Die Open-Source-Allmende – brennt das Rückgrat des Internets aus?

...

• 29. April 2026: Ein 732 Byte kleines Python-Skript macht auf nahezu jeder Linux-Distribution, die seit 2017 ausgeliefert wurde, aus einem ganz normalen Nutzer einen Root-Nutzer. Kein Timing-Trick, kein Social Engineering – nur ein Logikfehler im Kryptografie-Subsystem des Kernels. Die Community tauft ihn "Copy Fail". CISA setzt ihn binnen 48 Stunden auf die Liste aktiv ausgenutzter Schwachstellen.

Dann wird es kurios: Eine Woche später, am 7. Mai, taucht "Dirty Frag" auf – gleicher Grundmechanismus, anderer Kernel-Pfad, alte Mitigation wirkungslos. Am 13. Mai folgt "Fragnesia", von der Community bereits "Copy Fail 3.0" genannt. Am 14. Mai findet – und fixt – Linus Torvalds höchstpersönlich eine vierte Lücke, über die jeder unprivilegierte Prozess an /etc/shadow und private SSH-Schlüssel kommt. Vier kritische Root-Lücken, eine gemeinsame Wurzel, drei Wochen, vier getrennte Patches. Admins weltweit haben im Mai kaum etwas anderes gemacht, als Kernel zu patchen.

Und das ist genau der Punkt: All das steckt im Herzstück praktisch jeder digitalen Infrastruktur – gepflegt von genau den Menschen, um die es in dieser Folge geht.

Willkommen bei Data Divers Dialogs.

Transcript

Copy

SPEAKER_00 0:00

Stell dir mal vor, die Brücken und Straßen, die du jeden Tag auf dem Weg zur Arbeit nutzt, ja, stell dir vor, die werden nachts gebaut. Und zwar von unbezahlten Freiwilligen. Die mischen den Beton, reparieren die Schlaglöcher und sorgen einfach dafür, dass alles reibungslos funktioniert.

SPEAKER_01 0:18

Und das komplett in ihrer Freizeit, ja?

SPEAKER_00 0:20

Genau, völlig kostenlos. Und tagsüber, da brettern dann Milliardenunternehmen mit ihren gigantischen Schwerlastern über exakt diese Straßen, machen unglaubliche Profite, aber, und das ist der Punkt, sie weigern sich beharrlich, auch nur einen einzigen Cent für den Asphalt zu bezahlen.

SPEAKER_01 0:38

Klingt völlig absurd, oder?

SPEAKER_00 0:40

Absolut absurd. Aber wir beobachten gerade in Echtzeit, wie sich genauso ein gigantisches Marktversagen abspielt. Und zwar direkt unter der Oberfläche unserer digitalen Welt. Willkommen zu unserem heutigen Deep Dive.

SPEAKER_01 0:54

Föhn, dass du dabei bist.

SPEAKER_00 0:55

Wir haben uns heute durch einen massiven Stapel an Quellen gedraben. Da ist eine große Oxford-Studie dabei, detaillierte Teil der Liftdaten, Berichte über Burnout bei Entwicklern.

SPEAKER_01 1:09

Besonders der Report von Miranda Heath ist da super spannend.

SPEAKER_00 1:12

Ja, Wahnsinn, oder? Und natürlich auch heftige Diskussionen aus Hackernews. Und unsere Mission heute ist es, dieses verborgene Drama zu verstehen. Wir schauen uns an, warum das Open Source Modell, das ja, was war die Zahl?

SPEAKER_01 1:26

96 Prozent.

SPEAKER_00 1:28

96 Prozent aller modernen Software-Codebasen stützt. Warum Experten dieses System mittlerweile als schlichtweg nicht mehr nachhaltig bezeichnen.

SPEAKER_01 1:37

Ja, und die Tidelift-Daten, die wir hier vorliegen haben, die zeigen wirklich ein extrem fragiles System. Also wir reden hier von 60 Prozent der Menschen, die unsere digitale Infrastruktur am Laufen halten. 60 Prozent haben bereits darüber nachgedacht, einfach hinzuschmeißen. Krass. Weil das aktuelle Modell halt einfach nicht mehr tragfähig ist. Wir reden hier also, das ist kein abstraktes Problem für irgendwelche Idealisten. Das ist ein handfestes, strukturelles, wirtschaftliches Defizit. Fast 60 Prozent der Maintainer, also der Leute, die diese Projekte betreuen, kriegen für ihre Arbeit absolut Null Kompensation. Und da bricht gerade wirklich lautlos das Rückgrat der Tech-Industrie zusammen.

