Websites herunterladen, die ClickHeat nutzen

Über ClickHeat

Heatmap-Tracking ist heute etwas, das eine Website mietet. ClickHeat stammt aus der Zeit davor, als ein Websitebetreiber, der wissen wollte, wohin Besucher klicken, das Aufzeichnungswerkzeug auf dem eigenen Server installierte und die Klickdaten auf der eigenen Festplatte behielt. ClickHeat ist in PHP geschrieben, erschien 2006 unter der Lizenz GPL v2 und wurde dafür gebaut, in ein bestehendes Hosting-Konto kopiert zu werden, statt als Abonnement gekauft zu werden.

Weil das Paket auf demselben Host läuft wie die Seiten, die es misst, sagt sein Auftauchen in einem Technologieprofil etwas über den Server aus und nicht nur über das Marketingteam. Eine Domain, die noch ClickHeat trägt, ist in der Regel eine Domain mit langer Vorgeschichte: ein älterer PHP-Stack, ein beschreibbares Datenverzeichnis, das jemand vor Jahren eingerichtet hat, und eine Analytics-Entscheidung, die seitdem niemand mehr überprüft hat. Für ein neues Projekt setzt kaum jemand dieses Tool noch ein. Der Einsatz lässt sich deshalb als Kontinuität lesen und oft als Vernachlässigung.

Für eine Liste auf dieser Grundlage interessieren sich zwei Zielgruppen. Sicherheits- und Schwachstellenforscher betrachten nicht mehr gepflegten serverseitigen Code der Kategorie Analytics als Angriffsfläche, die sich zu kartieren lohnt, denn das Paket schreibt Dateien, legt eine Verwaltungsansicht offen und hat mit modernen Härtungsmaßnahmen nicht Schritt gehalten. Die zweite Zielgruppe ist kommerziell. Anbieter, die gehostete Lösungen der Kategorie Analytics oder Consent-Tools verkaufen, wollen die verbliebenen selbst gehosteten Installationen finden, also genau die Websites, auf denen nie ein Gespräch über eine Migration stattgefunden hat.

Die Lücken in unserem Eintrag verschweigen wir nicht. Für ClickHeat haben wir keinen Anbieter, keinen Versions-Fingerabdruck und keine Aufschlüsselung nach Land oder Endung. Der Datensatz zeigt also, dass eine Installation geantwortet hat, aber nicht, welches Release läuft oder wie es konfiguriert ist. Die Erkennung setzt außerdem voraus, dass der Tracking-Aufruf in den abgerufenen Seiten auftaucht. Eine Installation, deren Skript entfernt wurde, während die Dateien liegen blieben, wird deshalb nicht gezählt. Behandeln Sie die Zahl als Untergrenze.

Stand Oktober 2026 erkennen wir ClickHeat auf 129 Websites. Eine Abfrage pro Domain kann jede einzelne davon bestätigen. Der Download klärt die umgekehrte Frage, nämlich welche Websites im gesamten Crawl das Tool noch einsetzen, und nur mit dieser Fragestellung kommen Sie weiter, wenn Sie eine Bestandsaufnahme veralteter Software der Kategorie Analytics zusammenstellen oder den Umfang einer Sanierungsaktion abschätzen.