produktionsinfrastruktur.
- Umbraco-Entwicklung: Sicherheitskonforme Umbraco-Implementierungen – inklusive Backoffice-Absicherung, Sicherheitsheader-Konfiguration, rollenbasierter Zugriffskontrolle und Patch-Management-Beratung.
- Portal- und WCMS-Lösungen: B2B-Portale mit granularen Zugriffskontrollen, externen Authentifizierungsanbietern und Audit-Logging für regulierte Branchen.
- E-Commerce-Entwicklung: Sichere E-Commerce-Integrationen auf Umbraco-Basis – mit verschlüsselter Datenübertragung, API-Authentifizierung und PCI-DSS-konformer Zahlungsanbindung.
Fazit
Umbraco ist ein technisch sicheres CMS, wenn es korrekt betrieben wird. Die häufigsten Risiken entstehen durch fehlende Updates, schwache Zugangsdaten, zu weitreichende Berechtigungen und ungeschützten eigenen Code.
FAQ