SPEAKER_00 2:17

Lass uns genau da mal ansetzen bei diesen Maintainern. Weil ich glaube, viele stellen sich da so den klassischen Hobbybustler vor, der abends in der Garage an irgendwelchen Nischendingen schraubt.

SPEAKER_01 2:29

Ja, völlig falsches Bild.

SPEAKER_00 2:31

Eben. Da sind hochqualifizierte Softwareingenieure, Leute, die in ihren Hauptjobs bei großen Tech-Konzernen locker sechsstellige Gehälter abräumen. Warum setzen die sich nach einem anstrengenden Arbeitstag überhaupt noch an den Rechner und schreiben unbezahlt Code? Code, der dann von Banken oder Krankenhäusern genutzt wird.

SPEAKER_01 2:52

Das ist genau dieses Phänomen, das Jacob Kaplan-Moss in unseren Quellen als den Doubleshift beschreibt.

SPEAKER_00 2:58

Die Doppelschicht.

SPEAKER_01 3:00

Eine geradezu schizophrene Existenz nennt er das. Du hast einen extrem anspruchsvollen 60-Stunden-Job, der zahlt die Hypothek, das Auto, alles. Und dann, anstatt abends mal ich weiß nicht, Zeit mit der Familie zu verbringen, locst du dich bei GitHub ein.

SPEAKER_00 3:17

Und fängst die zweite Schicht an.

SPEAKER_01 3:19

Genau. Nächte, Wochenenden, Feiertage, das fließt alles in die Open Source Arbeit. Und was diese Leute anfangs antreibt, ist eine extrem hohe intrinsische Motivation. Die sehen ein architektonisches Problem und wollen das einfach elegant lösen. Es macht ihnen Spaß.

SPEAKER_00 3:36

Okay, aber lass uns das mal aufdröseln. Von Spaß und intellektueller Herausforderung zahlt man ja keine Rechnungen. Ich frage mich, ob da nicht mittlerweile auch so ein gewisser Zwang zur Selbstausbeutung herrscht.

SPEAKER_01 3:50

Wie meinst du das?

SPEAKER_00 3:52

Naja, wenn dein GitHub-Profil nicht so aussieht, als würdest du jede freie Minute deines Lebens dem Coden widmen, fällst du bei den Recruitern doch direkt durchs Raster, oder nicht?

SPEAKER_01 4:03

Ja, dieser Druck existiert definitiv. Das spielt eine Rolle. Aber das erklärt nicht das Ausmaß der Krise. Der Entwicklermark Grabansky arbeitet das in den Quellen sehr scharf heraus. Diese anfängliche kippt irgendwann unweigerlich. Hier greift genau das Konzept des Marktversagens. Der Markt nutzt diese intrinsische Motivation einfach systematisch aus. Die großen Unternehmen wissen ganz genau, dass da draußen jemand aus purem Ehrgeiz ein Modul schreibt, das sie für ihr kommerzielles Produkt brauchen.

SPEAKER_00 4:37

Und anstatt eigene Leute dafür zu bezahlen, nehmen sie es einfach gratis.

SPEAKER_01 4:41

Richtig. Der Entwickler bekommt vielleicht ein paar Sternchen auf GitHub.

SPEAKER_00 4:45

Aber diese Form der Anerkennung nutzt sich extrem schnell ab. Vor allem wenn die Belastung steigt. Und die steigt ja nicht nur durch die reine Arbeit. Also wenn ich mir diese Voreineinträge auf Hackernews oder den Burnout-Report von Heath ansehe, das Erschreckendste ist eigentlich gar nicht der Schlafmangel.

SPEAKER_01 5:02

Nein, es ist die Community. Ja. Wie diese Entwickler von den Nutzern behandelt werden. Maintainer berichten reihenweise, dass sie behandelt werden wie so eine kostenlose, rund um die Uhr verfügbare Kundenortline. Toxizität wird mittlerweile akademisch untersucht. Wir haben hier diese Studie von Ferrera et al. in den Quellen. Ah ja, die über die Code-Review-Diskussionen. Genau. Die haben sich die Sprache und das Verhalten da mal genau angesehen. Da gibt es ein echtes Muster von aggressiver Anspruchshaltung. Wenn da ein Bug auftritt, schlägt der Ton sofort in persönliche Beleidigungen um. Heftig. Und der Entwicklern gibt es da mittlerweile so einen zynischen Witz. Die drei Fs von Open Source. Fix it, fork it, fuck off.

SPEAKER_00 5:46

Okay. Wow.

