---
title: "Sicherheit"
description: "Warum Éclair ein sicheres CMS ist: keine Datenbank, Argon2id, Zwei-Faktor-Authentifizierung, strenge CSP, Integritätsprüfung und offensives Sicherheitsaudit."
url: "https://eclaircms.org/de/dokumentation/sicherheit"
lang: "de"
author: "Thierry Gustin"
published: "2026-10-30"
updated: "2026-11-01"
---

# Sicherheit

> **Das Wichtigste** — Éclair ist ein sicheres CMS von Haus aus: Ohne Datenbank bietet es der SQL-Injection keine Angriffsfläche, seine Daten sind doppelt geschützt, die Anmeldung kombiniert Argon2id, Brute-Force-Schutz und Zwei-Faktor-Authentifizierung, und die öffentliche Website setzt eine strenge Content-Security-Policy durch. Ein offensives Sicherheitsaudit fand 17 Schwachstellen, alle behoben.

Éclair ist ein sicheres CMS von Haus aus, gebaut für eine feindliche Umgebung: Shared Hosting und Bots, die rund um die Uhr Passwörter ausprobieren. Du musst nichts installieren oder einstellen, um geschützt zu sein. Dieser Leitfaden erklärt, was ab Werk abgesperrt ist, was der Adminbereich überwacht und welche vier Handgriffe deine Website noch besser schützen.

## Warum ist eine Website ohne Datenbank sicherer?

Ohne Datenbank hat die SQL-Injection, einer der verbreitetsten Angriffe auf Websites, schlicht nichts, worauf sie zielen könnte. Deine Inhalte sind Dateien, und diese Dateien sind doppelt geschützt:

- Die Ordner `data/`, `app/` und `cache/` sind per `.htaccess`-Datei vom Web aus gesperrt;
- jede Datendatei beginnt mit der Zeile `<?php exit; ?>`: Selbst wenn ein Server `.htaccess`-Dateien ignorieren würde, würde nichts angezeigt, und keine `<?php`-Sequenz kann hineingeschrieben werden;
- die Dateien sind privat (Rechte 0600) und werden atomar geschrieben: Ein Abbruch hinterlässt nie eine halb geschriebene Datei.

Auch die Installation ist geschützt: Sie ist nur innerhalb von 2 Stunden nach dem ersten Aufruf möglich, und die Adresse der Website wird erst dann zum Weiterleiten der Besucher genutzt, wenn der Server selbst sie geprüft hat.

## Wie ist die Anmeldung geschützt?

- **Passwörter** mit Argon2id gehasht (19 MiB Speicher, 2 Durchläufe), den von [OWASP](https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html) empfohlenen Parametern; bcrypt als Ausweichlösung. Mindestens 10 Zeichen, gängige Passwörter werden abgelehnt.
- **Brute-Force-Schutz**: Jeder Versuch wird reserviert, bevor er geprüft wird, sodass sich das Limit auch mit parallelen Anfragen nicht überschreiten lässt. Die Limits gelten pro Netzwerk (IPv4-Adresse oder /64-Block bei IPv6) und pro angegriffenem Konto. Dein gewohntes Gerät wird nie von einem Angreifer gesperrt, der sich absichtlich vertippt.
- **Zwei-Faktor-Authentifizierung** (2FA), kompatibel mit Google Authenticator, Microsoft Authenticator, 1Password oder Bitwarden, mit QR-Code und 8 Backup-Codes, die nur einmal angezeigt werden. Nach 10 falschen Codes wird die 2FA des Kontos 15 Minuten lang gesperrt, und der Inhaber wird per E-Mail benachrichtigt.
- **Erneute Passwortabfrage** bei sensiblen Aktionen (Backup, Konten, erweiterte Einstellungen, Änderung der E-Mail-Adresse), wenn die Anmeldung mehr als 15 Minuten zurückliegt.
- **Gehärtete Sitzungen**: keine Sitzung vor der Anmeldung, Cookies mit `HttpOnly`, `Secure` und `SameSite=Strict`, Abmeldung bei Inaktivität, ein Button „Alle abmelden“. Der Adminbereich wird auf HTTPS gezwungen, sobald die Website es nutzt.
- **CSRF-Token** bei allen Aktionen und Prüfung der Herkunft der Anfragen.

## Wie ist die öffentliche Website abgesichert?

| Schutz | Was er verhindert |
| --- | --- |
| Strenge Content-Security-Policy (keine Inline-Skripte, SHA-256-Hash für den Stil) | Das Ausführen eingeschleuster Skripte |
| Clickjacking-Schutz, `nosniff`, `Referrer-Policy`, `Permissions-Policy`, optional HSTS | Manipuliertes Einbetten, Informationslecks |
| Keine offenen Weiterleitungen | Dass deine Domain genutzt wird, um auf eine schädliche Website weiterzuleiten |
| Per Allowlist bereinigte Inhalte | `javascript:`- oder `data:`-Links, auch getarnt |
| Kontaktformular mit Honeypot-Feld, Token und Limits | Spam, ohne Captcha: 5 Nachrichten pro Netzwerk alle 10 Minuten, 100 pro Tag für die ganze Website |
| Beim Hochladen neu kodierte Bilder | Versteckte Nutzlasten sowie EXIF- oder GPS-Daten; SVGs und Bilder mit Code werden abgelehnt |

Die Sicherheits-Header hängen von den Einstellungen ab, nie von der Anfrage: Eine Seite aus dem Cache sendet allen dieselben Header, was Cache-Poisoning unmöglich macht.

