Nun ja... eine Vergleichsliste habe ich nicht, aber aus dem Kopf heraus:
Joomla ist um einiges grösser, es gibt dementsprechend eine Menge Addons, die es in Contao natürlich nicht gibt. Hier liegt aber auch gleich ein Nachteil: da Joomla um einiges bekannter (wenn nicht gar DAS bekannteste CMS) ist, so gibt es für Joomla häufiger automatisierte Exploits (Sicherheitslücken), die genutzt werden können.
Contao ist durch die weniger grosse Bekanntheit davor geschützt (bis zu einem gewissen Grad). Contao hat aus meiner Sicht aber ein anderes grosses Problem: es wird nur von einem Entwickler voranbetrieben. Dieser hat auch verlauten lassen, dass sich an dieser Strategie nichts ändern wird. Darum erscheinen Erneuerungen oder Sicherheitspatches nicht so schnell, wie es bei einem Open Source Projekt, wo alle mithelfen können, der Fall ist.
Das ist natürlich nur eine sehr kleine Liste, Google hilft Dir sicher, eine grössere Liste zu finden. Wären einfach meine Überlegungen zu diesem Thema