Den Tech-Stack einer fremden Website lesen — und was er über Risiken verrät
Jede Website erzählt von außen, woraus sie gebaut ist. Nicht weil jemand es hinschreibt, sondern weil Software Spuren hinterlässt: Dateipfade, Versionsangaben, Kopfzeilen, Namen von Skripten.
Das ist für zwei Situationen nützlich. Beim Angebot für einen Kunden, weil man dann weiß, worauf man sich einlässt, bevor man einen Preis nennt. Und bei der eigenen Seite, weil dort meistens mehr läuft, als irgendjemand noch weiß.
Was von außen sichtbar ist#
Das Redaktionssystem. WordPress verrät sich über Pfade wie wp-content und wp-includes, über einen Generator-Eintrag im Markup und über die Adresse der Anmeldeseite. Typo3, Joomla, Shopware und die üblichen Baukästen haben jeweils ähnlich eindeutige Merkmale.
Die Version. Häufig steht sie im Generator-Eintrag oder hängt als Parameter an Stil- und Skriptdateien. Genau dieser Parameter ist der interessanteste Fund: Er verrät nicht nur die Version des Systems, sondern die jeder einzelnen Erweiterung.
Die Erweiterungen. Jedes geladene Skript aus einem Plugin-Verzeichnis nennt den Plugin-Namen im Pfad. Wer die Liste durchgeht, sieht das Baukastensystem eines Auftritts.
Der Server und die Zwischenschicht. Kopfzeilen nennen oft die Server-Software, den Cache, den Betreiber des Netzwerks davor.
Die eingebundenen Dienste. Statistik, Chat, Schriftarten, Kartendienste, Zahlungsanbieter — alles, was nachgeladen wird, hinterlässt einen Hostnamen.
Der Tech-Stack-Checker sammelt das in einem Durchgang zusammen.
Was daraus Risiko wird#
Nicht die Bestandteile selbst, sondern drei Muster:
Eine Version, die deutlich hinterherhinkt. Eine ältere Hauptversion eines Systems heißt fast immer: Es wird nicht aktualisiert. Wo das System alt ist, sind die Erweiterungen es auch, und bekannte Lücken in weit verbreiteten Erweiterungen werden automatisiert abgeklopft.
Erweiterungen, die es nicht mehr gibt. Plugins, die seit Jahren nicht mehr gepflegt werden, bleiben installiert, weil sie ja funktionieren. Sie bekommen keine Sicherheitsaktualisierungen mehr — und der Name im Pfad sagt jedem, der danach sucht, dass sie da sind.
Vielfalt ohne Grund. Vierzig Erweiterungen auf einem Auftritt mit acht Seiten bedeuten vierzig Wartungsverpflichtungen. Jede davon ist eine mögliche Eintrittstür, und die meisten erfüllen eine Aufgabe, die auch anders ginge.
Was es über den Zustand der Pflege sagt#
Aus denselben Daten lässt sich ablesen, wie ein Auftritt betreut wird — und das ist beim Angebot oft wertvoller als die Technik selbst.
Fehlen Sicherheits-Kopfzeilen vollständig? Dann hat sich nie jemand mit der Auslieferung beschäftigt.
Läuft ein Cache? Wenn ja, hat jemand über Geschwindigkeit nachgedacht. Wenn nein, ist das oft die erste Stellschraube überhaupt.
Werden Schriften von einem fremden Server geladen? Das ist ein Datenschutzthema und zugleich ein Hinweis: Der Auftritt wurde nach dem Standardvorgehen eines Baukastens gebaut und seitdem nicht überarbeitet.
Wie viele verschiedene fremde Hostnamen werden angefragt? Jeder ist eine Abhängigkeit, ein Datenschutzpunkt und eine potenzielle Verzögerung.
Bei der eigenen Seite ist der Befund oft unangenehmer#
Das Muster ist immer dasselbe: Vor drei Jahren wurde ein Formular-Plugin für eine Kampagne installiert. Die Kampagne lief zwei Monate. Das Plugin läuft heute noch, lädt auf jeder Seite sein Skript und hat seit zwei Jahren kein Update bekommen.
Solche Reste findet man nicht durch Nachdenken, sondern durch Nachsehen. Und von außen zu schauen hat einen Vorteil gegenüber der Verwaltungsoberfläche: Man sieht, was tatsächlich ausgeliefert wird, nicht was in einer Liste als aktiv markiert ist. Die beiden weichen häufiger voneinander ab, als einem lieb ist.
Was man daraus macht#
Drei Schritte, in dieser Reihenfolge:
- Bestand aufnehmen. Was läuft, in welcher Version, von wem.
- Streichen, was niemand braucht. Das ist der wirksamste Schritt und der einzige kostenlose.
- Aktualisieren, was bleibt — und ersetzen, was nicht mehr gepflegt wird.
Der Punkt, an dem es meistens hakt, ist Schritt 2. Eine Erweiterung zu entfernen fühlt sich riskanter an, als sie stehen zu lassen. Tatsächlich ist es umgekehrt: Was nicht installiert ist, kann nicht angegriffen werden.
Eine Bemerkung zum Anstand#
Von außen zu lesen, was ein Server freiwillig mitschickt, ist unproblematisch — es ist derselbe Abruf, den jeder Besucher macht. Was nicht dazugehört: Anmeldeseiten durchprobieren, gefundene Versionsnummern gegen bekannte Lücken testen oder Verzeichnisse abklopfen, die nicht verlinkt sind.
Die Grenze verläuft dort, wo man aufhört zu lesen und anfängt zu klopfen.