Welche TYPO3-Version noch Sicherheitsupdates bekommt
Jede Hauptversion hat drei Phasen: freie Pflege, kostenpflichtige Verlängerung und danach nichts mehr. Hier steht, in welcher Phase deine Installation gerade steckt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Eine Website läuft auch dann weiter, wenn niemand sie mehr absichert
Das Tückische am Support-Ende ist, dass nichts passiert. Es gibt keine Meldung im Backend, das Frontend sieht aus wie am Vortag, und die Redaktion arbeitet weiter. Genau deshalb bemerken viele Betreiber erst Monate später, dass ihre Installation seit einer Weile keine Sicherheitsaktualisierungen mehr bekommt, und dann meist über einen Hinweis von außen.
Dazu kommt eine Begriffsverwirrung, die Entscheidungen verzögert. Support heißt hier nicht Hilfe bei Fragen, sondern die Bereitstellung von Fehler- und Sicherheitskorrekturen für den Kern. Ob eine Agentur weiterhin Änderungen an eurer Website vornimmt, hat damit nichts zu tun. Sie kann das tun, ohne dass jemals wieder eine Sicherheitsaktualisierung erscheint.
Der Preis dafür fällt nicht gleichmäßig an. Er ist lange null und dann auf einen Schlag hoch: eine veröffentlichte Schwachstelle, für die es keine Korrektur mehr gibt, ein Hoster, der die benötigte PHP-Fassung abschaltet, oder ein Upgrade, das inzwischen zwei Hauptversionen überspringen muss und deshalb ein Vielfaches dessen kostet, was es vor zwei Jahren gekostet hätte.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Überblick, welche Version läuft und wie lange sie gepflegt wird | Die Stelle, die für die Website verantwortlich zeichnet, meist Marketing oder Unternehmenskommunikation | Administration oder betreuende Agentur, die die Versionsnummer meldet und gegen die offizielle Übersicht hält | Solange die Website läuft, fühlt sich niemand zuständig. Der Abgleich passiert dann erst, wenn jemand von außen fragt. |
| Zeitpunkt und Budget für das nächste Upgrade | Budgetverantwortung, oft Geschäftsführung oder Bereichsleitung | Entwicklung intern oder Dienstleister, gemeinsam mit der Redaktion für den Abnahmetest | Der Termin wird an das Ende der freien Pflege gelegt statt davor, und dann ist keine Kapazität mehr frei, weil alle anderen genauso rechnen. |
| Kostenpflichtige Verlängerung über ELTS beauftragen | Budgetverantwortung, auf Empfehlung der Technik | Hosting oder Agentur, weil die Aktualisierungen über einen eigenen Bezugsweg eingespielt werden | Die Verlängerung wird bestellt und der Upgrade-Termin nicht gleichzeitig festgelegt. Aus der Brücke wird ein Dauerzustand. |
| Reaktion auf eine veröffentlichte Sicherheitsmeldung | IT-Sicherheit oder Administration, im Zweifel ohne Rückfrage | Eine namentlich benannte Person in Administration oder Agentur mit einer ebenso benannten Vertretung, samt anschließender Kontrolle im Frontend | Es ist nicht geregelt, wer Meldungen überhaupt liest. Ohne feste Zuständigkeit erfährt niemand rechtzeitig davon. |
| Zukunft der eingesetzten Fremderweiterungen | Fachbereich gemeinsam mit der Technik, weil daran Funktionen für die Redaktion hängen | Entwicklung, die den Stand jeder Erweiterung prüft und Alternativen bewertet | Erst beim Upgrade fällt auf, dass eine tragende Erweiterung seit Jahren nicht weiterentwickelt wird, und dann fehlt die Zeit für einen Ersatz. |
Überblick, welche Version läuft und wie lange sie gepflegt wird
- Wer entscheidet
- Die Stelle, die für die Website verantwortlich zeichnet, meist Marketing oder Unternehmenskommunikation
- Wer setzt um
- Administration oder betreuende Agentur, die die Versionsnummer meldet und gegen die offizielle Übersicht hält
- Stolperfalle
- Solange die Website läuft, fühlt sich niemand zuständig. Der Abgleich passiert dann erst, wenn jemand von außen fragt.
