Kostenloses CMS-Download: Sicher herunterladen, Malware vermeiden

Die schlimmste Website-Infektion, die ich je bereinigt habe, stammte nicht von einem Hacker. Sie kam aus einer ZIP-Datei. Ein kleiner Ladenbesitzer hatte ein 'Premium'-WordPress-Theme von einer Seite geholt, die bezahlte Themes versprach, und elf Monate später begann die Checkout-Seite, Kreditkartennummern auszulesen. Das CMS selbst war sauber. Die Verpackung um den Download herum nicht. Ein kostenloser CMS-Download ist wirklich kostenlos und wirklich sicher – aber nur, wenn er von der richtigen Stelle kommt und Sie zwei Minuten investieren, um ihn zu überprüfen. So mache ich beides.

Woher ein sicherer kostenloser CMS-Download tatsächlich kommt

Jedes legitime kostenlose CMS hat genau eine kanonische Heimat, und das ist nie eine Seite mit 'kostenlose Downloads' im Namen. Die eigene Domain des Projekts, über HTTPS, ist die ganze Regel. Alles andere – Aggregatoren, 'CMS-Download-Portale', Forum-Mirrors – sind Uploads unbekannter Herkunft mit unbekannten Extras drin.

• WordPress: nur wordpress.org. Nicht 'wp-free-downloads', kein Blog-Post-Link, kein Torrent.
• Joomla: downloads.joomla.org.
• Drupal: drupal.org, über die Release-Seite oder Composer.
• Grav, Pico, Bludit, WonderCMS: die offizielle Projektseite oder dessen GitHub-Releases-Seite.
• Themes und Plugins: das offizielle Verzeichnis auf der eigenen CMS-Website oder der eigene Shop des Entwicklers.
• Composer, npm oder die Pakete Ihrer Distribution sind ebenfalls in Ordnung – sie ziehen aus denselben kanonischen Quellen mit angehängten Prüfsummen.

Ein Vertrauensmerkmal: echte Projekt-Seiten sind etwas langweilig. Eine Download-Seite mit drei blinkenden 'JETZT HERUNTERLADEN'-Buttons bewirbt Adware, und zwei dieser Buttons gehören ganz jemand anderem. Eine weitere gute Gewohnheit: Tippen Sie die Domain selbst ein oder verwenden Sie ein Lesezeichen, das Sie nach einmaliger Überprüfung gesetzt haben, anstatt auf das erste Suchergebnis zu klicken. Malvertising – bezahlte Anzeigen, die offizielle Download-Seiten imitieren – ist ein realer Vertriebskanal, und die gefälschte Seite sitzt in den Suchergebnissen oft über der echten.

Manipulierte Versionen: die Schattenseite kostenloser Downloads

'Nulled' bedeutet ein geklautes Premium-Theme, Plugin oder CMS-Erweiterung, bei dem die Lizenzprüfung entfernt wurde. Jemand kauft ein 59-Dollar-Plugin, entfernt den Aktivierungscode und gibt es umsonst weiter. Stellen Sie die offensichtliche Frage: Warum sollte ein Fremder Geld ausgeben, damit Sie etwas umsonst bekommen? Weil die Nutzlast das Produkt ist. Das Paket fügt leise versteckte Backlinks für SEO-Spam-Netzwerke, ein Admin-Backdoor für später oder einen Injector hinzu, der Monate nach der Installation aufwacht – lange nachdem Sie die Verbindung zu diesem Download vergessen haben.

Der WooCommerce-Shop eines Kunden nutzte fast ein Jahr lang ein manipuliertes Slider-Plugin ohne sichtbares Problem. Dann aktivierte sich der Kartenskimmer nach einem Zeitplan. Die Bereinigung – Forensik, erzwungene Passwort-Resets, Streitigkeiten mit dem Zahlungsanbieter – kostete etwa vierzig Mal so viel wie die Plugin-Lizenz gekostet hätte. Kostenloser Download, teure Lektion.

• Warnsignal: Seiten, die Premium-Themes oder Plugins '100% kostenlos, GPL-lizenziert, virengeprüft' anbieten.
• Warnsignal: eine ZIP-Datei, deren interne Ordnernamen nicht mit der offiziellen Release-Struktur übereinstimmen.
• Warnsignal: ein Installer, der Sie bittet, Ihr Antivirenprogramm 'wegen Kompatibilität' zu deaktivieren.
• Warnsignal: alles, was als 'vorkonfiguriert' oder 'ohne Lizenz erforderlich' beschrieben wird.
• Warnsignal: Download-Links, die über URL-Verkürzer, File-Hoster oder Countdown-Seiten weitergeleitet werden.

Was machen Infektionen eigentlich mit Ihrer Website? Meistens vermieten sie sie. Spam-Netzwerke kaufen tausendfach injizierte Links, um Pillen- und Casino-Rankings aufzupolstern. Botnet-Betreiber fügen Ihren Server zu ihrem DDoS-Pool hinzu. Skimmer-Crews warten speziell auf Shops, denn Checkout-Seiten sind der Ort, an dem die Kreditkartennummern liegen. Ihr kleiner Fünf-Seiten-Blog ist nicht unter ihrer Schwelle; er ist ein Handelsgegenstand mit einem Marktpreis von ein paar Dollar, und die Infektion ist vollständig automatisiert.

