heise developer News

KanDDDinsky 2025: Eindrücke von Europas DDD-Community-Konferenz

2025-10-28T14:23:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Event Sourcing, CQRS und DDD sind keine Nische mehr. Ein Erfahrungsbericht von der KanDDDinsky 2025 in Berlin mit mehr als 250 Teilnehmenden.

(Bild: sabthai/Shutterstock.com)

15:23 Uhr

Lesezeit: 6 Min.

Developer

Von

Golo Roden

Vergangene Woche waren mein Kollege Rendani und ich im Berliner nhow Hotel, zusammen mit rund 250 bis 300 anderen Menschen, die unsere Leidenschaft für Domain-Driven Design (DDD), Event Sourcing und durchdachte Softwarearchitektur teilen. Auf der KanDDDinsky 2025 war unsere erste Teilnahme an dieser Konferenz – nicht nur als Besucher, sondern als Sponsoren und Aussteller für die von uns entwickelte Datenbank EventSourcingDB.

Ein anderes Konferenzformat

Was uns sofort ins Auge fiel, war die Herangehensweise an die Zeitplanung. Statt des typischen Konferenzformats mit einheitlichen Session-Längen schufen die Organisatoren eine Puzzle-artige Agenda, die 50-minütige Vorträge mit 120-minütigen Hands-on-Workshops kombinierte. Die Sessions liefen in vier parallelen Tracks.

Golo Roden ist Gründer und CTO von the native web GmbH. Er beschäftigt sich mit der Konzeption und Entwicklung von Web- und Cloud-Anwendungen sowie -APIs, mit einem Schwerpunkt auf Event-getriebenen und Service-basierten verteilten Architekturen. Sein Leitsatz lautet, dass Softwareentwicklung kein Selbstzweck ist, sondern immer einer zugrundeliegenden Fachlichkeit folgen muss.

Dieses Format eröffnet interessante Wahlmöglichkeiten für die Teilnehmerinnen und Teilnehmer. Theoretisch ließ sich zwar zwischen Sessions wechseln, praktisch sah die Sache jedoch anders aus. Einen zweistündigen Workshop auf halbem Weg zu verlassen, um einen Vortrag mitzunehmen, ergibt nur bedingt Sinn – auch wenn wir beobachteten, dass einige Teilnehmer sich leise zur Halbzeit aus Vorträgen verabschiedeten, um eine andere Session zu besuchen. Eine elegante Lösung, die sowohl tiefgehende Einblicke als auch schnellen Wissensaustausch ermöglicht – etwas, das uns in dieser Form auf anderen Konferenzen bisher nicht begegnet ist.

Ebenso durchdacht war die viertägige Struktur: Workshops am Dienstag (21. Oktober), die Hauptkonferenz am Mittwoch und Donnerstag (22.-23. Oktober) und ein Open Space am Freitag (24. Oktober). Diese Progression von fokussiertem Lernen über breite Exploration bis hin zu Community-getriebener Konversation zeigt, wie sorgfältig die Organisatoren darüber nachgedacht haben, wie Menschen tatsächlich mit Konferenzen interagieren möchten.

Videos by heise

Die Content-Landschaft

Die Bandbreite der Themen auf der zweitägigen Agenda war beeindruckend. Der Mittwoch startete mit einer interaktiven Keynote zur Modellierung in Software- und menschlichen Systemen, während der Donnerstag Vorträge von Ian Coopers "The Emissary" bis hin zu Eric Evans höchstpersönlich über "AI and Tackling Complexity" bot. Die Klassiker waren natürlich vertreten – CQRS, Event Sourcing, DDD-Pattern – standen aber gleichberechtigt neben Sessions zu Wardley Mapping, kollaborativer Modellierung, hexagonaler Architektur und Organisationsdesign.

Über beide Tage hinweg kristallisierten sich mehrere Themen heraus. Vor allem die Schnittstelle von KI und DDD ließ sich kaum ignorieren: Rinat Abdullins "When DDD Met AI: Practical Stories from Enterprise Trenches", Eric Evans über die Bewältigung von Komplexität mit KI und Hila Fox' Diskussion sozio-technischer Systeme im KI-Zeitalter – alle deuteten auf eine Community hin, die sich aktiv damit auseinandersetzt, wie diese Welten aufeinanderprallen. Der Hands-on-Workshop "Epic Systems Design: Surviving Complexity" von Jacqui und Steven Read fand am Donnerstag statt, ebenso wie eine reflektierende Session unter dem Titel "Over 20 Years of DDD – What We Know, What We Do, What Needs to Change", quasi eine Meta-Konversation über die Praxis selbst.

