Websites herunterladen, die GitLab nutzen

Über GitLab

Die meisten Softwareteams kennen GitLab als gehosteten Dienst, und genau diese Variante kann ein Web-Crawler nicht sehen. Bei einem Scan des öffentlichen Webs taucht die andere Art von Installation auf: eine selbst verwaltete Instanz, die jemand in einer Organisation aufgesetzt, mit einem Hostnamen versehen und von außerhalb des Firmennetzes erreichbar gelassen hat. Jede Erkennung ist eine Aussage darüber, wie diese Organisation ihre Entwicklung betreibt, und keine Aussage über das Tool.

Eine Entwicklungsplattform selbst zu hosten, ist keine beiläufige Entscheidung. Jemand muss eine Ruby-Anwendung betreiben, hinter der eine Datenbank, eine Job-Queue, ein Objektspeicher und eine Container-Registry stehen, das Ganze auf aktuellem Patchstand halten und die Verantwortung für den Quellcode des Unternehmens übernehmen, der darin liegt. Organisationen nehmen den Aufwand des Selbsthostings aus nachvollziehbaren Gründen auf sich: Vorgaben zur Datenresidenz, eine Sicherheitsrichtlinie, die Code-Hosting bei Dritten verbietet, eine On-Premise-Tradition oder schlicht eine interne Installation, die älter ist als der Umstieg auf gehostete Dienste. Unternehmen mit einer öffentlich erreichbaren Instanz haben meist ein internes Plattformteam, und ein Plattformteam kauft auch die Werkzeuge rundherum ein.

Die Lizenzgeschichte erklärt, warum es überhaupt so viele dieser Installationen gibt. Der Anbieter GitLab Inc. veröffentlicht den Kern des Produkts seit dem Projektstart im Jahr 2011 unter der Lizenz MIT, sodass ein Unternehmen eine vollwertige Instanz betreiben kann, ohne je eine Geschäftsbeziehung einzugehen, und kostenpflichtige Editionen für Compliance- und Sicherheitsfunktionen erst später dazukaufen kann. Für Forscher hat diese Lizenzlage zwei Seiten. Ein Hostname, der mit der Plattform antwortet, belegt das Selbsthosting, aber kein Abonnement, und die kostenlose und die kostenpflichtige Edition lassen sich von außen nicht zuverlässig unterscheiden.

Stand Oktober 2026 erkennen wir die Plattform auf 1.743 Websites, und die Größe dieses Bestands spricht dafür, mit einer Liste statt mit Einzelabfragen zu arbeiten. Eine Prüfung pro Domain zeigt, ob ein Unternehmen, das Sie bereits kennen, selbst hostet. Eine herunterladbare Liste klärt die Fragen, die davor kommen: welche Organisationen überhaupt selbst hosten, wie sie sich nach Branchen und Ländern verteilen, sobald Sie die Liste mit Ihren eigenen firmografischen Daten verknüpfen, und welche von ihnen im selben Datensatz weitere selbst verwaltete Infrastruktur zeigen.

Die Erkennung beruht hier auf Rückschlüssen und zählt zu wenig. Instanzen hinter einem VPN, einem identitätsbasierten Proxy oder einem rein internen DNS-Namen gelangen nie in einen öffentlichen Crawl, und eine Organisation kann die Plattform jahrelang betreiben, ohne uns eine einzige Seite zu zeigen. Der Datensatz liefert Ihnen eine Untergrenze, nämlich einen geprüften Bestand öffentlich erreichbarer Installationen, jeweils mit dem Host und dem Datum der Sichtung. Das ist ein weit besserer Ausgangspunkt als eine Marktschätzung.