Websites herunterladen, die AWStats nutzen

Über AWStats

Bevor ein Tracker einen Besucher aus dem Browser heraus verfolgen konnte, war die Logdatei des Servers die einzige Aufzeichnung darüber, wer eine Website erreicht hatte, und AWStats wurde geschrieben, um sie auszuwerten. Das Programm parst rohe Zugriffslogs und stellt sie als Seiten mit Zugriffszahlen, Referrern, aufgerufenen Pfaden, User-Agents und abgeleiteten Standorten dar. Kein Skript wird in die Website eingebaut, im Browser des Besuchers läuft nichts, und der Besucher wird nie um seine Zustimmung gebeten. Deshalb ist der Ansatz nie ganz verschwunden, auch nachdem sich die clientseitige Messung in dieser Kategorie durchgesetzt hatte.

Auch das Alter gehört zur Geschichte. Das Projekt stammt aus dem Jahr 1997 und ist in Perl geschrieben, eine Kombination, die zur Ära des Shared Hostings passte, als ein Control Panel und ein CGI-fähiger Server alles waren, was eine kleine Website tatsächlich zur Verfügung hatte. Hosting-Anbieter lieferten AWStats in ihren Paketen mit, und diese Tatsache verändert, wie man den Fingerabdruck lesen sollte. Bei einem großen Teil der Websites, auf denen wir das Programm finden, hat sich beim Betreiber niemand dafür entschieden. Der Hosting-Anbieter hat es installiert, und die Erkennung beschreibt dann den Hosting-Stack, nicht eine Entscheidung des Website-Betreibers.

Die Erkennung bringt eine zweite Verzerrung mit sich, die man klar benennen sollte. Eine sorgfältig konfigurierte Installation schreibt ihre Berichte in ein Verzeichnis, das entweder passwortgeschützt oder nirgends verlinkt ist, und dort kann ein Crawler nichts sehen. Erfassen können wir nur die Teilmenge der Installationen, deren Berichtsseiten öffentlich erreichbar sind. Unsere Zählung erfasst daher nur einen Bruchteil der tatsächlich installierten Basis, und dieser Bruchteil ist zugunsten der offen zugänglichen Installationen verzerrt. Für einen Datensatz ist das eine ungewöhnliche Eigenschaft und für Sicherheitsforscher eine ausgesprochen nützliche, denn eine öffentliche Berichtsseite gibt Referrer-Strings, interne Pfade und Herkunftsdaten von Besuchern preis, die der Betreiber vermutlich nie veröffentlichen wollte.

Stand Oktober 2026 erkennen wir AWStats auf 3 Websites. Die Versionsangaben fügen eine weitere Ebene hinzu, weil eine Berichtsseite in der Regel das Release nennt, mit dem sie erzeugt wurde. Wir verzeichnen 3 verschiedene Versionen im Einsatz, und Version 7.9 (build 20230108) liest unser Crawler am häufigsten. Ein Loganalyse-Programm ist genau die Art Software, die einmal installiert wird und dann jahrelang unangetastet läuft, deshalb taugt die Versionsverteilung als grober Indikator dafür, wie lange es her ist, dass ein Host seine Panel-Software zuletzt aktualisiert hat.

Wer AWStats als Konkurrenten gehosteter Analytics-Produkte betrachtet, verkennt, worauf das Programm hinweist. Die Lizenz GPL v3 bedeutet, dass es keinen Anbieter, keinen Vertrag und keine Kundenliste gibt, mit denen man vergleichen könnte, und der sichtbare Bestand wird durch Hosting-Voreinstellungen, öffentliche Erreichbarkeit und Vernachlässigung bestimmt, nicht durch Kaufentscheidungen. Erst eine herunterladbare Liste macht den sichtbaren Bestand überhaupt auswertbar. Abfragen pro Domain bestätigen, dass eine bestimmte Website eine öffentliche Statistikseite hat. Der vollständige Export zeigt, welche Hosting-Anbieter das Tool noch ausliefern, in welchen Ländern und unter welchen Endungen sich die exponierten Installationen häufen und wie sich die Zahl von einer Datei zur nächsten verändert.