Websites herunterladen, die Vaadin nutzen

Über Vaadin

Ein Framework, das die Benutzeroberfläche auf dem Server hält, im öffentlichen Web zu suchen, ist ein seltsames Unterfangen, denn das meiste, was damit gebaut wird, ist nicht öffentlich. Das Framework Vaadin wird seit 2002 vom Anbieter Vaadin Ltd. entwickelt, ist in Java geschrieben und steht unter der Lizenz Apache 2.0. Das Programmiermodell hält den Zustand der Komponenten im Serverprozess und schickt nur die Änderungen an den Browser, was zu interner Unternehmenssoftware sehr gut passt und zu Marketing-Websites sehr schlecht.

Dass wir das Framework in der Kategorie Web frameworks führen, ist ein Kompromiss bei der Einordnung und keine Beschreibung. Der Code, den ein Browser ausführt, ist JavaScript, deshalb findet ihn ein Frontend-Scanner dort, doch kaum jemand schreibt JavaScript, um das Framework zu nutzen. Wer sich dafür entscheidet, ist ein Team, das in Java entwickelt, meist in einer Organisation, in der die Backend-Sprache feststand, lange bevor es die Web-Schicht gab. Der Reiz liegt darin, dass ein einziges Team eine funktionierende Oberfläche ausliefern kann, ohne dass ein zweites Team einen eigenen Frontend-Stack verantwortet.

Stand Oktober 2026 erkennen wir Vaadin auf 88 Websites, und genau genommen zählen wir damit die Ausnahmen. Anwendungen dieser Art liegen hinter einem unternehmensweiten Single Sign-on, auf internen Hostnamen, in Linkstrukturen, in die nie ein Crawler vordringen wird. Was ins offene Web gelangt, ist ein schmaler Rand: Kundenportale, Logins für Händler und Partner, Buchungssysteme, Dienste des öffentlichen Sektors und gelegentlich eine Produktwebsite. Verstehen Sie den Bestand als Stichprobe einer viel größeren installierten Basis und nicht als Vollerhebung.

An den Versionsdaten zeigt sich, was diesen Bestand interessant macht. Unter dieser Bezeichnung führen wir 30 verschiedene Releases, und am häufigsten erfassen wir Version 7.6.8, die weit hinter der Versionslinie liegt, die der Anbieter heute ausliefert. Eine so breite Streuung bei einem Framework dieses Alters ist weniger ein Zeichen von Vernachlässigung als ein Hinweis darauf, wofür die Software gedacht ist. Fachanwendungen werden in Auftrag gegeben, ausgeliefert und danach von demjenigen gepflegt, der sie gerade geerbt hat. Der Sprung über eine Hauptversion eines UI-Frameworks bedeutet, jede einzelne Ansicht neu zu testen, und kein Marketingdruck verlangt ihn je. Das Release, das eine Website meldet, ist deshalb oft das, mit dem sie entstanden ist.

Die Lizenz Apache 2.0 hat Folgen für alle, die diesen Markt von außen vermessen wollen. Das Framework ist frei verfügbar, es gibt also keinen Kaufbeleg, keinen Download, der sich einem Firmennamen zuordnen lässt, und kein Partnerverzeichnis, das die installierte Basis abdeckt. Der Anbieter Vaadin Ltd. verkauft zusätzlich Werkzeuge, Komponenten und Support. Seine eigene Kundenliste bildet deshalb nur einen Teil der tatsächlichen Nutzung ab, und zwar einen verzerrten, in dem Organisationen überrepräsentiert sind, die sich einen Vertrag leisten können. Ein Erkennungsdatensatz ist die einzige verfügbare Sicht auf den Rest.

Aus dieser Lücke ergeben sich praktische Anwendungen. Beratungen und Recruiter, die nach Teams suchen, die in Java entwickeln und eine in die Jahre gekommene Web-Schicht betreiben, finden sie über das Release. Anbieter konkurrierender UI-Stacks für Unternehmen können einen Migrationsmarkt beziffern und sich gezielt auf die älteren Versionslinien konzentrieren. Sicherheitsforscher brauchen eine Zählung der exponierten Installationen eines Frameworks, dessen öffentlich erreichbare Instanzen keine Visitenkarten-Websites sind, sondern Portale, über die echte Transaktionen laufen. Eine Abfrage zu einer Domain bestätigt eine Website. Erst der vollständige Export erlaubt die Frage, welches Release wo läuft, unter welcher Endung und neben welchen anderen Technologien, und genau bei dieser Frage landet jede dieser Gruppen.