Websites herunterladen, die RiteCMS nutzen

Über RiteCMS

Ein selbst gehostetes Content-Management-System hinterlässt ganz andere Spuren als ein gehostetes. Niemand unterschreibt einen Vertrag, niemand landet in einer Kundenliste, und der einzige öffentliche Hinweis darauf, dass eine Installation existiert, ist das Markup, das die Software erzeugt. RiteCMS gehört zu dieser Gruppe. Das System stammt aus dem Jahr 2012, ist in PHP geschrieben und steht unter der Lizenz GPL v2. Heruntergeladen, entpackt und installiert wird RiteCMS von demjenigen, der den Server verwaltet, und so hat die Zahl der laufenden Installationen nie jemand gezählt, nicht einmal die Autoren.

Stand Oktober 2026 erkennen wir RiteCMS auf 1 Website. Bei einer Codebasis, die sich selbst aktualisiert, laufen die Installationen innerhalb weniger Wochen nach einem Release auf dieser neuen Version zusammen. Eine Codebasis, die von Hand aktualisiert werden muss, tut das Gegenteil: Die Installationen driften auseinander, bis jede auf dem Stand verharrt, der an dem Tag aktuell war, an dem jemand sie eingerichtet hat. Eine solche Versionsdrift ist auf unscheinbare Weise nützlich, weil sie Installationen datiert. Wenn sich die Releases eines selbst gehosteten Systems der Kategorie CMS verteilen, statt sich zu bündeln, ergibt diese Streuung eine grobe Zeitleiste dafür, wann jede Website gebaut wurde, und ein direktes Maß dafür, welcher Anteil der installierten Basis Code ausführt, der keine Fehlerbehebungen mehr bekommt.

Für Forschende lässt sich ein Treffer für RiteCMS praktisch so lesen: Er kennzeichnet eine von Hand gepflegte Website. Jemand hat ein kleines System der Kategorie CMS einem gehosteten Baukasten vorgezogen, es auf gewöhnliches Shared Hosting gelegt und hält es seitdem am Laufen. Solche Websites tauchen selten auf Werbeplattformen oder in Finanzierungsdatenbanken auf, und sie sind genau das Segment, nach dem Migrationsagenturen, Hosting-Reseller und Sicherheitsteams immer wieder fragen, denn eine Installation, die niemand aktualisiert, ist zugleich eine Chance für Support-Aufträge und ein Risiko.

Die Erkennung beruht auf Indizien, deshalb sollte man die Zahl als Untergrenze lesen. Unsere Fingerabdrücke stützen sich auf Generator-Angaben, typische Asset-Pfade und Template-Markup, und ein Entwickler, der diese entfernt, macht die Installation für uns und für jeden anderen Scanner unsichtbar. Was die herunterladbare Liste einer Abfrage für eine einzelne Domain voraushat, ist die Richtung. Eine solche Abfrage beantwortet die Frage, die Sie bereits haben, nämlich was auf einer Domain läuft, die Sie kennen. Der Export beantwortet die Frage, die man einer Einzelabfrage gar nicht erst stellen kann: welche Domains, in welchen Ländern und mit welchen Registrar-Mustern, dieses System der Kategorie CMS heute noch betreiben. Eine Migrationskampagne zu dimensionieren oder eine nicht mehr gepflegte Plattform über den gesamten Bestand eines Hosting-Anbieters hinweg zu prüfen, gelingt nur aus der zweiten Richtung.