Websites herunterladen, die Atlassian Jira nutzen

Über Atlassian Jira

Die meisten Installationen von Atlassian Jira tauchen in keinem Web-Crawl auf, und gerade der Grund dafür ist aufschlussreich. Issue-Tracker laufen innerhalb von Unternehmen, hinter Single Sign-on, privatem DNS und Firmennetzwerken, wo kein öffentlicher Abruf sie erreicht.

Sichtbar ist für uns der offengelegte Rest: selbst verwaltete Installationen auf einem Hostnamen des Unternehmens, Service-Desks und Support-Portale für Kunden sowie offene Tracker, die Projekte bewusst lesbar lassen. Eine Instanz, die der Anbieter Atlassian auf seinen eigenen gehosteten Domains betreibt, fällt in der Regel aus dem Domain-Profil einer Kunden-Website heraus, weil der Tracker überhaupt nicht auf der Domain des Kunden liegt. Die Zahl auf dieser Seite misst also nicht, wie viele Organisationen das Produkt nutzen. Sie ist eine Liste von Organisationen, deren Tracker im öffentlichen Internet antwortet, und damit ein anderer Bestand, mit dem sich in mancher Hinsicht mehr anfangen lässt.

Ein Tracker auf einem öffentlichen Hostnamen sagt auch etwas über die Organisation hinter der Domain aus. Ihn zu veröffentlichen ist eine bewusste Entscheidung. Getroffen wird sie von Open-Source-Projekten, die möchten, dass Mitwirkende Issues anlegen, von Anbietern mit einem Service-Desk für ihre Kunden und von Teams, deren Infrastruktur aus der Zeit vor strengeren Sicherheitsvorgaben stammt. Es lohnt sich, diese drei Gruppen auseinanderzuhalten, und meist reicht dafür schon die Domain selbst.

Die naheliegende Anwendung ist die Analyse der Angriffsfläche. Atlassian Jira ist eine Java-Anwendung, die 2002 erschienen ist und unter der Lizenz Proprietary vertrieben wird, und eine selbst verwaltete Java-Anwendung auf einem öffentlichen Hostnamen bedeutet eine Patch-Pflicht mit einer langen Geschichte veröffentlichter Sicherheitshinweise. Anbieter von Asset-Inventaren, Red Teams und Incident-Responder brauchen den gesamten Bestand statt einer Einzelprüfung, denn die Frage an sie lautet: Welcher Teil unserer IT-Landschaft oder welcher Teil dieser Branche ist angreifbar?

Versionsdaten unterstützen diese Arbeit nur zum Teil. Auf den Websites, auf denen wir das Produkt erkennen, erfassen wir 7 verschiedene Versionsangaben, was ausreicht, um zu zeigen, dass in selbst verwalteten Umgebungen eine breite Streuung von Versionen läuft statt einer gemeinsamen Basis. Eine Login-Seite verrät weniger als eine angemeldete Sitzung, daher ist die Versionsabdeckung ungleichmäßig und sollte als Hinweis gelesen werden, der eine Liste eingrenzt, nicht als Inventar, nach dem man patchen würde.

Es gibt auch eine kommerzielle Lesart. Eine veröffentlichte, selbst verwaltete Instanz kennzeichnet eine Organisation, die sich für den Betrieb eigener Infrastruktur entschieden hat, und genau das ist das Kriterium, nach dem Anbieter von Hosting-Migrationen, Plugin-Anbieter, Managed-Service-Provider und Berater in diesem Ökosystem ihre Zielkunden auswählen. Stand Oktober 2026 erkennen wir den Tracker auf 91 Websites, eine bescheidene Zahl, die man als Sichtbarkeit und nicht als Verbreitung verstehen sollte. Eine Abfrage pro Domain bestätigt jede einzelne dieser Organisationen. Erst die vollständige Liste zeigt Ihnen, wie sich der offengelegte Bestand zusammensetzt.