Websites herunterladen, die Astra Widgets nutzen

Über Astra Widgets

Ein Begleit-Plugin ist ein abhängiger Fingerabdruck, und wer es als unabhängigen liest, kommt zu falschen Schlüssen. Astra Widgets erweitert ein Theme, statt für sich allein zu stehen. Ein Treffer bedeutet also, dass auch das Theme vorhanden ist, und die eigentliche Plattformentscheidung der Website fiel bereits mit der Wahl des Themes. Was das Plugin hinzufügt, ist enger und spezifischer: Die Website wollte Widget-Typen, die das Theme selbst nicht mitbringt, und das heißt meist, dass jemand im Customizer von Hand ein Layout zusammengestellt hat, statt die Voreinstellungen zu übernehmen.

Für diesen Fingerabdruck liegen Versionsangaben vor, was nicht für jede von uns verfolgte Technologie gilt, und gerade am Versionsfeld wird der Eintrag analytisch interessant. Im Umlauf sehen wir 46 verschiedene Versionen, wobei Version 1.2.15 die typische ist, und eine so breite Streuung bei einem Plugin, das über einen automatischen Update-Kanal verteilt wird, ist für sich genommen schon ein Befund. Software, die sich sauber aktualisiert, sammelt sich innerhalb weniger Wochen nach einem Rollout auf wenigen benachbarten Versionen. Eine weit auslaufende Verteilung steht für Installationen, bei denen automatische Updates abgeschaltet sind, bei denen ein Hosting-Anbieter die Plattform auf einem Stand festhält oder bei denen sich der Betreiber abgewandt hat, ohne etwas zu deinstallieren.

Die Lizenz erklärt einen Teil der Zersplitterung. Astra Widgets ist PHP-Code, den der Anbieter Brainstorm Force unter der Lizenz GPL v2 veröffentlicht, und weil er frei weitergegeben werden darf, kommt er gebündelt in Website-Templates, geklonten Staging-Umgebungen und Starter-Stacks von Hosting-Anbietern an, und nichts davon wird so gepflegt wie ein gekauftes Produkt. Für Code, den niemand bezahlt hat, fühlt sich auch niemand verantwortlich, wenn es um Updates geht.

Seit 2017 ist das Plugin zusammen mit einem Theme desselben Anbieters unterwegs, statt für sich allein zu stehen, und gerade diese Paarung macht die Liste für Forschende interessant. Websites mit dem Plugin betreiben ein Theme und ein Begleit-Plugin vom selben Anbieter, was bedeutet, dass der Betreiber bereitwillig Code von Drittanbietern installiert und über die eigenen Kanäle dieses Anbieters bereits erreichbar ist. Stand Oktober 2026 erkennen wir Astra Widgets auf 2.906 Websites, eine Menge, die klein genug ist, um sie als Zielliste durchzuarbeiten, und groß genug für eine sinnvolle Segmentierung.

Bei der Segmentierung leistet das Versionsfeld, was eine Einzelabfrage nicht kann. Ob eine Domain das Plugin nutzt, klärt eine einzelne Anfrage mit einem Ja oder Nein als Antwort. Will man dagegen wissen, welche Websites eine ältere als die aktuelle Version betreiben, und das anschließend mit Land, Registry-Endung und dem übrigen erkannten Stack abgleichen, braucht man alle Zeilen an einem Ort. Sicherheitsteams nutzen die Versionsstreuung, um vor einem Scan das Ausmaß der Gefährdung einzugrenzen. Anbieter nutzen sie, um Installationen zu finden, die keine Updates mehr erhalten, ausgehend von der plausiblen Annahme, dass eine Website, die keine Plugin-Updates mehr einspielt, insgesamt keine Aufmerksamkeit mehr bekommt.

Ein Begleit-Plugin lässt sich nur erkennen, wenn es in der ausgelieferten Seite etwas Sichtbares erzeugt. Installationen, deren Widgets auf den von uns abgerufenen Seiten nichts darstellen, hinterlassen keine Spur. Die Zahl ist deshalb eine Untergrenze, und die Versionsverteilung beschreibt die sichtbaren Installationen, nicht jede Kopie auf einem Server.