Open-Source-Geschäftsplattformen

Über achtzehn Plattformen wurden 14.647.101 europäische Websites erkannt, die eine davon einsetzen. Das zählt Websites und nicht Unternehmen, die Europa-Definition des Anbieters ist weiter als die EU27, und der WordPress-Anteil enthält private Websites.

Es ist außerdem die Untergrenze, nicht die Obergrenze. Für zwei der achtzehn existiert überhaupt keine belastbare öffentliche Zahl — Dolibarr und metasfresh sind Geschäftssysteme hinter einem Login, es gibt nichts öffentlich zu erkennen. ERPNext zeigt 39, SuiteCRM 402: sichtbare Stichproben, keine Verbreitungszahlen — während Dolibarrs eigene Maintainer weltweit 200.000 Organisationen schätzen.

Genau die Plattformen, auf denen ein Unternehmen seinen Betrieb führt, sind für diese Methode also unsichtbar. Die Website-Zahlen sind groß; die unsichtbare Menge ist die mit den Rechnungen.

Eine einzige Länderbeschränkung verengt jede der beiden Anfragen auf einen Markt. Das ist die ganze Technik, und sie steht in jeder Anleitung zu Suchoperatoren — eben das ist der Punkt: niemand muss sich das erst aneignen.

Was das nicht zeigt, ist eine angreifbare Version. Eine Fußzeile oder Anmeldeseite sagt, dass ein Produkt läuft, nicht welche Ausgabe — und wir veröffentlichen weder Zugangsdaten noch Exporte noch Angriffswege. Wer etwas prüft, das ihm nicht gehört, braucht eine Erlaubnis.

Achtzehn Produkte veröffentlichen Sicherheitsmeldungen auf 13 verschiedene Weisen. Bei einigen sind Kern und Erweiterungen getrennte Quellen; andere laufen über einen übergeordneten Hersteller; ein Maintainer stellt ausdrücklich fest, keine CVE-Vergabestelle zu sein und selbst keine CVE-Meldungen zu veröffentlichen; zu einem weiteren fanden wir überhaupt keine produktspezifische CVE.

Wer fünf davon betreibt, muss fünf Gewohnheiten pflegen, in fünf Formaten, ohne gemeinsamen Takt. Das ist kein Disziplinproblem. Es gibt keine einzige Stelle, die man beobachten könnte.

Und ein wachsender Teil der Fixes trägt überhaupt keine CVE. Shopwares letzte kritische Releases erschienen als Repository-Meldungen ohne eine; ERPNext veröffentlichte achtundsechzig in acht Wochen, nahezu keine mit CVE; bei elf von sechzehn aktuellen WordPress-Kernmeldungen fehlte sie. Wer also nur CVE-Feeds beobachtet — das Naheliegendste zum Automatisieren — verpasst genau diese.

Zwei Dinge, die diese Tabelle nicht bedeutet. Mehr veröffentlichte Schwachstellen heißt nicht, dass ein Produkt unsicherer ist — häufig heißt es, dass der Offenlegungsprozess besser organisiert ist. Und ein leerer Meldungs-Feed belegt nicht, dass ein Produkt unbeobachtet bleibt: Odoo veröffentlicht über einen eigenen Kanal, während die Advisory-Liste des Repositorys bei unserer Prüfung leer war.

Plattformzahlen abgerufen am 2026-10-03 von BuiltWith. Die Veröffentlichungspraxis wurde in derselben Woche geprüft und am 2026-10-04 unmittelbar an den Live-Advisory-Daten erneut verifiziert. Beides ändert sich; die Angaben hier sind eine Messung mit Datum, keine dauerhafte Tatsache.