Besonders interessant fanden wir, wie natürlich dabei KI ihren Weg in den Diskurs fand. Sessions wie Marco Heimeshoffs "Hybrid Intelligence" und die verschiedenen KI-fokussierten Vorträge wurden nicht als Neuheiten behandelt, sondern als natürliche Erweiterungen der Kernthemen der Community. Das passt perfekt zu unserer Arbeit an eventsourcing.ai, wo wir thematisieren, wie KI und Event-getriebene Architekturen einander sinnvoll ergänzen können. Die Vorteile Event-getriebener Architekturen für KI-Anwendungen – Nachvollziehbarkeit, Time-Travel-Debugging, deterministische Replays – werden anscheinend zunehmend offensichtlich.

Die Closing Keynote am Donnerstag von Alberto Brandolini über "DDD Lessons from ProductLand" rundete die Hauptkonferenztage ab: Eine der Koryphäen der Community reflektierte darüber, wie sich DDD-Erkenntnisse jenseits der reinen Softwareentwicklung anwenden lassen.

Die Konferenz fand vollständig auf Englisch statt, was ihren international geprägten Charakter widerspiegelt. Die Teilnehmer kamen hauptsächlich aus Europa – Deutschland, Österreich, Italien und darüber hinaus – und bildeten eine diverse, aber kohärente Community. Dass Inklusion den Organisatoren wichtig ist, zeigte sich sowohl im Speaker-Lineup als auch in der Art, wie die Veranstaltung strukturiert war.

Die größere Erkenntnis

Vielleicht war unsere wichtigste Einsicht aus diesen Tagen gar nicht technischer Natur – es ging um die Community selbst. Manchmal hört man die Einschätzung, DDD, CQRS und Event Sourcing seien Nischeninteressen, die von einer kleinen Gruppe Enthusiasten in isolierten Ecken praktiziert würden.

Die KanDDDinsky widerlegte diese Wahrnehmung eindrücklich. Ja, diese Ansätze sind nicht das, was alle machen. Sie sind nicht der Standard, der mit jedem Framework ausgeliefert oder in jedem Bootcamp gelehrt wird. Aber sie sind auch keineswegs exotisch. Wenn man sich in diesem pink getönten Konferenzraum umsah und Hunderte von Menschen aus zahllosen Unternehmen und Ländern beobachtete, wurde die Realität offensichtlich: Dies ist eine substanzielle, wachsende Community mit handfester Erfahrung im Bau von Produktivsystemen.

Die Gespräche, die wir führten, waren dabei alles andere als theoretisch: Menschen lösen konkrete Probleme mit diesen Pattern. Sie ringen mit echten Trade-offs, teilen ihre Erfahrungen aus dem Alltag und lernen aus den Erfolgen und Misserfolgen der anderen. Dies ist ein ausgereifter Praxisbereich, keine experimentelle Spielwiese.

Für uns hat diese Bestätigung Gewicht. Wir bauen EventSourcingDB, weil wir überzeugt sind, dass Event Sourcing und CQRS erstklassige Tooling-Unterstützung verdienen. Die Größe und das Engagement dieser Community zu erleben, bestätigt uns darin, dass echte Nachfrage nach Tools besteht, die diese Pattern zugänglicher machen.

Ausblick

Die beiden Konferenztage setzten einen starken Akzent, wobei der Open Space am Freitag noch bevorstand, um die Gespräche in einem offeneren Format fortzuführen. Die Mischung aus Vorträgen und Workshops schuf natürliche Rhythmen – intensive Lernsessions, gefolgt von Networking und Zeit zum Verdauen. Die Location funktionierte einwandfrei, die Organisation lief reibungslos, und die Community war einladend.

Wir verarbeiten noch immer all das, was wir gelernt haben, und all die Menschen, die wir kennengelernt haben. Das ist das Zeichen einer guten Konferenz – wenn man mit mehr Fragen als Antworten nach Hause fährt und mehr Kontakte geknüpft hat, als man sofort nachverfolgen kann.

Die KanDDDinsky 2025 hat uns einen Einblick in diese Zukunft gegeben, und sie sieht vielversprechend aus: dicht, erfüllt und summend vor Ideen – genau so, wie wir es mögen. Wir freuen uns bereits darauf, diese Gespräche fortzusetzen und zu beobachten, wie diese Community die nächste Generation Event-getriebener Systeme prägt.

(rme)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Infrastructure-as-Code: Die neue Plattform formae soll Terraform & Co. ablösen

2025-10-28T14:10:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Die Open-Source-Plattform formae will bestehende IaC-Ansätze reformieren und vereinfachen. Platform Engineering Labs tritt damit in Konkurrenz zu Terraform.

