Willkommen zu allesnurgecloud.com – Ausgabe #220
hab ich es nicht gesagt? Davos hat mal wieder gezeigt, wie verrückt die Welt ist. Erst die 80 Minuten Clown Show, dann gibt es nun doch irgendwie einen Kompromiss. Eins ist wie gesagt sicher – verlassen kann man sich da auf gar nichts mehr.
Den Dänen geht der Streit um Grönland so auf die Nerven, dass sie nun eine App gebaut haben, mit deren Hilfe man Produkte beim Einkaufen Scannen und das Herkunftsland identifizieren kann. Die Apps heißen „UdenUSA“ oder auf English „NonUSA“ und stehen laut Deutschlandfunk Nova aktuell an der Spitze der dänischen App-Store Charts.
Die Ironie? Das ganze entstand aus einer Idee in einer Facebook Gruppe mit 100.000 Menschen. Allerdings nutzt die App selber Google Firebase, OpenAI identifiziert die Produkte und die Bezahlung läuft ebenfalls über ein US-Unternehmen.
Wenn wir also da nicht anfangen, wo dann?
Happy Bootstrapping Podcast
In der aktuellen Podcast Folge 156 spreche ich mit Jannis Johannmeier – dem Gründer der PR und Kommunikationsagentur „The Trailblazers“. Jannis hat Kampagnen für Aldi („Döner für alle“) oder auch für die Quantum Computer Firma eleQtron gemacht. Ansonsten hat er zu vielen Dinge eine starke Meinung – zum Gründen in Deutschland, Politik und Co. Er hat auch ein Buch namens „Propaganda for the Good“ geschrieben und einige Tipps für die Kommunikation und das Storytelling kleinerer Firmen am Start (Folge bei Spotify/Apple).
Wenn dir die Podcastfolgen zu lang sind, kannst du gerne auch den Newsletter dazu abonnieren – erscheint jeden Montag (in der Regel).
allesnurgecloud.com ist ein kuratierter Newsletter mit Inhalten aus der Open-Source, Cloud und IT-Welt.
Für weiteren Content folge mir gerne auf Twitter, Mastodon oder LinkedIn.
Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren:
Microsoft liefert FBI BitLocker-Keys
Forbes berichtet über einen brisanten Fall: Das FBI forderte Microsoft per Durchsuchungsbefehl auf, BitLocker-Recovery-Keys für drei Laptops herauszugeben – und Microsoft lieferte. Es ist der erste bekannte Fall dieser Art.
Das Problem im Detail: BitLocker ist auf vielen Windows-PCs standardmäßig aktiviert und verschlüsselt die gesamte Festplatte. Microsoft empfiehlt Nutzern, ihre Recovery-Keys „zur Bequemlichkeit“ in der Microsoft-Cloud zu speichern. Das macht sie angreifbar für Behördenanfragen. Microsoft bestätigt gegenüber Forbes: Rund 20 solcher Anfragen pro Jahr gehen ein. Irgendwie ein dämliches Konzept, die Keys da überhaupt zu speichern – aber klar, dass es auch genutzt wird, wenn man es anbietet.
Der Architektur-Unterschied ist entscheidend. Apple (FileVault) und Meta (WhatsApp) ermöglichen ebenfalls Cloud-Backups von Schlüsseln – aber verschlüsselt, sodass selbst sie keinen Zugriff haben. Matt Green, Kryptographie-Professor an der Johns Hopkins University, bringt es auf den Punkt:
„If Apple can do it, if Google can do it, then Microsoft can do it. Microsoft is the only company that’s not doing this.“
Senator Ron Wyden nennt es „unverantwortlich“, Produkte so auszuliefern, dass Unternehmen Verschlüsselungsschlüssel heimlich herausgeben können. Die ACLU warnt zusätzlich: Auch Regierungen mit fragwürdigen Menschenrechtsbilanzen stellen solche Anfragen.
Der Bezug zum AWS „European Sovereign Cloud“ Artikel von letzter Woche drängt sich auf. Technische Trennung und EU-Wohnsitz der Mitarbeiter helfen wenig, wenn die juristische Kontrolle beim US-Mutterkonzern liegt. Wer Schlüssel hat, wird irgendwann gefragt. Greens Fazit sollte man sich merken:
„Once the U.S. government gets used to having a capability, it’s very hard to get rid of it.“
Wie bei allem, an das man sich gewöhnt hat….
