Websites herunterladen, die Apereo CAS nutzen

Über Apereo CAS

Single Sign-on an Hochschulen gehört zu den wenigen Teilen der Authentifizierungsinfrastruktur, die ein Besucher sehen soll. Die Login-Seite ist öffentlich, trägt das Branding der Einrichtung und liegt meist auf einem eigenen Hostnamen, getrennt von der Website, die den Nutzer dorthin geschickt hat. Genau diese architektonische Gewohnheit sorgt dafür, dass die Software erkennbar ist und zugleich deutlich zu niedrig gezählt wird.

Ein zentraler Authentifizierungsdienst ist die Eingangstür zu allem anderen, was eine Organisation betreibt. E-Mail, Bibliothekssysteme, Lernplattformen, Portale für Fördermittel und interne Tools delegieren alle an ihn, deshalb lässt sein Einsatz auf eine Einrichtung mit vielen Anwendungen schließen und auf die zentral getroffene Entscheidung, dass eine einzige Identität sie alle öffnen soll. Niemand setzt diese Art von Software ein, um eine einzelne Website zu schützen.

Stand Oktober 2026 erkennen wir die Software auf 10 Hostnamen, und dass die Zahl so klein ausfällt, hat strukturelle und keine kommerziellen Gründe. Login-Server liegen auf Subdomains, die selten von einer Startseite verlinkt und oft vom Crawling ausgeschlossen sind, und viele Einrichtungen stellen sie hinter ein Portal, das erst nach einer Weiterleitung erscheint. Eine Organisation kann die Software für Zehntausende Menschen betreiben und trotzdem nur einmal oder gar nicht in einem öffentlichen Webindex auftauchen. Die Zahl belegt den Einsatz, sie misst aber nicht die installierte Basis.

Für ein Community-Projekt sind unsere Angaben ungewöhnlich vollständig. Die Software ist in Java geschrieben, wird unter der Lizenz Apache 2.0 verbreitet, und das erste Jahr, das wir für sie verzeichnen, ist 2004, was sie älter macht als mehrere der Identitätsprotokolle, die sie heute spricht. Träger ist die Stiftung Apereo Foundation und kein Unternehmen, und dieses Governance-Modell erklärt einen Teil des Verbreitungsmusters. Der Code kostet bei der Einführung nichts, der eigentliche Preis ist also Personalzeit, und Personalzeit hat eine Hochschule, ein kleines Unternehmen dagegen nicht.

In unserem Katalog steht die Software in der Kategorie Authentication, und für die Recherche bleibt dieses Etikett hinter dem zurück, was ein Treffer bedeutet. Eine Website, die ihren eigenen Identitätsserver in Java betreibt, zeigt Ihnen, dass sie kein gehostetes Login-Produkt gekauft hat, dass sie ein Betriebsteam unterhält und dass jeder Anbieter, der an sie verkaufen will, sich in eine bestehende Föderation integrieren muss, statt sie zu ersetzen. Sicherheitsforscher lesen dasselbe Signal umgekehrt, denn eine selbst betriebene Eingangstür ist nicht nur eine Architektur, sondern auch eine Patch-Pflicht, und Websites mit einer solchen Tür sind einen Blick wert, wenn ein einschlägiger Sicherheitshinweis erscheint.

Eine Abfrage pro Domain zeigt, ob eine einzelne Einrichtung die Software betreibt. Die exportierte Liste zeigt, wer sie sonst noch einsetzt, in welchen Ländern und unter welchen Domain-Endungen sich Treffer häufen und welche Organisationen man mit einem Integrationskonzept statt mit einem Ablöseangebot ansprechen müsste. Wer das aus Einzelabfragen aufbauen wollte, müsste zuerst den Hostnamen jedes Login-Servers im Internet erraten, was weniger eine Recherchemethode ist als ein Hobby.