Websites herunterladen, die govCMS nutzen

Über govCMS

Software, die von der Beschaffung ausgewählt wird, verhält sich in einem Datensatz anders als Software, die Entwickler auswählen. Niemand führt eine Publishing-Plattform für Behörden ein, weil er einen überzeugenden Thread darüber gelesen hat. Behörden landen bei govCMS, weil eine zentrale Stelle die Plattform gebaut und akkreditiert hat, sie hostet und sie zum Weg des geringsten Widerstands gemacht hat, und diese Herkunft prägt alles, was sich aus ihrem Einsatz auf einer Website ableiten lässt.

Die Behörde Digital Transformation Agency veröffentlicht die Plattform unter der Lizenz GPL v2, geschrieben ist sie in PHP, und ihre öffentliche Geschichte reicht bis 2014 zurück. Ungewöhnlich ist die Kombination aus einer offenen Lizenz und einer Distribution, deren Zweck Compliance ist und nicht Flexibilität. Barrierefreiheitsregeln, Sicherheitsstandards, Aufbewahrungspflichten und ein Hausstil sind fest eingebaut, bevor eine Behörde auch nur eine Zeile Inhalt schreibt. Eine Website mit dieser Distribution trifft deshalb eine Aussage über ihre Pflichten und nicht über ihren Geschmack, und der Fingerprint kommt einer Erklärung nahe, dass der Betreiber der Website Anforderungen des öffentlichen Sektors unterliegt.

Bei den Versionsdaten hört die Ähnlichkeit mit einem gewöhnlichen Open-Source-Projekt auf. Über die Installationen hinweg, bei denen eine Release-Angabe lesbar ist, erfassen wir 2 verschiedene Versionen, und Version 11 kehrt dabei am häufigsten wieder. Ein Community-CMS in freier Wildbahn verteilt sich normalerweise über einen Long Tail von Releases, manche davon stark veraltet, weil jeder Website-Betreiber nach eigenem Zeitplan und mit eigenem Budget aktualisiert. Eine enge Streuung spricht für das Gegenteil, nämlich für Managed Hosting, bei dem Upgrades in koordinierten Wellen ausgerollt werden. Wer die Sicherheitslage im öffentlichen Sektor bewertet, für den zählt dieser Unterschied mehr als die reine Anzahl, denn eine Flotte, die gemeinsam aktualisiert wird, wird auch gemeinsam gepatcht, und ein Nachzügler hebt sich vom Muster ab, statt im Rauschen unterzugehen.

Die Einschränkung bei der Erkennung betrifft hier speziell Distributionen. govCMS ist eine vorkonfigurierte Zusammenstellung einer umfassenderen PHP-Content-Plattform, sodass eine stark umgestaltete Installation ohne ihre charakteristischen Merkmale für einen Crawler wie die generische Plattform darunter aussehen kann statt wie die Distribution selbst. Behörden, die den Quellcode übernommen und auf eigener Infrastruktur betrieben haben, entgehen uns leicht, während ein zentral gehosteter Bestand vergleichsweise gut sichtbar ist. Stand Oktober 2026 erfassen wir govCMS auf 8 Websites, und die Lücke liegt vor allem im Long Tail der selbst gehosteten Installationen.

Die Zielgruppe für eine solche Liste ist klein und finanzstark. Anbieter, die an Behörden verkaufen, müssen wissen, welche Behörden die Standardplattform nutzen und welche eigene Wege gegangen sind, weil beide Gruppen zu unterschiedlichen Konditionen und in unterschiedlichen Zeiträumen einkaufen. Sicherheitsforscher und Journalisten wollen den Blick auf die gesamte Flotte: wer welches Release betreibt und ob ein angekündigter Patch den Bestand tatsächlich erreicht hat. Beratungsfirmen, die sich um Aufträge für eine Neuentwicklung bewerben, wollen die Größe des erreichbaren Bestands kennen, bevor sie ein Angebotsteam zusammenstellen.

Keine dieser Fragen lässt sich mit einer Einzelabfrage klären. Die Prüfung einer Behördenwebsite zeigt, was eine Behörde einsetzt. Erst ein herunterladbarer Export mit Release-Angabe, Land, Domain und dem umgebenden Tech-Stack in jeder Zeile macht aus einer Plattform einen Bestand, den man untersuchen kann.