Microsoft Gave FBI Keys To Unlock Encrypted Data, Exposing Major Privacy Flaw
OpenAI skaliert PostgreSQL auf 800 Millionen ChatGPT-Nutzer
OpenAI hat einen tiefen Einblick veröffentlicht, wie sie PostgreSQL für ChatGPT und ihre API-Plattform skalieren. Die Zahlen sind beeindruckend: Ein einziger Primary-Server, knapp 50 Read Replicas weltweit verteilt, Millionen von Queries pro Sekunde, und das bei einer Last, die im vergangenen Jahr um mehr als das 10-fache gewachsen ist.
Die Architektur klingt zunächst überraschend „boring“: Single-Primary für alle Writes, Read Replicas für Lesezugriffe. Aber die Details machen den Unterschied. Schreibintensive Workloads wurden auf sharded Systeme wie Azure CosmosDB migriert. Neue Tabellen dürfen nicht mehr in PostgreSQL angelegt werden – neue Features müssen auf die Sharding-Systeme ausweichen. Bei Web.de hatten wir damals auch eine große Oracle User DB und unzählige Replicas, hat vor 20 Jahren schon gut funktioniert. Spannend, dass OpenAI hier „Boring Technology“ am Start hat.
Die typischen Failure-Patterns kennt jeder, der große Datenbanken betreibt: Cache-Misses verursachen plötzliche Last-Spikes, teure Multi-Table-Joins fressen CPU (ein Query mit 12 Joins war für mehrere SEVs verantwortlich), Write-Storms bei Feature-Launches bringen das System an seine Grenzen.
Die Gegenmaßnahmen sind ein Mix aus bewährten Patterns: PgBouncer für Connection Pooling reduziert die Verbindungszeit von 50ms auf 5ms. Cache-Locking verhindert Stampedes bei Cache-Misses. Workload-Isolation trennt High- und Low-Priority-Traffic auf separate Instanzen. Strikte Rate-Limits auf ORM-Ebene fangen problematische Queries ab, bevor sie Schaden anrichten.
Für die Zukunft arbeitet OpenAI mit Azure an Cascading Replication, um auf über 100 Replicas skalieren zu können, ohne den Primary mit WAL-Streaming zu überlasten.
Die Ergebnisse sprechen für sich:
- p99-Latenz im niedrigen zweistelligen Millisekundenbereich
- Five-Nines Availability in Production
- Nur ein SEV-0 im letzten Jahr – beim viralen Launch von ChatGPT ImageGen, als über 100 Millionen neue Nutzer in einer Woche den Write-Traffic verzehnfachten
Coole Sache – für PostgreSQL Cluster nutzen wir in der Regel das Open Source Produkt Autobase (und sponsorn da auch) – damit kann man einen PG Cluster relativ einfach auch bei Hetzner betreiben – mit Loadbalancer für Write und Read – coole Sache.
Scaling PostgreSQL to power 800 million ChatGPT users
Anzeige
Buchtipp: „The Mom Test“
The Mom Test (*) von Rob Fitzpatrick ist das perfekte Gegenstück zu „Rework“ – gleicher No-Bullshit-Ansatz, gleiche Kürze, gleiche Praxisnähe.
Die Kernthese: Frag niemanden, ob deine Geschäftsidee gut ist – das ist eine beschissene Frage, auf die jeder lügen wird. Deine Mutter sowieso, weil sie dich gern hat. Aber auch Investoren, Freunde und potenzielle Kunden erzählen dir gerne, was du hören willst.
Fitzpatrick, selbst YCombinator-Alumni, zeigt stattdessen, wie man die richtigen Fragen stellt: nicht nach Meinungen, sondern nach tatsächlichem Verhalten. Statt „Würdest du eine App für Rezepte kaufen?“ fragst du: „Wann hast du das letzte Mal nach einem Rezept gesucht? Was hat dabei genervt?“
Das Buch wird mittlerweile an Harvard und MIT gelehrt und ist Pflichtlektüre bei Seedcamp und YCombinator. Mit 122 Seiten in 2 Stunden durchgelesen – keine Frameworks, keine Theorie, nur Handwerkszeug.