(Bild: Erzeugt mit Midjourney durch heise medienwerk)

15:10 Uhr

Lesezeit: 3 Min.

Developer

Von

Matthias Parbel

Das Unternehmen Platform Engineering Labs kündigt formae als neue Infrastructure-as-Code-Plattform (IaC) an. Der offiziellen Verlautbarung zufolge soll sie die Einschränkungen ("fundamentale Unzulänglichkeiten") von Tools wie Terraform reformieren und einen grundlegend neuen Weg beschreiten: Die unter der FSL-Lizenz (Fair Source) veröffentlichte quelloffene Software verspricht, bestehende Cloud-Infrastrukturen automatisch zu erkennen und in verwaltbaren Code zu überführen. Damit sei formae die erste IaC-Plattform, die sich nicht auf einen idealisierten Plan stütze, sondern von der Realität ausgehe, wie Pavlo Baron, Mitgründer und CEO von Platform Engineering Labs, erklärt.

Das Programm der CLC, vom 18. bis 20. November 2025 in Mannheim, deckt alle Themen rund um Platform Engineering und Developer Experience ab. Tickets und weitere Informationen auf der CLC-Website.

Automatische Infrastruktur-Erkennung als Kernfunktion

Während Terraform und vergleichbare IaC-Werkzeuge auf manuell erstellten Konfigurationsdateien basieren, soll formae automatisch die gesamte bestehende Cloud-Infrastruktur einer Organisation erfassen und in Code überführen – unabhängig davon, wie diese ursprünglich erstellt wurde. Die Plattform arbeitet mit sogenannten "formas", versionierten Code-Artefakten, die sowohl temporär als auch dauerhaft gespeichert werden können. Laut dem Entwicklungsteam eliminiert dieser Ansatz das Problem der State-Dateien, die bei Terraform häufig zu Inkonsistenzen zwischen dem geplanten und dem tatsächlichen Zustand der Infrastruktur führen.

Die neue Plattform soll dabei nicht nur einfach die Komplexität vom Development zum Betrieb hin verlagern, sondern tatsächlich die kognitive Belastung sowohl für Entwicklungs- als auch für Betriebsteams reduzieren. Dazu trägt Platform Engineering Labs zufolge eine Agent-basierte Architektur bei, die Änderungs- und Zustandsverwaltung von den Clients entkoppelt. Auf diese Weise sei eine sorgfältige, asynchrone Annäherung an den erklärten Zielzustand möglich. Um zudem das Risiko verminderter Zuverlässigkeit bei Infrastrukturänderungen gering zu halten, setzt formae auf Patch-basierte Updates, die sich präzise und inkrementell mit minimalem Ausmaß durchführen lassen.

Die IaC-Plattform formae verspricht eine Vereinheitlichung aller Ressourcen für Infrastructure-as-Code.

(Bild: Platform Engineering Labs)

IaC-Markt: Terraform unter Druck

Die Ankündigung von formae erfolgt in einer Zeit, in der der IaC-Markt in Bewegung ist. Terraform-Hersteller HashiCorp – seit dem Frühjahr 2025 ein Teil von IBM – hatte 2023 seine Lizenzierung von der Mozilla Public License (MPL) auf die umstrittene Business Source License (BSL) umgestellt. Darauf reagierte die Community mit dem Open-Source-Fork OpenTofu, der inzwischen unter der Schirmherrschaft der Cloud Native Computing Foundation steht und zudem von einer wachsenden Zahl von Unternehmen Unterstützung erfährt.

Unterdessen arbeitet HashiCorp an neuen Funktionen für Terraform, darunter die Integration mit Ansible und erweiterte Such- und Import-Möglichkeiten für bestehende Cloud-Ressourcen. Die jüngsten Entwicklungen deuten darauf hin, dass HashiCorp den Fokus vermehrt auf KI-Integration legt, etwa durch das interne Projekt "Infragraph", das als vollständiges Infrastruktur-Inventar für das KI-Training dienen soll.

Verfügbarkeit und Community

Mit formae strebt Platform Engineering Labs eine Vereinheitlichung aller Ressourcen für Infrastructure-as-Code an, unabhängig davon, ob diese über Patches mit minimalem Auswirkungsradius, Terraform, OpenTofu, Pulumi, ClickOps oder Legacy-Skripte erstellt wurden. Die Plattform soll die Grundlage für ein offenes und erweiterbares Ökosystem schaffen.

formae ist ab sofort auf GitHub verfügbar. Community-Diskussionen finden auf Discord statt. Die FSL-Lizenz habe Platform Engineering Labs gewählt, um Entwicklerinnen und Entwicklern zunächst alle Möglichkeiten offenzuhalten, sich intensiv und uneingeschränkt mit der Software auseinanderzusetzen – auch eigene Beiträge dazu zu leisten – und gleichzeitig ein nachhaltiges kommerzielles Modell zu ermöglichen.