Zeitpunkt und Budget für das nächste Upgrade
- Wer entscheidet
- Budgetverantwortung, oft Geschäftsführung oder Bereichsleitung
- Wer setzt um
- Entwicklung intern oder Dienstleister, gemeinsam mit der Redaktion für den Abnahmetest
- Stolperfalle
- Der Termin wird an das Ende der freien Pflege gelegt statt davor, und dann ist keine Kapazität mehr frei, weil alle anderen genauso rechnen.
Kostenpflichtige Verlängerung über ELTS beauftragen
- Wer entscheidet
- Budgetverantwortung, auf Empfehlung der Technik
- Wer setzt um
- Hosting oder Agentur, weil die Aktualisierungen über einen eigenen Bezugsweg eingespielt werden
- Stolperfalle
- Die Verlängerung wird bestellt und der Upgrade-Termin nicht gleichzeitig festgelegt. Aus der Brücke wird ein Dauerzustand.
Reaktion auf eine veröffentlichte Sicherheitsmeldung
- Wer entscheidet
- IT-Sicherheit oder Administration, im Zweifel ohne Rückfrage
- Wer setzt um
- Eine namentlich benannte Person in Administration oder Agentur mit einer ebenso benannten Vertretung, samt anschließender Kontrolle im Frontend
- Stolperfalle
- Es ist nicht geregelt, wer Meldungen überhaupt liest. Ohne feste Zuständigkeit erfährt niemand rechtzeitig davon.
Zukunft der eingesetzten Fremderweiterungen
- Wer entscheidet
- Fachbereich gemeinsam mit der Technik, weil daran Funktionen für die Redaktion hängen
- Wer setzt um
- Entwicklung, die den Stand jeder Erweiterung prüft und Alternativen bewertet
- Stolperfalle
- Erst beim Upgrade fällt auf, dass eine tragende Erweiterung seit Jahren nicht weiterentwickelt wird, und dann fehlt die Zeit für einen Ersatz.
Vier Hauptversionen, vier Zustände, Stand 16.08.2026
- 01 TYPO3 v14 erschien am 21.04.2026 und ist die Empfehlung für neue Projekte.
- 02 TYPO3 v13 wird kostenlos bis zum 31.12.2027 gepflegt, es besteht kein Handlungsdruck.
- 03 TYPO3 v12 hat seit dem 30.04.2026 keine kostenlose Pflege mehr.
- 04 Für v12 gibt es Sicherheitsupdates nur noch kostenpflichtig über ELTS bis 30.04.2030.
- 05 TYPO3 v11 ist seit dem 31.10.2024 aus der freien Pflege heraus.
- 06 Wer auf v11 oder v12 sitzt, plant das Upgrade jetzt statt beim nächsten Vorfall.
Was du danach über deine Installation sagen kannst
Am Ende dieser Seite kennst du den Aufbau des Modells, weißt, in welcher Phase deine Version steckt, und kannst begründen, ob Handlungsbedarf besteht oder nicht. Das ist die Grundlage für jede Budgetentscheidung rund um die Website.
Den Lebenszyklus lesen
Du unterscheidest Sprint-Releases, die LTS-Fassung eines Majors und die kostenpflichtige Verlängerung und weißt, welche Phase welche Art von Aktualisierung liefert.
Die eigene Version bestimmen
Du findest die genaue Versionsnummer deiner Installation, ohne jemanden zu fragen, und kannst sie gegen die offizielle Übersicht halten.
Das Restrisiko benennen
Du kannst erklären, was ohne Sicherheitsaktualisierungen tatsächlich passiert, und musst dich dabei nicht auf Bauchgefühl stützen.
ELTS richtig einordnen
Du erkennst, wann die kostenpflichtige Verlängerung eine saubere Brücke zu einem terminierten Upgrade ist und wann sie nur den Aufschub bezahlt.
Den Stand der Erweiterungen mitprüfen
Du weißt, dass ELTS nur den Kern absichert, und stellst dieselbe Frage für jede tragende Fremderweiterung, bevor du ein Budget beantragst.