Falls du also gerade ein Produkt baust oder eines bauen willst – absoluter Lesetipp.
(*) – Ja, das ist ein Amazon Affiliate-Link.
ClickHouse übernimmt Langfuse und $400M Series D
Die deutsche LLM-Observability-Plattform Langfuse wurde von ClickHouse übernommen. Für Nutzer der Open-Source-Lösung die wichtigste Nachricht vorab: Langfuse bleibt Open Source und selbst-hostbar. Es sind erstmal keine Lizenzänderungen geplant, Langfuse Cloud läuft weiter wie gehabt.
Die Übernahme ergibt technisch absolut Sinn. Mit Langfuse v3 hatte das Team bereits den Wechsel von PostgreSQL auf ClickHouse vollzogen – Postgres wurde zum Bottleneck für die Kombination aus High-Throughput-Ingestion und schnellen analytischen Queries, die LLM-Tracing erfordert. Langfuse Cloud ist bereits einer der größten ClickHouse-Cloud-Kunden.
Die Gründer Max Deichmann, Marc Klingen und Clemens Rawert betonen, dass sie eigentlich nicht verkaufen wollten – sie hatten bereits Term Sheets für eine Series A. Was sie überzeugte: Die Möglichkeit, schneller zu werden, insbesondere bei Performance, Reliability und Enterprise-Compliance. Das gesamte Team zieht zu ClickHouse um und baut Langfuse weiter – Hiring läuft in Berlin und San Francisco.
Für die Roadmap bedeutet das: Fokus auf Production Monitoring für Agenten-Systeme, kürzere Iterations-Loops zwischen Tracing, Labeling und Experiments, sowie bessere Performance für große Self-Hosted-Deployments.
Die Akquisition zeigt einen interessanten Trend: Spezialisierte Datenbanken kaufen ihre erfolgreichsten Anwendungsfälle. Langfuse hat Tausende Teams zu ClickHouse gebracht – das gibt ClickHouse jeden Anreiz, Langfuse zuverlässig und performant zu halten.
Auch und gleichzeitig hat man eine neue $400 M Dollar Series D Finanzierungsrunde angekündigt – und eben die Übernahme von Langfuse. Über ClickHouse berichte ich hier schon länger, da hatte ich glaub den richtigen Riecher – bin leider nicht investiert 🙂
cURL schafft Bug Bounties ab – AI-Slop-Flut zu groß
Daniel Stenberg, Maintainer des weit verbreiteten Kodierungsbibliothek cURL, zieht die Reißleine: Ab Ende Januar gibt es keine Bug-Bounty-Auszahlungen mehr. Der Grund: Die Flut an AI-generierten Fehlerberichten, die er als „Death by a thousand slops“ bezeichnet.
Die überwiegende Mehrheit der AI-generierten Reports sei schlicht Unsinn – aber das festzustellen kostet Zeit. Jeder Report muss geprüft werden, auch wenn er sich als Quatsch herausstellt. Stenberg gegenüber der schwedischen Elektroniktidningen:
„We spend far too much time handling slop due to findings that are not real, exaggerated, or misunderstood.“
Insgesamt wurden über die Jahre 87 Bug Reports mit 101.020 Dollar an Bounties belohnt. Stenberg kennt auch über hundert gute AI-assistierte Reports, die zu echten Korrekturen führten – das Problem ist das Signal-to-Noise-Ratio.
Interessante Perspektive: Joshua Rogers, selbst ein produktiver Bug-Hunter, der AI-Tools nutzt (aber seine Findings vor dem Einreichen prüft), findet die Entscheidung richtig:
„The real incentive for finding a vulnerability in cURL is the fame, not the hundred or few thousand dollars. $10,000 is not a lot of money for somebody capable of finding a critical vulnerability.“
Das Bounty-Problem zeigt eine unbequeme Wahrheit über AI-Tools: Sie senken die Hürde für Low-Effort-Spam genauso wie für legitime Arbeit. Open-Source-Maintainer tragen die Kosten dieser Asymmetrie. Könnten aber auch wieder mit „Gegen-Agenten“ antworten, die die Reports erstmal selber prüfen. Hätte ich zumindest gedacht – dann beschäftigen wir Maschinen mit Maschinen. Wenn das doch nur Strom erzeugen könnte….