(map)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Python-Webframework: Django-Developer nutzen zunehmend HTMX und Alpine.js

2025-10-28T11:54:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Das Webframework für Python feiert schon seinen 20. Geburtstag. Eine neue Studie zeigt, welche JavaScript-Libraries am häufigsten damit kombiniert werden.

(Bild: Funtap / Shutterstock.com)

12:54 Uhr

Lesezeit: 3 Min.

Developer

Von

Maika Möbus

Die Django Software Foundation und das Team hinter der Python-Entwicklungsumgebung JetBrains PyCharm haben die Ergebnisse zur Umfrage "State of Django 2025" veröffentlicht. Weltweit haben gut 4600 Entwicklerinnen und Entwickler teilgenommen, die Django verwenden – ein Open-Source-Webframework für die Programmiersprache Python. Die Studie zeigt die Trends und Tools im Django-Ökosystem: React und jQuery erweisen sich als die beliebtesten JavaScript-Bibliotheken, doch HTMX und Alpine.js holen auf und auch die KI-Verwendung nimmt zu.

(Bild: jaboy/123rf.com)

Call for Proposals für die enterJS 2026 am 16. und 17. Juni in Mannheim: Die Veranstalter suchen nach Vorträgen und Workshops rund um JavaScript und TypeScript, Frameworks, Tools und Bibliotheken, Security, UX und mehr. Vergünstigte Blind-Bird-Tickets sind bis zum Programmstart erhältlich.

Django-Developer nutzen zunehmend KI

Während laut der Studie knapp 80 Prozent der befragten Developer weiterhin die offizielle Dokumentation unter djangoproject.com als ihre Lernquelle nutzen, sind KI-Tools mit 38 Prozent auf dem Vormarsch und haben sowohl Blogs (33 Prozent) als auch Bücher (22 Prozent) überholt.

The State of Django 2025: Django-Entwicklerinnen und -Entwickler informieren sich vorrangig mittels der offiziellen Dokumentation.

(Bild: Django Software Foundation/JetBrains PyCharm)

In der Entwicklung mit Django sind KI-Tools ebenfalls beliebt, insbesondere für Aufgaben wie Autovervollständigung, Codegenerierung und das Schreiben von Boilerplate-Code. Beispielsweise nutzen 69 Prozent der Befragten ChatGPT und 34 Prozent GitHub Copilot. Wie die Studienmacher vermuten, wird sich im nächsten Jahr eine noch stärkere KI-Nutzung zeigen.

Videos by heise

JavaScript: React und jQuery an der Spitze, HTMX und Alpine.js im Aufwind

In Kombination mit Django kommen wie bereits in den Vorjahren am häufigsten die JavaScript-Bibliotheken React und jQuery zum Einsatz. Allerdings zeigt sich ein deutlicher Anstieg in der Nutzung von HTMX und Alpine.js, die beide den Ansatz serverseitiger Templates verfolgen. Seit 2021 hat HTMX von fünf auf 24 Prozent zugelegt, Alpine.js von drei auf 14 Prozent. Das anstehende Release Django 6.0 wird offiziellen Support für Template Partials bieten, was die Kombination mit HTMX und Alpine.js als gangbare Alternative offenbar weiter festigen wird.

The State of Django 2025: Diese JavaScript-Frameworks nutzen Django-Developer.

(Bild: Django Software Foundation/JetBrains PyCharm)

Zu den weiteren Funden der Studie zählt, dass Django-Developer tendenziell sehr erfahren sind: Knapp ein Drittel arbeitet bereits mindestens elf Jahre mit dem Framework. Zudem kommt Django hauptsächlich beruflich zum Einsatz. Diese und weitere Ergebnisse präsentiert der JetBrains-Blog.

20 Jahre Django – mit inklusiver Community

Bei Django handelt es sich um ein High-Level-Webframework für die Programmiersprache Python, mit Fokus auf Schnelligkeit, Sicherheit und Skalierbarkeit. Am 13. Juli 2025 hat Django bereits sein zwanzigjähriges Jubiläum gefeiert. Wie das Django-Team in dem Zuge ankündigte, sind auch in Zukunft viele Releases mit mehreren Jahren Support sowie Tausende neue Packages im Django-Ökosystem zu erwarten – in einer großen, inklusiven Online-Community.

