Websites herunterladen, die PostgreSQL nutzen

Über PostgreSQL

Eine Datenbank sollte von außen eigentlich unsichtbar sein. Nichts an einer sorgfältig gebauten Website sollte einem Fremden verraten, womit sie ihre Daten speichert, und das ist das Erste, was man über diese Zeile in einem Technologie-Datensatz verstehen muss. Wird eine Datenbank aus dem öffentlichen Web heraus erkannt, hat die Website etwas verraten, das sie nicht hätte verraten müssen.

PostgreSQL wird seit 1989 in C entwickelt und unter der Lizenz PostgreSQL License veröffentlicht, ist also kostenlos, an keine Marke gebunden und wird von jedem installiert, der es möchte, ohne dass irgendwo eine Registrierung nötig wäre. Kein Anbieter führt eine Kundenliste. Stand Oktober 2026 erkennen wir die Datenbank auf 31.072 Websites, und genau genommen zählt diese Zahl Offenlegungen, keine Installationen.

Die Offenlegungen stammen aus einer Handvoll wiederkehrender Quellen: Framework- und Admin-Oberflächen, die ihr Backend nennen, Datenbank-Tools, die auf einer Subdomain veröffentlicht sind, Fehlermeldungen, die in eine Antwort durchrutschen, Connector-Bibliotheken, die in einer Seite deklariert sind, und Plattformpakete, bei denen der Stack dokumentiert statt verborgen wird. Jede dieser Quellen ist ein Leck oder eine Konvention, keine Ankündigung, und die Websites, auf denen sie auftreten, sind keine Zufallsstichprobe der Websites, die die Datenbank betreiben.

Die Verzerrung hat eine Richtung, die man benennen sollte. Sorgfältig konfigurierte Server-Bestände geben nichts preis, daher sind im sichtbaren Bestand kleinere Teams, selbst verwaltete Server, nie abgeschottete Staging-Umgebungen und Anwendungen, deren Stack Teil der Produktbeschreibung ist, überrepräsentiert. Gut ausgestattete, professionell betriebene Installationen sind genau die, die in der Liste fehlen.

Wertlos wird der Bestand dadurch nicht. Er wird zu einem bestimmten Bestand mit bestimmten Einsatzzwecken. Wer Managed Hosting, Backup, Monitoring oder Migrationsdienste verkauft, sucht selbst verwaltete Installationen statt der Server-Flotten von Großunternehmen, und genau solche Installationen findet ein Signal, das auf Offenlegungen beruht. Sicherheitsforscher wollen dieselben Zeilen aus dem umgekehrten Grund, denn ein Stack, der seine Datenbank öffentlich nennt, hat einem Fremden meist auch noch einiges andere verraten.

10.734 der erkannten Websites werden in den USA gehostet, und ein großer Teil der übrigen läuft unter der Endung .com, was zeigt, wo das Hosting angesiedelt ist, und nicht, wo die Entwickler sitzen. Hosting-Geografie und Entwickler-Geografie gehen bei Infrastrukturkomponenten stärker auseinander als bei allem, was Nutzer direkt sehen, deshalb sollte das Land hier als Angabe zum Datenstandort gelesen werden und nicht als Aussage über den Markt.

Die Frage, die ein Download klärt, ist die des gemeinsamen Auftretens: welche Frameworks, welche Webserver, welche Hosting-Anbieter und welche Länder mit diesen Erkennungen einhergehen, und zwar über den gesamten Bestand statt über eine Stichprobe. Eine von Hand geprüfte Domain sagt etwas über eine Domain. Mit der vollständigen Datei, die täglich neu erstellt wird, können Sie ein Profil des Lecks selbst erstellen und dann entscheiden, wie weit Sie daraus verallgemeinern wollen, was ein Urteil ist, das Ihnen zusteht und nicht uns.