Websites herunterladen, die MantisBT nutzen

Über MantisBT

Ein Issue-Tracker, der aus dem offenen Internet erreichbar ist, steht dort oft aus Versehen. Bugtracking ist Software für den internen Gebrauch. Ein Tracker gehört in ein privates Netz neben das Quellcode-Repository, und wenn ein Crawler einen findet, hat er meist die Arbeitsabläufe eines Unternehmens gefunden und nicht dessen Marketing.

MantisBT ist seit 2000 genau solche Software, geschrieben in PHP und veröffentlicht unter der Lizenz GPL v2, was seine Langlebigkeit ebenso erklärt wie die Stellen, an denen es auftaucht. Ein Tracker, der sich auf jedem günstigen Shared-Hosting-Paket mit Datenbank installieren lässt und keine Lizenzverhandlungen erfordert, verbreitet sich bis in Bereiche, die ein kommerzielles Produkt mit Preisen pro Arbeitsplatz nie erreicht: Universitätsinstitute, kommunale IT-Abteilungen, kleine Softwareanbieter, langlebige interne Projekte in Unternehmen, die ihn einmal eingeführt und die Entscheidung nie wieder überdacht haben. Die freie Lizenz ist auch der Grund, warum es keinen Anbieter gibt, den man nach Kundenzahlen fragen könnte, und warum unabhängige Erkennung der einzige Weg ist, überhaupt etwas von der installierten Basis zu sehen.

Stand Oktober 2026 erkennen wir MantisBT auf 4 Websites, und dass die Zahl so niedrig ist, hat strukturelle Gründe und ist kein Urteil über das Projekt. Für einen Crawler sichtbar sind die falsch konfigurierten Instanzen, die bewusst öffentlichen Instanzen von Open-Source-Projekten und jene, die auf einer Subdomain abgestellt wurden, an die niemand mehr denkt. Alles hinter einer Firewall, einem VPN oder einer Anmeldeschranke ist konstruktionsbedingt unsichtbar. Die tatsächliche installierte Basis lässt sich von außen nicht ermitteln, und wer unsere Zahl als Verbreitung zitiert, zitiert in Wahrheit die Quote der offen erreichbaren Instanzen.

Ausgerechnet diese Quote ist für mehrere Lesergruppen die interessante Messgröße. Sicherheitsforscher interessiert sie, weil ein öffentlicher Tracker eine alternde Anwendung mit Login-Formular, Upload-Funktion und dokumentierter Geschichte von Sicherheitshinweisen ist und weil die Tickets darin oft die Infrastruktur im Detail beschreiben. Wer in einer großen Organisation für Lieferantenrisiken zuständig ist, will wissen, ob der Tracker eines Partners im offenen Internet antwortet. Und wer Entwicklungswerkzeuge verkauft, findet in dieser Liste Teams, die einen selbst gehosteten Tracker betreiben und seit Jahren pflegen, ein ebenso konkretes wie seltenes Qualifizierungsmerkmal.

Eine Prüfung pro Domain bestätigt einen einzelnen Host. Der Download liefert den gesamten sichtbaren Bestand samt der Betriebsumgebung jeder Instanz, was aus einer Kuriosität erst eine Erhebung macht.