Websites herunterladen, die Combodo iTop nutzen

Über Combodo iTop

Ein Service-Desk ist normalerweise das am wenigsten öffentliche System, das ein Unternehmen betreibt. Ticket-Warteschlangen, eine Konfigurationsdatenbank mit jedem Server und jedem Supportvertrag, Änderungsfreigaben und der interne Servicekatalog sind genau die Dinge, die hinter einem Login oder einem VPN bleiben. Eine öffentlich erreichbare Installation ist deshalb bereits eine besondere Art von Deployment: ein Managed-Service-Provider, der ein Kundenportal bereitstellt, ein Hochschul-Helpdesk, eine Behörde, die ein Formular für Störungsmeldungen veröffentlicht.

Combodo iTop gehört genau zu dieser Produktklasse: selbst gehostet, in PHP geschrieben und seit 2010 vom Anbieter Combodo unter der Lizenz AGPL veröffentlicht. Eine Copyleft-Lizenz dieser Stärke ist eine bewusste Entscheidung des Anbieters, und diese Entscheidung prägt die Art der Verbreitung. Es gibt keine Bestellung, mit der sich ein Deployment abgleichen ließe, weil jeder die Software kostenlos betreiben darf, und das Geld kommt aus Support, Erweiterungen und Hosting statt aus Nutzerlizenzen. Verbreitung und Umsatz sind bei einem solchen Produkt zwei getrennte Dinge, und eine Liste von Installationen ist keine Kundenliste.

An den Versionsdaten zeigt sich, was der Eintrag wert ist. Unsere Daten enthalten 5 verschiedene Versionen bei einem kleinen sichtbaren Bestand, und für das Produkt erfassen wir Version 3.2.2. Eine solche Streuung ist das typische Kennzeichen selbst verwalteter Software. Jeder Betreiber aktualisiert nach eigenem Zeitplan oder überhaupt nicht, und der Abstand zwischen dem neuesten und dem ältesten Deployment ist der Abstand zwischen einem Team mit Wartungsfenster und einem Team, das ein Portal einmal installiert und danach nicht mehr daran gedacht hat. Ein gehostetes Produkt kann dieses Muster nicht zeigen, weil der Anbieter alle gleichzeitig umstellt.

Für alle, die sich mit Sicherheitsrisiken statt mit Marketing befassen, dreht sich alles um diese Streuung. Ein selbst gehostetes Portal, das aus dem öffentlichen Internet erreichbar ist, ein Inventar der internen Infrastruktur enthält und ein Release ausweist, das seit Jahren niemand angefasst hat, ist eine konkrete und unerfreuliche Kombination. Unsere Erkennung meldet, was die Software über sich selbst angibt, und das ist nicht dasselbe wie der tatsächlich installierte Stand, denn ein zurückportierter Patch lässt die alte Versionskennung stehen. Der Eintrag grenzt eine Suche ein, statt sie abzuschließen, und die Bestätigung ist Sache der Person, die die Bewertung vornimmt.

Stand Oktober 2026 erkennen wir das Portal auf 5 Websites, und die Gesamtzahl ist eine Untergrenze mit viel Luft nach oben. Instanzen hinter einer Unternehmens-Firewall bleiben jedem Crawl verborgen, und der interne Betrieb ist in dieser Kategorie die Regel und nicht die Ausnahme, sodass im sichtbaren Bestand Dienstleister und Behörden überrepräsentiert sind. Wer dazu forscht, sollte den Bestand als Stichprobe mit bekannter Verzerrung behandeln und nicht als Zählung der Installationen.

Der Download beantwortet eine Frage, die sich mit einer Einzelabfrage pro Domain gar nicht formulieren lässt. Die Prüfung einer Domain zeigt, was eine Organisation einsetzt. Die Frage nach allen Domains, auf denen ein selbst gehostetes Service-Management-Portal läuft, gruppiert nach Release, verschafft einem konkurrierenden Anbieter einen Überblick über den Markt, liefert einem Hosting- oder Support-Unternehmen eine Lead-Liste und gibt allen, die untersuchen, wie interne Tools versehentlich im öffentlichen Internet landen, eine Forschungsgrundlage.