Auch die Python Software Foundation, die hinter der Programmiersprache steht, legt Wert auf eine vielfältige Entwicklergemeinschaft. Erst kürzlich wurde bekannt, dass sie einen Antrag auf Fördergelder der US-Regierung aufgrund von Anti-DEI-Vorgaben (Diversity, Equity and Inclusion) zurückgezogen hat.

Siehe auch:

Django bei heise Download
Python: Download schnell und sicher von heise.de

(mai)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Software Testing: Dynamische Analyse für Embedded Systems

2025-10-28T09:44:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Richard Seidl diskutiert in dieser Podcastepisode mit Alexander Weiss und Martin Heininger über die Tücken beim Test von Gerätefirmware.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.

Podcasts immer laden

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Podigee GmbH) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

10:44 Uhr

Lesezeit: 1 Min.

Developer

Von

Richard Seidl
Alexander Weiss
Martin Heininger

In dieser Episode des Podcasts Software Testing sprechen Richard Seidl, Alexander Weiss und Martin Heininger über die Praxis moderner Embedded Systems Tests. Geräte im Test zu simulieren hilft, hat aber Grenzen, beispielsweise im Bereich Safety.

Ein Problem ist die Beobachtbarkeit: Klassische Instrumentierung bläht Code auf und verändert Laufzeiten. Ihr Gegenentwurf lautet Embedded Trace. Die CPU funkt Ereignisse hardwareseitig nach außen, ein Field-Programmable Gate Array (FPGA) wertet live aus. So lässt sich Code-Coverage im Integrationstest auf echter Hardware messen.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.

Podcasts immer laden

Bei diesem Podcast dreht sich alles um Softwarequalität: Ob Testautomatisierung, Qualität in agilen Projekten, Testdaten oder Testteams – Richard Seidl und seine Gäste schauen sich Dinge an, die mehr Qualität in die Softwareentwicklung bringen.

Videos by heise

Die aktuelle Ausgabe ist auch auf Richard Seidls Blog verfügbar: "Dynamische Analyse für Embedded Systems – Alexander Weiss, Martin Heininger" und steht auf YouTube bereit.

(mdo)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

DEI-Abschaffung in den USA: Python Software Foundation zieht Förderantrag zurück

2025-10-28T09:03:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Die PSF verzichtet auf mögliche Fördergelder, weil die Vorgaben dafür explizit Programme zur Förderung der Chancengleichheit nach dem DEI verbieten.

(Bild: TierneyMJ/Shutterstock.com)

10:03 Uhr

Lesezeit: 3 Min.

Developer

Von

Rainald Menge-Sonnentag

Die Python Software Foundation (PSF) hat einen Anfang des Jahres gestellten Antrag auf Fördergelder der US-Regierung zurückgezogen.Konkret hatte die PSF bei der National Science Foundation der US-Regierung 1,5 Millionen US-Dollar Fördergelder nach dem Safety, Security, and Privacy of Open-Source Ecosystems (Safe-OSE) beantragt. Das Programm soll die Sicherheit in Open-Source-Ökosystemen stärken und gegen Angriffe schützen.

Nach einigen Monaten wurde der Antrag offenbar für die Förderung empfohlen. Laut des PSF-Blogs sind nur 36 Prozent, also gut ein Drittel, aller Erstanträge erfolgreich.

Inakzeptable Bedingungen für die Förderung

Die anfängliche Freude wich allerdings schnell ernsten Bedenken, als die Stiftung die Bedingungen für die Förderung zugesandt bekam.

Konkret fand sich darin die Aussage, dass geförderte Organisationen "keine Programme durchführen und während der Laufzeit dieser finanziellen Unterstützung auch keine Programme durchführen werden, die DEI oder eine diskriminierende Gleichstellungsideologie fördern oder unterstützen, die gegen die Bundesgesetze gegen Diskriminierung verstößt".

Trumps Kampf gegen DEI

DEI steht für Diversity, Equity and Inclusion, also Vielfalt, Gerechtigkeit und Inklusion. Es geht vor allem darum, unterrepräsentierte Gruppen zu fördern. Kurz nach dem Start seiner zweiten Amtszeit hat US-Präsident Donald Trump in seinem Kampf gegen "Wokeness" die DEI-Programme massiv eingeschränkt. In der Ankündigung auf der offiziellen Seite des Weißen Hauses ist von "illegalen und unmoralischen Diskriminierungsprogrammen" die Rede, die von der Biden-Administration erzwungen worden seien.

Die Bedingungen für die Förderungen inklusive der Anti-DEI-Vorgaben gelten nicht nur für die Security-Bemühungen, sondern für die gesamte Arbeit der geförderten Organisationen.

