Backend vs. Frontend

Jede TYPO3-Installation besteht aus zwei klar getrennten Bereichen, die unterschiedliche Aufgaben erfüllen und von unterschiedlichen Personengruppen genutzt werden.

Das Backend ist die Verwaltungsoberfläche von TYPO3. Sie ist nur für angemeldete Nutzer zugänglich und wird in der Regel über die URL https://ihre-domain.de/typo3 aufgerufen. Hier pflegen Redakteure Inhalte, legen Seiten an und verwalten Mediendateien. Administratoren konfigurieren hier das System, vergeben Berechtigungen und passen Einstellungen an. Das Backend ist sozusagen der "Maschinenraum" der Website, sorgfältig von der Außenwelt abgeschirmt.

Das Frontend ist das, was jeder Besucher Ihrer Website zu sehen bekommt: die fertig gerenderten Seiten, Texte, Bilder und Navigationselemente. Das Frontend entsteht, indem TYPO3 die im Backend gepflegten Inhalte aus der Datenbank liest und mithilfe von Templates (in der Regel Fluid-Templates) als HTML für den Browser aufbereitet. Das Frontend ist öffentlich, das Backend nicht.

Die Trennung ist kein Zufall, sondern ein grundlegendes Sicherheitsprinzip: Wer keine gültige Backend-Anmeldung hat, kommt an die Verwaltungsoberfläche nicht heran. In TYPO3 v12 wurde das Backend-Login um verbesserte Multi-Faktor-Authentifizierung (MFA) erweitert und die Backend-Oberfläche erhält weitere UI-Modernisierungen. Das grundlegende Konzept der Trennung von Backend und Frontend bleibt unverändert.

Für Redakteure

Als Redakteur arbeiten Sie ausnahmslos im Backend. Sie rufen es über die /typo3-URL auf (seit v13 sind auch andere URLs möglich), melden sich mit Ihren persönlichen Zugangsdaten an und finden dort die Module, für die Sie berechtigt sind – typischerweise "Web › Seite" (Seitenbaum und Inhaltsbearbeitung, "Seiten-Modul"), "Web › Liste" (tabellarische Datensatzansicht, "Listen-Modul") und "Datei › Dateiliste" (Medienverwaltung).

Was Sie im Backend speichern, ist nicht automatisch sofort im Frontend zu sehen. TYPO3 unterscheidet zwischen gespeicherten und veröffentlichten Inhalten: Seiten können den Status "deaktiviert" haben oder ein zukünftiges Veröffentlichungsdatum besitzen. Erst wenn alle Bedingungen zur Veröffentlichung erfüllt sind, erscheint der Inhalt im Frontend.

Zum Prüfen Ihrer Änderungen nutzen Sie die Vorschaufunktion im Backend (Symbol "Auge" in der Toolbar oder der direkte Seitenvorschau-Link), die das Frontend mit temporär aufgehobener Zugriffsbeschränkung anzeigt.

Für Administratoren und Integratoren

Im Backend finden sich neben der Inhaltsbearbeitung alle systemrelevanten Module: das Einstellungen-Modul für Systemkonfiguration, das Sites-Modul zur Verwaltung von Site-Konfigurationen, das TypoScript-Modul zur Template-Konfiguration sowie das Berechtigungen-Modul für Berechtigungen.

Integratoren verbinden Backend und Frontend über TypoScript und Fluid-Templates: TypoScript steuert, welche Inhalte aus der Datenbank geholt und wie sie im Frontend ausgegeben werden; Fluid-Templates definieren die HTML-Struktur. Diese Verbindung ist das Herzstück der TYPO3-Architektur.

Änderungen im Backend werden im Frontend nicht sichtbar

• Symptom: Inhalt wurde gespeichert, aber die öffentliche Website zeigt noch die alte Version.
• Ursache: TYPO3 hat einen integrierten Seiten-Cache, der bereits gerenderte Inhalte vorhält. Gespeicherte Änderungen werden erst angezeigt, wenn der Cache geleert wurde. Alternativ ist die betroffene Seite deaktiviert oder mit einem zukünftigen Datum versehen.
• Lösung: Cache über das Blitz-Symbol oben in der Backend-Toolbar leeren (entweder nur für die aktuelle Seite oder systemweit). Zusätzlich den Veröffentlichungsstatus der Seite und aller übergeordneten Seiten im Seitenbaum prüfen.

