Willkommen zu allesnurgecloud.com – Ausgabe #180

Irgendwie werden die aktuellen Wochen nicht weniger verrückt – neben dem „Sicherheitsvorfall“ bei Merkur kann beim Spar in der Schweiz aufgrund einer Cyber-Attacke in allen Märkten nicht mehr mit EC-Karte bezahlen. Teilweise seien auch Produkte nicht verfügbar. Auf der Website ist ein prominentes Banner platziert (Screenshot).
Vermutlich müssen wir uns mehr und mehr an solche Vorfälle gewöhnen, egal ob man jetzt mit AI entwickelt, die ggf. Dinge übersieht, oder Angriffen aus Staaten, die politisch eine andere Weltordnung herbei sehen.

Happy Bootstrapping Podcast

Über Digitalisierung und Bürokratie-Abbau reden derzeit ja viele – jemand, der das seit 14 Jahren macht, ist Christian Schulte von Dropscan. In Folge 112 von Happy Bootstrapping habe ich mit ihm über die Digitalisierung von Briefpost und Papierdokumenten gesprochen, die Dropscan für 30.000 Kunden weltweit erledigt – unter anderem für Zalando und den Autovermieter Miles. Christian und Co-Founder Martin machen heute noch Kundensupport, damit sie nah am Produkt sind – beeindruckende Story – hier geht’s direkt zur Folge.

Wie immer gibt es auch was zum Lachen und ein paar Open-Source Tipps!

Übrigens kannst Du meine Arbeit nun auf Patreon supporten, mir ein Bier ausgeben oder mal auf meiner Amazon-Wunschliste vorbeischauen – Danke! Falls du Interesse hast, im Newsletter oder Podcast Werbung zu buchen, kannst du das auf passionfroot machen.

allesnurgecloud.com ist ein kuratierter Newsletter mit Inhalten aus der Open-Source, Cloud und IT-Welt.
Für weiteren Content folge mir gerne auf Twitter, Mastodon oder LinkedIn.

allesnurgecloud.com ist ein kuratierter Newsletter mit Inhalten aus der Open-Source, Cloud und IT-Welt.
Für weiteren Content folge mir gerne auf Twitter, Mastodon oder LinkedIn.

Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren:

KI-Deepfake Betrüger im Tech-Recruiting entlarvt

Ein Sicherheits-Startup erlebte kürzlich einen alarmierenden Fall von Identitätstäuschung im Recruiting-Prozess. Gergely Orosoz fasst das Erlebte in einem aktuellen Newsletter Beitrag zusammen.

Vidoc Security – gegründet von den Security-Experten Dawid Moczadło und Klaudia Kloc – hätte beinahe einen Backend-Engineer eingestellt, der nicht existierte. Der Bewerber nutzte einen KI-Filter als digitale Maske während der Videointerviews. Doch das ist kein Einzelfall, wie der Artikel aufzeigt.

Der erste KI-Betrüger: Fast erfolgreich

Der erste verdächtige Kandidat namens „Makary Krol“ präsentierte einen überzeugenden Lebenslauf mit soliden technischen Fähigkeiten und bestand mehrere Interviewrunden:

1. Lebenslauf-Screening: Der Lebenslauf wirkte fundiert und glaubwürdig
2. Erstes Screening-Gespräch: Der Kandidat sprach kein Polnisch, obwohl er angeblich in Polen lebte
3. Gespräch mit dem Hiring Manager: Kommunikationsprobleme wurden als Sprachbarriere interpretiert
4. Technisches Interview: Der Kandidat meisterte alle Coding-Aufgaben mit Bravour
5. Finales Interview: Hier kamen schließlich zu viele Ungereimtheiten zusammen

Besonders bemerkenswert: Die technischen Fähigkeiten waren tatsächlich vorhanden – es handelte sich um einen echten Entwickler, der jedoch eine falsche Identität verwendete.