Widerspruch zur Mission der PSF

Die Python Software Foundation hat die Chancengleichheit in ihrem offiziellen Mission-Statement verankert. Darin heißt es "Die Mission der Python Software Foundation besteht darin, die Programmiersprache Python zu fördern, zu schützen und weiterzuentwickeln sowie das Wachstum einer vielfältigen und internationalen Gemeinschaft von Python-Programmierern zu unterstützen und zu erleichtern."

(Bild: Python Software Foundation)

Der Autor der Programmiersprache Python Guido van Rossum hat am 6. März 2001 die Python Software Foundation als US-amerikanischen Non-Profit-Organistion gegründet.

Die PSF kümmert sich um die Weiterentwicklung von Python und verwaltet zudem den Paketmanager Python Package Index (PyPI). Letzterer ist ebenso wie der JavaScript-Paketmanager npm immer wieder Ziel von Supply-Chain-Angriffen.

Laut des Blogbeitrags hat die PSF keinen Weg gefunden, die Fördergelder zu erhalten und gleichzeitig an der Mission festzuhalten. Da sie zu dem Schluss gekommen sei, dass sie die Gelder nicht annehmen kann, ohne ihre eigene Mission zu verraten.

Die PSF ist nicht die erste Organisation, die ihren Fördergeldantrag wegen der Bedingungen zurückzieht. Im Juni war die in Deutschland wenig bekannte Organisation The Carpentries denselben Schritt gegangen. The Carpentries bietet Trainings für Softwareentwicklung und Data Science an, und stellt alle Schulungsmaterialien unter der Creative-Commons-Lizenz bereit.

Videos by heise

Die Gelder der National Science Foundation wären nicht die erste finanzielle Unterstützung für die Python Software Foundation zur Förderung der Sicherheit gewesen. Im Juni 2022 hatte die Open Source Security Foundation (OpenSSF), die unter dem Dach der Linux Foundation steht, die PSF mit 400.000 US-Dollar unterstützt.

(rme)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Firefox: Neue Erweiterungen müssen Datenerhebung offenlegen

2025-10-27T12:51:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Ab November müssen neue Firefox-Erweiterungen im Manifest angeben, welche Nutzerdaten sie erheben. Und bald gilt die Regelung auch für bestehende Extensions.

(Bild: David Esser/Shutterstock.com)

27.10.2025, 13:51 Uhr

Lesezeit: 2 Min.

iX Magazin

Von

Moritz Förster

Ab dem 3. November 2025 müssen Entwickler neuer Firefox-Erweiterungen in der Manifest-Datei deklarieren, welche persönlichen Nutzerdaten ihre Software erhebt oder überträgt. Die Angaben müssen im Schlüssel browser_specific_settings.gecko.data_collection_permissions der manifest.json hinterlegt werden.

Zunächst gilt die Regelung ausschließlich für neu eingereichte Erweiterungen. Updates bestehender Add-ons sind vorerst von der Pflicht ausgenommen. Ferner müssen Extensions, die keine Daten sammeln, dies explizit durch den Eintrag "none required" deklarieren. Sobald eine Erweiterung erstmals die neuen Schlüssel verwendet, sind diese für alle künftigen Versionen verpflichtend.

Firefox zeigt die vom Entwickler deklarierten Informationen künftig bereits beim Installationsdialog an – zusammen mit den angeforderten Berechtigungen. Zusätzlich werden die Angaben auf der Detailseite der jeweiligen Erweiterung auf addons.mozilla.org sowie im Bereich "Berechtigungen und Daten" der about:addons-Seite in Firefox sichtbar. Damit setzt Mozilla die im April angekündigte Standardisierung der Datenerhebungs-Dialoge um.

Für Erweiterungen, die noch ältere Firefox-Versionen vor 140 (Desktop) beziehungsweise 142 (Android) unterstützen, gelten Übergangsregelungen: Entwickler müssen Nutzern in diesem Fall weiterhin unmittelbar nach der Installation eine eigene Möglichkeit zur Kontrolle der Datenerhebung anbieten.

Konsequenzen bei fehlenden Angaben

Extensions, die die erforderlichen Deklarationen nicht korrekt setzen, werden künftig nicht mehr zur Signierung auf addons.mozilla.org zugelassen. Das System weist Entwickler in diesem Fall mit einer Fehlermeldung auf das Problem hin. Mozilla will so sicherstellen, dass Nutzer vor der Installation transparent über den Umgang mit ihren Daten informiert werden.

Die im Extension Workshop veröffentlichte Dokumentation zeigt Entwicklern, welche konkreten Datentypen sie deklarieren müssen. Hierunter fallen unter anderem Browserverlauf, Standortdaten oder persönliche Kommunikation.

