Websites herunterladen, die RainLoop nutzen

Über RainLoop

Eine Domain, die mit RainLoop antwortet, zeigt Ihnen eher einen Personaleingang als ein Schaufenster. Die Software ist ein browserbasierter Mail-Client, in PHP geschrieben und auf dem eigenen Server des Betreibers installiert, wo sie einer bestehenden IMAP- und SMTP-Umgebung vorgeschaltet ist, damit sich die Postfächer im Browser lesen lassen, ohne sie zu einem externen Mail-Anbieter umzuziehen. Auf diesem Hostnamen wird der Öffentlichkeit nichts verkauft. Der Betreiber hat lediglich ein internes Werkzeug ins öffentliche Internet gestellt, damit die Belegschaft von überall an ihre Mails kommt.

Selbst gehostetes Webmail sagt etwas Bestimmtes über die Organisation hinter einer Domain aus. Jemand hat sich entschieden, die Mails auf eigener Infrastruktur zu halten, statt Nutzerlizenzen bei einem großen Mail-Anbieter zu kaufen, und diese Entscheidung treffen kleine Hosting-Unternehmen, Agenturen, Universitäten und datenschutzbewusste Betreiber weit bereitwilliger als die IT-Abteilungen von Konzernen. Für Forscher, die erfassen wollen, wer seinen Mail-Stack noch selbst betreibt, ist der Client auf einer Domain aufschlussreicher als der MX-Eintrag allein, denn ein Webmail-Frontend zeigt, dass sich ein Mensch über den Browser anmeldet und nicht über eine Desktop-Suite für Unternehmen.

Erstmals 2013 veröffentlicht und im Lizenzmodell Open Source verbreitet, gehört RainLoop zu der Art Software, die man einmal installiert und dann in Ruhe lässt. Ein Upgrade erfordert Shell-Zugang und ein Wartungsfenster, also genau die Arbeit, die niemand einplant, wenn ein Server ausschließlich für Mail da ist. In den Installationen, deren Version wir auslesen können, unterscheiden wir 15 verschiedene Builds, und am häufigsten erfassen wir Build 1.17.0. Die Streuung der Builds ist eigentlich eine Alters- und keine Funktionsverteilung. Sie wurde breiter, nachdem sich die Upstream-Entwicklung verlangsamt hatte und ein großer Teil der Community zu einem gepflegten Fork gewechselt war, und die ursprünglichen Installationen blieben auf dem Release stehen, das am Tag ihrer Einrichtung aktuell war.

Ein Webmail-Login ist eine Anmeldemaske, die offen im Internet erreichbar ist. Welches Release auf einem Host läuft, ist deshalb keine Nebensache. Wer Angriffsflächen inventarisiert, Betreiber auf Schwachstellen anspricht oder Lücken im Rahmen einer Responsible Disclosure meldet, braucht Hostname und Build gemeinsam, und zwar für den ganzen Bestand statt für eine Domain nach der anderen. Dieselbe Kombination ist für Hosting-Anbieter wichtig, die prüfen, was ihre Kunden ohne Rücksprache auf gemeinsam genutzten Servern installiert haben.

Stand Oktober 2026 erkennen wir den Client auf 327 Websites. Eine Abfrage pro Domain kann einen einzelnen Hostnamen bestätigen, doch die nützliche Frage verläuft in die andere Richtung: Welche Hosts betreiben diese Software, mit welchem Build und auf welcher Art von Domain? Unser Export klärt das in einer einzigen Datei, mit der Domain, der erkannten Version, sofern eine sichtbar ist, und dem übrigen Tech-Stack jeder Website in derselben Zeile. So lässt sich der Bestand filtern, stichprobenartig prüfen oder mit Ihren eigenen Daten verknüpfen, ohne irgendetwas Domain für Domain abzufragen.