Der zweite Versuch – mit Videobeweis

Zwei Monate später trat ein weiterer verdächtiger Bewerber namens „Bratislav Rakočević“ auf. Diesmal war das Unternehmen vorbereitet:

1. Bei der ersten Verdachtsmeldung startete der Interviewer die Aufnahme
2. Der Bewerber wurde aufgefordert, die Hand vor sein Gesicht zu halten – was aktuelle KI-Filter nicht verarbeiten können
3. Der Kandidat verweigerte diese einfache Geste und das Gespräch wurde beendet

Das aufgezeichnete Video lieferte den Beweis. Interessanterweise vermuten die Gründer, dass beide Bewerber dieselbe Person waren – die Stimmen klangen ähnlich und der zweite Bewerber wirkte unnatürlich selbstsicher.

Wie man sich vor KI-Bewerbern schützt

Vidoc Security hat aus diesen Erfahrungen gelernt und teilt folgende Empfehlungen:

• Nehme die Bedrohung ernst: Selbst kleine Startups können betroffen sein
• Fordere das Ausschalten aller Filter: Inkl. Hintergrundunschärfe
• Bitte um einfache Gesten: Hand vors Gesicht halten, seitliches Kopfdrehen
• Zeichne Interviews auf: Mit Einwilligung des Bewerbers
• Verlange notariell beglaubigte Identitätsnachweise

Es gibt Hinweise darauf, dass hinter solchen Bewerbungen möglicherweise koordinierte staatliche Aktionen stecken könnten, die gezielt auf westliche Technologieunternehmen abzielen. Vollständig remote arbeitende Teams sind besonders gefährdet.

Folgen für die Tech-Branche

Diese Vorfälle könnten weitreichende Auswirkungen haben:

• Rückkehr zu persönlichen Endgesprächen: Vidoc Security führte nach dem ersten Vorfall ein vor-Ort-Interview als finalen Schritt ein
• Veränderte Remote-Interviewprozesse: Mit strengeren Identitätsprüfungen
• Erhöhte Wachsamkeit bei Code-Überprüfungen: Da eingeschleuste Entwickler Sicherheitslücken implementieren könnten

Für alle, die aktuell Entwickler einstellen, bietet Vidoc Security einen PDF-Leitfaden mit weiteren Tipps zur Erkennung gefälschter Bewerbungen an.

AI fakers exposed in tech dev recruitment: postmortem

---

Massive Datenschutzverletzung bei Casino-Anbieter Merkur

Sicherheitsforscherin Lilith Wittmann hat eine schwerwiegende Datenschutzlücke bei der Merkur AG und deren Dienstleistern entdeckt. Dabei wurden nahezu sämtliche Nutzerdaten aus den Casino-Systemen öffentlich zugänglich gemacht – eine Datenpanne mit erheblichen Ausmaßen.

Umfang der Datenlecks

Die Datenlecks betrafen mehrere Casino-Portale der Merkur-Gruppe, darunter merkurbets.de, crazybuzzer.de und slotmagie.de. Alle diese Plattformen nutzen die Casino-Software des maltesischen Unternehmens „the mill adventures“. Über eine ungesicherte GraphQL-Schnittstelle konnten folgende Daten ohne jegliche Authentifizierung abgerufen werden:

• Persönliche Daten wie Namen der Spieler
• Spieler-IDs, die auch von der Glücksspielbehörde (GGL) verwendet werden
• Zahlungsdaten von über 400.000 Nutzern verschiedener Zahlungsdienstleister
• Detaillierte Spielsessions inklusive IP-Adressen und Browser-Informationen

Besonders brisant: Über eine weitere Sicherheitslücke waren mehr als 70.000 Ausweisfotos, Selfies und Adressnachweise zugänglich, die im Rahmen der KYC-Verifikation (Know Your Customer) hochgeladen wurden.

Frei zugängliche Ein- und Auszahlungen

Eine zusätzliche gravierende Schwachstelle ermöglichte potenziell sogar Ein- und Auszahlungen in fremde Nutzerkonten. Diese waren über eine ungeschützte URL direkt erreichbar, wodurch theoretisch jede Person mit Kenntnis der Struktur Transaktionen hätte auslösen können. Ein Schutz bestand lediglich durch einen manuellen Freigabeprozess bei Auszahlungen.

Legale und illegale Casinos betroffen

Die Sicherheitslücken betrafen sowohl legale als auch illegale Instanzen der Casino-Software. Laut Wittmann legen die Daten nahe, dass einige der in Deutschland illegalen Casino-Webseiten tatsächlich von deutschen Betreibern innerhalb Deutschlands geführt werden könnten.

Reaktion und Konsequenzen

Nach der Entdeckung informierte Wittmann die Glücksspielbehörde (GGL), die daraufhin die betroffenen Anbieter öffentlich abmahnte. Als Grund wurde angegeben, dass die Betreiber – entgegen den Vorgaben des Glücksspielstaatsvertrages – ihre Systeme nicht jährlich durch einen Penetrationstest prüfen ließen.

Die Merkur AG hat mittlerweile ihre Nutzer per E-Mail über den Datenabfluss informiert. Dabei beruft sich das Unternehmen auf die Vertrauenswürdigkeit der Sicherheitsforscherin und suggeriert, dass die Spieler dadurch nicht gefährdet seien. Allerdings bleibt unklar, ob und wer sonst noch Zugriff auf die frei zugänglichen Daten hatte.

Forschung zum Online-Glücksspiel

Die gesammelten Daten umfassen laut Wittmann über 200 GB und bieten wertvolle Einblicke in die Online-Glücksspielindustrie. Erste Auswertungen deuten darauf hin, dass Casino-Anbieter zwischen 70% und 90% ihres Umsatzes mit weniger als 10% der Spieler erwirtschaften – jenen, die regelmäßig 250€ und mehr pro Monat für Glücksspiel ausgeben.

Trotz Legalisierung und Regulierung des Online-Glückspiels fehlt es bislang an transparenten, datenbasierten Grundlagen für eine gesellschaftliche Debatte zum Thema Spielerschutz. Wittmann kritisiert, dass die Daten der GGL nicht für Forschungszwecke eingesetzt werden, weshalb Wissenschaftler weiterhin auf Umfragen und Aussagen der Anbieter angewiesen sind.

Ungesicherte GraphQL Schnittstellen, das hört man auch öfter – wäre vermutlich im Pentest schon nach dem ersten Tag aufgefallen.
Gestern (Samstag, 15. März 2025) waren die Portale dann jedenfalls offline und nicht erreichbar – das schützt die Spieler dann sicherlich am Besten.

Casinonutzer der Merkur-Gruppe verlieren nicht nur ihr Geld sondern auch ihre Daten

---

---

Remote Work Hacks im Praxis-Test

Eine kürzliche Diskussion im WFH-Subreddit hat Marissa Goldberg dazu bewegt, ihre Erfahrungen zu den genannten zu Remote-Work-Tricks zusammenzufassen. Ihre Tipps zusammengefasst?

Diktiersoftware statt Tippen Besonders für Menschen mit ADHS kann das Sprechen statt Tippen die Produktivität deutlich steigern. Tools wie Willow Voice erkennen auch Fachbegriffe zuverlässig und ermöglichen eine Arbeitsweise, die im Büro kaum praktikabel wäre.

Arbeitsrituale etablieren Klare Übergänge helfen, zwischen Arbeit und Freizeit zu trennen:

• Umziehen in „Arbeitskleidung“ für den Arbeitsmodus
• Smart-Beleuchtung, die am Tagesende die Farbe wechselt
• Eine Dusche als symbolisches Ende des Arbeitstages

Zitat aus Reddit dazu:

Getting changed into work clothes to know I’m in work mode. End of day rituals I had my smart lights change to a relaxed colour at the point I wanted to finish work – followed by shower to get out of work mode

Bei mir klappt das mit dem Klamottenwechsel schon deshalb gut, weil ich es gerade 3 mal die Woche schaffe, vor dem Arbeiten laufen zu gehen – und in den Klamotten kann man dann wirklich nicht arbeiten

Alternative Arbeitsumgebungen Einige Fernarbeiter schwören auf unkonventionelle Lösungen:

• Bewegliche Whiteboards statt Papierverschwendung
• Walking Pads unter Stehschreibtischen für mehr Bewegung
• Wechselnde Arbeitspositionen statt ergonomischer Bürostühle

passen dazu ein Reddit User:

Standing desk + walking pad = 15k steps per day. I walk 3 mph anytime I’m not in meetings and it has revolutionized my fitness schedule.

