Websites herunterladen, die Hiawatha nutzen

Über Hiawatha

Den Webserver Hiawatha gibt es, weil sein Autor einen Server wollte, der Traffic ebenso bereitwillig abweist, wie er ihn ausliefert. Die Filterung von Anfragen steckt im Server selbst und ist ihm nicht vorgeschaltet, sodass fehlerhafte und feindselige Anfragen gedrosselt oder verworfen werden, bevor eine Anwendung sie überhaupt parst. Wer ihn installiert, hat sich in der Regel schon eine Meinung zur Angriffsfläche gebildet, bevor er die Konfigurationsdatei öffnet.

Der Server ist in C geschrieben, wird unter der Lizenz GPL v2 verbreitet und ist in unseren Daten seit 2002 verzeichnet. Hiawatha setzt auf eine kompakte, gut lesbare Konfigurationsdatei, die ein einzelner Administrator im Kopf behalten kann. Den Server zu betreiben heißt, dass jemand das Handbuch gelesen, das Binary paketiert oder kompiliert und in Kauf genommen hat, dass Antworten auf Konfigurationsfragen schwerer zu finden sind als bei den gängigen Alternativen.

Stand Oktober 2026 erkennen wir Hiawatha auf 96 Websites. Der Bestand ist naturgemäß klein, und für die Forschung ist gerade die geringe Größe der Reiz und keine Enttäuschung. Ein Nischenserver dient als Indikator für ein Betreiberprofil: selbst gehostete Infrastruktur, ein Administrator mit festen Ansichten zur Angriffsfläche und häufig ein Härtungs- oder Datenschutzmotiv hinter dem Einsatz. Über einen Ein-Klick-Installer kommt niemand zu dieser Software.

Die Versionsdaten fügen diesem Profil eine zweite Dimension hinzu. Wir verzeichnen 21 verschiedene Versionsstrings in den Installationen, die wir sehen können, darunter Version 12.2. Eine so breite Streuung bei einer Nutzerbasis dieser Größe zeigt, dass die Installationen einzeln gepflegt und nicht über ein Distributionspaket oder ein Hosting-Control-Panel ausgerollt werden. Manche Maschinen folgen den Releases eng, andere wurden einmal eingerichtet und laufen seit Jahren unverändert weiter. Für die Schwachstellenforschung ist die Verteilung der Versionen über den Bestand die Zahl, auf die alles ankommt, denn sie bestimmt, welchen Teil der installierten Basis ein bestimmter Sicherheitshinweis tatsächlich erreichen würde und ob ein längst veröffentlichter Fix überhaupt übernommen wurde.

Die Identifizierung von Servern hat eine Schwäche, die man offen aussprechen sollte. Die Erkennung beruht auf dem, was der Server von sich aus preisgibt, in Antwort-Headern und im Markup seiner eigenen Fehlerseiten, und ein Administrator, der eine Maschine härtet, kann durchaus genau diese Signale entfernen. Bei sicherheitsorientierter Software sind ausgerechnet die Betreiber, die am sorgfältigsten mit Offenlegung umgehen, diejenigen, die wir am schlechtesten identifizieren können. Die Untererfassung hängt also mit genau dem Publikum zusammen, das das Projekt anzieht. Unsere Zahl beschreibt Hosts, die sich zu erkennen geben, nicht jeden Host, auf dem der Code läuft.

Diese Einschränkung macht die Liste nicht weniger nützlich, sie macht sie zu einer anderen Art von Liste. Was wir veröffentlichen, ist eine Stichprobe aus einer selbstselektierten Community, konsequent vom selben Crawler nach denselben Regeln gezogen. Veränderungen zwischen zwei Aktualisierungen sind deshalb aussagekräftig, auch wo die absolute Gesamtzahl unvollständig ist. Eine Prüfung pro Domain zeigt, ob ein einzelner Host Hiawatha betreibt. Der Download zeigt, wer den Server betreibt, wo diese Hosts stehen, auf welche Builds sie festgelegt sind und ob die Community rund um einen kleinen Server wächst, stabil bleibt oder langsam ausläuft. Bei Software mit einer so speziellen Nutzerbasis erlaubt überhaupt nur der Blick auf den gesamten Bestand eine Schlussfolgerung.