Websites herunterladen, die EmbedThis Appweb nutzen

Über EmbedThis Appweb

Ein Webserver, der in einem Router, einer Kamera oder einer Industriesteuerung ausgeliefert wird, verhält sich nicht wie ein Webserver auf einer gemieteten virtuellen Maschine. Niemand meldet sich an, um ihn zu aktualisieren. Die Version, die er ausführt, wurde beim Bau des Firmware-Images festgelegt und bleibt so, bis jemand neue Firmware auf das Gerät spielt, was bei den meisten Geräten im Einsatz nie passiert.

EmbedThis Appweb gehört in diese Welt. Unsere Daten ordnen den Server dem Anbieter EmbedThis Software zu, beschreiben ihn als in C geschriebenes Produkt im Lizenzmodell Open Source und datieren ihn auf 2003. Das war die Zeit, in der Gerätehersteller handgeschriebene Request-Handler durch etwas ersetzten, das klein genug für ressourcenarme Hardware und doch vollständig genug war, um ein Konfigurationsportal und eine Schnittstelle bereitzustellen, die Skripte aufrufen können.

Der Eintrag beschreibt also keine Websites im üblichen Sinn. Stand Oktober 2026 erkennen wir den Server auf 4 Hosts, und genau genommen handelt es sich dabei um Verwaltungsoberflächen, die aus dem öffentlichen Internet erreichbar sind, und nicht um Websites, die jemand für Besucher gebaut hat. Ein solcher Host ist in der Regel ein Gerät, dessen Administrationsoberfläche Fremden antwortet, was für sich genommen schon ein Befund ist, bevor überhaupt jemand nachsieht, um welches Gerät es sich handelt.

An der Versionsspalte zeigt sich, was der Eintrag wert ist. Wir erfassen 3 verschiedene Versionsangaben mit Version 2.4.0 als typischem Wert. Weil der Server fest in die Firmware eingebaut ist, wirkt eine Version wie ein Fingerabdruck für eine Firmware-Generation und nicht für die Patch-Gewohnheiten eines Administrators. Wer Hosts nach Version gruppiert, gruppiert sie nach Baujahrgang, und so findet man eine Flotte identischer Geräte, die ein Hersteller in einer einzigen Produktionsserie ausgeliefert hat. Den Rest erledigt die Gruppierung nach Netzwerk, denn exponierte Geräte treten meist in Blöcken auf, die einem einzigen Betreiber oder Integrator gehören.

Es lohnt sich, zu trennen, wer die Software einsetzt und wer die gefundenen Hosts betreibt. Der Kunde ist ein Hardwarehersteller, der eine Komponente für eine Produktlinie auswählt. Die Entscheidung fällt einmal, in der Entwurfsphase, und wiederholt sich dann bei jedem ausgelieferten Gerät. Niemand, der einen dieser Hosts betreibt, hat den Webserver darauf ausgewählt, und die meisten würden sich schwertun, ihn zu benennen. Wer aus diesem Eintrag eine Marktübersicht erstellt, erhält deshalb eine Übersicht über die Hersteller und ihre installierte Hardware, indirekt abgelesen an den Adressen, die deren Kunden zufällig offenlegen.

Die Untererfassung ist hier gravierend, und das sollte man offen sagen. Geräte mit eingebettetem Server stehen meist in privaten Netzen, hinter Carrier-Grade-NAT oder auf Ports, die kein Crawler besucht. Der sichtbare Bestand ist deshalb nur ein dünner Ausschnitt der installierten Basis und lässt sich nicht zu einer Schätzung des Gesamtbestands hochrechnen. Was die Liste dagegen liefert, ist jeder öffentliche Host, den wir sehen können, mit seiner Domain, seiner Versionsangabe und seiner Adresse. Für einen Forscher, der Angriffsflächen untersucht, für einen Hersteller, der prüft, was seine Kunden offengelegt haben, oder für einen Sicherheitsanbieter, der einen Markt abschätzt, ist genau diese Menge das, worum es geht. Eine Abfrage pro Domain kann sie nicht liefern, denn interessant sind gerade die Hosts, bei denen niemand auf die Idee kam, sie zu prüfen.