Zusammenfassung

  • Laut Änderungsprotokoll zu Version 2.12.0 vom 18. August 2026 können Betreiber staatlicher und universitärer Domains deren Aufnahme in das Monitoring beantragen; die Schaltfläche befinde sich auf der Startseite und oben auf jeder Länderseite.
  • Die am 5. September abgerufenen öffentlichen Dateien enthalten beide Bedienelemente mit dem Attribut hidden. Das gemeinsame Skript setzt FORM_URL auf eine leere Zeichenkette und hebt die Sperre erst nach Prüfung einer absoluten HTTPS-Adresse auf.
  • Die Funktion fällt sicher geschlossen aus, während sich andere Sicherheitsänderungen derselben Version öffentlich nachvollziehen lassen. Belegt ist deshalb eine nicht aktivierte Einzelfunktion in einer gemischten Auslieferung, nicht der Ausfall des gesamten Monitors oder das Fehlen jedes anderen Antragswegs.

Ausgeliefert ist noch nicht erreichbar

Im HTML der Startseite steht ein Link mit data-request-form. Sein vorläufiges Ziel lautet #, zugleich trägt er das boolesche Attribut hidden. Ein Kommentar direkt darüber beschreibt die Absicht: request-form.js setzt das Ziel; bis dahin bleibt das Element verborgen.

Auf der Südafrika-Seite findet sich dieselbe Konstruktion in der oberen Navigation. Damit ist der Code in beiden Seitentypen angekommen, die das Änderungsprotokoll nennt. Es handelt sich nicht bloß um ein ungenutztes Fragment der Startseite.

Das Stylesheet macht aus dem Attribut eine sichtbare — genauer: unsichtbare — Wirkung. Sowohl .hero-cta[hidden] als auch .topnav-cta[hidden] erhalten display: none. Ein Bedienelement kann folglich im ausgelieferten Dokument vorhanden und für Besucher dennoch nicht verfügbar sein.

Genau diese Zwischenlage verdient einen eigenen Namen. Der Veröffentlichungstext ist fertig, das Seitenbauteil ist eingebaut, die Betriebsfreigabe fehlt. Ein einziges Versionsetikett fasst die drei Schritte zusammen und verliert dabei denjenigen, der die Nutzbarkeit entscheidet.

Der leere Wert beendet die Ausführung

Im gemeinsamen Anfrageskript steht als zentrale Konfiguration:

const FORM_URL = '';

Anschließend sucht das Programm alle [data-request-form]-Elemente und versucht, aus dem Wert eine URL zu bilden. Nur eine absolute Adresse mit dem Protokoll https: wird übernommen. Ist der Wert leer, fehlerhaft oder verwendet ein anderes Schema, kehrt das Skript zurück. Weder ersetzt es # noch entfernt es hidden.

Der positive Zweig zeigt die vollständige Freigabe. Das geprüfte Ziel wird eingetragen, ein neuer Tab vorgesehen, noopener noreferrer external ergänzt und zuletzt btn.hidden = false gesetzt. Die am 5. September öffentlich ausgelieferte leere Zeichenkette kann diesen Zweig nicht erreichen.

Die übrigen Programme übernehmen die Aufgabe nicht. landing.js bereitet Karte und Länderübersicht auf; country.js füllt die jeweilige Detailseite. Keines enthält den Selektor data-request-form. Beide Seitentypen laden das spezialisierte Anfrageskript zusätzlich.

Die Feststellung stützt sich auf direkt abgerufene HTML-, JavaScript- und CSS-Dateien sowie Antwort-Header. Eine erfolgreiche visuelle Browserprüfung kam nicht zustande. Dieser Text behauptet daher keinen beobachteten Screenshot, sondern beschreibt die deterministische Wirkung der ausgelieferten Dateien.

Die sichere Voreinstellung ist richtig

Eine Schaltfläche, die nur zu # führt, würde einen funktionslosen Weg anbieten. Beliebige Schemata zu akzeptieren, könnte bei der von Hand eingetragenen Konfiguration javascript:, data: oder eine unverschlüsselte Adresse durchlassen. Das Skript misstraut dem Wert, akzeptiert nur absolutes HTTPS und zeigt bei einem Fehler nichts an.

Im Erfolgsfall schützt es außerdem vor einem window.opener-Zugriff und begrenzt die Referer-Weitergabe. Die verborgene Schaltfläche ist damit kein zufälliger CSS-Fehler, sondern das beabsichtigte Ergebnis einer guten Sicherheitsgrenze.

Diese Grenze schützt den Browser. Sie hält aber nicht automatisch das Änderungsprotokoll aktuell. „Kein unsicherer Link“ und „Betreiber können einen Antrag stellen“ sind unterschiedliche Behauptungen. Der Code kann die erste erfüllen, während die zweite im öffentlichen Betriebszustand noch nicht eingelöst ist.

Die Dateien nennen keinen Grund für den leeren Wert. Sie sagen nicht, wie lange er leer ist, ob ein Formular an anderer Stelle existiert, ob ein interner Kontaktweg benutzt wird oder ob die Funktion früher aktiv war. Es wurde kein Antrag abgeschickt; Eingangsbestätigung, Warteschlange und Bearbeitungszeit sind unbekannt. Ausfall, Schaden, Sicherheitsvorfall oder Absicht wären unzulässige Schlussfolgerungen.

