Willkommen zu allesnurgecloud.com – Ausgabe #248

Wenn du diese Zeilen liest, bin ich im wohl verdienten Urlaub angekommen – im Ländle sind wir mit den Sommerferien ja etwas später dran.
Das ist dann die letzte Ausgabe für den August – die nächste kommt dann am ersten September-Wochenende.

In Australien hat ein OpenClaw-Bot einen User auf der Fitnessstudio-Warteliste nach vorn gehackt, da sonst keine gewünschten Termine mehr frei waren. Die API des Buchungssystems war wohl etwas zu offen – auf der anderen Seite schon verrückt, dass es nun so losgeht.

Zum OpenAI / Hugging Face „Incident“ gibt es hier ein YouTube-Video von Black-Hat-Konferenz in den USA. Hat heute schon über 500.000 Views und das alleine ist für so ein Video schon bemerkenswert.

Und jemand hat mal wieder „Choose Boring Technology“ bei Hacker News ausgegraben – ist immer einen Blick oder eine Wiederholung wert und schon lange eine Art Mantra von mir.

Und noch mal der Hinweis auf 20 Jahre OSMC in Nürnberg vom 17-19.11.2026 – sehen wir uns da?

So, und nun viel Spaß mit der neuen Ausgabe!

Happy Bootstrapping Podcast

In der aktuellen Podcast Folge 185 habe ich mit Markus Hetzenegger von NYBA gesprochen. Aus Frankfurt vermarktet er Online-Tickets für Live Nation, Cirque du Soleil und die Adele-Shows in München: rund 1.200 Events im Jahr, 75 Millionen Tickets, etwa 400 Millionen Euro Werbebudget – mit ungefähr 20 Leuten und ohne Investor. Wir reden über das Preismodell aus Lizenz und Performance-Anteil, einen Investor, der ein Event nur wegen der Daten kaufte, und warum ein Exit für Markus kein Ziel ist. Gerne kannst du die Folge auf YouTube schauen oder wie immer bei Spotify, Apple und allen anderen Playern anhören.

Wenn dir die Podcastfolgen zu lang sind, kannst du gerne auch den Newsletter dazu abonnieren – erscheint jeden Montag (in der Regel).

Support the Newsletter

Übrigens kannst Du meine Arbeit nun auf Patreon supporten, mir ein Bier ausgeben oder mal auf meiner Amazon-Wunschliste vorbeischauen – Danke! Falls du Interesse hast, im Newsletter oder Podcast Werbung zu buchen, kannst du das auf passionfroot machen oder mir einfach ne E-Mail als Antwort auf den NL schicken.

allesnurgecloud.com ist ein kuratierter Newsletter mit Inhalten aus der Open-Source, Cloud und IT-Welt.
Für weiteren Content folge mir gerne auf Twitter, Mastodon oder LinkedIn.

Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren:

RAMageddon : DRAM-Kapazität für 2027 bereits ausverkauft

Die Speicherkrise hat jetzt einen Zeithorizont, und der reicht weiter, als vielen lieb sein dürfte. Einem Digitimes-Bericht zufolge, den IGN aufgegriffen hat, haben Samsung, SK Hynix und Micron ihre DRAM- und HBM-Kapazitäten für 2027 vollständig verkauft, überwiegend an KI-Unternehmen; weitere Lieferungen seien nicht geplant. Bestätigt hat das keiner der drei Hersteller. Unangenehm ist die Vertragsform: Ein Großteil der Kapazität sei über Abnahmevereinbarungen mit fünf Jahren Laufzeit gebunden. Vorbestellt wird Speicher, der noch gar nicht produziert ist, und 2028 sieht nach dieser Rechnung kaum besser aus.

Bei NAND ist die Lage entspannter, weil mehr Hersteller im Markt sind. Die Preise ziehen trotzdem an: Eine WD SN7100 mit 1 TB kostete im Januar rund 110 Dollar, inzwischen sind es 189.