## Was überwacht die Seite Sicherheit?

Die Seite **Sicherheit**, die nur Administratoren zugänglich ist, bündelt deine Kontrollwerkzeuge:

![Seite „Sicherheit“ im Éclair-Adminbereich: Schutzstufe in Prozent, Test des Ordnerschutzes und Dateiintegrität](https://eclaircms.org/media/2026/11/de-security-page.webp)
*Die Seite „Sicherheit“: Jeder orange Punkt zeigt einen Schutz, den du noch aktivieren kannst.*

1. **Schutzstufe**: ein Prozentwert und der Status jedes Schutzes (HTTPS, verifizierte Adresse, Zwei-Faktor-Authentifizierung, Adresse des Adminbereichs, PHP-Version, HSTS …), mit dem Button **Adresse der Website verifizieren**.
2. **Test des Ordnerschutzes**: Dein Browser versucht, interne Dateien zu öffnen, die unzugänglich bleiben müssen.
3. **Dateiintegrität**: Jede Éclair-Datei wird mit ihrem ursprünglichen Fingerabdruck verglichen, und verdächtige Dateien werden gemeldet, etwa ein in den Medien verstecktes Skript oder eine `.php`-Datei ohne Schutzzeile in `data/`.
4. **Backup**: ein Archiv deiner gesamten Website mit einem Klick.
5. **Sitzungen und Sperren**, dann das **Sicherheitsprotokoll**: Anmeldungen, Fehlversuche, Sperren, Passwortänderungen, Backups.

Die Protokolle sind auf 1 MB begrenzt: Man kann sie nicht aufblähen, um die Festplatte zu füllen.

## Was hat das offensive Sicherheitsaudit ergeben?

Vor seiner Veröffentlichung wurde Éclair methodisch angegriffen: Race Conditions, Brute Force, Weiterleitungen, Injections, präparierte Dateien. Dabei wurden **17 Schwachstellen** gefunden, davon 2 schwere, 7 mittlere und 8 leichte, und alle wurden behoben. Die 13 Angriffsszenarien wurden anschließend gegen die korrigierte Version wiederholt: alle neutralisiert. Der KI-Assistent, der mit Version 1.2.0 kam, hatte vor seiner Veröffentlichung sein eigenes Audit.

Die automatischen Tests von Éclair, die 550 Prüfungen umfassen, spielen einen großen Teil dieser Angriffe nach. Die Details der Korrekturen stehen im [Changelog](https://eclaircms.org/de/changelog).

## Welche Handgriffe machen dein sicheres CMS noch besser?

> **Die 4 Handgriffe, auf die es ankommt** — 1. Aktiviere die **Zwei-Faktor-Authentifizierung** unter Mein Profil, für jeden Administrator.  
> 2. Wähle unter Einstellungen › Erweitert eine **eigene Adresse für den Adminbereich**: Weniger Bots werden anklopfen.  
> 3. Klicke unter Sicherheit auf **Adresse der Website verifizieren** und aktiviere dann HSTS, sobald HTTPS einwandfrei funktioniert.  
> 4. **Lade ein Backup herunter**, vor jeder größeren Änderung, unter Sicherheit › Backup.

Halte außerdem PHP bei deinem Hoster aktuell: Éclair läuft mit PHP 8.1 bis 8.5, empfohlen ist 8.3. Zu Backup und Updates siehe den Leitfaden [Aktualisieren, sichern, umziehen](https://eclaircms.org/de/dokumentation/updates).

## Fragen zur Sicherheit

### Ist Éclair wirklich ein sicheres CMS ohne Sicherheits-Plugin?

Ja. Zwei-Faktor-Authentifizierung, Brute-Force-Schutz, strenge Header, Integritätsprüfung und Backup sind eingebaut. Ohne Plugins, die man aktualisieren muss, entfällt die erste Schwachstellenquelle klassischer CMS. Der [Vergleich mit WordPress](https://eclaircms.org/de/eclair-vs-wordpress) beziffert diese Lücke.

### Ich habe mein Smartphone mit der Zwei-Faktor-Authentifizierung verloren: Was tun?

Verwende einen deiner 8 Backup-Codes. Hast du sie verloren und kann dir kein anderer Administrator helfen, folge dem Notfallverfahren per FTP, das unter [Fehlerbehebung](https://eclaircms.org/de/dokumentation/fehlerbehebung#forgot-password) beschrieben ist.

### Kann ein Angreifer mein Konto sperren, indem er sich absichtlich vertippt?

Nein: Dein gewohntes Gerät wird nie durch die Fehlversuche eines anderen gesperrt. Die Limits zielen auf das Netzwerk des Angreifers und auf das Konto, ohne dich daran zu hindern, dich von zu Hause aus anzumelden.

### Was tun, wenn die Integritätsprüfung eine geänderte Datei meldet?

Wenn du nichts angepasst hast, ersetze die Datei durch die aus dem offiziellen Archiv. Hast du dein Theme geändert, ist das normal: Die Dateien in app/theme erscheinen als geändert.