Videos by heise

Ausweitung auf alle Extensions geplant

In der ersten Jahreshälfte 2026 plant Mozilla, die Anforderungen auf sämtliche Firefox-Erweiterungen auszuweiten – also auch auf bestehende Add-ons. Details zu dieser Umstellung sowie zusätzliche Werkzeuge für Entwickler und Nutzer will das Unternehmen rechtzeitig über den Add-ons-Blog bekanntgeben. Die schrittweise Einführung soll Entwicklern Zeit geben, ihre Extensions entsprechend anzupassen. Alle Informationen finden sich im Blogeintrag von Mozilla.

(fo)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Rust Coreutils 0.3.0: Bis zu 3,7-mal schneller als GNU-Tools

2025-10-27T11:02:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Die Rust-Reimplementierung klassischer Unix-Tools erreicht in Version 0.3.0 deutliche Performance-Steigerungen und verbesserte Sicherheit.

(Bild: heise medien)

27.10.2025, 12:02 Uhr

Lesezeit: 3 Min.

iX Magazin

Von

Moritz Förster

Das Projekt Rust Coreutils hat Version 0.3.0 veröffentlicht und liefert damit erhebliche Geschwindigkeitsverbesserungen gegenüber den traditionellen GNU Core Utilities. Nach Angaben der Entwickler übertrifft das sort-Kommando die GNU-Variante beim regulären Sortieren um den Faktor 3,72. Auch andere Werkzeuge wurden deutlich beschleunigt: expand arbeitet 1,8-mal schneller, nl ist 1,57-mal flotter unterwegs.

Die Rust Coreutils sind eine Neuimplementierung der über 100 klassischen Unix-Kommandozeilenprogramme wie ls, cp oder rm, die ursprünglich in C geschrieben wurden. Einige Nutzer sind bereits umgestiegen: Canonical setzt die Rust-Tools in Ubuntu 25.10 standardmäßig ein. Die Entwickler der Rust-Coreutils streben eine hundertprozentige Kompatibilität mit GNU an, damit bestehende Skripte der Anwender ohne Anpassungen weiter funktionieren.

Performance-Monitoring mit CodSpeed

Für die kontinuierliche Überwachung der Performance-Entwicklung haben die Entwickler die Plattform CodSpeed in ihre CI/CD-Pipeline integriert. Das System erkennt automatisch Performance-Verschlechterungen und stellt sicher, dass Optimierungen auch langfristig erhalten bleiben. Die Benchmarks decken mittlerweile über 15 zentrale Werkzeuge ab, darunter sort, ls, uniq, du und base64. Auch base64 (1,2-mal schneller), unexpand (1,5-mal schneller) und uniq -c (1,13-mal schneller) profitieren von den Anpassungen.

Ein wesentlicher Schwerpunkt der Version 0.3.0 liegt auf der verbesserten Sicherheit. Die Entwickler haben für die Werkzeuge rm, du, chmod und chgrp eine sichere Directory-Traversal-Implementierung umgesetzt, die auf den Systemaufrufen openat und unlinkat basiert. Statt unsicherer libc-Aufrufe kommt dabei das nix-Crate zum Einsatz, das speichersichere Abstraktionen bereitstellt – einer der Hauptvorteile von Rust gegenüber C.

Videos by heise

GNU-Kompatibilität bei 83,91 Prozent

Bei der Kompatibilität mit der GNU-Test-Suite erreichen die Rust-Coreutils aktuell 532 bestandene Tests – eine Quote von 83,91 Prozent. Gegenüber Version 0.1 (damals: 87,06 Prozent) scheint das zunächst ein Rückschritt zu sein. Die Entwickler erklären dies jedoch mit dem Upgrade der Referenzimplementierung von GNU Coreutils 9.7 auf 9.8, wodurch sich Testerwartungen bei bestehenden Prüfungen änderten und 16 neue Tests hinzukamen. Somit stieg die Gesamtzahl der Tests von 618 auf 634. Von den neuen Tests schlagen 68 fehl, 33 werden übersprungen und einer führt zu einem Fehler.

Für Entwickler bringt das Update ebenfalls Verbesserungen: Die Generierung von Dokumentation und Shell-Completions wurde aus den Binaries ausgelagert, was die Build-Zeiten verkürzt. Die CI-Pipeline kompiliert Benchmarks nun parallel, und das Makefile unterstützt verschiedene Build-Konfigurationen besser.

Die aktuelle Version steht auf der Projektwebsite zum Download bereit. Neben den genannten Verbesserungen wurden zahlreiche weitere Details optimiert, darunter die Unicode- und Non-UTF8-Pfadunterstützung sowie das Fehlerhandling quer durch verschiedene Utilities. Weitere Informationen finden sich in den Release Notes auf GitHub.

