Hallo helmet,
natürlich hast Du völlig Recht! Aber bloß weil etwas "sicherheitskritisch" ist, weil keine Patches mehr entwickelt werden, ist das doch noch lange kein Grund, es wegzuwerfen und durch etwas Neues zu ersetzen. Im Lauf der Zeit habe ich mir angewöhnt, ausschließlich LTS-Versionen als Produktivsysteme einzusetzen - und auch die erst dann, wenn die meisten Kinderkrankheiten ausgebügelt sind, also ab x.x.4 bis x.x.6 (oder höher). Das heißt, wenn ich ein "neues" CMS installiere, ist es mindestens schon seit einem halben oder seit einem ganzen Jahr auf dem Markt. Folge: Ich darf sowieso nur mit 2 bis 2½ Jahren Support rechnen. Einem Kunden (ich habe nur Kunden, die auf's Geld achten), der heute ein paar Tausend Euro für eine komplexe Webseite ausgibt, kann ich nicht zumuten, in gut 2 Jahren schon wieder das gleiche Geld auszugeben, weil ein Upgrade nicht möglich ist, sondern die Seite komplett neu - mit dann oft ganz anderen Erweiterungen - gebaut werden muss. (Genau das war die Situation von Joomla 1.5 zu 2.5).
Ich sage meinen Kunden von vornherein ganz offen, wie es ist, stelle aber in Aussicht, dass sie erst in 5 bis 6 Jahren einen vollständigen Relaunch benötigen, denn die etwa 4 Jahre, in denen es keine Sicherheitspatches mehr gibt, überbrücke ich mit zusätzlichen Joomla-externen und -internen Sicherheitsmaßnahmen (Webfirewalls, Verschleierungssysteme*, .htaccess-Schutz und - aber das ist selbstverständlich: wirklich lange und kryptische Nutzernamen und Kennworte, die von Standard-Bruteforceware, die bei Gießkannenprinzip-Angriffen zum Einsatz kommt, nicht geknackt werden). Ich nenne das "mehrere Burgmauern drumherum bauen".
*) Verschleierungssysteme manipulieren alle wesentlichen "Standardeinstellungen" des CMS und verändern sie, so dass jemand, der den Aufbau und bestimmte Vorgaben eines Standardsystems "intim kennt", damit trotzdem nicht sehr weit kommt.
Mit meinem fast paranoiden Sicherheitsbewusstsein habe ich in den letzten Jahren bei rund 20 verschiedenen betreuten Webseiten zwar schon ein paar Einbruchsversuche, aber keinen einzigen erfolgreichen registriert.
Bloß weil es für ein System keine Ersatzteile mehr gibt, werfe ich es noch nicht auf den Müll. Dieser Zeitpunkt ist dann gekommen, wenn ich den Webserver mit seiner Systemumgebung - aus Sicherheitsgründen - auf eine Version updaten muss, die nicht mehr mit dem installierten CMS kooperiert.
Mein Auto ist ja auch schon über 20 Jahre alt und fährt immer noch sehr zufriedenstellend - ist sogar vor einem halben Jahr beanstandungslos über den TÜV gekommen. Was man da von den "vollelektronischen" neuen Modellen der letzten Jahre (von TÜV-Prüfern) hört, interpretiere ich in der Form, solange wie möglich die Finger von einem Neufahrzeug zu lassen.
Das soll jetzt keine zusätzliche Begründung für mein "ausgabenschonendes Verhalten" sein: Auch heute noch findet man etliche Webseiten, die immer noch mit Joomla 1.0 betrieben werden - und einige, wo sogar noch der Vorläufer "Mambo" unter der Motorhaube sitzt.
Wer laufend immer die neuesten Versionen installiert, ist zum einen zeitlich voll ausgelastet, selbst wenn er nur 20 Webseiten betreut und braucht Kunden, denen es nichts ausmacht, sich alle 2 bis 3 Jahre einen Systemrelaunch zu gönnen. Aber in der Liga spiele ich nicht.
LG forensis
P.S.: Und genau genommen ist das ganze Leben sicherheitskritisch. Erst wenn der Tod eingetreten ist, ist man auf der sicheren Seite ...:o