Ok, das ist crazy – funktioniert das für euch?

Ernährungsgewohnheiten anpassen Intermittierendes Fasten fällt im Home Office leichter, da man seine Umgebung kontrollieren kann und weniger sozialen Essensritualen ausgesetzt ist.

Der Schlüssel zum Erfolg: Personalisierung Die größte Stärke des Home Office ist die Anpassungsfähigkeit. Was für eine Person funktioniert, mag für andere ungeeignet sein. Das Experimentieren mit verschiedenen Arbeitsstilen und -umgebungen hilft, die persönlich optimale Arbeitsweise zu finden.

Do These WFH Hacks Work?

---

ClickHouse dominiert im JSON-Benchmark

Die JSONBench-Studie liefert beeindruckende Ergebnisse beim Vergleich führender Datenbanksysteme mit JSON-Unterstützung. In einem Test mit einer Milliarde Bluesky-Ereignissen wurden fünf populäre Systeme auf Speichereffizienz und Abfrageleistung untersucht:

Speichereffizienz:

• ClickHouse: 99 GB (Referenzwert)
• MongoDB: 158 GB (40% mehr als ClickHouse)
• Elasticsearch: 220 GB (ohne _source, mehr als doppelt so groß)
• DuckDB: 472 GB (fast fünfmal größer)
• PostgreSQL: 622 GB (über sechsmal größer)

Abfrageleistung: Die Unterschiede bei analytischen Abfragen waren noch dramatischer. Bei einer einfachen Aggregationsabfrage war ClickHouse:

• 2.500x schneller als MongoDB
• 12x schneller als Elasticsearch
• 9.000x schneller als DuckDB und PostgreSQL

Komplexere Abfragen mit count_distinct Aggregationen zeigten ähnliche Ergebnisse, mit ClickHouse bis zu 7.000x schneller als MongoDB und 5.700x schneller als PostgreSQL.

Technische Details: ClickHouse speichert JSON-Daten spaltenorientiert, wobei jeder eindeutige JSON-Pfad als native Spalte gespeichert wird. Dies ermöglicht hohe Datenkompression und parallele Verarbeitung. MongoDB und Elasticsearch nutzen Indexierungsstrategien, während DuckDB und PostgreSQL bei dieser Datenmenge deutlich an ihre Grenzen stoßen.

Der Benchmark zeigt: ClickHouse kombiniert optimale Speichereffizienz mit überragender Abfrageleistung und bietet dabei den Komfort von JSON ohne vorherige Schemaentwicklung – besonders wertvoll für analytische Anwendungsfälle mit hohen Datenvolumen.
Besonders cool an ClickHouse – über das Storage Tiering können „aktuelle Daten“ auf einer schnellen SSD gehalten, Archivdaten in ein langsames Storage mit viel Platz oder gar S3 verlagert werden – für den User/die Applikation ändert sich aber nichts – man spricht einfach weiterhin SQL mit der Tabelle.

Wir bauen ja hier und da ein „Open Source Data-Warehouse“ mit Airbyte, ClickHouse und Metabase – wäre das mal ein spannender Artikel?

The billion docs JSON Challenge: ClickHouse vs. MongoDB, Elasticsearch, and more

---

VictoriaLogs: Die bessere Alternative zu Grafana Loki?

Während der vorherige Artikel die beeindruckende Performance von ClickHouse im JSON-Benchmark zeigte, kommt hier nun ein weiterer Vergleich im Bereich der Log-Management-Systeme. Der Vergleich ist vermutlich etwas biased, da der Artikel eben vom VictoriaMetrics Gründer Aliaksandr Valialkin geschrieben wurde. Vorab ist das wichtig, denke ich 😉

VictoriaLogs positioniert sich jedenfalls als überlegene Alternative zu Grafana Loki mit folgenden Vorteilen:

Warum Loki problematisch sein kann:

• Komplexe Konfiguration mit vielen verbundenen Services
• Abhängigkeit von S3-kompatibler Speicherung mit versteckten Kosten
• Schwierige Upgrades durch häufige Konfigurationsänderungen
• Ineffizient bei Logs mit hoher Kardinalität (trace_id, user_id, etc.)
• Langsame Volltextsuche über Plaintext-Logs

VictoriaLogs als bessere Alternative:

• Zero-Config-Ansatz mit einem einzigen ausführbaren File
• Keine Abhängigkeit von S3-Speicherung (lokales Verzeichnis genügt)
• Stabile Upgrades ohne Konfigurationsbrüche
• Native Unterstützung für hochkardinale Felder mit automatischer Indizierung
• Schnelle Volltextsuche durch Token-Splitting und Bloom-Filter
• Spaltenorientierte Speicherung für bessere Kompression und Abfrageleistung

Ähnlich wie Loki verwendet VictoriaLogs das „Log Stream“-Konzept, verbessert es aber deutlich durch eine effizientere Implementierung, die weniger RAM und Speicherplatz benötigt. Die Benchmark-Ergebnisse zeigen zudem eine deutlich höhere Abfragegeschwindigkeit.

Für Teams, die mit den Komplexitäten von Loki kämpfen oder eine leistungsfähigere Alternative suchen, könnte VictoriaLogs eine interessante Option sein – besonders in Umgebungen mit großen Logmengen und komplexen Abfrageanforderungen.

Bisher haben wir „nur“ VictoriaMetrics am Start, sind davon aber echt begeistert – VictoriaLogs ist das nächste Tool auf der Liste.

Why VictoriaLogs is a better alternative to Grafana Loki?

---

Tausende gültige API-Keys in gecrawlten Webdaten entdeckt

Sicherheitsforscher von Truffle Security haben eine besorgniserregende Entdeckung gemacht: In einem 400 TB großen Datensatz des Common Crawl (Dezember 2024), der auch für KI-Training genutzt wird, fanden sie fast 12.000 gültige API-Keys und Passwörter.

Die Analyse der 2,67 Milliarden gecrawlten Webseiten offenbarte, dass 63% dieser sensiblen Daten sogar mehrfach verwendet wurden. Ein extremes Beispiel: Ein einzelner Walkscore-API-Schlüssel tauchte über 57.000 Mal auf 1.871 verschiedenen Subdomains auf. Insgesamt 2,76 Millionen Webseiten enthielten diese sensiblen Informationen direkt im HTML- und JavaScript-Code.

Die meisten der entdeckten Schlüssel (etwa 1.500) gehörten zur E-Mail-Marketing-Plattform Mailchimp. In einem Fall wurde sogar ein AWS-Root-Key im Frontend-Code gefunden, der zum Glück bereits ungültig war.

Für die Analyse nutzten die Forscher 20 Server mit jeweils 16 CPU-Kernen und 32 GB RAM sowie ihr eigenes Open-Source-Tool Trufflehog. Statt die unzähligen Webseitenbetreiber direkt zu kontaktieren, informierten sie die betroffenen Service-Anbieter, um beim Widerruf und der Rotation tausender Anmeldedaten zu helfen.

Tja, sensible Zugangsdaten sollte man halt niemals im öffentlich zugänglichen Code speichern – besonders angesichts der Tatsache, dass solche Datensätze auch für das Training von KI-Modellen verwendet werden. Vermutlich wird man die auch nie wieder los, da nun Anbieter auf der Basis von anderen Modellen trainieren…

Research finds 12,000 ‘Live’ API Keys and Passwords in DeepSeek’s Training Data

---

Redis als primäre Datenbank für komplexe Anwendungen

Redis ist weit mehr als nur ein Cache und kann als vollwertige primäre Datenbank für komplexe Anwendungen dienen, die unterschiedliche Datenformate verwalten müssen – im verlinkten Artikel beschreibt Autor Talib, wie das Ganze funktionieren kann.

Multi-Modell mit Modulen

Redis basiert auf einem Key-Value-Store und kann durch Module erweitert werden:

• RedisSearch für Suchfunktionalität
• RedisGraph für Graphendaten
• Weitere spezialisierte Module

Der modulare Aufbau ermöglicht es, genau die benötigten Datenbankfunktionen auszuwählen, während Redis selbst als integrierter Cache dient.