Den Zeitpunkt planen
Du legst den Upgrade-Termin an das Ende der freien Pflege und nicht daran, wann der Druck groß genug wird, weil die Kosten mit dem Abstand steigen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wie der Lebenszyklus aufgebaut ist
Eine Hauptversion von TYPO3 entsteht in mehreren Sprint-Releases, die neue Funktionen bringen und jeweils nur bis zum nächsten Sprint gepflegt werden. Am Ende dieser Reihe steht die LTS-Fassung, also die letzte Nebenversion des Majors, und erst sie ist für den Dauerbetrieb gedacht. In der 13er-Reihe trägt sie die Nummer 13.4, in der 14er-Reihe die Nummer 14.3.
Ab dieser LTS-Fassung läuft die kostenlose Pflege. In dieser Zeit erscheinen Fehlerkorrekturen und Sicherheitsaktualisierungen, und die eingesetzten Nebenversionen zählen weiter hoch, ohne dass sich etwas Grundlegendes ändert. Ein Wechsel von 13.4.20 auf 13.4.34 ist ein Wartungsschritt, kein Projekt. Genau dieser Unterschied ist der Grund, warum die LTS-Fassung die einzige sinnvolle Wahl für eine Produktivinstallation ist.
Läuft die kostenlose Pflege aus, folgt ELTS, die kostenpflichtige Verlängerung durch die TYPO3 GmbH. Sie liefert weiterhin Sicherheitsaktualisierungen für den Kern, aber keine neuen Funktionen, und sie läuft ebenfalls mit einem festen Enddatum. Danach gibt es für diese Version nichts mehr, weder kostenlos noch bezahlt.
Der geprüfte Stand am 16. August 2026
TYPO3 v14 ist am 21. April 2026 als LTS erschienen und wird kostenlos bis zum 30. Juni 2029 gepflegt, die kostenpflichtige Verlängerung reicht bis zum 30. Juni 2032. Für neue Projekte ist das die Version, mit der man anfängt, weil sie den längsten Zeitraum ohne Systemwechsel bietet.
TYPO3 v13 ist seit dem 15. Oktober 2024 verfügbar und wird kostenlos bis zum 31. Dezember 2027 gepflegt, mit Verlängerung bis Ende 2030. Wer hier steht, hat kein akutes Thema, sollte den Sprung auf v14 aber im Budget der kommenden Geschäftsjahre einplanen statt im letzten Quartal davor.
Für TYPO3 v12 ist die kostenlose Pflege am 30. April 2026 ausgelaufen. Die Installation läuft weiter, bekommt aber nur noch über ELTS Sicherheitsaktualisierungen, dort bis zum 30. April 2030. TYPO3 v11 ist bereits am 31. Oktober 2024 aus der freien Pflege gefallen, die Verlängerung endet am 31. Oktober 2028. Diese Daten ändern sich gelegentlich, deshalb gehört vor jeder Budgetplanung ein Blick auf die offizielle Übersicht dazu, die unter den Quellen verlinkt ist.
Was passiert, wenn Sicherheitsupdates ausbleiben
Der erste und wichtigste Effekt: Schwachstellen werden veröffentlicht. Wenn das Sicherheitsteam eine Lücke schließt, erscheint dazu eine Meldung, die das Problem beschreibt. Für gepflegte Versionen gibt es gleichzeitig die Korrektur. Für eine Version ohne Pflege gibt es nur die Beschreibung, und die ist für jeden lesbar, der es darauf anlegt. Das Risiko steigt also nicht langsam an, es springt mit jeder neuen Veröffentlichung.
Der zweite Effekt kommt vom Hosting. Eine TYPO3-Version ist für bestimmte PHP-Fassungen freigegeben, und auch PHP hat einen eigenen Lebenszyklus. Irgendwann schaltet der Hoster die alte Fassung ab, weil sie selbst keine Sicherheitsupdates mehr bekommt, und dann steht die Entscheidung nicht mehr im Kalender, sondern auf der Tagesordnung. Wer die Mindestanforderungen prüfen will, findet sie in den offiziellen Systemanforderungen der jeweiligen Version.
Der dritte Effekt ist der teuerste und der leiseste. Mit jedem Jahr wächst der Abstand zwischen eurer Installation und der aktuellen Fassung. Ein Sprung über zwei Hauptversionen ist kein doppelter Aufwand gegenüber einem Sprung über eine, sondern deutlich mehr, weil sich Änderungen an Schnittstellen und Konfiguration überlagern. Wer den Zeitpunkt aussitzt, bezahlt ihn später mit Zinsen.
