Websites herunterladen, die mod_ssl nutzen

Über mod_ssl

mod_ssl ist nichts, was eine Website sich aussucht. Das Modul gehört zu den Bausteinen, mit denen der Apache HTTP Server TLS spricht. Einkompiliert oder geladen hat es derjenige, der die Maschine eingerichtet hat, und der Betreiber der darauf laufenden Website weiß meist nicht einmal, dass es den Namen gibt. Das macht es zu einer anderen Art von Signal als ein Plugin oder eine Plattform, in mancher Hinsicht sogar zu einem unverfälschteren, denn niemand hat es aus Marketinggründen eingeführt.

Das Modul wird von der Organisation Apache Software Foundation gepflegt, steht unter der Lizenz Apache 2.0 und reicht bis 1998 zurück, in eine Zeit, als starke Kryptografie im Web noch ein nachträglicher Zusatz war und kein Standard. In C gegen OpenSSL geschrieben, verschafft mod_ssl dem Apache-Server seine Zertifikatsverwaltung, die Cipher-Konfiguration und die Protokollaushandlung. Bei uns steht das Modul in der Kategorie Web server extensions, seine eigentliche Rolle ist aber die einer Infrastrukturkomponente.

Stand Oktober 2026 erkennen wir das Modul auf 20.342 Websites, und genauer hinzusehen lohnt sich vor allem bei den Versionen. Ganz oben steht bei uns der Versionsstring 2.2.34, und insgesamt zählen wir im Bestand 76 verschiedene Werte. Wenn ein erheblicher Teil des Bestands noch eine Version aus einem Zweig meldet, den das Upstream-Projekt längst eingestellt hat, verändert das den Blick auf alles andere. Langlebige Server-Builds bedeuten nicht automatisch schwache Kryptografie, denn Distributionsanbieter portieren Sicherheitskorrekturen zurück, ohne die Versionsnummer zu ändern, und eine Maschine, die einen alten String meldet, kann darunter vollständig aktuell sein. Eine Streuung über so viele verschiedene Strings zeigt aber, dass der Bestand nicht zentral verwaltet wird und dass man den Patch-Stand erschließen muss, statt ihn vorauszusetzen.

Als Zweites fällt die Verteilung nach Ländern auf. 3.576 der erkannten Websites verorten wir in Japan, eine Verteilung, die von dem Muster abweicht, dem die meisten Technologiedaten in diesem Katalog folgen. Eine große inländische Hosting-Branche mit eigener Hardware, lange Betriebszeiten und konservative Upgrade-Zyklen wirken alle in dieselbe Richtung, und das Ergebnis ist ein nationaler Serverbestand, der noch Jahre sichtbar bleibt, nachdem andere Märkte hinter Managed-Plattformen verschwunden sind.

Alles oben Gesagte hängt an einer Konfigurationsentscheidung, und das ist der wichtigste Vorbehalt. Apache nennt seine Module im Response-Header nur, wenn der Administrator die Einstellung für die Server-Tokens ausführlich lässt, und sehr viele Betreiber kürzen sie auf den Produktnamen oder entfernen den Header an einem Proxy ganz. Jeder gehärtete Server, jede Website hinter einem CDN, das ihre Header umschreibt, und jede Distribution mit einer zurückhaltenden Voreinstellung bleibt für einen solchen Scan unsichtbar. Der Bestand, den wir ausweisen, ist daher nicht der Bestand aller TLS-Installationen von Apache, sondern der Teil, der sich noch zu erkennen gibt, und dieser Teil ist tendenziell älter, seltener hinter Proxys und weniger gehärtet als der Gesamtbestand. Klar gesagt: Die Zahl ist zu niedrig, und die Untererfassung ist nicht zufällig.

Genau deshalb zählt die Datei mehr als eine Einzelabfrage. Zu wissen, dass ein Server eine bestimmte Modulversion ankündigt, klärt eine Supportfrage. Den gesamten erkannten Bestand als herunterladbaren Auszug zu haben, verknüpft mit Land, Endung und dem übrigen Tech-Stack, beantwortet dagegen Forschungsfragen: wie Serverbestände altern, wo eingestellte Zweige fortbestehen, welche Hosting-Märkte langlebige Infrastruktur in Betrieb halten und in welche Segmente sich ein Produkt für Patch-Management, Scanning oder Migration verkaufen lässt. Fragen dieser Art brauchen die ganze Liste auf einmal, und zwar als Datei, die Sie selbst filtern können.