Datenpersistenz

Trotz In-Memory-Architektur bietet Redis robuste Persistenzmechanismen:

• Snapshots (RDB) für zeitgesteuerte Sicherungen
• Append-Only-File (AOF) für kontinuierliche Datenspeicherung
• Idealerweise Kombination beider Ansätze

Skalierung

Redis unterstützt verschiedene Skalierungskonzepte:

• Master-Replica-Replikation für bessere Leseleistung
• Sharding für große Datensätze
• Active-Active-Deployment mit CRDTs für globale Replikation

Kostenoptimierung und Kubernetes

Redis Enterprise bietet „Redis on Flash“ zur Kombination von RAM und SSD sowie einen Kubernetes-Operator für automatisiertes Deployment und Management in Container-Umgebungen.

Redis as a Primary Database for Complex Applications

---

Firecracker ohne KVM: Virtualisierung in Cloud VMs

Autor Alex Ellis stellt eine neue Methode vor, um Firecracker-MicroVMs auf regulären Cloud VMs zu betreiben, wo normalerweise kein KVM verfügbar ist. Die von Ant Group und Alibaba entwickelte „PVM“-Technologie (Pagetable Virtual Machine) ermöglicht das Betreiben von Firecracker ohne Hardware-Virtualisierungserweiterungen oder Nested Virtualization.

Kernpunkte:

• PVM ist eine Alternative für Cloud-VMs, die keine Nested Virtualization unterstützen
• Die Technologie wird bereits in Alibaba Cloud produktiv mit 100.000 PVM-Containern eingesetzt
• AWS verlangt für Bare-Metal-Server etwa das 30-fache im Vergleich zu Anbietern wie Hetzner
• PVM erfordert aktuell einen angepassten Kernel für Host und Guest sowie patched Hypervisors
• Performance-Tests zeigen deutliche Overhead-Kosten: Ein Kernel-Build dauert etwa doppelt so lange
• Geekbench-Scores sind vergleichbar, aber reale Workloads mit I/O zeigen Leistungseinbußen

Alex sieht PVM als vielversprechende Technologie für bestimmte Workloads, insbesondere für langlebige HTTP-Server und Serverless-Funktionen. Für CI/CD-Workloads mit hohen I/O-Anforderungen bleibt der Performance-Unterschied zu echter Hardware-Virtualisierung jedoch deutlich spürbar.

Die Implementierung erfordert aktuell noch erheblichen manuellen Aufwand, da der Code (7.000 Zeilen verteilt auf 73 Patches) noch nicht im Mainline-Kernel ist. Daher empfiehlt sich PVM derzeit nur für Early Adopters oder Teams, die sich auf eine einzelne Cloud-Umgebung konzentrieren können.

How to run Firecracker without KVM on cloud VMs

---

Warum Legacy-Projekte für Senior-Entwickler unverzichtbar sind

Legacy-Projekte mögen unbeliebt sein, bieten jedoch wertvolle Einblicke in die Evolution moderner Entwicklungspraktiken. Der Autor beschreibt im verlinkten Artikel seine Erfahrung mit einem solchen Projekt, das sein Team übernehmen musste, um einfache Metriken zu implementieren.

Konfrontation mit vergangener Technologie

Das Team stieß auf Ant Build-Dateien – umständliche XML-Konfigurationen, bei denen jedes Detail explizit definiert werden musste. Dies kontrastiert stark mit modernen Build-Tools, die nach dem Prinzip „Convention over Configuration“ funktionieren. Diese Entdeckung führte zu wichtigen Überlegungen für aktuelle Projekte, etwa bei redundanten Konfigurationswerten.

Grundkonzepte neu betrachtet

Bei der Integration ihrer Komponenten mussten sie über fundamentale Architekturentscheidungen nachdenken: die Rolle von Singletons, die Funktionsweise von Dependency Injection und Alternativen für sauberen Code ohne unnötige Abstraktionen.

Getrennte Zuständigkeiten vs. DevOps

Besonders auffällig war die strikte Rollentrennung: Entwickler schreiben Code, das Ops-Team deployt, ein separates Team testet. Dies verlängerte den Entwicklungszyklus von Tagen auf Wochen und bestätigte den Wert ihres aktuellen DevOps-Ansatzes.