Was Sie prüfen sollten, bevor Sie einen kostenlosen CMS-Download ausführen

Dreißig Sekunden Recherche, bevor Sie irgendetwas entpacken, spart Ihnen Wochen später. Meine Checkliste vor der Installation, in Reihenfolge:

1. Die Domain stimmt buchstabengetreu mit der offiziellen Projektseite überein. Achten Sie auf vertauschte Zeichen wie 'wordprress'.
2. Die Versionsnummer, die Sie erhalten, existiert in den offiziellen Release-Notes oder im Changelog des Projekts.
3. Das Projekt ist aktiv: Commits, Releases oder Sicherheitsbeiträge innerhalb der letzten zwölf Monate.
4. Eine Prüfsumme oder Signatur wird neben der Datei veröffentlicht – ein SHA-256-Hash, eine GPG-Signatur oder beides.
5. Das Archiv enthält eine Lizenzdatei, die das sagt, was Sie erwarten: GPL, MIT oder ähnlich.
6. Niemand im eigenen Forum oder Issue-Tracker des Projekts warnt vor dem aktuellen Release.

Überprüfung der heruntergeladenen Dateien

Prüfsummen klingen nerdig und dauern zehn Sekunden. Unter Windows öffnen Sie ein Terminal im Download-Ordner und geben ein: certutil -hashfile dateiname.zip SHA256. Unter macOS: shasum -a 256 dateiname.zip. Unter Linux: sha256sum dateiname.zip. Vergleichen Sie die Ausgabe mit dem Hash auf der offiziellen Download-Seite, Zeichen für Zeichen. Übereinstimmung bedeutet, dass die Datei genau das ist, was das Projekt veröffentlicht hat. Keine Übereinstimmung bedeutet: löschen Sie sie und laden Sie sie erneut aus der Quelle herunter – untersuchen Sie nicht weiter, 'probieren Sie es nicht trotzdem'.

Zwei weitere einfache Prüfungen. Erstens: Legen Sie die ZIP-Datei vor dem Öffnen in einen Multi-Engine-Scanner wie VirusTotal. Zweitens: Schauen Sie sich die Dateiliste an: Ein CMS-Kern sollte PHP, Vorlagen und Ressourcen enthalten. Zufällige .exe-Dateien, verschlüsselte Base64-Blobs in Theme-Ordnern oder Dateien mit Namen wie 'license-keygen.php' sind Ihr Signal, wegzugehen.

Installation auf echtem Hosting, ohne etwas zu zerstören

Die meisten missglückten Installationen scheitern an langweiligen Details, nicht an Malware. Prüfen Sie die vom CMS geforderte PHP-Version gegenüber dem, was Ihr Host tatsächlich läuft – Hosts lieben es, auf etwas Veraltetes zu setzen. Erstellen Sie eine neue Datenbank mit eigenem Benutzer und starkem Passwort, und verwenden Sie niemals einen Datenbank-Benutzer für mehrere Sites; ein Sicherheitsverstoß bei einer übernimmt dann alle. Ändern Sie den Datenbank-Tabellen-Präfix während der Installation vom Standard, wählen Sie einen Admin-Benutzernamen, der nicht 'admin' ist, und speichern Sie die Zugangsdaten in einem Passwort-Manager, nicht auf einem Haftnotiz.

Nach Abschluss des Installationsprogramms: Löschen Sie das Installationsverzeichnis, falls es eines hinterlässt, setzen Sie Ordner auf 755 und Dateien auf 644, und bestätigen Sie, dass die Seite über HTTPS lädt, bevor Sie irgendetwas anderes berühren. Wenn das CMS es anbietet, verschieben Sie die Konfigurationsdatei über das Web-Root.

Ein Wort zu Ein-Klick-Installern wie Softaculous, die die meisten Shared-Hosts mitliefern: Sie sind ein legitimer Mittelweg. Sie ziehen Releases aus den offiziellen Quellen, erstellen die Datenbank und setzen sinnvolle Berechtigungen – gut genug für die meisten Leute und viel sicherer als ein zufälliges Download-Portal. Der Kompromiss ist Kontrolle: Sie bekommen die Versionen, die der Host paketiert hat, manchmal ein Release oder zwei hinter dem aktuellen. Für die erste Installation nehmen Sie die Bequemlichkeit. Für alles, was Umsatz generiert, lernen Sie irgendwann den manuellen Weg, damit Sie genau wissen, was auf Ihrem Server ist.

Nach dem kostenlosen CMS-Download: die erste Einrichtungsstunde

1. Aktualisieren Sie sofort alles – der Kern könnte eine Minor-Version hinter dem aktuellen Patch-Release sein.
2. Löschen Sie Standardinhalte, Beispiel-Beiträge und ungenutzte mitgelieferte Themes und Plugins. Toter Code ist Angriffsfläche.
3. Richten Sie am ersten Tag automatische Backups ein, an einen Ort außerhalb desselben Servers.
4. Erzwingen Sie HTTPS und leiten Sie jede HTTP-Anfrage um.
5. Aktivieren Sie Login-Schutz: Zwei-Faktor-Authentifizierung, wo angeboten, Ratenbegrenzung, wo nicht.
6. Schreiben Sie Ihren Wiederherstellungsweg auf – wie Sie diese Site aus dem Nichts wiederherstellen würden – solange er noch frisch ist.

Und eine Abkürzung, die es zu wissen lohnt: Wenn der Grund für einen kostenlosen CMS-Download darin besteht, eine aus der Wayback Machine wiederhergestellte Site zu betreiben, können Sie den Download komplett überspringen. Restorix-Deployments enthalten ein kostenloses Ein-Datei-CMS unter /webarchive-cms.php – Inhaltsbearbeitung, Suchen und Ersetzen sowie einen Dateimanager, mit aktiviertem Safe Mode als Standard und einem pro Site zufällig generierten Admin-Passwort. Kein Installer, keine Datenbank, nichts, das von irgendwoher geholt wird, was diesen ganzen Artikel umgeht. Der Wiederherstellungsablauf ist im Tutorial beschrieben.