Websites herunterladen, die Polyfill nutzen

Über Polyfill

Alte Browser verschwinden nicht nach Fahrplan, und jede Website, die noch mit ihnen rechnet, enthält irgendeine Form von Ausgleichscode. Polyfill ist die Bibliothek in der Kategorie JavaScript libraries, die diese Rolle übernimmt: Sie erkennt, welche modernen Funktionen dem Browser eines Besuchers fehlen, und lädt nur die fehlenden Teile nach, damit Entwickler aktuelles JavaScript schreiben können, ohne nach dem User-Agent zu verzweigen.

Kommerziell ist das Muster wichtig, weil ein Polyfill meist abgerufen und nicht selbst geschrieben wird. Websites greifen auf einen gemeinsam genutzten Dienst zurück, der den anfragenden Browser prüft und ein passend zugeschnittenes Bundle zurückgibt, was einen externen Host direkt in den Rendering-Pfad der Seite stellt. Ein weit verbreiteter Dienst genau dieser Art wechselte nach Jahren unauffälligen Betriebs den Besitzer und lieferte später unerwünschten Code an einen Teil der Besucher aus, und der Vorfall machte aus einem routinemäßigen Kompatibilitätshelfer ein Lieferkettenthema, nach dem Sicherheitsteams heute namentlich fragen.

Stand Oktober 2026 erkennen wir Polyfill auf 6.184 Websites. Die Bibliothek steht unter der Lizenz MIT, ist seit 2011 im Umlauf und in JavaScript implementiert, und weil sie an den Client ausgeliefert wird, läuft der Code auf dem Rechner des Besuchers und nicht am Ursprungsserver. Die Versionsdaten sind hier grob. Wir unterscheiden 3 Builds und ordnen den Großteil der Treffer Version 3 zu, eine flache Streuung, wie man sie von einem Dienst erwartet, der eine Hauptversion festschreibt und dahinter Änderungen vornimmt.

Die Geografie schärft das Bild, statt es zu erklären. Die geografische Verteilung sagt weniger darüber aus, wo alte Browser tatsächlich im Einsatz sind, als darüber, wo die Templates, Themes und Build-Voreinstellungen entstanden sind, die einen Polyfill einbinden. Diese Unterscheidung ist nützlich, wenn Sie die Verantwortlichen erreichen wollen und nicht die Betroffenen.

Eine Abfrage pro Domain zeigt, ob eine Website heute Kompatibilitätscode lädt. Die Liste klärt eine andere Frage. Teams für Anbieterrisiken und Anwendungssicherheit finden damit jede Domain in einem Portfolio, einem Lieferantenstamm oder einem Übernahmeziel, die noch von extern gehosteten Browser-Shims abhängt, und nur so gestellt lässt sich die Frage für mehr als eine Handvoll Namen beantworten. Framework-Anbieter und Agenturen lesen denselben Bestand umgekehrt, als Karte der Websites, die noch für Browser gebaut werden, die ihr neueres Produkt gern fallen lassen würde.

Die Erkennung beruht auf Rückschlüssen und zählt bewusst eher zu wenig. Ein Polyfill, der beim Build in ein Anwendungs-Bundle kompiliert wird, hinterlässt keinen abtrennbaren Fingerabdruck, und wir erfassen nur die erkennbaren gehosteten und benannten Distributionen. Die Zahl sollte man daher als Untergrenze für die Technik lesen und nicht als vollständige Zählung. Wenn eine Zeile keinen Treffer zeigt, ist das kein Beleg dafür, dass eine Website überhaupt keinen Kompatibilitätscode ausliefert, sondern nur dafür, dass von außen keiner sichtbar war.