Websites herunterladen, die Atlassian Confluence nutzen

Über Atlassian Confluence

Confluence soll eigentlich privat bleiben. Ein Wiki enthält Runbooks, Besprechungsnotizen, Architekturentscheidungen und halbfertige Richtlinien, deshalb liegt eine Instanz normalerweise hinter einem Login oder in einem privaten Netzwerk, wo kein Crawler sie je erreicht. Jede aus dem offenen Internet sichtbare Instanz ist damit bereits ungewöhnlich: Entweder veröffentlicht die Organisation ihre Dokumentation bewusst, oder eine Login-Seite wurde nach außen offen gelassen, oder etwas ist zugänglich, das eigentlich geschlossen sein sollte.

Als Nächstes verrät der Eintrag das Betriebsmodell. Cloud-Instanzen von Produkten des Anbieters Atlassian laufen auf dessen eigener Domain. Ein Confluence-Fingerprint auf dem eigenen Hostnamen eines Unternehmens deutet deshalb auf eine selbst verwaltete Installation in einer Infrastruktur hin, die dieses Unternehmen selbst in der Hand hat. Selbst verwaltet heißt: eine Java-Anwendung, eine Datenbank, ein Upgrade-Zeitplan und jemand, der für alle drei die Verantwortung trägt.

Stand Oktober 2026 erkennen wir Atlassian Confluence auf 55 Websites in 23 verschiedenen Versionen, wobei Version 8.7.2 in unseren Daten häufiger vorkommt als jede andere. In einer so breiten Versionsstreuung innerhalb einer so kleinen Gruppe steckt die ganze Geschichte selbst gehosteter Unternehmenssoftware. Upgrades sind Projekte, Projekte werden aufgeschoben, und die Instanzen entfernen sich Jahr für Jahr weiter voneinander. Das Versionsfeld macht diesen Eintrag zudem kommerziell interessant, denn bei einem Produkt mit einer langen Geschichte öffentlicher Sicherheitshinweise sagt die laufende Version unmittelbar etwas darüber aus, wie angreifbar eine Instanz ist.

Bei diesem Feld ist Genauigkeit wichtiger als bloßes Zitieren. Wir lesen die Version, die die Anwendung in ihrem eigenen Markup oder in ihren Headern meldet. Ein Betreiber kann diese Angabe unterdrücken, und ob auf die gemeldete Version ein Patch des Anbieters aufgespielt wurde, können wir nicht sehen. Eine gemeldete Version ist ein Indiz, kein Urteil, und wer danach handelt, sollte sie zuerst am Host selbst überprüfen. Instanzen hinter einem Proxy, der diese Hinweise umschreibt, fehlen in unserer Zählung ganz, daher ist der sichtbare Bestand kleiner als der tatsächliche.

Drei Zielgruppen wollen die Liste, aus unterschiedlichen Gründen. Sicherheitsteams und Forschende wollen den Bestand öffentlich erreichbarer, selbst verwalteter Instanzen, denn im Wiki hält eine Organisation ihre internen Details fest. Beratungsunternehmen wollen sie, weil jede verbliebene selbst verwaltete Instanz ein Migrationsprojekt ist, das auf ein Angebot wartet, und die Versionsverteilung zeigt ihnen, welche Angebote dringend sind. Wettbewerber wollen sie als Karte von Kunden, die bereits für eine kommerzielle Dokumentationsplattform zahlen, und mit ihnen ist das Gespräch kürzer, als wenn man ein Unternehmen überhaupt erst zum Kauf einer solchen Plattform bewegen muss.

Eine Prüfung pro Domain zeigt, ob ein einzelnes Unternehmen die Software betreibt. Der Export liefert, was es nur in der Summe gibt: wie viele selbst verwaltete Instanzen sichtbar bleiben, wie sich die Versionsverteilung von Aktualisierung zu Aktualisierung verschiebt, in welchen Branchen und bei welchen Hosting-Anbietern sie sich häufen und wie schnell die Gruppe schrumpft, während Organisationen auf gehostete Editionen umsteigen. Das Produkt wird seit 2004 unter der Lizenz Proprietary verkauft und pro Nutzer abgerechnet, und da es keine öffentliche Kundenliste gibt, ist eine Fingerprint-Erhebung von außen der einzige Blick auf die installierte Basis, der allen offensteht, die nicht beim Anbieter arbeiten.