Websites herunterladen, die git nutzen

Über git

Niemand wählt git als Website-Technologie, und gerade deshalb lohnt sich bei einem Fund in einem Technologieprofil ein genauer Blick. Ein Versionskontrollsystem gehört auf Entwicklerrechner und Build-Server, nicht in das Web-Root eines öffentlichen Webservers. Findet ein Scan auf einer Live-Website Git-Artefakte, lautet die übliche Erklärung, dass ein Deployment ein Arbeitsrepository in genau das Verzeichnis kopiert hat, das der Webserver für alle Welt veröffentlicht.

Stand Oktober 2026 verzeichnen wir solche Artefakte auf 57 Websites. Die Zahl ist eine Untergrenze, und zwar eine niedrige. Die Erkennung setzt voraus, dass Dateien über einfaches HTTP erreichbar sind. Ein Server, der Anfragen nach Punktverzeichnissen ablehnt, eine CDN-Regel, die sie blockiert, oder ein Release-Prozess, der fertige Build-Ergebnisse statt eines Arbeitsverzeichnisses kopiert, hält eine Website jeweils von der Liste fern, obwohl die zugrunde liegende Praxis dieselbe bleibt. Der Bestand, den ein Crawler sieht, ist die Teilmenge, bei der Daten nach außen dringen.

Was ein Treffer tatsächlich bedeutet, ist konkret und nützlich. Repository-Metadaten in einem öffentlichen Web-Root können die Commit-Historie, Branch-Namen, Autorenadressen, interne Pfade und in manchen Konfigurationen sogar den Quellcode der Anwendung offenlegen, einschließlich Dateien, die in späteren Commits gelöscht wurden, im Objektspeicher aber erhalten bleiben. Für Sicherheitsforscher ist die Domainliste eine Bestandsaufnahme einer gut bekannten Fehlkonfiguration quer durch das Live-Web. Wer Deployment-Praktiken untersucht, findet in derselben Liste Belege dafür, wie Websites tatsächlich ausgeliefert werden: durch Kopieren eines Arbeitsverzeichnisses, durch einen Pull auf dem Server oder durch einen Checkout direkt im ausgelieferten Pfad.

Versionsangaben funktionieren hier anders als bei jedem gehosteten Produkt. Unsere Daten enthalten 5 verschiedene Versionswerte, wobei Version 2.45.2 am häufigsten gemeldet wird. Ein Versionsstring, der uns erreicht, beschreibt den Client, der die offengelegten Metadaten geschrieben hat, und keine Software, die der Betreiber der Website bewusst ausliefert. Die Streuung der Werte in einem Bestand dieser Größe spiegelt daher vor allem das Alter des jeweiligen Deployments wider und keine Update-Strategie.

Alles Weitere, was wir erfassen, ist Hintergrund und kein Signal. Dazu gehören die Lizenz GPL v2, das Erscheinungsjahr 2005 und eine Implementierung in C, und nichts davon unterscheidet sich zwischen den betroffenen Websites, weil keine von ihnen das Tool als Dienst betreibt. Entscheidend sind die Unterschiede darin, wer etwas preisgegeben hat und was das Leck enthält.

Eine Prüfung pro Domain klärt eine eng gefasste Frage, nämlich ob eine Website, für die Sie ohnehin verantwortlich sind, Repository-Daten preisgibt. Der herunterladbare Datensatz klärt, was eine Einzelabfrage nicht leisten kann: wie verbreitet das Problem in einem Segment ist, ob es sich nach Plattform, Hosting-Anbieter oder Land häuft und ob ein bestimmter Kundenstamm besser dasteht als das übrige Web. All das sind Fragen nach dem Bestand, und für solche Fragen braucht man die Liste.