Websites herunterladen, die Concrete CMS nutzen

Über Concrete CMS

Das Erste, was an Concrete CMS auffällt, ist die Streuung der Versionen. Wir unterscheiden 68 verschiedene Releases im Einsatz, und am häufigsten erkennen wir Version 8.5.4, einen Build aus einer älteren Hauptversion und nicht aus der aktuellen. Ein Content-Management-System mit einem solchen Profil wird nicht von einem Anbieter im Auftrag des Kunden aktualisiert. Jede Installation gehört dem, der sie aufgesetzt hat, und bleibt dort stehen, wo er sie zurückgelassen hat.

Der Grund liegt in der Architektur. Concrete CMS ist eine selbst gehostete PHP-Anwendung, die unter der Lizenz MIT veröffentlicht wird und seit 2008 verfügbar ist. Bekannt ist sie für die Bearbeitung im Kontext: Autoren ändern eine Seite direkt in der Ansicht statt über eine separate Verwaltungsoberfläche. Ein redaktionsfreundliches System dieser Art wird typischerweise einmal von einer Agentur installiert, an ein Marketingteam übergeben und dann in Ruhe gelassen, weil die Menschen, die täglich damit arbeiten, nicht diejenigen sind, die eine Migration planen würden.

Stand Oktober 2026 erkennen wir Concrete CMS auf 6.705 Websites. 6.557 davon verorten wir in den USA, und die Endung .com taucht im Bestand häufiger auf als jede andere. Die Verbreitung folgt dem Agenturmarkt, der die Plattform früh übernommen und für Kundenprojekte weiter genutzt hat, und die Websites spiegeln diese Herkunft wider: Unternehmens- und Organisationswebsites mit einem echten redaktionellen Workflow, einem Budget, das einmal für einen Neubau gereicht hat, und einem Hosting, das eine vollständige Anwendung statt eines statischen Exports betreiben kann.

Der Einsatz der Plattform lässt deshalb auf einen bestimmten Käufer schließen. Jemand hat für eine Website bezahlt, die Mitarbeitende ohne technische Kenntnisse pflegen sollten. Das ist ein anderer Kunde als jemand, der sich bei einem gehosteten Baukasten angemeldet hat, und wieder ein anderer als jemand, der eine statische Website aus einem Repository betreibt. Hosting-Unternehmen, Migrationsdienstleister und Agenturen, die Relaunches verkaufen, wollen alle genau dieses Profil. Sicherheitsforscher wollen es aus einem anderen Grund, denn eine langlebige, selbst gehostete Anwendung häuft einen Update-Rückstand an, der sich direkt mit veröffentlichten Sicherheitshinweisen abgleichen lässt.

Erst die Versionsspalte macht aus der Liste ein Arbeitsmittel. Mit einem Auszug können Sie jede Installation einer bestimmten Release-Linie herausfiltern und mit Ihrer eigenen Liste von Sicherheitshinweisen, Ihrem eigenen Migrationsangebot oder Ihren eigenen Kundendaten abgleichen. Eine Abfrage pro Domain leistet nichts davon, denn die Frage betrifft einen Bestand und nicht eine einzelne Website. Der Nutzen entsteht durch Filtern, Verknüpfen und den Vergleich mehrerer Datenstände über die Zeit, an dem sich ablesen lässt, in welche Richtung sich der Bestand bewegt.

Die Versionsangaben sind nicht einheitlich, und genau diese Einschränkung muss man hier im Blick behalten. Manche Installationen geben eine Release-Kennung im generierten Markup oder in Asset-Pfaden preis, andere nicht, sodass ein Teil der Zeilen zwar einen Treffer für die Plattform, aber überhaupt keine Version enthält. Gehärtete Installationen, aggressive Caching-Schichten und Reverse-Proxys können die Plattform vollständig verbergen. Lesen Sie die Gesamtzahlen als Untergrenze und die Versionsverteilung als Stichprobe aus den Installationen, die bereit sind, etwas über sich selbst preiszugeben.