Websites herunterladen, die Spring nutzen

Über Spring

Jede Zahl auf dieser Seite beginnt mit einem Fehler. Das Framework läuft auf dem Server, und was dort passiert, geht einen Crawler eigentlich nichts an. Spring wird deshalb nur sichtbar, wenn ein Deployment etwas preisgibt, das es nicht preisgeben sollte, und genau dieser eine Umstand sollte bestimmen, wie Sie jede der folgenden Zahlen lesen.

Spring ist ein Anwendungs-Framework für Java, mit dem man den Server hinter einer Website baut: Dependency Injection, Transaktionsverwaltung, Sicherheit, Datenzugriff und die Web-Schicht, die eine Anfrage in eine Antwort verwandelt. Kein Teil des Frameworks muss im Browser auftauchen. Ein gut konfiguriertes Deployment liefert HTML zurück, das gleich aussieht, ob nun Java, Go oder PHP dahintersteht, und so bleibt das Framework unsichtbar, solange nichts nach außen dringt.

Was nach außen dringt, ist genau das, was wir erkennen. Standard-Fehlerseiten, frameworkspezifische Cookie- und Session-Namen, charakteristische Header-Werte, offen gelassene Management-Endpunkte und Asset-Pfade aus Starter-Templates verweisen alle auf das Framework, ohne es beim Namen zu nennen. Eine Erkennung, die auf solchen Signalen aufbaut, beruht auf Rückschlüssen und funktioniert nur in eine Richtung. Sehen wir die Signatur, läuft auf der Website mit ziemlicher Sicherheit das Framework, doch das Fehlen einer Signatur beweist überhaupt nichts, denn gerade kompetent betriebene Deployments geben am wenigsten preis.

Stand Oktober 2026 erkennen wir Spring auf 691 Websites. Genau genommen erfasst diese Zahl erkennbare Deployments, nicht alle Deployments. Die installierte Basis eines Frameworks für Java dieses Alters ist weit größer und steckt hinter Login-Seiten, internen Unternehmenssystemen, Backends von Banken und Versicherungen und APIs, die einem Crawler von vornherein nie eine öffentliche HTML-Seite ausliefern. Wer die Zahl als Schätzung des Marktanteils gegenüber Technologien verwendet, die im Browser sichtbar sind, vergleicht zwei verschiedene Arten von Messung.

Richtig gelesen ist die Liste trotzdem wertvoll, und ihr Wert entsteht gerade aus dem Leck, nicht trotz des Lecks. Der Anbieter Broadcom betreut das Projekt, das seit 2002 unter der Lizenz Apache 2.0 steht, und seine Nutzerbasis ist stark von Großunternehmen geprägt. Eine öffentlich erreichbare Website, die den Fingerabdruck des Frameworks preisgibt, ist deshalb ein starker Indikator für ein internes Entwicklungsteam für Java, ein selbst verwaltetes oder On-Premise-Deployment und ein Technologiebudget von bestimmtem Zuschnitt. Anbieter von Application Performance Monitoring, Tools für Java, Build- und CI-Systemen, Container-Plattformen und Entwickler-Recruiting werten das allesamt als Kriterium für die Lead-Qualifizierung.

Sicherheitsteams betrachten dieselben Websites aus der entgegengesetzten Perspektive. Ein offen sichtbarer Fingerabdruck des Frameworks ist für sich schon ein Konfigurationsbefund, und die Endpunkte, die ihn verraten, sind häufig Endpunkte, die nie hätten öffentlich sein dürfen. Wie weit diese Offenlegung in einer Branche oder einem Land reicht, lässt sich nicht Host für Host messen, sondern nur mit einem vollständigen Auszug.

Eine Abfrage pro Domain zeigt Ihnen, was ein Server von sich preiszugeben beschlossen hat. Die Datei zeigt Ihnen, welche Organisationen das tun, wo sie sich nach Land und Endung häufen und was das darüber aussagt, wie Enterprise-Stacks im öffentlichen Internet tatsächlich betrieben werden.