Auch der Zeitpunkt zählt. Skript und Stylesheet wiesen eine öffentliche Cache-Dauer von einer Stunde aus. Eine spätere Konfiguration kann den Zustand ändern. Belastbar ist die Aussage nur zusammen mit dem Beobachtungsdatum 5. September 2026 und den ausgelieferten Artefakten.

Derselbe Release enthält nachweisbare Verbesserungen

Version 2.12.0 nennt mehrere Sicherheitsänderungen. Für mindestens zwei finden sich öffentliche Betriebsspuren. robots.txt schließt /data/ vom Crawling aus und erklärt die JSON-Dateien hinter dem Dashboard zu nicht zu indexierenden Implementierungsdetails. Die Südafrika-Datei bleibt für die Anwendung mit HTTP 200 erreichbar, liefert aber X-Robots-Tag: noindex aus.

Das Länderskript definiert außerdem eine Escape-Funktion für Sonderzeichen. Ländernamen, die in den HTML-Inhalt der Kartenhinweise gelangen, werden damit verarbeitet. Das entspricht dem Eintrag über das Escaping von Ländernamen.

Das Protokoll sagt ferner, Arbeitsdateien des Builds seien nicht mehr über das Web erreichbar. Es nennt keine Pfade; diese Untersuchung suchte nicht nach unbekannten Dateien. Der Punkt bleibt daher eine Quellenaussage und kein unabhängig wiederholter Test.

Die gemischte Evidenz schützt vor einem pauschalen Urteil. Einige Sicherheitsschritte sind sichtbar aktiv, der Antragsweg ist strukturell vorhanden und konfigurationsseitig inaktiv. Weder „Release fehlgeschlagen“ noch „Release vollständig aktiv“ beschreibt dieses Bild.

Prüffrage Stand am 5. September
Antragsfunktion angekündigt Ja
Element in Start- und Länderseite Ja, im HTML
Anfangszustand hidden
Gemeinsames Ziel Leer
Prüfung vor Freigabe Absolute HTTPS-URL
Antrag samt Bestätigung Nicht getestet
Weitere Release-Bestandteile Teilweise nachweisbar aktiv

Aus dem Knopf folgt keine Stichprobenquote

Der Monitor beobachtet staatliche und institutionelle Domains. Ein fehlender öffentlicher Zugang kann deshalb eine Auswahlfrage aufwerfen. Er erlaubt aber keine Messung der Auswahlwirkung.

Bei der Prüfung wurde keine Domain eingereicht, aufgenommen oder neu gescannt. Kein Landeswert wurde neu berechnet. Die verborgene Schaltfläche erklärt weder einen Prozentsatz noch die Zahl fehlender Einrichtungen. Auch eine sichtbare Schaltfläche würde keine Aufnahmegarantie bedeuten.

Prüfbar wäre ein Mechanismus: Wer das Team bereits kennt, findet vielleicht einen informellen Kontakt, während ein neuer Betreiber am öffentlichen Auftritt endet. Über längere Zeit könnte die Auswahl stärker von bestehenden Beziehungen abhängen. Das ist ein Risiko-Szenario, kein beobachteter Bias. Dafür bräuchte es Anträge, Bestätigungen, Entscheidungen und Änderungen des überwachten Bestands.

Die nötige Evidenz entsteht vor der Messung: Antrag empfangen, Eingang bestätigt, angenommen oder abgelehnt, Domain hinzugefügt, erster Scan abgeschlossen, Ausschlussgrund festgehalten. Dann lässt sich eine Veränderung des Nenners erklären, ohne den Monitor zum vollständigen Register afrikanischer Institutionen zu erklären.

Jede Funktion braucht ihren Freigabebeleg

Ein schmaler Beleg könnte Versionsaussage, Artefakt-Hash, Zustand der Zieladresse, geprüfte Oberflächen, erfolgreichen Test samt anonymisiertem Empfangskennzeichen, Wirksamkeitszeit und verantwortliche Rolle verbinden. Spätere Rücknahme oder Korrektur gehört in dieselbe Historie.

Der Beleg muss auch verschoben und zurückgezogen zulassen. Ist das Formular nicht bereit, kann eine datierte Korrektur des Änderungsprotokolls ebenso richtig sein wie die Aktivierung. Es geht um Übereinstimmung, nicht um einen Zwang zum Dauerbetrieb.

Damit bleiben die anderen Erfolge der Version erhalten. Die beobachtbaren Sicherheitsmaßnahmen können eigenständig abgenommen werden. Sie verleihen dem Antragsweg aber keinen Status, den dessen eigene Ende-zu-Ende-Prüfung nicht belegt.

Quellen

Die Ankündigung steht im öffentlichen Änderungsprotokoll. Die ausgelieferten Elemente wurden auf der Startseite und der Südafrika-Seite geprüft. request-form.js enthält die Freigabelogik; Startseitenskript, Länderskript und Stylesheet grenzen die übrigen Aufgaben ab.

Der Sicherheitsvergleich verwendet robots.txt, Header und Inhalt der Südafrika-JSON-Datei sowie die Escape-Funktion im Länderskript. Sämtliche öffentlichen Materialien wurden am 5. September 2026 abgerufen. Es gab weder eine Formularübermittlung noch eine abgeschlossene visuelle Browserprüfung.