Websites herunterladen, die Grafana nutzen

Über Grafana

Fast alles, was wir im öffentlichen Web erkennen, soll dort auch zu sehen sein. Bei Grafana ist das anders, denn ein Dashboard ist ein Betriebswerkzeug, und sein natürlicher Platz liegt hinter einem VPN oder unter einem internen Hostnamen. Taucht es unter einer öffentlichen Adresse auf, hat jemand es entweder bewusst zugänglich gemacht, etwa für eine Statusseite oder ein mit Kunden geteiltes Dashboard, oder versehentlich, und der zweite Fall ist der interessantere.

Grafana wird vom Anbieter Grafana Labs in Go entwickelt und unter der Lizenz AGPL v3 veröffentlicht, und das Projekt reicht bis ins Jahr 2014 zurück. Lizenz und Sprache prägen beide, wie sich der Bestand verhält. Ein Open-Source-Projekt kann jeder kostenlos installieren, auf einer ungenutzten virtuellen Maschine, in einem Container oder als Teil eines gebündelten Monitoring-Stacks, den jemand einmal für eine Demo aufgesetzt und nie wieder entfernt hat, und deshalb ist die installierte Basis riesig und größtenteils unsichtbar. Einen Crawler erreicht nur der Teil, der auf einen öffentlichen Hostnamen zeigt.

Stand Oktober 2026 erkennen wir Grafana auf 80 Websites. Eine solche Zahl als Marktanteil zu lesen, wäre ein schwerer Fehler. Die Zählung misst öffentliche Endpunkte, nicht Installationen, und der Abstand zwischen beiden ist groß und von außen nicht messbar. Gut misst die Zahl dagegen die Exponierung, also wie viele Organisationen eine betriebliche Monitoring-Oberfläche haben, die aus dem offenen Internet erreichbar ist.

Gerade bei den Versionsdaten zeigt der Datensatz für diese Technologie, was er wert ist. In unseren Erkennungen unterscheiden wir 42 verschiedene Versionen, und am häufigsten begegnet uns Version 8.2.6. Eine so breite Streuung zeigt von außen betrachtet einen aktiven Release-Rhythmus, und sie bedeutet auch, dass die naheliegende Frage, welche Version ein bestimmter Host ausführt, auf fast jedem Host eine wirklich andere Antwort hat. Bei einer Monitoring-Plattform mit einer veröffentlichten Historie von Sicherheitshinweisen ist der Versionsstring einer aus dem Internet erreichbaren Instanz keine Nebensache. Wer die Exponierung über eine Lieferantenliste, einen Kundenstamm oder ein Übernahmeziel hinweg bewertet, stellt genau diese Frage, und die Antwort gibt es in großem Maßstab nur in einem Datensatz, der die Version neben der Domain erfasst.

Drei Anwendungsfälle tauchen immer wieder auf. Anbieter gehosteter Observability-Dienste sehen öffentliche Instanzen als selbst verwaltete Installationen mit Betriebskosten, was den Kern ihres Verkaufsarguments bildet. Sicherheitsteams und Forschende behandeln dieselben Zeilen als nach Version sortiertes Inventar der Angriffsfläche. Analysten des Monitoring-Markts betrachten den Bestand als Stichprobe, die zwar zu den exponierten Instanzen hin verzerrt ist, aber wenigstens in jeder Ausgabe gleich gemessen wird, statt vom Anbieter gemeldet zu werden.

Eine Abfrage pro Domain zeigt, was ein einzelner Host gerade ausführt. Der Export klärt die Fragen, für die man alle Zeilen auf einmal braucht: wie viele Hosts exponiert sind, welche Versionen dort laufen, wie sich die Versionsverteilung in den Monaten nach einem Sicherheitshinweis verschiebt und welche Domains seit der vorigen Ausgabe hinzugekommen oder verschwunden sind. Wer beobachtet, wie sich eine Versionsverteilung nach einer Offenlegung bewegt, misst, wie schnell ein Ökosystem patcht, und das kann niemand Abfrage für Abfrage leisten.

Ein Vorbehalt zieht sich durch all das. Ein Dashboard hinter einem Authentifizierungs-Proxy, unter einem umgeschriebenen Pfad oder auf einem Nicht-Standard-Port zeigt die Signatur, die wir abgleichen, womöglich nie, daher ist die Zahl eine Untergrenze für die öffentliche Exponierung und sagt überhaupt nichts über den weit größeren internen Bestand aus.