Eine gehostete Dolibarr-Instanz absichern

Ihr Dolibarr ist online, bei einem Hoster oder auf einem eigenen Server, und Sie möchten wissen, was Sie zum Schutz einstellen sollten, ohne Entwickler zu sein. Hier die nützlichen Einstellungen, in der Reihenfolge, in der wir sie vornehmen würden.

Jeder Punkt wurde am 15. Oktober 2026 auf einer neuen Dolibarr-24.0.2-Instanz getestet, die wie auf einem Shared Hosting mit dem Web-Assistenten installiert wurde. Was wir nicht testen konnten, steht jeweils am Ende des Abschnitts und im letzten Kasten.

Beginnen Sie mit dem „Sicherheitsbericht“

Dolibarr hat eine eigene Checkliste: Start › Admin-Tools › Sicherheitsbericht. Sie prüft die PHP-Einstellungen, die Dateirechte, die Datei conf.php und die Sicherheitseinstellungen und nennt zu jedem Punkt den empfohlenen Wert.

Direkt nach der Installation meldete sie unter anderem:

• keine Datei install.lock, die Installationsseiten sind also offen;
• „Die conf-Datei kann von jedem Benutzer gelesen oder beschrieben werden“;
• $dolibarr_main_prod: 0, mit „Wenn Sie sich in einer Produktivumgebung befinden, sollten Sie diese Eigenschaft auf 1 setzen“;
• keine IP-Beschränkung und keine protokollierten Sicherheitsereignisse.

Öffnen Sie den Bericht vor dem Start und nach jeder Änderung: So sehen Sie am einfachsten, was noch zu tun ist.

1. Die Installationsseiten schließen: install.lock

Der Installationsassistent legt keine Datei install.lock an. Solange sie fehlt, kann jeder https://ihr-dolibarr/install/ ohne Anmeldung öffnen: Auf unserer Instanz erschien die Seite mit den Voraussetzungen, samt PHP-Version.

Legen Sie eine leere Datei install.lock im Dokumentenverzeichnis von Dolibarr an (nicht im Programmverzeichnis). Den genauen Pfad zeigen die Warnung auf der Startseite und der Sicherheitsbericht. Auf einem Shared Hosting genügt der Dateimanager oder ein FTP-Programm.

Danach zeigen alle Installationsseiten: „Die Installations-/Upgrade-Seiten wurden aus Sicherheitsgründen deaktiviert“. Wie Sie ein Upgrade machen, ohne die Datei zu löschen, steht in unserer Notiz install.lock: wohin damit, und wie man damit ein Upgrade macht.

Und installmodules.lock

Der Sicherheitsbericht schlägt auch eine Datei installmodules.lock am selben Ort vor. Getestet: Der Reiter Externes Modul hinzufügen meldet dann, dass die Installation über die Oberfläche nicht möglich ist, und die Schaltfläche Installieren der Community-Module bewirkt nichts mehr. Installieren Sie also zuerst die Module, die Sie brauchen (DoliSecure, siehe unten), und legen Sie dann diese Datei an. Um ein Modul über die Oberfläche zu installieren oder zu aktualisieren, müssen Sie sie vorübergehend entfernen.

2. conf.php schreibgeschützt, und der Produktivmodus

Nach der Installation war conf/conf.php für alle lesbar (Rechte 644). Wir haben sie auf 400 gesetzt (nur Lesen für den Eigentümer): Dolibarr läuft normal, und der Sicherheitsbericht zeigt Grün. Wenn Ihr Hoster PHP unter einem anderen Konto als Ihrem ausführt, fragen Sie ihn nach dem passenden Wert.

Die erste Zeile desselben Blocks („Einige Dateien oder Verzeichnisse sind nicht schreibgeschützt“) blieb auf unserer Instanz orange: Darum haben wir uns in diesem Test nicht gekümmert.

Korrigieren Sie vorher noch eine Zeile. Der Assistent hat geschrieben:

$dolibarr_main_prod='0';

Setzen Sie '1'. Die mitgelieferte Beispieldatei (conf.php.example) erklärt, dass im Produktivmodus keine Fehlermeldungen mehr angezeigt werden, damit sie einem Angreifer nicht helfen.

