Websites herunterladen, die mod_jk nutzen

Über mod_jk

mod_jk dient dazu, eine Arbeitsteilung durchzusetzen, die älter ist als der größte Teil des modernen Webs. Der Apache HTTP Server nimmt die Verbindung an, terminiert TLS und liefert die statischen Dateien aus und reicht Anwendungsanfragen dann über das Apache JServ Protocol an Tomcat weiter. In Unternehmen, die auf Java setzten, war diese Aufteilung lange gängige Praxis, und der Connector ist das Bindeglied, das sie zum Laufen bringt.

Stand Oktober 2026 erkennen wir das Modul auf 8.709 Websites, und schon die Geografie überrascht. 2.834 davon verorten wir in Deutschland, und als Endung dominiert .de. So verteilt sich eine gewöhnliche Webtechnologie nicht. Enterprise-Java hielt sich am längsten in Märkten mit großen internen IT-Abteilungen, langen Beschaffungszyklen und einer Vorliebe für eigene Server, und die Verbreitung dieses Moduls aus der Kategorie Web server extensions spiegelt diese Geschichte wider und keinen aktuellen Trend zur Neueinführung.

Der Connector stammt von der Organisation Apache Software Foundation, steht unter der Lizenz Apache 2.0, ist in C geschrieben und existiert seit 1999. Das Alter spielt hier eine Rolle, weil die Architektur, für die der Connector gebaut ist, aus der Mode kam, während er selbst weiterhin neue Releases erhielt. Websites, auf denen er noch läuft, laufen auf gepflegtem, aber unmodischem Unterbau. Das ist ein klar umrissener Zustand, mit dem sich arbeiten lässt: Nichts ist kaputt, nichts verschwindet von selbst, und irgendwann macht jemand ein Migrationsprojekt daraus.

Die Versionsdaten stützen diese Lesart. Im Datensatz tauchen 35 verschiedene Versionen auf, am häufigsten Version 1.2.40, und diese Streuung ist typisch für Software, die als Teil eines Betriebssystempakets oder einer Hersteller-Appliance ausgeliefert wird, statt von einem Entwickler frisch bezogen zu werden. Upgrades finden statt, wenn die darunterliegende Plattform neu aufgesetzt wird, und bei dieser Art von Tech-Stack können zwischen zwei Neuaufbauten Jahre liegen.

Was das Modul über eine Website verrät, ist ungewöhnlich konkret. Dahinter stehen ein Java-Applikationsserver, eine Anwendung, die jemand geschrieben oder gekauft und nicht aus einem Plugin-Verzeichnis installiert hat, und ein Betriebsteam, das sein eigenes Frontend verwaltet, statt alles auf eine Managed-Plattform zu schieben. Anbieter von Application-Performance-Lösungen, Beratungen für Java-Migrationen, Container- und Plattform-Anbieter sowie Sicherheitsteams, die von außen eine Bestandsaufnahme machen, interessieren sich alle für diesen Bestand. Hinzu kommt, dass beim Protokoll selbst immer wieder schwere Sicherheitslücken aufgetreten sind, wenn Connector-Ports erreichbar blieben. Für Sicherheitsverantwortliche ist das ein Grund, zu wissen, wo es läuft.

Die Erkennung beruht auf Indizien und zählt mit ziemlicher Sicherheit zu wenig. Der Connector gibt sich nur zu erkennen, wenn der vorgelagerte Server so konfiguriert ist, dass er seine Modulliste preisgibt. Gehärtete Builds entfernen diese Angabe, ebenso die Reverse-Proxys und CDNs, die vielen Unternehmenswebsites vorgeschaltet sind. Fehlt eine Website in der Liste, ist das kein Beleg dafür, dass der Connector fehlt, sondern nur dafür, dass die Website es uns nicht verraten hat. Nüchtern betrachtet ist die Zahl eine Untergrenze, und sie ist zugunsten älterer, weniger fein abgestimmter Installationen verzerrt, die ihr Innenleben noch nach außen zeigen.

Eine Abfrage pro Domain zeigt, ob ein einzelner Host das Modul offenlegt. Der Download klärt, ob das Apache-Tomcat-Muster noch einen Bestand hat, auf den sich ein Geschäft aufbauen lässt, wo sich dieser Bestand konzentriert und wie schnell er zwischen zwei Releases schrumpft. Von genau diesen Fragen hängt ein Migrationsangebot oder ein Sicherheitsforschungsprogramm ab, und die Antworten lassen sich nicht Host für Host zusammentragen.