Wann ELTS eine saubere Entscheidung ist
Es gibt gute Gründe für die kostenpflichtige Verlängerung, und sie haben alle mit Planung zu tun. Wenn das Upgrade beschlossen, budgetiert und terminiert ist, aber erst im nächsten Geschäftsjahr stattfinden kann, ist ELTS genau die Brücke, für die es gedacht ist. Dasselbe gilt, wenn ein Relaunch ohnehin ansteht und es unsinnig wäre, vorher noch ein Upgrade der alten Fassung zu bezahlen.
Ebenso gute Gründe gibt es dagegen. Wird die Verlängerung bestellt, ohne dass ein Termin für das Upgrade feststeht, kauft ihr Zeit, die niemand nutzt. Im Folgejahr ist die Ausgangslage schlechter als heute, weil der Abstand zur aktuellen Fassung gewachsen ist und der Betrag erneut fällig wird. Das ist die Variante, die am Ende teurer kommt als das Upgrade, das man vermeiden wollte.
Ein Detail wird dabei oft übersehen: Die Verlängerung deckt den Kern ab, nicht automatisch alles, was in eurer Installation steckt. Fremderweiterungen entwickeln sich unabhängig davon weiter oder eben nicht. Wenn eine tragende Erweiterung ihre Pflege einstellt, hilft ein abgesicherter Kern nur begrenzt, deshalb gehört der Stand der Erweiterungen in dieselbe Betrachtung.
Wie du deine eigene Version nachsiehst
Am schnellsten geht es im Backend. Im Benutzermenü oben rechts findest du den Informationsbereich zu TYPO3 mit der genauen Versionsnummer. Wer Administrationsrechte hat, sieht denselben Wert im Bereich Environment der Admin-Werkzeuge, dort zusammen mit der eingesetzten PHP-Fassung, die für die Planung ebenso wichtig ist.
Auf der Kommandozeile einer Composer-Installation liefert composer show typo3/cms-core dieselbe Auskunft, und zwar zuverlässiger, weil sie den tatsächlich installierten Stand zeigt und nicht das, was jemand im Wartungsvertrag stehen hat. Diese Nummer, etwa 13.4.34, hältst du dann gegen die offizielle Übersicht: Die ersten beiden Stellen sagen dir, welche Zeile in der Support-Tabelle gilt, die dritte, ob ihr die aktuellen Korrekturen eingespielt habt.
Beide Zahlen gehören in dieselbe Notiz. Eine Installation auf 13.4.34 ist auf einer gepflegten Version und aktuell. Eine Installation auf 13.4.2 ist auf einer gepflegten Version und trotzdem seit Jahren nicht aktualisiert worden, und das ist sicherheitstechnisch derselbe Zustand wie eine ausgelaufene Version.
Dazu passende Kurse
Damit eine Installation nicht wieder still veraltet, braucht es jemanden im Haus, der den Stand im Blick behält, den Einstieg dafür bieten TYPO3-Kurse auf dem aktuellen Stand .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Sehr kompetente und freundliche Trainerin. Die Inhalte wurden gut strukturiert und anhand von anschaulichen Beispielen vermittelt.
Häufige Fragen
Meine Website läuft auf TYPO3 12. Muss ich sofort handeln?
Was ist der Unterschied zwischen LTS und ELTS?
Woran erkenne ich, ob meine Installation aktuell ist?
Sollen wir gleich auf die neueste Version wechseln oder eine abwarten?
Passt thematisch dazu
Dieselbe Uhr läuft im Haus meist noch an einer zweiten Stelle, und dort stehen drei Wege für eine SQL-Server-Version ohne Support zur Wahl, sobald Microsoft die Sicherheitsupdates einstellt.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem TYPO3-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Auf dem aktuellen Stand arbeiten heißt, ihn auch zu kennen
Wer weiß, wie Kern, Erweiterungen und Konfiguration zusammenhängen, erkennt früh genug, wann ein Sprung ansteht, und dieses Wissen vermitteln die TYPO3-Kurse bei cmt.