Uptime Labs: Incident Response als trainierbare Fähigkeit
John Allspaw, Mitgründer von Adaptive Capacity Labs und ehemaliger CTO von Etsy, schreibt enthusiastisch über Uptime Labs – eine Plattform für Incident-Response-Training, die er als Advisor begleitet.
Die Kernthese ist simpel: Effektive Incident Response erfordert echte Expertise. Der Unterschied zwischen jemandem, der neu ist, und jemandem, der „schon viel seltsames Zeug gesehen hat“, ist enorm. Das Problem: Incidents passieren nicht zu bequemen Zeiten, und die wirklich herausfordernden sind selten. Wie also üben?
Was Uptime Labs von klassischen Tabletop-Exercises unterscheidet: Ihre Drills sind Staged World Scenarios – eine Methode aus dem Cognitive Systems Engineering, ursprünglich entwickelt in den 1980ern, um Expertise von Kontrollraum-Operatoren in Kernkraftwerken zu erforschen.
Die Besonderheiten: Die Drills müssen nicht die technische Architektur der eigenen Firma abbilden. Entscheidend ist, dass sie dieselbe kognitive Arbeit evozieren wie echte Incidents – Garden-Path-Probleme (Fixierung auf eine initiale Hypothese trotz neuer Informationen), Double-Bind-Situationen (alle Optionen haben Nachteile), Koordinationschaos.
Wichtig: Die Drills haben keine „Lösungen“. Sie sind keine Choose-Your-Own-Adventure-Puzzles mit vordefinierten Pfaden. Echte Incidents sind ill-structured problems – es gibt keinen einzelnen korrekten Weg, sondern multiple viable approaches.
Die Methode wurde in Healthcare, Aviation, Raumfahrt und Emergency Management eingesetzt. Uptime Labs ist der erste Anbieter, der sie auf Software anwendet.
Uptime Labs: Building Expertise in Incident Response
Let’s Encrypt: TLS-Zertifikate jetzt auch für IP-Adressen
Gute Nachrichten für Self-Hoster: Let’s Encrypt stellt ab sofort TLS-Zertifikate für IP-Adressen aus – sowohl IPv4 als auch IPv6. Bisher waren öffentlich vertrauenswürdige Zertifikate fast ausschließlich an Domain-Namen gebunden. Das ändert sich jetzt.
Der Clou: IP-Zertifikate sind zwingend kurzlebig – nur 160 Stunden (knapp 6 Tage) Gültigkeit. Die Begründung: IP-Adressen wechseln häufiger den Besitzer als Domains. Kürzere Laufzeiten reduzieren das Risiko, dass fehlerhaft ausgestellte oder veraltete Zertifikate im Umlauf bleiben.
Parallel dazu sind auch Short-Lived Certificates für Domains jetzt allgemein verfügbar (opt-in über das shortlived-Profil im ACME-Client). Statt 90 Tagen nur 6 Tage Gültigkeit – das begrenzt den Impact kompromittierter Keys by Design, nicht durch Revocation.
Für die Praxis: Wer ein IP-Zertifikat will, braucht einen ACME-Client (z.B. Certbot) mit Support für das shortlived-Profil. Validierung läuft über HTTP-01 oder TLS-ALPN-01 Challenges.
Zusätzlich bestätigt Let’s Encrypt den bereits angekündigten Plan, die Standard-Zertifikatslaufzeit in den kommenden Jahren von 90 auf 45 Tage zu reduzieren.
Warum das relevant ist: Für Homelabs, temporäre Testsysteme oder kurzzeitig exponierte Dienste entfällt der Umweg über Domain-Registrierung und DNS-Management. HTTPS direkt auf die IP – das vereinfacht vieles.
Let’s Encrypt Launches IP Address Certificates With 6-Day Lifetimes
Ergänzend: Gute Zahlen bei Stack Overflow dank KI Daten
Ergänzend zur Stack Overflow Niedergang News von letzter Woche hat mir Johannes eine andere Perspektive auf die Firma hinter Stack Overlflow geschickt.. Während das Q&A-Forum stirbt, hat sich Stack Overflow als Unternehmen erstaunlich gut gehalten. Sherwood News berichtet: Der Jahresumsatz hat sich auf 115 Millionen Dollar verdoppelt, die Verluste schrumpften von 84 Millionen (2023) auf 22 Millionen Dollar – allerdings auch durch massive Layoffs.