Den größeren Rahmen liefert Kristian Köhntopp. Seine These: Der Compute-Bedarf in Haushalt, Büro und weiten Teilen der Enterprise-IT ist seit etwa 2015 gedeckt, gleichzeitig ist Moore’s Law als ökonomische Wachstumsmaschine ausgelaufen. Was bleibt, ist Kapital, das Erträge braucht, und eine Industrie, die Anwendungen für Transistorbudgets sucht. Blockchain, Metaverse und KI liest er entsprechend als Reihe erfundener Compute-Bedarfe. Sein Fazit: „AI wird bleiben. Die Blase nicht.“

Die Kollateralschäden zählt er konkret auf: Nvidia verschiebt Gaming-GPUs wegen Speicherknappheit, Mainboard-Verkäufe brechen um über 25 Prozent ein, NVMe-Preise haben sich verdreifacht. Christian Lutz-Weicken vom c’t-Podcast 4004 zieht daraus in Auf ein Bier eine steile Schlussfolgerung: Wenn eigene Hardware dauerhaft unbezahlbar wird, führt der Weg zwangsläufig zu den Cloud-Anbietern. Eine Steam Machine für über 1.000 Euro wäre dann nur der Anfang.

Für Hoster ist der Schluss weniger spekulativ: Die 30 Prozent Preisanpassung bei Hetzner und netcups ausbleibende Lieferungen aus Ausgabe 225 waren offenbar der Anfang, nicht das Ende. Wer für 2027 plant, sollte Hardware-Beschaffung nicht als Randnotiz im Budget behandeln.

RAMageddon Continues Another Year as 2027 Memory Capacity Is Reportedly Sold Out

---

214 Bot-Aufrufe pro menschlichem Besucher

Wer seine Besucherzahlen aus Plausible, Fathom oder Google Analytics zieht, sieht nur den kleineren Teil der Wahrheit. Nick Gray betreibt mit PatronView eine Datenbank amerikanischer Stifter mit 1,5 Millionen Profilseiten und hat ein Jahr Bot-Abwehr dokumentiert: In einer Woche lieferte sein Server 1,28 Millionen Seiten aus, die Statistik zählte 5.977 Pageviews. Macht 214 Bot-Aufrufe pro Mensch. JavaScript-Analytics zählt eben nur, wer JavaScript ausführt, und das tun Crawler nicht.

Als Metrik nutzt Gray inzwischen Crawls pro vermitteltem Besucher:

• Googlebot: 46:1
• Bingbot: 406:1
• Claude-SearchBot: 35.000:1
• Amzn-SearchBot: kein einziger Besucher bei 117.000 Requests täglich

Anthropics Crawler zog in einer Juniwoche 420.680 Seiten und 4,63 GB, zurück kamen 12 Besucher. Nach dem 403 fiel er auf rund 25 Versuche am Tag, die höflichen Anbieter akzeptieren die Sperre also. Cloudflare hatte in Ausgabe 195 noch 73.000:1 für Anthropic gemessen.

Grays Regeln laufen auf einem Cloudflare-Pro-Account für 25 Dollar: Ländersperren, Challenge für 46 Rechenzentrums-ASNs, Challenge für eingefrorene Browserversionen, Rate Limit. In 48 Stunden wurden 106.437 Challenges ausgespielt und 252 gelöst, macht 0,24 Prozent.

Nicht in den Griff bekommt er Residential Botnets über gemietete Privatanschlüsse. Die kommen aus Ohio über Spectrum und laufen durch jede Geo- und ASN-Regel. Chris Lewicki fasst in den Antworten auf Grays Tweet zusammen: „I decided to stop fighting it.“

Bei mir lädt die Seite übrigens gerade keine Bilder – vielleicht hat er durch den Artikel zuviel Traffic bekommen?

99% of My Website Traffic Is Bots

---

---

tl;dv: Firestore ohne Mandantentrennung

Wer ein KI-Notiztool in seine Calls lässt, verlässt sich darauf, dass der Anbieter Mandanten trennt. Bei tl;dv war das ein halbes Jahr lang nicht der Fall: BobDaHacker dokumentiert im eigenen Blog, wie ein beliebiger Free-Tier-Account sein JWT gegen einen Firebase-Token tauscht und damit die komplette meetings-Collection in Firestore abfragt. Users, Transcripts, Teams, Recordings – alles liefert brav 403. Ausgerechnet meetings nicht.

Der Umfang der Sammlung:

• 181.874 Meeting-Datensätze von 84.312 Nutzern
• 35.003 E-Mail-Domains, darunter .gov aus 23 Ländern
• Berkeley, Uni Tokio, HubSpot, Confluent, Mitsui
• rund 1.000 Meetings gleichzeitig im Status recording

Jeder Datensatz enthält die Conference-ID, bei laufender Aufzeichnung also einen betretbaren Meet- oder Teams-Raum. Demonstriert wurde das an einem Call des malaysischen Bildungsministeriums mit 157 Teilnehmern – der tl;dv-Bot saß bereits drin.

Die Mitigation wäre trivial: ein paar Firestore Security Rules, die Reads auf die Organisation des authentifizierten Users begrenzen. Serverseitig, sofort wirksam, kein Kundenaufwand. Gemeldet wurde die Lücke am 28. Januar 2026, der CTO antwortete nie, Nachfragen bis Juli blieben bei „gelesen“. Die Security-Seite listet derweil SOC 2, DSGVO, EU-AI-Act und eine Antwortzeit von 24 Stunden.

Inzwischen spricht tl;dv in einer Stellungnahme von zwei getrennten Angriffsvektoren, der erste sei längst geschlossen und vom Pentest-Dienstleister bestätigt worden; der Text wurde nach Veröffentlichung mehrfach überarbeitet. Melden, ignoriert werden, hinterher die Deutungshoheit einklagen – das Muster gab es in Ausgabe 224 schon einmal, damals mit anwaltlicher Begleitung.

Wie auch immer, Kommunikation mit dem netten Hacker mal wieder mangelhaft durchgeführt worden – und nun gibt es halt die populäre Retourkutsche – „Too Lazy, Didn’t Validate“ – ist natürlich super kreativ in dem Fall. Bei reddit gibt es natürlich auch ein paar passende Kommentare zum Vorgehen.

tl;dv (Too Lazy; Didn’t Validate): 181,874 Meetings Left Wide Open

---

Metabase: CVSS 10 und mindestens fünf Firmen betroffen

CVSS 10.0 sieht man selten, und wenn, dann meist zu Recht. Bei der populären BI Lösung Metabase (auch Open Source) reicht ein einziger unauthentifizierter POST auf /api/session/reset_password, um beliebiges SQL gegen die Applikationsdatenbank abzusetzen und Adminrechte zu erlangen. Betroffen sind alle Versionen ab 0.58 beziehungsweise 1.58. Ausgenutzt wurde die Lücke als Zero Day, bevor Metabase sie am 6. August offenlegte; CISA hat sie inzwischen in den KEV-Katalog aufgenommen.

Rami McCarthy hat sie bei Wiz aus dem Patch rekonstruiert – per JAR-Diff, Clojure-Decompilat und einem Agenten, der die Kette zusammensetzte. Drei für sich harmlose Bausteine ergeben die Lücke: Clojures merge entfernt keine überzähligen Keys, das JSON-Parsing macht aus user-id ein Keyword, und HoneySQLs :raw schleust den Wert unparametrisiert in die Query. Wer eine user-id mit raw-Objekt mitschickt, schreibt direkt SQL.

Zur Verbreitung: Wiz sieht selbstgehostete Instanzen in 13 Prozent der Cloud-Umgebungen, ein Viertel davon offen im Internet, Shodan zählt rund 2.500. Gepatcht wird auf 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 oder 0.63.5, ein Neustart des Dienstes genügt. Wer nicht sofort updaten kann, blockt den Endpunkt im Reverse Proxy – das wirkt unmittelbar.

Was das praktisch bedeutet, zeigt Checklys Incident-Post: 26 Minuten Lesezugriff auf die instanz genügten. Exponiert waren Header und Query-Parameter, die Kunden direkt in Check-Konfigurationen hinterlegt hatten, dazu Hashes von OTEL-Keys. Die Produktionsplattform blieb außen vor. Das eigene Fazit trifft den Kern: Die Analytics-Umgebung hielt mehr sensible Daten und hatte breiteren Zugriff, als nötig gewesen wäre.

Genau deshalb läuft Metabase bei uns selbstgehostet und abgeschottet, hat keinen Zugriff auf die Live DBs, und der Airbyte-Sync ins Data Warehouse zieht nur,, was für Auswertungen auch wirklich gebraucht wird. Wie so ein Stack aussieht, schreib ich grad einen Artikel zu – braucht aber Kundenfreigaben…

Inside the Metabase SQLi: Exploited in the Wild

---

Jira und Confluence als KI-Trainingsmaterial

Am 17. August ändert Atlassian die Nutzungsbedingungen für seine Cloud-Produkte, die Frist ist damit praktisch abgelaufen. Ab dann fließen Daten aus Jira, Confluence und Jira Service Management ins Training der hauseigenen KI-Assistenten Rovo und Rovo Dev, betroffen sind rund 300.000 Organisationen. Ben Touati hat das bei der ZEIT aufgeschlüsselt, und der Titel trifft es: Wer zahlt, bleibt verschont.

Unterschieden wird zwischen In-App-Daten (Confluence-Seiten, Ticketbeschreibungen, Kommentare) und Metadaten (Story Points, Vorgangstypen, Abteilungszuordnung, dazu die Karte, wer mit wem woran arbeitet und welche Fremddienste angebunden sind). Den Inhalten kann jeder widersprechen, bei Free und Standard allerdings erst nach drei Klicks Suche in den Einstellungen, weil dort standardmäßig eingeschaltet. Für die Metadaten gibt es den Schalter nur im Enterprise-Tarif. Alle anderen steuern bei, ob sie wollen oder nicht.

Atlassian verweist auf De-Identifizierung und Aggregation. Nur: Ein Vorgang namens „Stellenabbau Standort Süd“ verrät auch ohne Klarnamen genug, und die gewonnenen Muster verbessern das Produkt für alle Kunden, die Konkurrenz eingeschlossen. Der Arbeitsrechtler Peter Wedde sieht darin gegenüber der ZEIT ein Branchenmuster, GitHub hat bei Copilot ähnlich nachgeschärft.

Wer noch handeln will, findet die Schalter unter admin.atlassian.com, Security, Data contribution. Aggregierte Daten bleiben bis zu sieben Jahre gespeichert, ausgenommen sind nur Sonderfälle wie BYOK, Government Cloud oder HIPAA-Accounts. Interessant, dass Atlassian nun die self-hosted Kunden deprecated (Ausgabe 203) und alle Datacenter-Kunden bis 2029 in genau diese Cloud zwingt. Allesnurgecloud ist da halt Programm!

Atlassian: Wer zahlt, bleibt verschont

---

Could vs. Should: ein Jahr SRE-Management

Reid Savage hat bei Honeycomb das SRE-Team übernommen und zieht Bilanz nach seinem ersten Jahr als Engineering Manager. Geschrieben mit zweieinhalb Jahren Abstand, was dem Text guttut.

Die erste Woche war ein Team-Offsite direkt nach der KubeCon, alle erschöpft. Das Learning daraus ist unspektakulär und deshalb brauchbar: leichtestmögliches Verfahren, Stickies, alles mitschreiben. Ein Jahr später hatte das Team die damals gesammelte Liste ungefähr in der notierten Reihenfolge abgearbeitet.

Drei Fehler benennt er offen. Erstens schlechte Meetings: Je mehr er die perfekte Übung durchkonstruierte, desto weniger beteiligten sich die Leute. Seine Korrektur ist, vom Ziel des Meetings rückwärts zu denken, also Zustimmung, technisches Design oder reine Information, und dann das leichteste Format zu wählen, das volle Beteiligung erlaubt.

Zweitens hielt er Feedback zu lange zurück, bis es peinlich alt war oder die Situation sich wiederholt hatte. Gegenmittel: Er verlangte von jedem im Team mindestens einmal kritisches Feedback im 1:1 und ließ den Punkt auf der Agenda, bis es kam.

Der interessanteste Punkt ist der dritte. Savage hat sich aus technischen Entscheidungen komplett herausgehalten, trotz acht Jahren Erfahrung im Feld. Ergebnis: Projekte liefen in Sackgassen, die er hätte sehen können. Heute wählt er je nach Kontext zwischen selbst entscheiden, eine Richtung empfehlen, nur Rat geben oder schweigen, und sagt dem Team explizit, in welchem Modus er gerade ist.

Could vs. Should: The First Year Managing an SRE Team

---

Erst bauen, dann schreiben: Amazons Wandel

Werner Vogels beschreibt in seinem Blog, wie Coding-Agents Amazons Working-Backwards-Prozess verändern, und liefert dazu ein Fallbeispiel aus dem eigenen Haus.

Der Ablauf war seit 2006 fix: Press Release, FAQ, Customer Experience, User Manual. Erst schreiben, dann bauen. Der Grund dafür war nicht nur Denkdisziplin, sondern Zugang: Wer schreiben kann, darf ein Produkt definieren, auch ohne programmieren zu können.

Beim Prototyp von Amazon Quick Desktop lief es anders. Principal Scientist Thomas Delteil baute im Januar 2026 in einer Nacht mit Kiro eine erste Version. Nach der Demo am Folgetag hatten Activity Feed, Memory, Knowledge Graph und Agentic Harness binnen Stunden Owner. Zwei Wochen später stand ein Team aus Science und Engineering, PRFAQ und Review-Zyklen habe es nach Angaben des hinzugekommenen Product Managers nicht gegeben.

Zwei Praktiken daraus sind übertragbar: Alle im Team nutzten das Produkt vom ersten Tag an als primären AI-Assistenten, und zu jedem Code Review gehörte ein Video der Bedienung. Die Regel lautete, nichts zu benchmarken, bevor die Experience stimmt.

Vogels‘ Fazit: erst bauen, dann schreiben, aber nur, wenn das Kundenproblem klar ist und die Unsicherheit in der Lösung steckt. Und schreiben solle weiterhin der Mensch, nicht das Modell.

Die Pointe steht am Ende des Artikels: Das Team umfasst inzwischen mehrere hundert Personen. Wie daraus wieder Two-Pizza-Teams werden, bleibt die alte Frage, an der sich Amazon schon im Bürokratie-Abbau abgearbeitet hat, über den ich in Ausgabe 158 geschrieben hatte.

A return to two-pizza culture

---

Fokus verlieren: LLMs als neue Ablenkung

Shaygan Hooshyari beschreibt in einem persönlichen Blogartikel, wie ihm die Fähigkeit zum konzentrierten Arbeiten abhandengekommen ist. Für den Text selbst musste er einen 15-Minuten-Timer stellen und alle Ablenkungen blocken.

Sein Befund: Eine Stunde fokussierte Zeit am Tag sei mittlerweile ein guter Tag. Das Muster dürfte vielen bekannt vorkommen – man sucht einen Artikel, klickt sich weg und liest 20 Minuten später etwas völlig anderes. Hooshyari führt das weniger auf mangelnde Disziplin zurück als darauf, dass sein Hirn zuverlässig einen Ausweg aus Langeweile und harter Denkarbeit findet. Ein Selbstversuch am Arbeitsplatz ergab acht Stunden Slack pro Woche.

Interessant wird sein Blick auf LLMs. Er delegiert eine Aufgabe, fängt etwas anderes an und denkt die ganze Zeit darüber nach, was das Modell gerade macht. Produktiv sei das nur, wenn man wirklich loslassen könne. Umgekehrt fühle sich interaktives Arbeiten langsam an, weil man auf Antworten wartet und jede davon korrigieren muss. Sein Fazit: Der beste Einsatz sei das, was ein Modell fehlerfrei end-to-end erledigt. Arbeit ohne LLM wirke inzwischen schlicht langweilig, weil die Ergebnisse langsamer kommen.

Auf Hacker News beschreibt piterrro dasselbe Muster: Aufgabe delegiert, Modell nach zwei Minuten fertig, er selbst nach zehn zurück. marginalia_nu legt sich für einzelne Themen abgespeckte User-Accounts auf dem Rechner an – genug Reibung, dass Abschweifen nicht mehr nebenbei passiert. Passend dazu Ausgabe 215: Die Forschung veranschlagt drei bis fünf Stunden Deep Focus pro Tag.

Mir geht es häufig ähnlich – ich glaube, man muss einfach mit harter Disziplin timeboxen: Wann schreibe/lese ich den Chat, wann antworte ich Mails, etc. Und ansonsten – Podcast-Gast und Zenbox-Gründer Konstantin Singer baut nun auch eine Mac App gegen Ablenkungen – bin gespannt.

It’s getting harder to focus every day

---

Obsidian und KI: 16 Use Cases aus der Praxis

Sébastien Dubois listet in einem ausführlichen Blogartikel 16 Wege auf, wie er sein Obsidian-Vault täglich mit KI kombiniert. Interessanter als die Liste ist die Architektur dahinter.

Dubois‘ These: Weil Obsidian alles als lokale Markdown-Dateien ablegt, braucht es weder Plugin noch API noch MCP-Server – Filesystem-Zugriff reicht. Er arbeitet mit Claude Code und Claude Cowork und hat nach eigenen Angaben fast alle KI-Plugins wieder rausgeworfen. Das Vault liegt in einem Git-Repository, kaputt geschriebene Notizen sind also ein Checkout entfernt.

Deutlich fällt seine Kritik an den Memory-Funktionen von ChatGPT und Co. aus: Die legten Informationen pseudo-zufällig ab und verwässerten den Kontext, während sich eine kuratierte Wissensbasis gezielt anzapfen lasse.

Aus den 16 Use Cases stechen ein paar heraus:

• Style Guide – die KI liest die eigenen Blogartikel und leitet daraus den Schreibstil für neue Texte ab
• Personal CRM – Notizen zu Personen, Gesprächen und offenen Follow-ups
• Decision Support – Optionen gegen dokumentierte Werte und frühere Entscheidungen prüfen
• Content Repurposing – ein Artikel wird zu Thread, Newsletter-Abschnitt und LinkedIn-Post

Beim Datenschutz bleibt Dubois pragmatisch: Ollama oder LM Studio gingen komplett lokal, lägen aber weiter hinter den Frontier-Modellen zurück; ihm sei der Nutzen wichtiger.

Der Artikel ist erkennbar auch Vertriebskanal, das zugehörige Starter Kit kostet 199,99 bis 249,99 Euro. Als Gegengewicht: In Ausgabe 196 hatte ich Joan Westenberg vorgestellt, die nach sieben Jahren ihr komplettes Second Brain gelöscht hat.

How I Use AI With My Obsidian Vault Every Day: 16 Practical Use Cases

---

Schmunzelecke

Der Pelibro Futterautomat (für Katzen und so) hält scheinbar die Futterzeiten lokal – trotzdem funktioniert nun die automatische Fütterung aber seit ein paar Tagen nicht mehr, da es wohl einen Cloud Ausfall gibt, höhö – Danke Andre fürs Melden. Golem hat es nun auch – ach herrje!

Quake hat eine 30th Anniversary Edition spendiert bekommen – Happy Birthday!

---

💡 Link Tipps aus der Open Source Welt

Parse DMARC – Self-Hosted DMARC Report Dashboard

Parse DMARC holt automatisch DMARC-Reports aus einem IMAP-Postfach, parst die XML-Anhänge und zeigt in einem Dashboard, wer E-Mails im Namen der eigenen Domain versendet – Spoofing und Phishing erkennen, Compliance überwachen, SPF/DKIM-Probleme finden. Alles in einem 14MB Docker Image. Landingpage und Cloud-Angebot gibt es hier.

Key Features:

• Auto-Fetch: Holt DMARC-Reports automatisch per IMAP (Gmail, Outlook, beliebiger Provider), parst die komprimierten XML-Anhänge und speichert alles in SQLite
• Dashboard: Compliance Rate, Top Sending Sources, SPF/DKIM Pass Rates, Policy Actions, Disposition Breakdown – alles auf einen Blick
• DNS Record Generator: Eingebauter Helfer zum Erstellen der korrekten DMARC TXT Records
• Prometheus Metrics: Umfangreiche Metriken (Compliance Rate, Fetch Health, IMAP Connection, per-Domain Stats) plus mitgeliefertes Grafana Dashboard mit Alerting Rules
• Zero Dependencies: Single Binary, SQLite Storage, kein Elasticsearch, kein JVM, kein komplexes Setup
• One-Click Deploy: Railway, Render, Koyeb, Zeabur, Northflank, CapRover, Coolify, Dokploy, DigitalOcean

Im Vergleich zum Python-basierten ParseDMARC (das Elasticsearch + Kibana braucht): ein Single Binary statt eines ganzen Stacks – schön einfach mit SQLite und co. cool! Kommt in unseren Stack auf jeden Fall mit rein.

Wer eine eigene Domain betreibt und bisher die DMARC-Reports im Postfach ignoriert, verschenkt Sichtbarkeit darüber, wer im eigenen Namen Mails versendet. Parse DMARC macht das Auswerten trivial – einmal aufsetzen, dann läuft es. Die Prometheus/Grafana-Integration ist für ein Tool dieser Größe ungewöhnlich vollständig.

https://github.com/dmarcguardhq/dmarcguard

Gloomberb – Open Source Finance Terminal

Gloomberb ist ein keyboard-getriebenes Finance Terminal – als Desktop App (macOS, Windows) und als TUI (macOS, Linux, Windows). Aktien, Märkte, Portfolios, News und Charts in einem Interface, das sich anfühlt wie ein Bloomberg Terminal für Normalsterbliche.

Key Features:

• Company Research: Quotes, Charts, Financials, SEC Filings, Holders, Insiders, Options, Analyst Ratings, Events, Relative Valuation – alles per Kürzel (DES AAPL, GP NVDA, SEC AAPL)
• Chart Composer: Verschiedene Datenquellen auf einer Timeline mischen (G AAPL:price, MSFT:revenue, FRED:CPIAUCSL), Candles/OHLC/Line/Area, technische Indikatoren (SMA, EMA, Bollinger, RSI, MACD)
• Märkte: Top Stories, Heatmap, Market Movers, Global Indices, FX, Yield Curve, Earnings Calendar, Fear & Greed, Congress Trading Disclosures, Prediction Markets (Polymarket/Kalshi)
• Portfolios & Broker: Manuelle Portfolios, Watchlists, Alerts, IBKR-Integration, Risiko- und Sektoranalyse
• News: Ranked Stories, Breaking News, Sector Feeds, Substack Reader, Live Bloomberg/CNBC/Yahoo TV im Terminal (via mpv)
• Plugin System: Alles ist ein Plugin – Panes, Tabs, Commands, Data Provider, Broker-Anbindungen erweiterbar
• CLI mit strukturiertem Output: --json, --csv, --ndjson für Automation und Scripting
• AI Tools: AI Screener, lokaler AI Research Workspace, Gloom Cloud Chat
• Mehrsprachig: EN, ES, ZH-CN, ZH-TW, JA, KO

Installation via Homebrew Cask, Installer-Script oder bun install -g gloomberb.

Für Privatanleger und Finanz-Nerds, die kein Bloomberg-Terminal haben (und keins für 24.000$/Jahr mieten wollen), ist Gloomberb das nächstbeste: umfassende Marktdaten, keyboard-driven, erweiterbar, und mit dem Chart Composer kann man Datenquellen kombinieren, die in normalen Tools getrennte Welten sind. Dass man Bloomberg TV im Terminal streamen kann, ist das Sahnehäubchen.

https://github.com/vincelwt/gloomberb

❓ Feedback & Newsletter Abo

Vielen Dank, dass du es bis hierhin geschafft hast!
Kommentiere gerne oder schicke mir Inhalte, die du passend findest.

Falls dir die Inhalte gefallen haben, kannst du mir gerne auf Twitter folgen.
Gerne kannst du mir ein Bier ausgeben oder mal auf meiner Wunschliste vorbeischauen – Danke!

Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren: