Websites herunterladen, die MongoDB nutzen

Über MongoDB

Eine Datenbank soll von außen eigentlich nicht sichtbar sein, und deshalb ist jede Erkennung von MongoDB eine Aussage über Indizien und nicht über Architektur. Die Erkennung von Webtechnologien liest, was eine Website an den Browser sendet, und eine Dokumentdatenbank in einem privaten Netzwerk sendet überhaupt nichts. Taucht trotzdem eine auf, liegt das an einem Leck: an einer Fehlerseite, die den Treiber nennt, an einer erreichbar gelassenen Administrationskonsole, an einem Datenendpunkt auf dem öffentlichen Host oder an einer Framework-Signatur, die auf eine dahinterliegende Datenbank schließen lässt.

Entsprechend sollte man die Liste lesen. Stand Oktober 2026 ordnen wir die Datenbank 7.448 Websites zu. Genau genommen sind das Domains, auf denen die Datenbank eine Spur im öffentlichen Web hinterlassen hat, und nicht Domains, die sie nutzen. Der tatsächliche Bestand an Installationen ist weit größer und größtenteils unsichtbar, während der sichtbare Teil überproportional aus Fehlkonfigurationen, in der Produktion weiterlaufenden Entwicklerwerkzeugen und Anwendungen besteht, die bewusst eine Datenschnittstelle offenlegen.

MongoDB, Inc. hat die Datenbank 2009 als dokumentenorientierten Speicher entwickelt, geschrieben in C++ und heute unter der Lizenz SSPL vertrieben, und ihr Reiz lag schon immer in der Schema-Flexibilität für Anwendungen, deren Datenstruktur sich schneller ändert, als es ein relationaler Migrationszyklus zulässt. Unser Katalog führt die Datenbank in der Kategorie Databases, weil eine Datenschicht zu keiner Frontend- oder CMS-Familie gehört. Eine Website, auf der sich der Datenspeicher nachweisen lässt, ist meist eine Anwendung und keine Online-Visitenkarte, gebaut von Leuten, die beruflich Code schreiben.

Gerade die Verzerrung, die die Aussagekraft der Daten begrenzt, macht auch ihren Wert aus. Sicherheitsforscher wollen genau den Bestand, in dem eine Datenschicht erreichbar ist oder sich zu erkennen gibt, denn genau dort liegen Daten offen. Anbieter von verwalteten Datenbankdiensten, Monitoring und Backup wollen die Anwendungen, die eine selbst betriebene Installation verraten. Analysten, die verfolgen, welche Datenbanken hinter echten Produktionsanwendungen stehen, wollen eine Stichprobe, die sie mit Frameworks, Sprachen und Hosting verknüpfen können, statt einer Umfrage darüber, was Entwickler nach eigener Aussage nutzen.

Nichts davon bleibt erhalten, wenn man Domain für Domain einzeln abfragt, denn eine einzelne Erkennung ist entweder ein Zufall oder eine Kuriosität, und Aussagekraft hat erst die Gesamtheit. Der herunterladbare Export ist diese Gesamtheit: jede Website, auf der sich die Datenbank sichtbar gemacht hat, mit dem umgebenden Stack, dem Land und der Endung der Domain. Er lässt sich auf genau den Ausschnitt eingrenzen, auf den die Frage tatsächlich zielt, ob es nun um offene Datenbanken oder um Geschäftschancen geht.