Drupal 7 nach dem Support-Ende: Risiken, Optionen und der Weg zu Drupal 11

Ihre Website läuft weiter, neu entdeckte Lücken schließt aber niemand mehr. Wer noch auf Drupal 7 ist, sollte den Umstieg auf Drupal 11 jetzt planen und die Zeit bis dahin absichern.

In diesem Beitrag erklären wir, was das Support-Ende genau bedeutet, welche Risiken ein Weiterbetrieb hat und welche Wege Sie haben. Wie eine Migration bei uns abläuft, steht auf der Seite zur Drupal-Migration.

Drupal 7 End of Life: was seit Januar 2025 gilt

Am 5. Januar 2025 hat Drupal 7 sein Support-Ende erreicht, im Englischen End of Life oder kurz EOL. Der Termin war mehrfach verschoben worden. Bei der letzten Verlängerung hat drupal.org ausdrücklich angekündigt, dass es keine weitere geben wird.

Seitdem veröffentlicht das Drupal Security Team keine Sicherheitshinweise mehr für Drupal 7. Das gilt für den Core und für alle Module und Themes. Auch die automatischen Tests und das Paketieren von Drupal-7-Projekten auf drupal.org wurden eingestellt. Bisher nicht veröffentlichte Lücken in Drupal 7 können seitdem öffentlich werden, ohne dass es einen Patch gibt.

Abgeschaltet wird nichts. Ihre Website bleibt online, das Backend funktioniert wie gewohnt. Genau deshalb fällt das Problem im Alltag oft nicht auf.

Welche Risiken ein Weiterbetrieb hat

Sicherheitslücken ohne Korrektur

Jede neue Lücke in Drupal 7 oder in einem verwendeten Modul bleibt offen. Angreifer suchen gezielt nach Websites mit bekannter, ungepatchter Software. Besonders heikel sind Websites mit Login, Formularen, Shop oder Kundendaten.

Veraltetes PHP auf dem Server

Drupal 7 läuft auf PHP, und auch PHP-Versionen haben ein Support-Ende. PHP 7.4, 8.0 und 8.1 bekommen keine Sicherheitsupdates mehr. PHP 8.2 folgt am 31. Dezember 2026. Viele ältere Drupal-7-Module laufen mit neuerem PHP nicht sauber, deshalb bleiben solche Server oft auf alten Versionen stehen. Dann ist neben Drupal auch die Laufzeitumgebung ungeschützt.

Datenschutz und Barrierefreiheit

Wer personenbezogene Daten verarbeitet, muss sie nach Art. 32 DSGVO angemessen schützen und dabei den Stand der Technik berücksichtigen. Eine Software ohne Sicherheitsupdates ist dafür ein schlechtes Argument. Für viele Angebote an Verbraucher gilt außerdem seit dem 28. Juni 2025 das Barrierefreiheitsstärkungsgesetz. Ein altes Drupal-7-Theme nachträglich barrierefrei zu machen, ist meist aufwendig. Ob und wie diese Regeln für Ihre Website gelten, sollten Sie rechtlich prüfen lassen.

Ladezeit und Darstellung auf dem Smartphone

Google bewertet die Seitenerfahrung, darunter die Core Web Vitals, als eines von vielen Signalen. Außerdem indexiert Google die mobile Fassung einer Website zuerst. Ist ein Drupal-7-Theme nicht für kleine Bildschirme gebaut, ist das Nachrüsten meist aufwendig.

Ihre Optionen im Überblick

Es gibt fünf Wege. Welcher passt, hängt davon ab, wie lange die Website noch gebraucht wird und wie viel sich ändern soll.

Extended Support als Überbrückung

Für erweiterten Sicherheitssupport nennt drupal.org auf der Seite zum Drupal-7-Support-Ende zwei zertifizierte Anbieter, HeroDevs und Tag1 Consulting. Beide liefern gegen Gebühr Sicherheitspatches für den Core und für Module. Das ist sinnvoll, wenn der Umstieg noch einige Monate dauert. Auf Dauer bleibt die Website damit auf alter Technik, und die Gebühren laufen weiter.

Migration oder Neuaufbau

Für die meisten Websites ist das Upgrade auf Drupal 11 der richtige Weg. Ob Sie dabei vor allem übernehmen oder bewusst neu anfangen, entscheiden Sie mit Blick auf Ihre Inhalte. Wer Landingpages künftig selbst bauen möchte, sollte sich Drupal Canvas ansehen, den neuen Page Builder für Drupal.

Warum der Sprung von 7 auf 11 eine Migration ist

Mit Drupal 8 hat sich 2015 der technische Unterbau geändert. Drupal baut seitdem auf Symfony auf, Templates schreibt man in Twig, und die Konfiguration liegt in Dateien statt nur in der Datenbank. Seit Drupal 8 sind Versionswechsel Upgrades auf derselben Basis. Von Drupal 7 aus geht das nicht.

Laut drupal.org lässt sich ein Update deshalb nicht einfach auf eine Drupal-7-Website einspielen. Inhalte und Konfiguration werden in eine neue Installation migriert. Dafür bringt Drupal die Module Migrate und Migrate Drupal im Core mit. Den Ablauf eines solchen Projekts beschreiben wir auf der Seite zur Drupal-Migration.

Ein Termin ist dabei wichtig. Migrate Drupal liefert die Quellen für Drupal 6 und 7 und fällt mit Drupal 12 aus dem Core. Drupal 7 wechselt deshalb sinnvoll auf Drupal 11. Von dort ist der Schritt auf Drupal 12 später ein normales Upgrade.

Wer schon auf Drupal 10 ist, hat ein kleineres Thema. Was dort bis Dezember 2026 zu tun ist, steht im Beitrag zum Drupal 10 Support-Ende.

Was Sie gegenüber Drupal 7 gewinnen

Core und Module verwalten Sie über Composer, Updates lassen sich so planen, testen und wiederholen. Die Konfiguration liegt in Dateien. Sie können sie exportieren, versionieren und von der Testumgebung auf die Live-Website übertragen. Drupal 11 setzt mindestens PHP 8.3 voraus und läuft damit auf einer Version, die noch Sicherheitsupdates bekommt.

Bilder, Dokumente und Videos liegen in einer gemeinsamen Mediathek im Core und lassen sich mehrfach verwenden. Mit Layout Builder oder Drupal Canvas bauen Redakteure Seiten aus Bausteinen, ohne die Agentur zu fragen. Über JSON:API und REST liefert Drupal Inhalte auch an Apps und andere Systeme, bis hin zu Headless Drupal.

So bereiten Sie den Wechsel vor

Einiges können Sie selbst klären, bevor Sie mit einer Agentur sprechen. Das spart im Projekt Zeit und macht Angebote vergleichbar.

1. Module erfassen: Listen Sie auf, welche Module aktiv sind und wofür Sie sie wirklich brauchen.
2. Eigenentwicklungen benennen: Halten Sie fest, welche Funktionen eigens für Sie programmiert wurden. Sie müssen meist neu entwickelt werden.
3. Inhalte aufräumen: Prüfen Sie, welche Seiten, Inhaltstypen und Dateien noch gebraucht werden. Was nicht mitkommt, muss auch nicht migriert werden.
4. URLs sichern: Exportieren Sie die wichtigen URLs und prüfen Sie in der Search Console, welche Seiten Besucher bringen. Daraus entstehen später die Weiterleitungen.
5. Rollen und Abläufe beschreiben: Notieren Sie, wer welche Inhalte bearbeitet und freigibt. Daraus entsteht die neue Rechtestruktur.

Ist Ihre bisherige Agentur für Drupal 7 nicht mehr greifbar, übernehmen wir die Website auch erst einmal in die Betreuung. Mehr dazu auf der Seite zur Drupal-Projektübernahme. Bis zum Umstieg kümmert sich unsere Drupal-Wartung um Server, Backups und Überwachung.

Aus unserer Praxis

RedOrbit arbeitet seit 2009 mit Drupal. Mehrere unserer Projekte sind mit Drupal 7 entstanden, zum Beispiel das Intranet von Sixt.

Beim Audi Scouting Portal haben wir diesen Wechsel selbst begleitet. Die Technews-Plattform hatten wir ursprünglich in Drupal 7 umgesetzt. Beim Relaunch, beauftragt im Oktober 2019, haben wir alle Inhalte, Benutzer und Module nach Drupal 8 migriert, die Redaktionsprozesse neu konzipiert und das Design responsiv umgesetzt.

Wenn Sie noch Drupal 7 betreiben, schreiben Sie uns. Wir sehen uns die Installation an und sagen Ihnen, welcher Weg zu Ihrer Website passt.