Websites herunterladen, die XSLT nutzen

Über XSLT

XSLT ist keine Technologie, die in diesem Jahr noch irgendjemand neu einführt. Die Organisation W3C standardisierte sie 1999 als Transformationsteil der XML-Stylesheet-Familie. Die Sprache wandelt XML-Dokumente mit deklarativen Regeln statt mit prozeduralem Code in HTML, Text oder anderes XML um. Die Spezifikation ist frei implementierbar (Lizenz: Open Source), weshalb Prozessoren in Browsern, Java-Laufzeitumgebungen und .NET mitgeliefert werden, statt als Produkt verkauft zu werden. Das Web ist zu JSON und Template-Engines weitergezogen, und die Sprache ist dort geblieben, wo sie bereits eine tragende Rolle spielte: in Publishing-Pipelines, Dokumentenarchiven, beim Datenaustausch in Finanzwesen und Verwaltung und in der Maschinerie, die strukturierte Daten in Seiten verwandelt.

Eingeordnet in die Kategorie Programming languages, verhält sich XSLT weniger wie eine Sprache, in der ein Team schreibt, als vielmehr wie eine Schicht, die ein System erbt. Wer XSLT auf einer aktiven Website findet, hat es meist mit einem von wenigen Fällen zu tun. Eine alte Publishing-Kette wandelt noch immer XML in Seiten um. Ein Feed oder eine Sitemap bindet ein Stylesheet ein, damit ein Browser sie lesbar darstellt. Ein zugekauftes Produkt aus dem Publishing-Bereich, für Bibliothekssysteme oder für das regulatorische Berichtswesen erzeugt XML und bereitet es bei der Ausgabe optisch auf. In jedem dieser Fälle ist die Website älter, als ihr Frontend vermuten lässt, und dahinter steckt eine Integrationsgeschichte.

Das Sichtbarkeitsproblem ist hier gravierend und sollte klar benannt werden. Die meisten Transformationen dieser Art finden auf dem Server statt, und der Browser erhält fertiges HTML, an dem nichts mehr zu erkennen ist. Ein Crawl sieht nur den engen Fall, in dem die Transformation dem Client überlassen wird: eine Stylesheet-Verarbeitungsanweisung am Anfang eines XML-Dokuments oder Namespace-Deklarationen, die bis ins ausgelieferte Markup erhalten bleiben. Stand Oktober 2026 verzeichnen wir XSLT auf 1.248 Websites, und die tatsächlich installierte Basis hinter dieser Zahl ist weitaus größer und von außen nicht messbar.

Für die Versionsdaten gilt ein ähnlicher Vorbehalt. Wir erfassen 8 verschiedene Versionskennungen, doch sie stammen aus Deklarationen in den Dokumenten und nicht von einer Laufzeitumgebung, die sich selbst meldet, und eine Deklaration gibt an, gegen welche Revision der Spezifikation ein Stylesheet geschrieben wurde, nicht welcher Prozessor es ausgeführt hat. Die Versionsverteilung zeigt, welcher Anteil des sichtbaren Bestands noch an die ursprüngliche Revision gebunden ist und nicht an die späteren, und sagt nichts Verlässliches darüber, was auf einem Server läuft.

Die Zielgruppen sind klein und wissen genau, was sie wollen. Modernisierungsberatungen verkaufen den Austausch eben dieser Schicht, und Domains, die sie noch offenlegen, gehören zu Systemen, die alt genug sind, dass ein Budget dahintersteht. Sicherheitsforscher interessiert das, weil die XML-Verarbeitung eine lange Geschichte von Schwachstellen auf Parser-Ebene hat und eine offen liegende Transformationskette auf einen offen liegenden Parser schließen lässt. Wer den Verfall von Technologien untersucht, bekommt etwas Selteneres: einen Standard mit bekanntem Veröffentlichungsdatum, ohne Marketing dahinter und mit messbaren Spuren im aktiven Web, was ihn zu einem brauchbaren Gradmesser dafür macht, wie lange sich eine Technologie hält, nachdem die Branche weitergezogen ist. Keine dieser Fragen lässt sich beantworten, wenn man sie Domain für Domain stellt.