Backend-URL öffentlich zugänglich, aber ohne Schutz

• Symptom: Jeder, der /typo3 an die Domain anhängt, gelangt auf die Login-Seite.
• Ursache: Standardmäßig ist das Backend über diesen Pfad erreichbar. Das ist kein kritisches Sicherheitsproblem (die Login-Seite allein schadet nicht), aber es erleichtert automatisierten Angriffen den Einstiegspunkt.
• Lösung: Den Backend-Pfad über die TYPO3-Konfiguration (anderer Einstiegspunkt als /typo3) oder über serverseitige Maßnahmen (IP-Beschränkung, HTTP-Auth vor dem /typo3-Verzeichnis) absichern. Zusätzlich empfiehlt sich die Aktivierung der Multi-Faktor-Authentifizierung für alle Backend-Nutzer.

Frontend-Darstellung stimmt nicht mit dem überein, was im Backend eingegeben wurde

• Symptom: Texte, Abstände oder Formatierungen sehen im Frontend anders aus als erwartet.
• Ursache: Das Frontend-Design wird durch das Template (Fluid/TypoScript) gesteuert, nicht durch das Backend. CSS-Klassen, Abstände und Darstellung sind Sache des Frontends, nicht des TYPO3-Editors.
• Lösung: Bei Layout-Abweichungen immer den Entwickler oder Integrator einbinden. Der Editor kann Inhalte ändern, aber nicht das Design. Für wiederkehrende Layout-Anforderungen sollten im Backend konfigurierbare Optionen (z.B. Content Element-Varianten) durch den Integrator eingerichtet werden.

Backend-Nutzer hat zu weitreichende Rechte

• Symptom: Redakteure können Systemkonfigurationen ändern oder Nutzer anlegen, ohne dass dies ihrer Aufgabe entspricht.
• Ursache: Nutzer wurden als "Administrator" angelegt oder Benutzergruppen wurden ohne durchdachtes Rechtekonzept konfiguriert.
• Lösung: Redakteure erhalten nie Administratorstatus. Stattdessen werden Backend-Benutzergruppen mit genau den Modulen und Seitenästen konfiguriert, die die jeweilige Rolle benötigt. Das Prinzip der minimalen Rechtevergabe (Principle of Least Privilege) gilt auch im TYPO3-Backend.

• Nie als Administrator im Tagesgeschäft arbeiten: Richten Sie für Redakteure eigene Nutzerkonten mit eingeschränkten Rechten ein. Reservieren Sie den Admin-Account für Systemaufgaben.
• Backend-URL zusätzlich absichern: Ergänzen Sie die TYPO3-eigene Authentifizierung durch IP-Beschränkungen oder HTTP-Basisauthentifizierung auf Serverebene, wenn Ihr Einsatzszenario es erlaubt.
• MFA für alle Backend-Nutzer aktivieren: Multi-Faktor-Authentifizierung ist seit TYPO3 v12 integriert und sollte verbindlich für mindestens alle Nutzer mit Administratorrechten eingeschaltet werden.
• Cache-Verhalten verstehen und dokumentieren: Klären Sie mit Redakteuren, wann und wie der Cache geleert wird und welche Methode (Seiten-Cache vs. kompletter System-Cache) für welche Situation geeignet ist.
• Frontend-Vorschau systematisch nutzen: Nutzen Sie die Backend-Vorschaufunktion, bevor Inhalte live gehen, insbesondere bei Seiten mit Zugriffsbeschränkungen oder zeitgesteuerten Veröffentlichungen.
• Backend und Frontend getrennt testen: Änderungen an Templates oder TypoScript können das Frontend beeinflussen, ohne dass im Backend etwas anders aussieht. Führen Sie nach Konfigurationsänderungen immer einen expliziten Frontend-Check durch.
• Benutzergruppen dokumentieren: Halten Sie fest, welche Gruppe welche Rechte hat. Das erleichtert die Einarbeitung neuer Redakteure und spätere Anpassungen erheblich.