Websites herunterladen, die imperia CMS nutzen

Über imperia CMS

Ein Content-Management-System, das seit 1995 ausgeliefert wird und in Perl geschrieben ist, verrät das meiste von dem, was Sie über die Organisationen wissen müssen, die es betreiben. imperia CMS stammt vom Anbieter imperia AG, einem deutschen Softwarehaus, und wird unter der Lizenz Proprietary an Institutionen verkauft, statt von Hobbyisten heruntergeladen zu werden. Die Käufer sind Konzerne, Behörden und Finanzinstitute mit redaktionellen Freigabeketten, Aufbewahrungsregeln und Pflichten zur mehrsprachigen Veröffentlichung. Das System ist auf Workflows, Rollentrennung und die Ausspielung desselben Content-Repositorys auf Websites, Portale und andere digitale Kanäle ausgelegt.

So gekaufte Software wird einmal ausgewählt und dann ein Jahrzehnt lang behalten, weshalb das Einsatzmuster nichts mit dem einer Massenmarkt-Plattform gemein hat. Die Versionsdaten zeigen das unmittelbar. Über alle Installationen hinweg unterscheiden wir 22 verschiedene Versionsangaben, und am häufigsten taucht in unseren Fingerprints Version 11.4.5_1 auf. Eine so große Streuung ist keine Nachlässigkeit. Hier aktualisiert sich nichts von selbst. Jeder Kunde führt Upgrades nach eigenem Zeitplan durch, meist als finanziertes Projekt unter Beteiligung eines Integrators. Das Versionsfeld ist damit faktisch eine Karte von Upgrade-Budgets und Vertragszyklen und kein Maß dafür, wie schnell der Anbieter neue Releases ausliefert.

Für Fachleute aus Sicherheitsforschung oder Beschaffung ist genau diese Karte der nützliche Teil. Websites von Behörden und Unternehmen, auf denen ein älteres Release eines in Perl geschriebenen Publishing-Systems läuft, sind ein vertretbares Forschungsziel, und erst die Versionsangabe in jeder Zeile macht die Frage überhaupt beantwortbar.

Stand Oktober 2026 erkennen wir imperia CMS auf 235 Websites. Der naheliegende Vergleich mit Open-Source-Plattformen führt hier in die Irre. Eine Installation ist typischerweise eine große Organisation, die viele Bereiche, Unterseiten und Sprachvarianten hinter einer Handvoll Domains veröffentlicht. Die Zahl der Websites unterschätzt daher sowohl die Menge der verwalteten Inhalte als auch den Umfang des Vertrags, der dahinter steht. Die Erkennung hängt außerdem von Merkmalen ab, die gehärtete Installationen entfernen. Eine Installation hinter einem Reverse-Proxy mit umgeschriebenen Pfaden und ohne Generator-Hinweis kann jahrelang laufen, ohne dass wir sie sehen. Der tatsächliche Bestand liegt also über dem, was wir veröffentlichen.

Die vollständige Liste brauchen konkurrierende CMS-Anbieter und Integratoren, die eine Pipeline für Ablöseprojekte aufbauen, Sicherheitsteams, die ein Inventar exponierter Systeme für einen bestimmten Stack zusammenstellen, und Analysten, die verfolgen, wo Perl in Europa noch produktive Publishing-Systeme antreibt. Eine Abfrage pro Domain klärt keine dieser Fragen, denn jede davon betrifft einen Bestand und nicht eine einzelne Website.

Der Download liefert diesen Bestand in einer einzigen Datei, mit der ermittelten Version neben jeder Domain sowie Feldern für Land und Endung zur Segmentierung. Der Vergleich zweier Snapshots zeigt, welche Installationen aktualisiert wurden, welche komplett ersetzt wurden und welche völlig unverändert geblieben sind, was den Unterschied ausmacht zwischen der Vermutung, dass ein altes Enterprise-System noch irgendwo läuft, und dem Wissen, wo genau.