Websites herunterladen, die Gogs nutzen

Über Gogs

Quellcode, Issue-Tracker und Pull-Requests gehören zum Inneren einer Organisation und nicht zu ihrem Schaufenster. Ein Crawl, der bis dorthin gelangt, sieht interne Werkzeuge: den Ort, an dem ein Team seine Arbeit aufbewahrt, auf Hardware, über die das Team selbst verfügt, und aus dem offenen Internet erreichbar, entweder weil jemand das so wollte oder weil niemand es verhindert hat. Wer eine solche Instanz findet, gewinnt eine kleine, aber echte Information darüber, wie eine Organisation arbeitet.

Die Bauweise erklärt die Verbreitung. Der Dienst ist in Go geschrieben und wird zu einer einzigen Binärdatei mit kaum Abhängigkeiten kompiliert, weshalb er auf bescheidenen Servern, Bürorechnern und Bastler-Hardware auftaucht, wo man eine schwerere Plattform nie in Betracht ziehen würde. Dass der Dienst unter der Lizenz MIT steht, räumt das letzte Hindernis aus dem Weg, denn es gibt nichts zu kaufen und niemanden zu fragen. Software, die sich so leicht aufsetzen lässt, wird nebenbei aufgesetzt, und nebenbei installierte Software läuft oft noch lange weiter, nachdem die Person, die sie installiert hat, längst weitergezogen ist.

Stand Oktober 2026 erkennen wir den Dienst auf 639 Hosts und verzeichnen dabei 8 verschiedene Versionsangaben, am häufigsten Version 0.11.86.0130. Die Streuung der Versionen bedeutet bei selbst gehosteter Software etwas ganz anderes als bei einem gehosteten Produkt. Jede Instanz wurde von einem Menschen aktualisiert oder von einem Menschen in Ruhe gelassen, die Verteilung zeigt also direkt, wie viel Wartungsaufmerksamkeit ein Bestand unabhängig administrierter Server bekommt. Schwachstellenforschung, Asset-Inventarisierung und Supply-Chain-Analysen sind genau auf diese Verteilung angewiesen, und keine dieser Disziplinen erhält sie, indem sie Hosts einzeln prüft.

Das Projekt existiert seit 2014, und aus derselben Codebasis ist später ein Fork hervorgegangen, was man bei jeder Zählung wissen sollte, denn die beiden sind getrennte Produkte, die von außen ähnlich aussehen können, und unsere Erkennung hält sie auseinander.

Die Untererfassung ist hier strukturell bedingt und sollte offen benannt werden. Instanzen hinter einem VPN, einem identitätsbasierten Proxy oder einer schlichten Firewall sind für jeden externen Crawl unsichtbar, und genau das sind die korrekt konfigurierten. Unter dem, was erkennbar bleibt, sind Installationen überproportional vertreten, die absichtlich offen erreichbar sind, etwa für Open-Source-Projekte und öffentliche Mirrors, und solche, die es aus Versehen sind. Die Liste ist eine Liste öffentlich erreichbarer Instanzen. Für die Sicherheitsforschung ist das ohnehin die interessante Teilmenge, für die Bestimmung der Marktgröße dagegen eine Untergrenze und keine Gesamtzahl.

Eine Einzelabfrage kann Ihnen zeigen, dass ein Unternehmen einen Git-Dienst offen im Netz betreibt. Der Gesamtbestand zeigt, wie verbreitet diese Praxis ist, in welchen Ländern und unter welchen Endungen sie sich konzentriert, welche Builds noch antworten und ob aufeinanderfolgende Snapshots nach oben oder nach unten zeigen.