Das Geschäftsmodell hat sich komplett gewandelt. Statt Werbeeinnahmen aus dem Forum verdient Stack Overflow jetzt mit Enterprise-Lösungen wie „Stack Internal“ (ein GenAI-Add-on, das auf dem historischen Q&A-Archiv basiert, genutzt von 25.000 Unternehmen) und Datenlizenzierung an AI-Firmen – ähnlich wie Reddit, das 2024 über 200 Millionen Dollar mit User-Generated-Content-Lizenzen machte.
CEO Prashanth Chandrasekar zur Strategie: Die einfachen Fragen sind zu den LLMs abgewandert. Aber komplexe Fragen werden weiterhin auf Stack Overflow gestellt, „because there’s no other place.“
Die Ironie ist irgendwie schon witzih: Die LLMs, die Stack Overflow als Forum getötet haben, brauchen genau diese historischen Daten zum Training. Stack Overflow verkauft ihnen jetzt das Wissen, das die eigene Community über 15 Jahre aufgebaut hat. Ein faszinierendes Beispiel für die zirkuläre Logik der AI-Ökonomie.
Jetzt bleibt nur die Frage, wie das in Zukunft weitergeht – wird die KI neue Sprachen, deren Probleme und Best-Practices alleine durch die Dokumentationen und Blog Einträge lernen können? Wie lernt die KI das Thema ohne Stack Overflow und co?
Vielleicht abonniert sie ja einfach „allesnurgecloud“ und andere Newsletter…
Stack Overflow’s forum is dead thanks to AI, but the company’s still kicking… thanks to AI
2026: Das Jahr des Self-Hostings – dank CLI-Agenten
Jordan Fulghum, Software-Entwickler, proklamiert 2026 zum „Year of Self-hosting“ – und die Begründung ist überzeugend: CLI-Agenten wie Claude Code machen die Einrichtung eines Homeservers dramatisch einfacher.
Drei Faktoren konvergieren: Günstige, leise Mini-PCs unter 500 Dollar (Fulghum nutzt einen Beelink Mini N150), Tailscale für einfaches, sicheres Networking, und KI-Agenten, die Docker-Syntax, Compose-Konfigurationen und Reverse-Proxy-Setup übernehmen. Statt alte Blogposts zusammenzuklauben, beschreibt man einfach das gewünschte Ergebnis.
Was läuft auf seinem Server:
- Vaultwarden statt Bitwarden Cloud
- Immich als Google-Photos-Ersatz (mit lokaler Gesichtserkennung)
- Plex für Medien
- Readeck als Pocket-Nachfolger (RIP)
- Home Assistant, Uptime Kuma, Caddy
Das Bemerkenswerte: Fulghum bat Claude Code, ein Custom-Dashboard zu bauen – one-shotted, eine Go/Svelte-App mit Service-Status und Backup-Monitoring. Backups? Lokal auf USB plus wöchentlich nach S3 Glacier Deep für 20 Cent pro Monat.
Sein Fazit: „I am spending time using software and having fun – instead of maintaining it.“ Die 14 Container nutzen weniger als 10% CPU. Für technikaffine Nutzer, die SaaS-Tools bezahlen, aber keine Infra-Experten werden wollen, sei Self-Hosting erstmals nicht nur machbar, sondern tatsächlich spaßig.
Immich wollte ich mir endlich auch mal anschauen, hatte ich schon mal im Newsetter erwähnt – falls du Nutzer bist, schreib mir gerne, wie das läuft – Danke!
2026 is the Year of Self-hosting
Schmunzelecke
„I put AI in a security camera“ bei Instagram ist ganz nett – Ton anmachen, geht auch ohne Account im privaten Modus, falls du sonst nicht auf der Plattform unterwegs bist. Ob der Typ schon mal wirklich wo eingebrochen ist und dabei den Zahn verloren hat?
💡 Link Tipps aus der Open Source Welt
ttl – Modernes Network Diagnostic Tool
ttl ist ein in Rust geschriebenes Traceroute-Tool der nächsten Generation mit Echtzeit-TUI, das weit über klassisches traceroute und mtr hinausgeht. Das Tool bietet kontinuierliches Path Monitoring mit detaillierten Hop-Statistiken, MTU Discovery, NAT-Erkennung, Route Flap Detection und automatische Anreicherung mit ASN, GeoIP und Internet Exchange Point Informationen.