3. Zugriff nach IP-Adresse beschränken

Wenn Sie sich immer von denselben Adressen aus anmelden (Büro, VPN), kann Dolibarr alle anderen abweisen. Seit Version 24 nimmt die Liste auch Adressbereiche an (CIDR-Schreibweise, zum Beispiel 198.51.100.0/24 für die Adressen 198.51.100.0 bis 198.51.100.255).

Notieren Sie zuerst Ihre Adresse, so wie der Server sie sieht: Start › Admin-Tools › Über Ihren Webbrowser, Zeile IP Adresse. Mit VPN bei eingeschaltetem VPN: Es zählt die Ausgangsadresse des VPN.

Dann fügen Sie in conf/conf.php eine Zeile hinzu (Adressen durch Kommas getrennt):

$dolibarr_main_restrict_ip='203.0.113.10, 198.51.100.0/24';

Jede andere Adresse erhält dann nur noch diese Meldung, auf Englisch:

Was wir geprüft haben:

• eine einzelne Adresse sowie Bereiche /24 und /16 funktionieren;
• ein Semikolon statt eines Kommas sperrt Sie aus: Die Zeile wird nicht mehr verstanden, und Ihre eigene Adresse wird abgewiesen;
• eine falsche Adresse in den Headern X-Forwarded-For, Client-IP oder CF-Connecting-IP umgeht die Beschränkung nicht;
• die REST-API ist nicht geschützt: Mit gültigem Schlüssel antwortete sie von einer abgewiesenen Adresse aus ganz normal. Laut Beispieldatei sind auch öffentliche Seiten (ohne Anmeldung) nicht betroffen;
• hinter einem Proxy (Cloudflare, Web Application Firewall des Hosters …) sieht Dolibarr die Adresse des Proxys, nicht Ihre. Mit einem Test-Proxy vor dem Server wurde der Zugriff abgewiesen, und die Meldung zeigte die Adresse des Proxys. Prüfen Sie also unter „Über Ihren Webbrowser“, ob dort wirklich Ihre Adresse steht: Wenn nicht, funktioniert die Beschränkung so nicht.

Wenn Sie sich aussperren (etwa weil der Router die Adresse wechselt), löschen Sie die Zeile per FTP: Der Zugriff ist wieder da. Auf unserem Testserver wurde jede Änderung an conf.php wegen des PHP-Caches erst nach einigen Sekunden wirksam.

4. Zwei-Faktor-Authentifizierung (2FA): nicht in Dolibarr 24.0.2

Das ist die häufigste Frage, und die Antwort lautet nein. In Dolibarr 24.0.2:

• die Seiten unter Einstellungen › Sicherheit bieten keine Zwei-Faktor-Option, und kein Modul in der Liste stellt eine bereit;
• eine versteckte Konstante (MAIN_SECURITY_ALLOW_TOTP) zeigt auf der Benutzerkarte eine Zeile „Zwei-Faktor-Authentifizierung (2FA)“ und eine Seite „TOTP“, aber die Schaltfläche Neu speichert nichts, und die Anmeldung fragt weiterhin keinen Code ab. Der zugehörige Code ist leer: Das ist eine Baustelle, nicht verwenden.

Für eine 2FA braucht es heute ein Zusatzmodul. Eine Suche nach „2FA“ im Dolistore ergab am 15.10.2026 drei; getestet haben wir keines, prüfen Sie, ob es für Ihre Version als kompatibel angegeben ist. Die andere Möglichkeit ist, die Anmeldung einem Identitätsanbieter zu überlassen, der selbst eine Zwei-Faktor-Authentifizierung verlangt: Der Reiter OpenID Authentifizierungsparameter existiert unter Einstellungen › Sicherheit, getestet haben wir ihn nicht.

Bis dahin machen die drei folgenden, getesteten Maßnahmen einem Bot das Leben schon deutlich schwerer: Captcha, Anmeldeprotokoll und IP-Beschränkung.

5. Captcha und Anmeldeprotokoll

Captcha: Einstellungen › Sicherheit › Captcha, die Zeile „Login“ einschalten. Unter dem Passwort erscheint ein Feld „Sicherheitsschlüssel“. Getestet: Ohne den Code wird die Anmeldung auch mit richtigem Passwort abgewiesen („Sicherheitsschlüssel falsch“).

Protokoll: Einstellungen › Sicherheit › Sicherheitsrelevante Ereignisse, USER_LOGIN, USER_LOGIN_FAILED und USER_LOGOUT ankreuzen, dann Speichern. Die Liste steht unter Admin-Tools › Sicherheitsrelevante Ereignisse: Datum, IP-Adresse, Benutzername und Grund jedes Fehlschlags (falsches Passwort, falscher Captcha-Code).

6. Die Integrität der Dateien prüfen

Das ist der richtige Reflex, wenn Ihr Hoster eine verdächtige Datei meldet. Dolibarr vergleicht jede seiner Dateien mit der offiziellen Liste der installierten Version.

Menü Admin-Tools › Über Dolibarr › Integritätsprüfung der Dateien. Wählen Sie Remote-Signatur (die Liste wird dann von dolibarr.org geladen) und klicken Sie auf Prüfen.

Auf der neuen Instanz: „Dateiintegrität entspricht genau der Referenz.“ Danach haben wir eine PHP-Datei im Stammverzeichnis hinzugefügt und eine Dolibarr-Datei verändert: Beide werden aufgeführt, mit „Datei-Integrität konnte NICHT bestätigt werden. Dateien wurden modifiziert, entfernt oder hinzugefügt.“

Drei Grenzen, geprüft:

• das Verzeichnis custom/ wird nicht geprüft: Eine in custom/ hinzugefügte PHP-Datei taucht nicht auf. Dort landen die Zusatzmodule, schauen Sie also selbst nach;
• das Dokumentenverzeichnis wird ebenfalls nicht geprüft;
• die „Eingebettete lokale Signatur“ ist eine Datei im Verzeichnis install/, auf demselben Server: Wenn Dateien verändert wurden, kann sie es auch sein. Nehmen Sie lieber die Remote-Signatur. Das offizielle Docker-Image (24.0.1) enthält diese lokale Datei übrigens gar nicht.

Wenn Ihr Hoster eine Datei meldet: Starten Sie die Prüfung. Gehört die gemeldete Datei zu Dolibarr und steht sie weder bei den veränderten noch bei den hinzugefügten Dateien, ist sie mit dem Original identisch: Schicken Sie dieses Ergebnis an den Hoster, vermutlich ist es ein Fehlalarm (das ist bei OVH vorgekommen, das ihn laut Dolibarr-Forum eingeräumt hat). Steht sie in der Liste, ersetzen Sie die Dateien durch die der gleichen offiziellen Version und ändern Sie danach die Passwörter.

7. Über Sicherheitslücken informiert werden: DoliSecure und cti.dolibarr.org

DoliSecure

DoliSecure ist ein kostenloses Modul von Joliciel, veröffentlicht im Community-Repository von Dolibarr. Es vergleicht Ihre Version mit der öffentlichen Schwachstellendatenbank NVD (CVE) und zeigt das Ergebnis auf der Startseite der Administratoren.

In Dolibarr 24.0.2 getestete Installation:

1. Einstellungen › Module/Anwendungen, Reiter Zusatzmodule/Erweiterungen;
2. das Dolibarr Community-Repository einschalten (es zeigt „Online“);
3. auf der Karte von DoliSecure Installieren, dann bestätigen;
4. im Reiter der verfügbaren Module nach DoliSecure suchen und es aktivieren.

Auf der Startseite erscheint ein Widget „Dolibarr-Sicherheit (CVE)“. Für 24.0.2: „Keine bekannte Sicherheitslücke“.

Um zu prüfen, ob es wirklich etwas erkennt, haben wir ihm andere Versionen vorgegeben (NVD-Daten vom 15.10.2026): 1 Sicherheitslücke für 24.0.1 (behoben in 24.0.2), 17 für 23.0.4, 34 für 22.0.0. Es ist für Dolibarr 21.0 bis 24.0 als kompatibel angegeben. Es fragt die NVD von Ihrem Server aus ab, der also Internetzugang braucht. Die E-Mail-Warnungen haben wir nicht getestet.

cti.dolibarr.org

Die Seite cti.dolibarr.org listet die Sicherheitskorrekturen der letzten sechs Monate, mit RSS-Feed (https://cti.dolibarr.org/index-security.rss, 81 Meldungen am 15.10.2026). Zwei Einschränkungen, die sich aus der Seite selbst ergeben:

• die Liste entsteht durch die Suche nach Markierungen (CVE, GHSA, „Sec:“ …) in den Nachrichten der Codeänderungen: Eine Korrektur ohne Markierung fehlt;
• sie nennt den korrigierten Zweig (21.0, 22.0 …), keine veröffentlichte Version: Die Korrektur ist vielleicht noch nicht zum Herunterladen verfügbar.

Von den 7 aktuellen CVEs, die DoliSecure für die Versionen 24.0.1 und 23.0.4 meldete, stand nur eine mit ihrer Nummer im Feed. Beide Quellen ergänzen sich; die Antwort ist in beiden Fällen dieselbe: Dolibarr aktualisieren.

8. Die Version verbergen: eine kosmetische Einstellung

Die Anmeldeseite zeigt „Dolibarr 24.0.2“. Die Konstante MAIN_APPLICATION_TITLE (Einstellungen › Erweiterte Einstellungen, Name MAIN_APPLICATION_TITLE, Wert zum Beispiel Verwaltung, dann Hinzufügen) ersetzt diesen Titel.

Die Version bleibt aber ohne Anmeldung lesbar. Nach der Änderung fanden wir noch:

• den Titel des Browser-Tabs, der weiterhin auf „@ 24.0.2“ endet (der Code behält ihn absichtlich);
• 16 Vorkommen von „24.0.2“ im Quelltext der Seite, vor allem in den Adressen der CSS- und JavaScript-Dateien (?version=24.0.2);
• die Datei /install/filelist-24.0.2.xml, ohne Anmeldung herunterladbar, auch mit install.lock.

Die Version zu verbergen täuscht also keinen Bot. Der eigentliche Schutz ist, aktuell zu sein.

9. Datensicherungen

Keine dieser Maßnahmen beseitigt das Risiko. Eine aktuelle Sicherung, außerhalb des Servers gespeichert und mindestens einmal wirklich zurückgespielt, bleibt unverzichtbar. Unsere Anleitung Dolibarr sichern und wiederherstellen beschreibt die getestete Methode, einschließlich des Instanzschlüssels, ohne den manche verschlüsselten Daten nach einer Wiederherstellung unlesbar bleiben.

Was wir nicht getestet haben

• Ein echtes Shared Hosting (OVH, Infomaniak …): Die Installation erfolgte mit dem Web-Assistenten auf einem Testserver, der diesen Fall nachbildet. Die Dateirechte können je nach Hoster abweichen.
• HTTPS und die Option $dolibarr_main_force_https.
• Die Zwei-Faktor-Module aus dem Dolistore und die Anmeldung per OpenID.
• Die E-Mail-Warnungen von DoliSecure.
• Eine zugelassene IPv6-Adresse (geprüft wurde nur das Abweisen einer IPv4-Adresse).

Kurz gesagt

• Admin-Tools › Sicherheitsbericht öffnen und abarbeiten.
• install.lock im Dokumentenverzeichnis anlegen; installmodules.lock, sobald die Module installiert sind.
• conf.php schreibgeschützt, $dolibarr_main_prod='1'.
• IP-Beschränkung: Kommas, CIDR-Bereiche; die API ist nicht abgedeckt, ein Proxy verfälscht sie.
• Keine 2FA in Dolibarr 24.0.2: ein Zusatzmodul, oder wenigstens Captcha und Anmeldeprotokoll.
• Meldung des Hosters: Integritätsprüfung, Remote-Signatur, und ein Blick in custom/.
• DoliSecure, um informiert zu werden, dann aktualisieren.
• Die Version zu verbergen schützt nicht.
• Eine Sicherung außerhalb des Servers, mindestens einmal zurückgespielt.

Wenn Sie lieber gemeinsam auf Ihre Instanz schauen möchten, ist genau das die Diagnose für 90 €: eine Stunde an Ihrem Dolibarr, danach schriftlich, was zu korrigieren ist und was die Korrektur kosten würde.

Siehe auch

• E-Mail-Versand einrichten (SMTP)