SPEAKER_01 5:48

Ja, also übersetzt. Reparier es selbst, mach deine eigene Version oder verschwinde einfach. Das ist ein direkter Abwehrmechanismus gegen diese völlig enthemmte Nutzerschaft.

SPEAKER_00 5:58

Das Faszinierende und Erschreckende daran ist ja, dass das zu so einer gefährlichen Burnout-Todesspirale führt. Stell dir vor, du bist Maintainer, arbeitest am Limit. Dann kommen Nutzer fordern, beleidigen. Du reagierst genervt, weil du erschöpft bist.

SPEAKER_01 6:16

Dadurch dauert die Lösung länger.

SPEAKER_00 6:18

Genau. Und das macht die Nutzer dann noch wütender. Und da kommt dieses Konzept der Hyperverantwortung ins Spiel. Oft haben wir es ja mit Solo-Maintainern zu tun. Eine einzige Person stemmt ein Projekt. Und diese Person weiß ganz genau, wenn ich jetzt den Laptop zuklappe, bricht eine ganze Kette an kritischer Software zusammen.

SPEAKER_01 6:37

Ja, und das extremste Beispiel dafür in unseren Unterlagen ist definitiv der XZ-Utils-Hack.

SPEAKER_00 6:42

Oh ja. Lass uns das mal detailliert anschauen. Das war ja kein gewöhnlicher Cyberangriff, das war das war pure psychologische Kriegsführung.

SPEAKER_01 6:50

Absolut. XZ-Utils ist eine Datenkompressionsbibliothek. Die steckt quasi in fast jedem Linux-System weltweit. Der Mentana Lasse Collin war völlig überarbeitet und gesundheitlich angeschlagen.

SPEAKER_00 7:04

Und das haben die Angreifer gemerkt?

SPEAKER_01 7:06

Exakt. Sie haben nicht den Code angegriffen, sondern den Menschen. Über Monate haben die unter falschen Identitäten, sogenannten Sockenpuppen-Raccounts, massiv Druck auf ihn ausgeübt, ihm Inkompetenz vorgeworfen, sich beschwert.

SPEAKER_00 7:21

Bis er völlig zermürbt war. Und rein zufällig stand dann dieser Account namens Giatan bereit, oder?

SPEAKER_01 7:27

Genau. Der hatte vorher schon so ein paar harmlose Änderungen beigesteuert, war immer super höflich, hilfsbereit. Der totale Kontrast zu diesen toxischen Trollen.

SPEAKER_00 7:37

Social Engineering in Perfektion.

SPEAKER_01 7:39

Ja. Colin hat ihm dann irgendwann die direkten Rechte für den Code übergeben und Giatan hat sofort eine extrem ausgeglügelte Backdoor eingebaut. Wenn das nicht durch puren Zufall entdeckt worden wäre, hätten die potenziell Zugriff auf Millionen Server weltweit gehabt.

SPEAKER_00 7:56

Wahnsinn. Wenn Wartungsarbeit zu so einer unbezahlten Bürde wird, wird der Entwickler zur größten Schwachstelle. Aber, und hier wird es wirklich interessant, diese toxische Haltung kommt ja nicht nur von anonymen Trollen. Die größten Spannungen entstehen noch da, wo das große Geld im Spiel ist, oder?

SPEAKER_01 8:12

Oh ja, die Hyperscaler.

SPEAKER_00 8:14

Genau. Eine Studie hier schätzt, dass Unternehmen jährlich etwa 60 Milliarden Dollar an Entwicklungskosten sparen, weil sie Open Source nutzen. 60 Milliarden. Und das Reinvestment ist mikroskopisch. Das führt doch zu offenen Kriegen in der Industrie.

SPEAKER_01 8:30

Die Cloud-Giganten, also AWS, Google, Microsoft, die sind der Kern dieses Konflikts. Wir haben die Fälle von Redis und Elastic in den Quellen.

SPEAKER_00 8:39

Die Datenbanktechnologien?

SPEAKER_01 8:41

Ja. Die Hyperscaler haben den kostenlosen Code genommen, in ihre Cloud integriert und als Managed Service verkauft. Hunderte Millionen Dollar Profit. Und die eigentlichen Entwickler von Redis und Elastic, die haben nichts davon gesehen.

SPEAKER_00 8:56

Schlimmer noch, die durften dann unbezahlt die Bugs fixen, die die zahlenden Amazon-Kunden gemeldet haben.

SPEAKER_01 9:03

Völlig absurd, ja.

SPEAKER_00 9:05

Aber Moment, lass mich hier mal kurz den Advocatus Diaboli spielen. Weil wenn man sich die Foren durchliest, haben die Verteidiger der Cloud-Anbieter ja ein Argument, wo man sagen muss, hm, da ist was dran. Welches? Wohl viral geht. Ist es dann nicht heuchlerisch, sich erst über diese offenen Lizenzen zum Industriestandard zu machen und dann zu jammern, wenn jemand wie Amazon einfach nur genau das macht, was die Lizenz erlaubt? Wir bewerten das nicht, aber das Argument steht im Raum.

SPEAKER_01 9:34

Das ist genau der juristische und philosophische Knotenpunkt. Rein rechtlich betrachtet ist das völlig wasserdicht. Niemand hat gegen die Lizenzen verstoßen.

SPEAKER_00 9:42

Eben.

SPEAKER_01 9:43

Aber die Diskrepanz entsteht, wenn wir uns den unausgesprochenen moralischen Vertrag ansehen. Open Source war historisch immer eine Art Geschenkökonomie. Ein Geben und Nehmen. Die Erwartung war, wer massiv profitiert, gibt auch Ressourcen zurück.

SPEAKER_00 9:58

Was die Hyperscaler halt nicht tun.

SPEAKER_01 10:00

Genau.

SPEAKER_00 10:00

Das ist das klassische Problem der Tragik der Allmende. Die Software ist wie eine gemeinschaftliche Weidefläche. Wenn da der reichste Bauer mit 10.000 Schafen kommt, alles abgrast und nichts für die Instandhaltung zahlt, dann ist die Weide irgendwann kaputt. Exakt. Sie haben die Allmende so aggressiv monetarisiert, dass sie das Ökosystem destabilisieren.

SPEAKER_01 10:22

Okay, wenn aber moralische Appelle an Großkonzerne nicht tun, was sie ja nie tun, wie retten wir dann diese Infrastruktur?

SPEAKER_00 10:29

In den Dokumenten taucht da oft dieser Open Source Pledge auf von der Igalia-Ingenieurin.

SPEAKER_01 10:35

Ja, Manterola. Eine sehr konkrete Idee, Firmen sollen pauschal 2000 Dollar pro Jahr und pro Entwickler an die Projekte spenden, die sie nutzen.

SPEAKER_00 10:44

Okay, also Geld.

SPEAKER_01 10:45

Nicht nur. Es gibt auch den Employment Pledge. Für je 20 Entwickler in einer Firma muss die Firma 50% der Arbeitszeit von einem Entwickler freistellen. Und zwar exklusiv für firmenunabhängige Open Source Arbeit. Das Unternehmen zahlt, darf aber nicht diktieren, woran gearbeitet wird.

SPEAKER_00 11:03

Ähm, okay, das klingt in der Theorie super, aber ist das nicht völlig naiv? Ich meine, wenn ein Konzern meinen Gehalt zahlt, verliere ich doch meine Unabhängigkeit.

SPEAKER_01 11:14

Du meinst, der Druck bleibt.

SPEAKER_00 11:15

Ja klar, ich treffe doch keine Entscheidung, die meinem Arbeitgeber scheidet, sonst fliege ich. Im Heath Report wird das ja beim Fall von Ruby Gems diskutiert. Da gab es riesige Panik, dass durch so viel Geld das Projekt quasi feindlich übernommen wird. Löst Geld also das Problem oder macht es das nur schlimmer?

SPEAKER_01 11:33

Das ist die größte Gefahr. Geld allein ist toxisch, ohne die richtigen Strukturen. Es geht darum, wie es kanalisiert wird. Wir brauchen Institutionen als Schutzschild zwischen Konzernen und Entwicklern. Und da zeigt die Oxford-Studie zu CikitLearn.

SPEAKER_00 11:47

Ah, die Python-Bibliothek für KI.

SPEAKER_01 11:50

Genau. Die zeigt, wie das aussehen kann. Ein Public-Private-Funding-Modell.

SPEAKER_00 11:54

Also öffentlich-private Finanzierung? Ich habe das gelesen, das sind 32 Millionen Euro von der französischen Regierung, dann Spenden und ein Firmenkonsortium.

SPEAKER_01 12:05

Diese Diversifizierung ist extrem wichtig. Niemand kann dir allein den Geldhahn zudrehen.

SPEAKER_00 12:10

Aber stopp! Da war ein Detail in der Studie. Ein Mitglied dieses Konsortiums ist Nvidia. Und Nvidia bezahlt einen Vollzeit-Mantainer bei ScikitLearn. Der baut den ganzen Tag Plugins, damit ScikitLearn besser auf Nvidia-Grafikkarten läuft. Da sind wir doch genau bei meinem Punkt. Da bezahlt ein Konzern jemanden, um die eigenen Interessen durchzudrücken. Wie verhindern die, dass sie zur RD-Abteilung von Nvidia verkommen?

SPEAKER_01 12:39

Durch eine sogenannte Boundary Organization. Eine Grenzorganisation. Das Konsortium sammelt nicht nur Geld, es hat extrem rigide Regeln. Die Entscheidungsgewalt liegt bei einem unabhängigen Komitee. Und keine Firma darf da jemals die Mehrheit haben.

SPEAKER_00 12:54

Ah, okay.

SPEAKER_01 12:55

Der Nvidia-Typ darf sein Plugin bauen, was ja für alle cool ist. Aber wenn Nvidia versuchen würde, den Kern der Software so zu ändern, dass die Konkurrenz benachteiligt wird, blockiert das Komitee das sofort. Die Community behält das Sagen, aber die Entwickler können endlich ihren Lebensunterhalt bestreiten.

SPEAKER_00 13:11

Das ist wirklich ein starkes Konzept. Aber wir müssen noch über eine völlig neue Bedrohung sprechen, die wir bisher ausgelassen haben. KI-generierter Code.

SPEAKER_01 13:21

Oh ja, der sogenannte KI-Slop.

SPEAKER_00 13:24

Genau. Code Rabbit hat da Zahlen veröffentlicht, wenn Code-Änderungen von KI generiert werden, sind die 1,7 Mal fehleranfälliger als menschlicher Code. Wir sehen gerade, wie diese Plattformen mit minderwertigem KI-generiertem Müll überflutet werden.

SPEAKER_01 13:40

Das ist für einen Solo-Maintainer der absolute Albtraum.

SPEAKER_00 13:43

Eben. Der hat eh schon keine Zeit und jetzt muss er tausende Zeilen KI-Müll händisch aussortieren. Ist KI nicht der absolute Brandbeschleuniger für Burnout?

SPEAKER_01 13:53

Aktuell ja. Die Masse ist erdrückend. Aber die Lösung ist paradoxerweise auch wieder KI. Wir müssen KI als Filter einsetzen. Der Workflow der Zukunft ist nicht mehr Mensch prüft KI-Code, sondern ein KI-Agent überprüft den KI-Code, bevor der Maintainer den überhaupt zu Gesicht bekommt.

SPEAKER_00 14:12

Das heißt, die KI filtert den Slob raus, bevor er Schaden anrichtet.

SPEAKER_01 14:17

Genau. Das würde die Rolle des Maintainers total verändern. Weg von der trivialen Fehlersuche hin zu einer Aufsichtsfunktion. Er kümmert sich nur noch um die Architektur.

SPEAKER_00 14:27

Okay, wenn wir diesen Gedanken jetzt mal auf die Spitze treiben, das steht so nicht explizit in den Quellen, aber es drängt sich total auf. Wenn Software bald von autonomen KI-Agenten geschrieben wird, die sich Open-Source-Module einfach selbst zusammenklicken, könnten wir das nicht nutzen, um das Finanzierungsproblem zu lösen? Was wäre, wenn diese KIs so programmiert werden, dass sie bei jeder Nutzung eines Moduls automatisch einen Smart Contract auslösen?

SPEAKER_01 14:56

Eine Art Mikrolizenz?

SPEAKER_00 14:57

Ja. Winzige Centbeträge, die vollautomatisch an den Solomantainer fließen. Jedes Mal, wenn die KI seinen Code anfasst. Könnte diese automatisierte Zukunft das Marktversagen am Ende algorithmisch lösen?

SPEAKER_01 15:10

Ein algorithmischer Fix für ein menschliches Erschöpfungsproblem. Das ist ein faszinierender Gedanke. Das würde die gesamte Dynamik von Open Source auf den Kopf stellen.

SPEAKER_00 15:21

Definitiv etwas, worüber man mal nachdenken sollte. Was bedeutet das jetzt alles für dich, der uns gerade zuhört? Egal, ob du Entwickler bist oder einfach nur dein Smartphone nutzt, die Banking-App, dein Auto, die Krankenhäuser, all das ruht auf diesem unglaublich fragilen Fundament.

SPEAKER_01 15:36

Und wenn diese Leute ausbrennen, wird unsere Welt unsicher.

SPEAKER_00 15:40

Ganz genau. Open Source ist kein Hobby mehr. Es ist globale Infrastruktur. Also wenn du das nächste Mal eine kostenlose App startest, denk kurz an die Leute, die diese digitalen Straßen für uns gebaut haben. Danke fürs Zuhören bei diesem Deep Dive. Bis zum nächsten Mal.