Fazit: Tieferes Verständnis durch historischen Kontext

Obwohl der Autor Legacy-Projekte weiterhin nicht mag, erkennt er ihren Wert für die berufliche Entwicklung. Sie bieten konkrete Einblicke in die Evolution von Best Practices und das Verständnis für den Hintergrund aktueller Methoden – genau das, was einen wahren Senior-Entwickler ausmache.

You can’t call yourself a senior until you’ve worked on a legacy project

---

Schmunzelecke

Bei eggnog.ai bekommst du Videos aus der Vergangenheit angezeigt und musst raten, zu welcher Zeit und an welchem Ort sich das dargestellte Geschehen abgespielt hat – sehr cool!

Eine interessante Historie zum Thema „Captcha“ und was das eigentlich mit der Digitalisierung von Büchern zu tun hat, gibt es hier drüben auf Instagram.

---

💡 Link Tipps aus der Open Source Welt

AdGuard Home – Netzwerkweiter Schutz vor Werbung und Tracking

AdGuard Home ist ein leistungsstarker, Open-Source DNS-Server, der netzwerkweit Werbung und Tracking blockiert. Im Gegensatz zu öffentlichen DNS-Servern oder traditionellen Werbeblockern bietet AdGuard Home vollständige Kontrolle über den eigenen Netzwerkverkehr.

Nach der einmaligen Installation auf einem Server schützt es automatisch alle heimischen Geräte – ohne zusätzliche Client-Software. Der DNS-Server leitet Tracking-Domains in ein „schwarzes Loch“ um und verhindert so Verbindungen zu diesen Servern.

Im Vergleich zum beliebten Pi-Hole bietet AdGuard Home mehrere Vorteile out-of-the-box:

• Verschlüsselte DNS-Verbindungen (DoH, DoT, DNSCrypt)
• Plattformunabhängigkeit
• Phishing- und Malware-Schutz
• Jugendschutz mit Filterung für Erwachseneninhalte
• Erzwingen von SafeSearch in Suchmaschinen

Einzige Einschränkung: Werbung, die denselben Domain-Namen wie der Inhalt nutzt (z.B. YouTube-Anzeigen), kann nicht blockiert werden.
Einen Vergleich zu anderen Services und eine Feature Übersicht findest du hier auf GitHub. Bei mir läuft AdGuard auf der Synology – hier findest du ein Tutorial zur Installation in Docker.

https://github.com/AdguardTeam/AdGuardHome

Distributed Llama – LLM Inference Cluster für zu Hause

Distributed Llama ist ein Open-Source-Tool, das gewöhnliche Heimgeräte zu einem leistungsstarken LLM-Inferenc-Clustern vereint. Das Besondere: Je mehr Geräte, desto schneller die Inferenz. Natürlich gibt es etwas overhead und die Performance wächst nicht linear, ne coole Sache ist es trotzdem.

Das Tool unterstützt Linux, macOS und Windows mit Optimierungen für ARM und x86_64 AVX2 CPUs. Mit einem einzigen Befehl lässt sich ein Root-Knoten einrichten, der verschiedene Modelle wie Llama 3.1, 3.2, 3.3 und DeepSeek R1 in unterschiedlichen Größen (1B bis 405B Parameter) unterstützt.

Die Architektur besteht aus einem Root-Knoten (lädt und verteilt die Modellgewichte) und Worker-Knoten (verarbeiten jeweils einen Teil des neuronalen Netzwerks). Der Arbeitsspeicherbedarf wird dabei über alle Knoten aufgeteilt.

Zu beachten: Aktuell funktioniert Distributed Llama nur mit 2^n Knoten (1, 2, 4, 8…). Hier findest du einen Lauf von Deepseek R1 Distill 8B Q40 auf vier Raspberry Pi 5 mit 8GB.

https://github.com/b4rtaz/distributed-llama

---

❓ Feedback & Newsletter Abo

Vielen Dank, dass du es bis hierhin geschafft hast!
Kommentiere gerne oder schicke mir Inhalte, die du passend findest.

Falls dir die Inhalte gefallen haben, kannst du mir gerne auf Twitter folgen.
Gerne kannst du mir ein Bier ausgeben oder mal auf meiner Wunschliste vorbeischauen – Danke!

Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren: