Willkommen zu allesnurgecloud.com – Ausgabe #249
und damit willkommen zurück nach einer doch längeren Auszeit. Letzte Woche hatte ich freitags noch keine Themen, und die neue Regel ist dann, dass der NL ausfällt – zumindest erst mal. Nun hab ich es aber wieder geschafft.
Ist gar nicht so einfach – hatte selbst eine hohe 2-stellige Anzahl an Newslettern zu lesen und auf relevanten Content zu prüfen – und dann war stets die Frage: „KI‑Content von vor 3 Wochen?“ Der ist doch eigentlich schon komplett veraltet.
Dass die Berliner Verwaltung gehackt wurde, hast du ja mitbekommen – hab dann hier gelesen, dass die teilweise noch Windows 95 einsetzen – ob die da den CD Key verwenden, den alle auswendig gelernt haben?
Ansonsten hat Anthropic einen weiteren Hacking Vorfall gemeldet – Ous 4.6 sei schon im Januar aus einer Testumgebung ausgebrochen. Tja, ob wir uns doch alle ein Bauernhof auf dem Land zu legen sollten?
Und da ich in der Vergangenheit auch über WordPress berichtet hatte – das Board von Automattic hat WordPress-Gründer Matt Mullenweg überzeugt, eine Auszeit zu nehmen. In der jüngsten Vergangenheit war Matt immer wieder kontrovers gegenüber der Community und anderen aufgetreten.
Aus dem Übernahme Corner vielleicht für den einen oder anderen interessant: Bending Spoons (Evernote, Komoot) hat jetzt für 1,4 Milliarden bei der Collaboration Software „Miro“ zugeschlagen – und Shopify übernimmt mal kurz die Firma hinter dem populären Tailwind CSS.
So, und nun viel Spaß mit der neuen Ausgabe!
Happy Bootstrapping Podcast
Im Podcast gab es diverse neue Folgen, die waren teilweise vorproduziert. Die Folgen sind alle auch bei YouTube – abonniere gerne den Kanal!
In Folge 188 spreche ich mit Leon Schubert von Okeano: ein Dutzend Kundenfirmen auf der eigenen Plattform, vierstellige Nutzerzahl, sieben Leute. Warum aus immer ähnlichen Kundenprojekten ein eigenes Produkt wurde – und wieso das Agenturgeschäft der bessere Investor ist. Bei Spotify, Apple und überall sonst.
In Folge 187 spreche ich mit Matthias Lugert von Seobility: 800.000 registrierte Nutzer, rund 1 % zahlt, knapp 20 Leute. Warum das Tool bewusst weniger kann als Ahrefs und Semrush – und wie es ist, eine Firma zu führen, die man nicht gegründet hat. Bei Spotify, Apple und überall sonst.
In Folge 186 spreche ich mit Pascal Lukas von Rübenretter: bis zu 3,5 Mio. € Umsatz, 15 Tonnen krummes Obst und Gemüse pro Woche, kein Investor. Warum es das Abo geben muss, damit nichts weggeworfen wird – und warum er die ausgelagerte Logistik wieder zurückholt. Bei Spotify, Apple und überall sonst.
Wenn dir die Podcastfolgen zu lang sind, kannst du gerne auch den Newsletter dazu abonnieren – erscheint jeden Montag (in der Regel).
allesnurgecloud.com ist ein kuratierter Newsletter mit Inhalten aus der Open-Source, Cloud und IT-Welt.
Für weiteren Content folge mir gerne auf Twitter, Mastodon oder LinkedIn.
Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren:
Von 12 auf 38 GW: Der Rechenzentrums-Run
„Bring Your Own Power“ nennt Ruth Porat, Chief Investment Officer bei Google, gegenüber Reuters das Modell hinter der bislang größten Einzelinvestition des Konzerns in Europa. Wie heise berichtet, fließen 2027 und 2028 mindestens 13 Milliarden Euro nach Finnland. Zum bestehenden Rechenzentrum in Hamina kommen drei neue Standorte in Muhos, Kajaani und Vaala.
Entscheidend ist der Strom. Google hat mit dem mehrheitlich staatlichen Versorger Fortum einen Stromabnahmevertrag (PPA) über 22 Jahre für das Kernkraftwerk Loviisa unterzeichnet, laut Fortum für bis zu 50 % der Leistung bis 2050. Ohne die Laufzeitverlängerung könnte das Kraftwerk, das rund 10 % des finnischen Stroms liefert, laut Google nach 2030 nicht weiterlaufen. Dazu kommen Wind-PPAs über 629 MW. Es ist Googles erster Atomstrom-Deal außerhalb der USA.
Mit europäischer Souveränität hat das wenig zu tun: Die Rechenzentren gehören einem US-Konzern, der dem CLOUD Act unterliegt, egal woher der Strom kommt. Europäische KI-Infrastruktur ist das vor allem geografisch.
Rechtlich europäisch baut dagegen die Neckarsulmer Schwarz-Gruppe. Laut SWR entsteht bei Rostock für rund 5,6 Milliarden Euro Baukosten ein Rechenzentrum mit zunächst 240 MW, das wäre mehr als in Lübbenau. Die Gründe ähneln denen in Finnland: Windstrom, der mangels Stromautobahnen sonst abgeregelt wird, kühlere Luft und Kühlwasser aus der Ostsee.
Welche Dimensionen die Hyperscaler im Blick haben, zeigt eine Bloomberg-Meldung, über die DCD berichtet: Microsoft will seine Kapazität von aktuell rund 12 GW auf 38 GW im Jahr 2032 mehr als verdreifachen, teils angemietet bei Neoclouds wie CoreWeave und Nebius. Der Capex soll 2027 auf 175 Milliarden Dollar steigen. Vor gut einem Jahr hatten Amazon und Microsoft den Ausbau noch gebremst.
Google investiert 13 Milliarden Euro in AI-Infrastruktur in Finnland
Cloudflare spart 100 TB RAM beim DNS-Cache
Bei Cloudflare kostet ein verschwendetes Byte pro Eintrag über 250 GB RAM. Denn Big Pineapple, die Plattform hinter 1.1.1.1, Gateway DNS und DNS Firewall, hält mehr als 250 Milliarden Einträge im DNS-Cache. Wie fünf Umbauten am Rust-Datenlayout den Speicherbedarf pro Eintrag mehr als halbiert haben, beschreibt Sebastiaan Neuteboom im Cloudflare-Blog. Die Tricks:
- Box statt Vec, ohne überflüssiges Capacity-Feld (allein das spart 15 TB)
- eine Record-Liste mit 2-Byte-Offsets statt drei Listen
- kein doppelt gespeicherter Owner-Name
- große Record-Typen auf den Heap ausgelagert
- zuletzt Records als rohe Bytes im Wire-Format
Pro Eintrag sank der Bedarf im Benchmark von 953 auf 420 Bytes, in Produktion im p99 pro Instanz von 9,3 auf 5,3 GB. Über die Flotte sind das rund 100 TB RAM, so viel wie in 130 Gen-13-Servern steckt. Nebenbei wurden Inserts um 43 % schneller, die Lookup-Latenz sank um 19 %. Den frei gewordenen Speicher steckt Cloudflare in größere Caches.
Das Timing passt zur RAM-Krise, wegen der etwa Hetzner die Preise um bis zu 33 % angehoben hat (allesnurgecloud.com/ausgabe-225). Auf Hacker News merkt scottlamb an, Effizienzarbeit werde bei Big Tech meist erst belohnt, wenn etwa die RAM-Kosten plötzlich explodieren.
Die gestiegenen RAM- und HDD-Preise nennt Cloudflare auch als Grund für einen Praktikanten-Prototyp namens Cache Transcoding. Pingora packt Text-Assets wie HTML, JSON und JavaScript, die ohne Content-Encoding ankommen, per zstd (Level 3), bevor sie auf die Platte gehen. Zwischen den Tiered-Cache-Stufen wandern sie komprimiert, entpackt wird erst am Hop zum Client. Im bewusst gut komprimierbaren Testkorpus schrumpften die Dateien auf etwa ein Drittel, laut Modell bei wenigen Prozent Mehr-CPU. Hochgerechnet wären das Petabytes an Cache-Kapazität, noch ist es aber ein Prototyp.
Bei dem Sparkurs zieht Cloudflare vermutlich bald ins Ländle.
How we saved 100 terabytes of memory by optimizing 1.1.1.1’s DNS cache
Anzeige
We Manage & KRUU: Cloud für unter 0,5 % des Umsatzes
Gemeinsam mit unserem Kunden KRUU – dem nach eigenen Angaben weltweit größten mobilen Fotoboxvermieter – haben wir eine ausführliche Case Study veröffentlicht (PDF).
5.000 Fotoboxen in neun EU-Ländern und den USA, bis zu 800 Versendungen pro Tag in der Hochsaison, über 99,99 % Server-Uptime – und das alles bei IT-Kosten von unter 0,5 % des Jahresumsatzes (inkl. We Manage). Statt auf AWS zu setzen, was laut KRUU-Gründer Philipp Schreiber „Faktor 10 bis 20 teurer“ wäre, haben wir eine Multi-Provider-Architektur aus Gridscale, Hetzner und DigitalOcean aufgebaut, die saisonal mitatmet und wirtschaftlich bleibt.
Was mich an der Zusammenarbeit nach 10 Jahren besonders freut: Philipp und ich kennen uns noch aus dem Heilbronner Nachtleben – und die Philosophie hat sich nie geändert. Stabile Technologien. Kein Overengineering. Kein Overprovisioning.
Wenn du auch ein skalierbares Setup ohne Hyperscaler-Preise suchst – oder schlicht ein Backup für dein Ein-Personen-DevOps-Team brauchst, dann lass uns kurz sprechen.
Die vollständige Case Study lesen
BGP-Hijack bei Hetzner: Update mit Root-Rechten
Zwischen dem 28. und 30. August landete Traffic für den Hetzner-Block 162.55.80.0/24 in einem Zeitfenster von 33 Stunden immer wieder beim Angreifer. In dem Block liegt der Update-Endpunkt von Virtualizor, dem VPS-Panel vieler Hoster. Einige Installationen holten sich so ein manipuliertes Update mit Root-Rechten ab, wie Private DevOps ausführlich rekonstruiert.
Announced wurde die /24 über AS62390 (NexonHost) via AS6204 (Zet.net). Als spezifischere Route schlug sie damit Hetzners /16. Hetzner blieb als Origin im Pfad stehen. Die ROA, also der signierte Eintrag, wer den Block announcen darf, erlaubte Präfixe bis /24. RPKI hat die Route also ganz regulär als valide durchgewunken. Let’s Encrypt validierte über denselben Pfad und stellte ein echtes Zertifikat aus. Signiert waren die Update-Pakete nicht.
Laut Private DevOps hat Hetzner die ROA inzwischen auf /16 begrenzt. Damit fällt allerdings auch die eigene Gegenwehr per /24-Announcement weg. Öffentlich geäußert hat sich Hetzner bisher nicht. Softaculous liefert mit 3.2.9.9 ein Mitigation-Tool, Code-Signing soll folgen. Eine Liste betroffener Server hat Softaculous nicht, also selbst prüfen:
- Existiert
/etc/systemd/system/java-jre-update.service, gilt der Server als kompromittiert. Datei nicht löschen, sondern Softaculous kontaktieren - API-Keys neu generieren
- Auf fremde SSH-Keys, Accounts und Cronjobs prüfen
- Client-Area-Passwörter zurücksetzen
Beim Apple-Hijack durch Rostelecom (Ausgabe 70, lange her) war RPKI noch die große Hoffnung. Am Ende hätte eine simple Signaturprüfung im Update-Client gereicht. TLS und valide Routen helfen da wenig.
Hetzner IP Space Hijacked to Poison a Virtualizor Update
18,5 Mio. für Omarchy: Linux-Desktop mit Mäzenen
Die Omacom Foundation hinter DHHs Arch-basierter Distribution Omarchy ist mit 8 Millionen Dollar gestartet. Knapp drei Wochen später stehen laut dem laufend aktualisierten Announcement rund 18,5 Millionen an Zusagen und Spenden. Die Stiftung soll die Markenrechte an Omarchy halten, Infrastruktur bezahlen und Upstream-Projekte fördern. Erste Festanstellung: ein Kernel-Entwickler.
Zwölf Founding Patrons geben je 1 Million, darunter Tobi Lütke, Patrick Collison, Michael Dell, Matthew Prince und DHH selbst. Meta, Anthropic, OpenAI, Fireworks und OpenRouter spenden Tokens, die Agents für Reviews und Bugfixes verbrennen sollen. Ziel ist nichts Geringeres als das „Year of Linux on the Desktop“. Auf Hacker News hält nickjj Omarchy für ein Dotfiles-Projekt mit allem Drum und Dran. Bekäme er selbst 8 Millionen, gingen 7 davon an den Entwickler von niri.
Die Build-Pipeline mit Paket-Builds, PR-Review-Agents und QA-Tests läuft bei DigitalOcean. DigitalOcean sagt als Founding Corporate Patron 1 Million pro Jahr über drei Jahre zu. Das Muster laut DigitalOcean: Droplet per doctl hochziehen, Job laufen lassen, löschen. Ein kleiner Beigeschmack: Laut GNOME-Infra-Engineer Bart Piotrowski hat DigitalOcean kürzlich das VM-Sponsoring für GNOME und Flathub gestrichen. Kostenpunkt: rund 50 Dollar im Monat…
Weniger glamourös, aber passend zur Kritik in allesnurgecloud.com/ausgabe-209: Vor Version 4.0.1 landete der Standard-User in der docker-Gruppe. Damit konnte jeder Prozess der Session ohne Passwort Root erlangen, Browser, npm-Scripts und Coding-Agents inklusive. Das Update entfernt die Gruppe per Migration auch auf bestehenden Systemen. Wirksam ist das aber erst nach dem nächsten Login. Prüfen lässt sich das mit id.
Laut nixCraft ist der Anteil von Linux auf dem Desktop im Juli auf 7,53% gestiegen und hat sich damit seit Mai 2026 verdoppelt. Das feiern die Omarchy User natürlich. Denke aber, es liegt eher an der zunehmenden Anzahl an Agents, die irgendwas auf Linux im Web machen. Feiern wir 2026 dann doch mal endlich das „Year of Linux on Desktop“?
Hast du Omarchy am Start? Freue mich über Feedback dazu.
Omacom Foundation launches with $18.5 million
Schweiz testet openDesk für 3.000 Arbeitsplätze
Passend zur Omarchy News: Ersetzt die Schweizer Bundesverwaltung Microsoft 365?
So klingt es zumindest bei It’s FOSS. Konkret startet die Bundeskanzlei ein Programm für einen Open-Source-Arbeitsplatz auf Basis von openDesk. Bis Ende 2027 soll er rund 3.000 Beschäftigten zur Verfügung stehen. Die erste Phase kostet rund 9 Millionen Franken.
Genauer hingeschaut ist das eher Plan B als Ablösung. Wie heise berichtet, bleibt Microsoft 365 die Standardumgebung der Bundesverwaltung mit rund 54.000 Arbeitsplätzen. openDesk läuft parallel, unter anderem als Notfall-Büroautomation und für sensible Informationen.
Im Machbarkeitstest PoC BOSS bekamen 172 Personen Zugang, 73 davon bewerteten die Testszenarien. Dokumente und E-Mail schnitten gut ab, große Videokonferenzen weniger. Technisch steckt der bekannte openDesk-Stack dahinter: Collabora Online, Open-Xchange, Nextcloud, OpenProject, XWiki, Jitsi, Element und Univention für Identity Management. Zusätzlich werden Windows- und Linux-Clients getestet.
Als Gründe nennt Matthias Stürmer von der Berner Fachhochschule drei Risiken: möglichen Zugriff über US-Gesetze wie den CLOUD Act, die Abhängigkeit von einem einzigen Anbieter und steigende Lizenzkosten. Schneller ist die Armee: Ihr Cyber Command will laut It’s FOSS schon bis Oktober 2026 komplett auf openDesk wechseln.
Die Suite openDesk stammt übrigens vom deutschen ZenDiS und geht auf Dataports Phoenix-Projekt zurück, das 90 Millionen Euro Verlust gebracht hat. Macht sie jetzt in der Schweiz Karriere, war das Geld zumindest nicht ganz umsonst.
Switzerland’s Federal Government is Replacing Microsoft on 3,000 Computers
9 von 10: Europas CDN-Klumpenrisiko Cloudflare
Fällt Cloudflare aus, ist ein großer Teil der europäischen Firmenwebsites mit CDN gleich mit offline. Nachgezählt hat Chris McCabe bei CipherCue: Von 44.143 europäischen Unternehmen mit erkennbarem CDN laufen 39.547 über Cloudflare, also 89,6 %. Amazon CloudFront folgt mit 3.112, Fastly mit 1.299 und Akamai mit 396 Unternehmen.
Am höchsten ist der Anteil in den Niederlanden mit 95,6 %. Deutschland liegt mit 81,4 % am unteren Ende der großen Märkte. Ob die schwache Cloudflare-Anbindung im Telekom-Netz eine Rolle spielt?
Das eigentliche Risiko ist der gemeinsame Ausfall. CipherCue zählt drei globale Cloudflare-Incidents in 15 Monaten: den Bot-Management-Crash am 18. November 2025, den WAF-Change wegen der React-Lücke am 5. Dezember und die Panne am 20. Februar 2026. Damals zog ein Cleanup-Job 25 % der BYOIP-Präfixe (kundeneigene IP-Bereiche) per BGP zurück. Keiner davon war ein Angriff, alle entstanden bei interner Routinearbeit.
Einordnen muss man die Zahlen trotzdem. CipherCue vermarktet genau diese Daten an Anbieter europäischer Alternativen. Die Stichprobe hat nach eigener Aussage einen Schwerpunkt auf kleinen und mittleren Firmen, bei denen Cloudflares Free Tier stark ist. Und hinter der Eingangstür tauchten laut CipherCue deutlich häufiger OVH und Hetzner auf.
Europäische Alternativen gibt es durchaus:
- Bunny.net aus Slowenien, zu dem wir bei We Manage schon diverse Kunden umgezogen haben (allesnurgecloud.com/ausgabe-215)
- STACKIT CDN der Schwarz-Gruppe, seit Mai 2026 „powered by bunny.net“
- Link11 aus Frankfurt mit Secure CDN, WAF und BSI-qualifiziertem DDoS-Schutz
- Myra Security aus München, BSI-C5-attestiert, mit Fokus auf Behörden und KRITIS
- KeyCDN aus der Schweiz, schlank und günstig, betrieben mit Infrastrukturpartnern
An den Funktionsumfang von Cloudflare kommt keiner davon ganz heran, für die meisten Websites reicht es aber.
Omacom Foundation launches with $18.5 million
Von NGINX zu Istio: 90 GB RAM auf 3 GB
Seit März 2026 bekommt Ingress NGINX, der Community-Controller unter Kubernetes SIG Network, weder Releases noch Security-Patches. Nicht zu verwechseln ist er mit dem NGINX Ingress Controller von F5. Wie ein Wechsel unter Last aussieht, beschreibt Amit Baranes im Blog von Deel: Der Payroll-Anbieter ist komplett auf Istio umgezogen, nach eigenen Angaben ohne Downtime.
Für Istio sprachen die Gateway API mit portablen HTTPRoutes statt Controller-spezifischer Annotations und Konfigurationsänderungen per xDS ohne Reload. Dazu kommt die Option auf mTLS zwischen Services. Hinzu kommt ein AWS-Detail: Ein ALB erlaubt standardmäßig maximal 100 Regeln, bei tausenden Routen braucht es daher ein Gateway im Cluster. Im Benchmark gegen sechs andere Controller liefen Route-Änderungen nur bei Istio fehlerfrei. Das „unabhängige“ gateway-api-bench stammt allerdings von Istio-Maintainer John Howard, was Deel immerhin selbst erwähnt.
Das Vorgehen:
- Shadow-Betrieb: Istio parallel zu NGINX mit gespiegeltem Traffic, ohne Routing-Entscheidungen
- Umzug in drei Tiers: interne Services, Customer APIs, zuletzt Payment und Payroll im Low-Traffic-Fenster
- Rollback per DNS-Flip, gebraucht wurde er nie
- 14 Tage dedizierte On-Call-Rotation, bevor NGINX abgeschaltet wurde
Der Aufwand: rund einen Monat für die Test-Umgebungen, zwei Wochen für Produktion. Selbst bauen musste Deel den GeoIP-Ersatz, denn Envoy kennt kein Pendant zum GeoIP-Modul von NGINX. Jetzt reichert ein Go-Service die Requests per Envoy ext_proc mit MaxMind-Daten an. Der RAM-Verbrauch im größten Cluster sank laut Deel von 90 GB auf 3 GB. Was genau in die Istio-Zahl einfließt, schreibt Deel nicht.
Wer übrigens noch Ingress NGINX betreibt, muss sich nicht gleich ein Service Mesh ans Bein binden. Traefik, Envoy Gateway und Cilium sprechen ebenfalls Gateway API.
From NGINX to Istio: Lessons from a Zero-Downtime Migration at Scale
Desert Ant Labs: KI auf dem Gerät statt per API
Das Team hinter der Video-App Detail nennt sich jetzt „europäisches Frontier-AI-Lab“, das kleinste Modell ist bemerkenswerterweise nur 2 MB groß. Desert Ant Labs startet mit 18 Modellen für Audio, Vision und Text. Sie laufen lokal auf dem Gerät und werden per SDK für Swift, Kotlin und JavaScript eingebunden. Kostenlos ist das bis zu 100.000 aktiven Geräten pro Monat, darüber wird verhandelt.
Ein paar Beispiele, laut Hersteller:
- Voz transkribiert 10 Minuten Audio auf dem iPhone in zwei Sekunden
- Clear macht aus Laptop-Aufnahmen Studio-Audio, mit 9 MB
- Redact erkennt personenbezogene Daten in 27 Sprachen: 88,8 % mit 12 MB, gegenüber 91,1 % beim 2,3 GB großen GLiNER-PII
- Clips (284 MB) ersetzt in Detail Claude Sonnet bei der Clip-Auswahl
Eine GPU braucht es nicht. Die Modelle laufen per Core ML auf der Neural Engine, via LiteRT auf Android oder als WebAssembly im Browser, einige vorerst nur auf Apple-Geräten. Ganz neu ist aber nicht alles. Auf Hacker News merkt library8848 an, dass Voz auf Parakeet 0.6B v3 und Clear auf DeepFilterNet 3 aufsetze. Gründer Paul Veugen bestätigt das für Voz: eine auf Apples Neural Engine optimierte Parakeet-Variante mit eigener Inference. Der Nachfolger werde neu trainiert. Mit rund 600 Millionen Parametern wären das in FP16 etwa 1,2 GB.
Parakeet V3 nutze ich über die App Handy fast täglich. Die Lizenz der Modelle heißt „source-available“, das ist kein Open Source.
Hetzner IP Space Hijacked to Poison a Virtualizor Update
Incident Tech Lead: Synthese als eigene Rolle
Sechs Teams melden, ihr jeweiliger Service sei gesund, sechs Dashboards stehen auf grün, und der Checkout funktioniert trotzdem nicht. Brent Chapman, früher für Incident Management bei Google und Slack zuständig, beschreibt in seinem Blog, warum diese Sorte Vorfall so zäh ist. Jede Zerlegung in Microservices, Bounded Contexts oder Service Ownership hat denselben Zweck: Niemand muss mehr das Gesamtsystem im Kopf haben. Lorin Hochstein nennt die Kehrseite den „Demon of the Gaps“ man habe eine Analyse-Lösung gebaut und stehe nun vor einem Synthese-Problem.
Chapmans Vorschlag ist organisatorisch, nicht technisch: Neben dem Incident Commander brauche es bei komplexen Vorfällen einen Incident Tech Lead, dessen Aufgabe ausschließlich Synthese ist. Er gleicht Beobachtungen über Komponentengrenzen hinweg ab und prüft die Teilmodelle der Fachleute gegeneinander. Der tiefste Experte muss er dafür nicht sein, sondern gut darin, aus fremdem Wissen ein Arbeitsmodell zu bauen.
Die Trennung schützt beide Seiten. Synthese braucht ungestörte Konzentration, und dieselbe Komplexität erzeugt gleichzeitig mehr Stakeholder, Eskalationen und Entscheidungen. Beide Lasten steigen zusammen, eine Person schafft das nicht. Dass ein Incident Commander nicht nebenbei Status-Page-Einträge tippen sollte, war in Ausgabe 138 schon Thema – Chapman entlastet nun die andere Seite.
Die üblichen Kommunikationsrituale werden damit zu Werkzeugen:
- Die Reihum-Runde, in der jeder kurz berichtet, was er sieht und tut
- Der regelmäßige SitRep, der das Verständnis in wenige Sätze zwingt
- Das Ansagen der eigenen Aktion, bevor man sie ausführt
Sein Vergleich ist die Waldbrandbekämpfung, wo eine eigene Planning Section das gemeinsame Lagebild erstellt und verteilt. Niemand hofft dort darauf, dass es von selbst entsteht.
Modern software architecture means nobody has the whole picture.
Tailscale: Der 16 Jahre alte SQLite-Bug
19 Mal in sechs Monaten war eine SQLite-Datenbank im Control Plane von Tailscale korrupt. Jedes Mal stand der betroffene Shard bis zur Reparatur still: Neue Geräte kamen nicht ins Tailnet, Admin-Konsole und API waren weg. Die Suche nach der Ursache beschreibt Alex Chan in einem ausführlichen Postmortem.
Pro Shard schreibt genau ein Go-Prozess in die Datenbank, wie vorgesehen. Nicht ganz Standard sind die Checkpoints, also das Zurückschreiben der Pages aus dem Write-Ahead-Log in die Datenbankdatei: Die steuert Tailscale für schnelle Backups manuell und aggressiv. Weil sich nichts reproduzieren ließ, kaufte man einen Support-Vertrag bei den SQLite-Entwicklern. Außerdem finanzierte Tailscale mit tmstmpvfs einen Tracing-Wrapper um SQLites Dateisystem-Schicht. Dessen Logs führten schließlich zum WAL-Reset-Bug. Das ist eine Race Condition zwischen Checkpoint und Write-Transaktion, bei der committete Daten stillschweigend verloren gehen. Vorhanden war der Bug vermutlich seit SQLite 3.7.0 von 2010.
Auch der Fix hatte Nebenwirkungen: Version 3.52.0 änderte die Rundung bei Text-zu-Float-Konvertierungen, wodurch Expression-Indexes als korrupt galten. Das Release wurde zurückgezogen, den reinen Fix gibt es in 3.51.3. Laut SQLite tritt der Bug nur im WAL-Modus mit mehreren Connections auf dieselbe Datei auf. Im Normalbetrieb ist er extrem unwahrscheinlich, ein Update wird trotzdem empfohlen. Wer SQLite statisch in Go- oder Rust-Binaries mitbringt, muss dafür neu bauen.
SQLites Geschäftsmodell mit bezahltem Support fand ich schon in Ausgabe 172 spannend. Hier hat es sich für alle SQLite-Nutzer ausgezahlt. Tailscale zieht selbst dieses Fazit: Wer Boring Technology abseits des Standardpfads betreibt, verlässt auch das gut getestete Terrain, selbst wenn die Konfiguration offiziell unterstützt ist.
How we tracked down a 16-year-old SQLite bug
RTO, Mayonnaise und Big Brother
Wer dachte, RTO-Mandate könnten nicht absurder werden, dem sei eine Satire bei McSweeney’s empfohlen. Der Ich-Erzähler arbeitet als „Associate Slop Doula“ bei Mondo Mayo, einem ehemaligen Mayonnaise-Hersteller, der heute SaaS und Überwachungstechnik verkauft. Sein Job: tausendmal am Tag GENERATE und dann APPROVE klicken, sechs Tage die Woche im Büro, betreut von der Überwachungs-KI „Best Buddy“. Auf 15 normale Mitarbeitende kommen tausende Senior VPs. Wer genau liest, erkennt Orwells „1984“ als Vorlage. So weit weg wirkt das Ganze aber nicht, wenn man an Dells farbige Anwesenheits-Flaggen denkt.
Why We Must Return to the Office to Use AI in Person
Schmunzelecke
„Windows 11’s built-in Weather app wastes more than 1 GB of RAM“ – Tja, Voyager 1 und Voyager 2 haben jedenfalls nur um die 70KB RAM….gesehen bei Notebookcheck
Hast du auch eine Kabelbox mit sämtlichen Kabeln dieser Welt? Unbedingt behalten das Teil.
💡 Link Tipps aus der Open Source Welt
sofka – Kubernetes TUI in Rust, neu gedacht
sofka ist eine Kubernetes Terminal UI, inspiriert von k9s, komplett in Rust auf kube-rs und ratatui gebaut – async-first, sodass das UI nie auf den Cluster blockiert. Neben den Standard-Kubernetes-Funktionen bringt sofka native Flux CD und Argo CD Integration mit, ohne dass die jeweiligen CLIs installiert sein müssen.
Key Features:
- Custom Resource Browsing: Eine generische Render Pipeline für alle Ressourcen – built-in Spalten für gängige Kinds, Enter auf eine CRD öffnet deren Custom Resources
- Flux CD & Argo CD nativ: Suspend, Resume, Reconcile/Sync direkt über API Patches – kein
fluxoderargocdBinary nötig. Helm Releases werden direkt aus Secrets dekodiert - Explain View:
Xöffnet eine deterministische, evidenzbasierte Fehleranalyse – warum ist etwas kaputt? Kein AI, kein externer Service - Bulk Actions: Rows mit Space markieren, dann Delete, Kill oder Flux-Aktionen über viele Ressourcen gleichzeitig
- Port-Forwards im Hintergrund: Starten blockiert nicht das TUI,
:pfverwaltet alle aktiven Forwards - Guardrails: Read-Only Mode per Config, per Cluster oder per Context – „never delete in prod“ wird erzwungen, nicht erinnert
- Fuzzy Command Palette:
:öffnet Fuzzy Search über Kinds, Commands, Bookmarks, Workspaces –:deploy socialfunktioniert direkt - Filter Power: Fuzzy, Exact, Regex, Inverse, Label/Field Selectors,
status=X,age<2h - Skins: Catppuccin, Gruvbox, Solarized, Nord, Dracula, Tokyo Night, Rosé Pine und mehr mit Auto Dark/Light Detection
- Headless/CI Modes:
--checkfür Smoke Tests,--snapshotrendert einen Frame nach stdout
Verfügbar via Homebrew, Cargo, Nix (inkl. Home Manager Module) oder als prebuilt Binary für macOS und Linux.
Im Vergleich zum ebenfalls vorgestellten Headlamp (Web UI) setzt sofka auf die Terminal-Seite – und geht mit der nativen Flux/Argo-Integration und dem Explain View deutlich über k9s hinaus. Die per-Cluster/per-Context Config mit erzwungenem Read-Only für Production ist ein Feature, das man sich bei k9s seit Jahren wünscht. Mit 85 Releases in 3 Monaten eine beeindruckende Entwicklungsgeschwindigkeit.
https://github.com/nklmilojevic/sofka
Gander – Ein Viewer für alle Dateien auf Android, komplett offline
Gander ist ein winziger (5 MB), quelloffener Datei-Viewer für Android, der PDF, Word, Excel, PowerPoint, Fotos, Videos, Audio, Markdown und Code in einer App öffnet – komplett offline, ohne Permissions, ohne Ads, ohne Tracker, ohne Internet-Permission. Behebt ein nerviges Android-Problem: statt fünf halbgare Viewer-Apps, die alles in die Cloud schicken, eine App, die alles lokal rendert.
Key Features:
- Alles in einer App: PDF, DOCX, XLSX, PPTX, JPG/PNG/HEIC/WebP/AVIF, MP4/MKV/WebM, MP3/FLAC/OGG, Markdown, Text, Code – unbekannte Formate als Raw Text anzeigbar
- Zero Permissions by Design: Keine Storage-Permission, kein INTERNET – Dateien kommen ausschließlich über den Storage Access Framework. Die App kann technisch nicht nach Hause telefonieren
- Night Mode für PDFs: Invertiert Seiten zum Lesen im Dunkeln, behält Farbtöne bei und lässt Fotografien unverändert – cleverer als simples Invertieren
- Find in Document: Textsuche in PDF, Word, Excel, Slides, Markdown und Code mit Match-Navigation
- Deep Zoom: Tiled Decoding für große Fotos, Pinch Zoom und Smooth Scrolling überall
- Self-Audit: Der About-Screen zeigt, welche Permissions die App tatsächlich hat, plus alle Lizenztexte der gebündelten Libraries
Technisch rendert Gander Office-Formate über gebündelte JS-Libraries (pdf.js, docx-preview, SheetJS, PPTXjs) in einer sandboxed WebView, deren Requests komplett abgefangen werden – kein Netzwerk-Stack wird berührt. Native Android App in Kotlin, läuft ab Android 8.0.
Braucht noch Tester: Google verlangt für neue Developer Accounts 12 Tester, die die App 14 Tage durchgehend nutzen, bevor sie im Play Store veröffentlicht werden darf. Wer helfen will: Tester-Gruppe beitreten, Opt-in Link öffnen, installieren und als Default PDF Viewer setzen. Dauert 2 Minuten, hilft dem Projekt enorm. Die GitHub Releases bleiben so oder so verfügbar.
https://github.com/mokshablr/gander
❓ Feedback & Newsletter Abo
Vielen Dank, dass du es bis hierhin geschafft hast!
Kommentiere gerne oder schicke mir Inhalte, die du passend findest.
Falls dir die Inhalte gefallen haben, kannst du mir gerne auf Twitter folgen.
Gerne kannst du mir ein Bier ausgeben oder mal auf meiner Wunschliste vorbeischauen – Danke!
Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren: