Websites herunterladen, die Lucene nutzen

Über Lucene

Eine Suchbibliothek hat keine Eingangstür. Lucene läuft in einem fremden Java-Prozess, baut Indizes auf und beantwortet Anfragen für eine Anwendung, die nie offenlegen muss, was die Arbeit erledigt, und deshalb ist jede Zählung öffentlicher Websites mit dieser Bibliothek eine eigenartige Größe, die man erklären sollte, bevor man sie verwendet.

Erkennbar wird die Bibliothek nur, wenn der Stack etwas preisgibt. Eine Ergebnisseite, die Abfragesyntax offenlegt, ein stehen gelassener Response-Header, ein Stacktrace auf einer Fehlerseite, ein Endpunkt eines Suchservers, der auf der Bibliothek aufbaut, ein Plugin, das sich im Markup selbst nennt: Auf diesen Wegen wird eine Komponente, die unsichtbar sein soll, von außen sichtbar. Stand Oktober 2026 erkennen wir Lucene auf 12 Websites. Nüchtern betrachtet erfasst diese Zahl die Installationen, die sich verraten haben, und nicht alle, die es gibt. Der tatsächliche Bestand ist größer, und zwar in einem Ausmaß, das wir nicht messen können. Wer diesen Eintrag präsentiert, sollte das offen aussprechen.

Die Lizenz erklärt, warum die Lücke so groß ist. Lucene steht unter der Lizenz Apache 2.0 und wird von der Organisation Apache Software Foundation gepflegt, und eine freizügige Lizenz verpflichtet niemanden, die Nutzung irgendwem mitzuteilen. Softwarehersteller betten die Bibliothek in kommerzielle Produkte ein, Unternehmen bauen darauf ihre interne Suche auf und geben nichts zurück, und der Code landet in Appliances, Intranets und Anwendungen, die kein Crawler je erreichen wird. Da es die Bibliothek seit 1999 gibt, war genug Zeit, dass dies in einer ganzen Branche geschehen konnte.

Was nach diesem Vorbehalt übrig bleibt, ist dennoch nützlich, denn das Leck selbst ist der Befund. Eine Domain, deren Suchinterna von außen sichtbar sind, ist eine Domain, auf der jemand mehr preisgegeben hat als beabsichtigt, was Sicherheitsforscher direkt betrifft und für alle anderen als Indikator taugt: Die Websites auf dieser Liste betreiben eine selbst verwaltete Suchinfrastruktur statt eines gehosteten Suchfelds, und das bedeutet Java-Betrieb, Server, die gewartet werden müssen, und ein Entwicklungsteam mit eigenen Vorstellungen.

Die kommerzielle Lesart liegt nahe. Anbieter von Suchtechnologie, die gehostete Alternativen verkaufen, wollen wissen, wer seinen Index noch selbst betreibt, Beratungsfirmen suchen Kandidaten für Migrationen, und wer Infrastruktur an Java-Teams verkauft, kann eine gesichtete Suchbibliothek als Hinweis auf den Stack nutzen, denn eine Domain auf dieser Liste betreibt mit ziemlicher Sicherheit irgendwo eine virtuelle Maschine, samt dem Hosting, dem Monitoring und dem Personal, die damit einhergehen.

Eine Abfrage pro Domain kann zeigen, dass eine einzelne Website einen Such-Stack preisgibt. Die Liste klärt die Fragen, für die man den gesamten Bestand auf einmal braucht: welche Branchen ihre Suche noch selbst betreiben, womit sie sie kombinieren, ob eine Domain zu einem gehosteten Dienst gewechselt ist und den alten Fingerabdruck zurückgelassen hat und welche Organisationen man mit einer verwalteten Alternative ansprechen sollte. Versteht man den Eintrag als Bestandsaufnahme selbst verwalteter Suche, die zufällig sichtbar ist, erfüllt er eine Aufgabe, die keine Prüfung einzelner Domains leisten kann.