Und es sieht noch cool aus dabei – siehe Screenshot.
Features:
- Fast Continuous Path Monitoring mit Per-Hop-Statistiken und Sparklines
- Multiple Simultaneous Targets – mehrere Ziele parallel tracen
- Paris/Dublin Traceroute – Multi-Flow Probing für ECMP Path Enumeration
- Path MTU Discovery – Binary Search für Maximum Unfragmented Size
- NAT Detection – Erkennt Source Port Rewrites durch NAT-Geräte
- Route Flap Detection – Alerts bei Routing-Instabilitäten
- Rich Enrichment – ASN, GeoIP, Reverse DNS, IX Detection via PeeringDB
- MPLS Label Detection aus ICMP Extensions
- ICMP/UDP/TCP Probing mit Auto-Detection
- 11 Built-in Themes (Dracula, Nord, Gruvbox, Catppuccin, Tokyo Night…)
- Export Formats (JSON, CSV, Text) für Scripting und CI/CD
- Session Replay via
--replay results.json - Transparent Proxy Detection durch TTL Manipulation
Das hilft mir nun bei der Analyse der Netzbremse total und sieht auch noch schick aus. Und dass die PeeringDB Integration am Start ist, ist wirklich cool, da kann man deutlich einfacher debuggen, welchen Weg die Pakete gehen. Eigentlich eine Pflichtinstallation für jeden SRE und Network Engineer (cargo install ttl oder brew install lance0/tap/ttl)
kspec – Enterprise-Grade Policy-as-Code Engine
kspec ist eine moderne Policy-Engine für automatisierte Security-Validierung über Multi-Cloud-, SaaS- und Netzwerk-Infrastrukturen. Die in Go geschriebene CLI-Lösung ermöglicht Policy-as-Code mit CEL-Expressions und überprüft Security-Posture konsistent über AWS, Azure, M365, GitHub, Hetzner Cloud, Cloudflare und weitere Provider.
Features:
- Multi-Cloud Support (AWS 50+ Services, Azure, M365, GitHub, Hetzner, Cloudflare, Atlassian, Factorial HR)
- Policy-as-Code mit CEL (Common Expression Language) Queries in YAML
- Resource Discovery ohne Policy-Evaluation via
kspec discover - Interactive TUI mit Real-time Progress und Results
- High Performance durch Adaptive Concurrency und Rate Limiting
- Export Formats (CSV, XLSX, JSON, HTML) für Compliance Reports
- CI/CD-Ready mit
--no-uiMode und Structured Logging - Network Provider für TLS, DNS, HTTP und Certificate Validation
- SBOM-Scanner für Vulnerability- und License-Checks
- Extensible Provider Architecture mit Self-Registration Pattern
Implementierungs-Beispiele:
# AWS Account scannenexport AWS_ACCESS_KEY_ID="..." AWS_SECRET_ACCESS_KEY="..."kspec scan aws account -f policies/aws-security.yml
#Resources ohne Policy Check discovernkspec discover github org <org-name> -o json
# Export als HTML Reportkspec scan azure subscription <id> -f policies/azure-security.yml -o report.html
Die Kombination aus Multi-Cloud-Support, flexiblem Policy-Framework und vielfältigen Export-Optionen macht es zur idealen Wahl für Enterprise-Security-Teams. Besonders cool: Die adaptive Concurrency-Steuerung und die neuen standalone HTML-Reports für Stakeholder ohne CLI-Zugriff. Elastic License 2.0 erlaubt kommerzielle Nutzung, verbietet jedoch Managed-Service-Angebote.
https://github.com/kopexa-grc/kspec
❓ Feedback & Newsletter Abo
Vielen Dank, dass du es bis hierhin geschafft hast!
Kommentiere gerne oder schicke mir Inhalte, die du passend findest.
Falls dir die Inhalte gefallen haben, kannst du mir gerne auf Twitter folgen.
Gerne kannst du mir ein Bier ausgeben oder mal auf meiner Wunschliste vorbeischauen – Danke!
Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren: