CMS-Lifecycle 2026: Contao 4, TYPO3 v12, WordPress 6.6

Contao 4.13 bekommt seit dem 14. Februar 2026 keine Security-Patches mehr. TYPO3 v12 ist seit dem 30. April 2026 aus dem kostenlosen Community-Support gefallen. WordPress 6.6 und ältere Versionen bekommen keine Security-Updates mehr. Drei weitverbreitete CMS-Versionen, drei bereits abgelaufene oder auslaufende Support-Fenster. Betreiber die das ignorieren, laufen sehenden Auges in ein Sicherheitsrisiko.

Das Thema CMS-Lifecycle klingt technisch und abstrakt. Aber es ist sehr konkret: Eine Website auf einer nicht mehr gepflegten CMS-Version ist wie ein Haus mit einer kaputten Schlösser. Es sieht von außen normal aus. Die Tür geht auf. Aber wer die Lücke kennt, kommt rein ohne Schlüssel.

Als Webentwickler aus der Region Oldenburg sehe ich das bei Website-Checks regelmäßig. Betriebe haben eine Website die seit Jahren läuft. Niemand hat nach der CMS-Version geschaut. Niemand hat überprüft ob Updates nötig sind. Die Website funktioniert, das reicht.

Was "End of Life" wirklich bedeutet

End of Life ist kein technisches Problem. Es ist ein Wartungsproblem. Wenn ein CMS das End of Life erreicht, bedeutet das: Das Entwicklerteam schaut sich bekannte Sicherheitslücken nicht mehr an. Wenn jemand eine Schwachstelle findet und meldet, passiert nichts. Kein Patch. Kein Update. Die Lücke bleibt offen.

Das ist der entscheidende Unterschied zu einem aktuellen System. Bei einem gepflegten CMS: Sicherheitslücke gefunden, innerhalb von Tagen oder Wochen gibt es einen Patch, alle die updaten sind geschützt. Bei einem EOL-System: Sicherheitslücke gefunden, niemand repariert sie, alle die diese Version nutzen bleiben dauerhaft angreifbar.

Was viele nicht wissen: Sicherheitslücken in veralteten Systemen werden oft gezielt von automatisierten Scannern gesucht. Diese Scanner fahren das Web ab und suchen nach bekannten Schwachstellen in bestimmten CMS-Versionen. Das ist keine Frage ob deine Website interessant genug ist für einen Angriff. Es ist eine Frage ob deine Version in der Datenbank des Scanners steht.

Die Konsequenzen wenn eine solche Lücke ausgenutzt wird, sind vielfältig. Daten können ausgelesen werden, auch Kundendaten. Die Website kann als Spam-Schleuder missbraucht werden. Malware kann eingespielt werden, die dann auf Besucher-Geräte überspringt. Google kann die Website als unsicher kennzeichnen und aus dem Index entfernen. Und nach der DSGVO bist du als Betreiber in der Pflicht, deine Daten zu schützen. Ein ungepatchtes CMS ist ein Verstoß gegen diese Pflicht.

Contao 4.13: Support seit Februar 2026 abgelaufen

Contao 4.13 war die letzte LTS-Version der 4er-Reihe. Sie wurde im Februar 2022 veröffentlicht und erhielt planmäßig drei Jahre Support. Bugfix-Support endete am 14. Februar 2025. Security-Support endete am 14. Februar 2026.

Das bedeutet: Seit über drei Monaten gibt es keine Sicherheitspatches mehr für Contao 4.13. Wer jetzt noch Contao 4.13 betreibt, ist auf sich allein gestellt. Neu entdeckte Schwachstellen werden nicht mehr geschlossen.

Der Nachfolger ist Contao 5. Die aktuelle LTS-Version ist Contao 5.3, erschienen im Februar 2024 mit Support bis Februar 2028. Daneben gibt es bereits Contao 5.5 und 5.6 als neuere Versionen.

Was das Upgrade erschwert: Contao 5 ist kein einfaches Update. Es ist ein Major-Versionswechsel. Das Backend sieht anders aus. Manche Erweiterungen sind nicht mehr verfügbar oder müssen durch neue Alternativen ersetzt werden. Template-Strukturen haben sich geändert. Wer benutzerdefinierte Anpassungen hat, muss diese prüfen und anpassen.

Was viele nicht wissen: Contao hat dafür einen Migrationspfad vorbereitet. Erweiterungen die unter 4.13 liefen, sind oft mit weniger Aufwand auch unter 5.3 lauffähig als befürchtet. Wer von Contao 4.13 kommt, hat den Vorteil dass 4.13 als Brückenversion konzipiert wurde. Das macht den Sprung auf 5 leichter als von älteren 4.x-Versionen.

TYPO3 v12: Community-Support seit 30. April 2026 abgelaufen

TYPO3 v12.4 LTS war eine stabile und weit verbreitete Version, besonders in Unternehmen, im öffentlichen Sektor und im Bildungsbereich. Sie wurde im April 2023 als LTS-Version veröffentlicht. Am 30. April 2026 endete der kostenlose Community-Support.

Wichtige Klarstellung: TYPO3 v12.4.45 war voraussichtlich das letzte öffentliche Release dieser Version. Ab dem 1. Mai 2026 gibt es keine kostenlosen Sicherheitsupdates mehr, keine Fehlerbehebungen, keine Kompatibilitätsanpassungen für neue PHP-Versionen. Wer auf v12 bleiben will, kann Extended Long-Term Support (ELTS) kaufen. Das ist ein kostenpflichtiger Service von TYPO3 GmbH.

Die Upgrade-Optionen sind klar: TYPO3 v13 LTS (seit Oktober 2024, Support bis Dezember 2027) oder TYPO3 v14 LTS (seit April 2026, Support bis Juni 2029). v14 ist die aktuelle Flaggschiff-Version mit dem längsten Support-Fenster.

Das Problem bei TYPO3: Die Installationen sind oft komplex. Custom-Extensions, selbstgeschriebenes TypoScript, eigene Sitepackages. Wer drei Jahre minimal-invasive Wartung gemacht hat, stellt beim Upgrade fest wie viel sich angestaut hat. Das ist kein TYPO3-spezifisches Problem. Es ist ein Wartungsproblem das sich über Jahre aufbaut.

Was auch auf Betriebe in Oldenburg und Ganderkesee zutrifft: TYPO3 wird oft von größeren Unternehmen oder Vereinen mit anspruchsvolleren Websites genutzt. Diese Betriebe haben oft keine interne IT-Abteilung. Sie sind auf externe Dienstleister angewiesen. Wenn niemand aktiv das Lifecycle-Management übernimmt, rutscht man unbemerkt in veraltete Versionen.

WordPress 6.6 und älter: Wann ist welche Version ein Problem?

WordPress hat ein anderes Support-Modell als Contao oder TYPO3. Es gibt immer nur eine "aktuelle" Version. Das ist aktuell WordPress 7.0, erschienen am 20. Mai 2026. Alle früheren Versionen sind in der Theorie veraltet.

In der Praxis ist es differenzierter. WordPress veröffentlicht kritische Security-Backports für ältere Versionen, wenn Schwachstellen besonders gefährlich sind. Aber das ist kein Versprechen. Es ist eine Best-Effort-Praxis die nicht dauerhaft gilt und nicht für alle Sicherheitslücken greift.

Der klare Schnitt liegt bei der aktuellen Major-Version und einer Handvoll Vorgänger. WordPress 6.7 erschien im November 2024. WordPress 6.6 und ältere Versionen erhalten keine regulären Security-Updates mehr. Wer noch WordPress 6.5, 6.4, 6.3 oder älter betreibt, ist auf veralteter Software ohne garantierten Schutz.

Besonders kritisch: WordPress 5.x-Versionen. Manche Websites laufen noch auf WordPress 5.8 oder 5.9, weil ein Plugin-Konflikt das Update verhindert hat und niemand das wirklich gelöst hat. Oder weil das Theme mit neueren Versionen nicht kompatibel war. Diese Versionen sind von 2021 oder früher. Das sind fünf Jahre ohne garantierte Security-Patches.

Ein wichtiger Aspekt bei WordPress: Das Core-System ist oft gar nicht das Hauptproblem. Die größten Risiken kommen von Plugins und Themes. Veraltete Plugins die nicht mehr gepflegt werden, sind ein größeres Risiko als eine etwas ältere WordPress-Core-Version. Wie ich im Artikel zur WordPress-Sicherheitslage im März 2026 beschrieben habe, stammen 90 Prozent der WordPress-Schwachstellen aus Plugins, nicht aus dem Core.

Was du jetzt konkret tun solltest

Zunächst musst du wissen was auf deiner Website läuft. Das klingt trivial, ist aber für viele Betriebe nicht trivial. Sie wissen es schlicht nicht. Die Website wurde vor Jahren gebaut, seitdem hat sich jemand darum gekümmert oder auch nicht.

Schritt eins: Version prüfen. Bei WordPress: Im WordPress-Dashboard unter "Dashboard" siehst du die aktuelle Version. Bei Contao und TYPO3: Dort ist es ähnlich, aber du brauchst oft Zugang zum Backend. Falls du keinen hast, kontaktiere die Agentur oder den Entwickler der die Website gebaut hat.

Wenn du Contao 4.13 nutzt: Migration auf Contao 5.3 planen. Das ist kein sofortiges Notfall-Update sondern ein Projekt das Planung braucht. Je nach Komplexität der Website braucht das Wochen. Besser jetzt planen als warten bis ein Sicherheitsvorfall passiert.

Wenn du TYPO3 v12 nutzt: Drei Optionen. Upgrade auf v13 oder v14. ELTS-Lizenz für den Übergangszeitraum. Oder das Risiko bewusst in Kauf nehmen (was ich nicht empfehle). v14 ist die aktuelle LTS mit dem längsten Support-Fenster bis Juni 2029.

Wenn du WordPress 6.6 oder älter nutzt: Update auf WordPress 7.0. Vorher: Backup. Staging-Umgebung wenn verfügbar. Plugin-Kompatibilität prüfen. Das Update selbst ist oft einfach. Die Vorbereitung ist entscheidend.

Ein häufiger Fehler: Betriebe hören "Migration" und schieben es auf. Zu aufwendig. Zu teuer. Zu viel Risiko. Aber das ist die falsche Kalkulation. Die Migration kostet Aufwand. Ein Sicherheitsvorfall kostet mehr. Nicht nur Geld, sondern auch Vertrauen. Wenn Kundendaten abfließen, ist der Schaden schwer zu beziffern.

Ein einfacher Quick Win: Wenn du WordPress nutzt und das Update nur wegen Plugins scheust, schau dir die veralteten Plugins genau an. Werden sie noch aktiv gepflegt? Hat der Entwickler in den letzten sechs Monaten ein Update veröffentlicht? Wenn nein, sind das Kandidaten zum Entfernen, nicht zum Beibehalten.

Eine Migration ist auch eine Chance

Wer jetzt vor einer großen Contao- oder TYPO3-Migration steht, sollte eine Frage ehrlich stellen: Brauche ich wirklich die Komplexität meines aktuellen Systems noch? Oder war das CMS damals die Wahl der Agentur, nicht die Wahl meines Betriebs?

Viele lokale Betriebe nutzen Contao oder TYPO3 weil die Agentur das empfohlen hat. Das waren zu ihrer Zeit gute Entscheidungen. Aber 2026 gibt es Alternativen die für einfache Content-Websites schneller, leichter zu pflegen und ohne Plugin-Wildwuchs auskommen.

Lotse CMS (lotse-cms.de) ist ein Symfony-basiertes CMS das ich selbst entwickle und einsetze. Es ist keine WordPress-Kopie und kein Baukastensystem. Es ist ein fokussiertes Werkzeug für lokale Betriebe die eine professionelle Content-Website brauchen: Seiten, Blog, Kontaktformular, Bildergalerie, SEO. Alles im Core, keine Plugins, kein Wartungsmarathon.

Was das konkret bedeutet: Kein Avada-Lücken-Szenario. Kein Plugin-Update-Stau. Kein "Wer war nochmal für die Updates zuständig?" nach einem Agenturwechsel. Eine feste, gepflegte Codebasis die ich dauerhaft weiterentwickle.

Und wenn ein neues CMS zu groß gedacht ist?

Nicht jeder Betrieb will eine große Entscheidung treffen. Dann gibt es den Website-Mietservice von Level Nord. Professionelle Website auf Lotse CMS, monatlich buchbar, Hosting und Wartung inklusive, kein einmaliger Investitionsblock.

Der Mietservice richtet sich an Betriebe die sagen: "Ich will keinen Plugin-Dschungel, kein altes CMS, keine Sorgen um Updates. Ich will eine Website die einfach läuft." Das ist genau das was der Service liefert. Kein Lock-In: Nach Laufzeitende geht die Website in dein Eigentum über.

Das ist kein Aufruf umzusteigen. Wer mit seinem aktuellen CMS zufrieden ist und es regelmäßig aktuell hält, soll es behalten. Aber wer sowieso vor einer größeren Migration steht und sich fragt ob der Aufwand wirklich für das gleiche System noch einmal gemacht werden soll, dem rate ich das Gespräch zu suchen.

Die Prioritäten im Überblick