Websites herunterladen, die Docker nutzen

Über Docker

Docker ist ein Sonderfall in einem Datensatz über Webtechnologien, denn ein Container soll von außen eigentlich nicht sichtbar sein. Container bündeln eine Anwendung mit ihren Abhängigkeiten, damit sie sich auf dem Laptop, in der CI und in der Produktion gleich verhält, und der Sinn dieser Abstraktion besteht darin, dass Besucher der Website die Anwendung sehen und nichts darunter. Taucht Docker beim Scan einer öffentlichen Seite auf, ist etwas nach außen gedrungen.

Ein solches Leck ist meist harmlos und immer aufschlussreich. Eine Standard-Landingpage aus einem unkonfigurierten Image, eine Registry oder ein Dashboard, das auf einer Subdomain offenliegt, ein öffentlich gebliebener Health-Endpoint, ein Header oder eine Fehlerseite mit Angaben zur Laufzeitumgebung, ein Pfad, den es nur in einem Standard-Image gibt: Jedes davon ist ein Fingerabdruck. Eine solche Erkennung beruht auf Schlussfolgerungen, nicht auf Selbstauskunft, und genau genommen finden wir Websites, die ein containerisiertes Deployment preisgeben, nicht Websites, die Container nutzen.

Für die Zählung hat das große Folgen. Stand Oktober 2026 erkennen wir Docker auf 1.008 Websites, und diese Zahl liegt weit unter der tatsächlichen Zahl der Installationen, denn ein gut konfiguriertes Deployment hinter einem Reverse Proxy oder einem CDN verrät überhaupt nichts. Wer die Zahl als Maß für die Verbreitung von Containern nimmt, liegt falsch. Die Zahl lässt sich besser als Erhebung der Deployments verstehen, deren Infrastruktur von außen auffindbar ist, und das ist ein anderer und in mancher Hinsicht interessanterer Bestand.

Die daraus entstehende Liste zieht Interessenten mit gegensätzlichen Motiven an. Sicherheitsforscher wollen sie, weil eine offenliegende Registry, ein Dashboard oder eine Standardseite schon für sich ein Befund ist und der Bestand den Ausgangspunkt bildet, um zu messen, wie verbreitet diese Art offenliegender Infrastruktur ist. Anbieter von Container-Tooling, Image-Scanning, Orchestrierung, Observability und Managed-Plattformen wollen sie, weil ein durchgesickerter Fingerabdruck einen Betreiber identifiziert, der seine Infrastruktur selbst verwaltet und kein Plattformteam hat, das die Details verbirgt, also einen konkreten und erreichbaren Käufer.

Das Unternehmen Docker liefert die Engine seit 2013 unter der Lizenz Apache 2.0 aus, und die Laufzeitumgebung ist in Go geschrieben. Die offene Lizenzierung ist mit ein Grund, warum sich die Verbreitung nicht an Verkaufszahlen messen lässt: Nichts wird registriert, nichts meldet sich auf eine für uns beobachtbare Weise zurück, und die Nutzung hat sich über Entwickler ausgebreitet statt über den Einkauf. Eine Zählung von außen ist die einzige verfügbare Methode, und ihre Schwächen sollte man benennen, statt sie zu glätten. Eine Prüfung pro Domain zeigt Ihnen, ob ein einzelner Host seine Laufzeitumgebung preisgegeben hat. Der Download zeigt, wie viele es getan haben, wo sie sich befinden und was sie sonst noch einsetzen, und nur so lässt sich ein Muster offengelegter Infrastruktur im großen Maßstab untersuchen.