(fo)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Die Produktwerker: Entscheidungen vertreten, die man selbst kritisch sieht

2025-10-27T09:13:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Oft muss man als Product Owner Entscheidungen vertreten, die man selbst nicht gutheißen kann. Wie das dennoch gut gelingt, klärt diese Podcastfolge.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.

Podcasts immer laden

27.10.2025, 10:13 Uhr

Lesezeit: 3 Min.

Developer

Von

Oliver Winter
Tim Klein

In dieser Folge sprechen die Produktwerker Oliver Winter und Tim Klein über eine Situation, die vielen Product Ownern vertraut sein dürfte: Eine Entscheidung wird (etwa auf höherer Ebene) getroffen, die sie so nicht nachvollziehen können oder mit der sie schlicht nicht einverstanden sind. Und trotzdem müssen sie solche Entscheidungen vertreten, zum Beispiel gegenüber ihrem Team.

Solche Momente fordern Haltung und eine gewisse Aufmerksamkeit. Als Product Owner steht man oft zwischen verschiedenen Erwartungen von Management, Team und Stakeholdern. Wenn eine Entscheidung fällt, die man selbst nicht getroffen hat, entsteht leicht ein innerer Konflikt. Soll ich loyal sein oder kritisch bleiben? Wie kann ich nach außen geschlossen auftreten, ohne mich selbst zu verbiegen?

(Bild: deagreez/123rf.com)

So geht Produktmanagement: Auf der Online-Konferenz Product Owner Day von dpunkt.verlag und iX am 13. November 2025 kannst du deinen Methodenkoffer erweitern und dich von den Good Practices anderer Unternehmen inspirieren lassen.

Verantwortungsvoll handeln als Product Owner

Oliver Winter und Tim Klein machen im Gespräch deutlich, dass Entscheidungen vertreten nicht bedeutet, sie unreflektiert zu übernehmen. Es geht darum, Verantwortung für den gemeinsamen Kurs zu tragen, auch wenn man selbst anders entschieden hätte. Gerade das unterscheidet reife Product Owner von Reaktiven. Sie wissen, dass Produktentwicklung ein Teamsport ist und Entscheidungen immer im Zusammenspiel vieler Perspektiven entstehen.

Das bedeutet jedoch nicht, dass man alles einfach akzeptieren muss. Produktverantwortung bleibt auch in solchen Momenten bestehen. Wer Entscheidungen vertreten soll, darf sie hinterfragen, verstehen und einordnen. Erst wenn man nachvollziehen kann, warum ein bestimmter Weg eingeschlagen wird, kann man ihn glaubwürdig gegenüber dem Team kommunizieren. Das erfordert Gesprächsbereitschaft und Mut, besonders gegenüber Führungskräften oder Stakeholdern, die schnelle Ergebnisse erwarten.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.

Podcasts immer laden

Offenheit nach innen, Geschlossenheit nach außen

Oliver Winter beschreibt, wie hilfreich es ist, bewusst zwischen der eigenen Meinung und der gemeinsamen Entscheidung zu differenzieren. Man darf anderer Meinung sein und trotzdem nach außen klar auftreten. Tim Klein betont, dass Transparenz im Team entscheidend ist. Wenn Product Owner selbst unsicher wirken, verlieren Teams Orientierung. Offenheit nach innen, Geschlossenheit nach außen. Diese Balance prägt professionelle Product Ownership.

Entscheidungen vertreten heißt auch, sich selbst zu reflektieren: Woher kommt mein Widerstand? Geht es um Prinzipien, um persönliche Präferenzen oder um fehlende Informationen? Erst, wenn man das versteht, kann man konstruktiv handeln. Manchmal hilft es, die Entscheidung als Experiment zu betrachten. Nicht jede falsche Richtung ist ein Scheitern, solange man bereit ist, daraus zu lernen.

Für Product Owner ist das ein Lernfeld, das mit der Zeit leichter wird. Denn wer regelmäßig Entscheidungen vertreten muss, die er nicht mag, lernt, zwischen Zustimmung und Verantwortung zu unterscheiden. Und das schafft Vertrauen im Team, bei Stakeholdern und im gesamten Produktumfeld.

Videos by heise

Weitere Podcastfolgen

Auf folgende frühere Episoden dieses Podcasts verweisen die beiden im Gespräch:

Klarheit als Superpower für Produktmenschen (Arne Kittler)
Kluge Entscheidungen treffen mit Decision Poker (Frank Wulfes)
Product Owner sind Pokerspieler
Ein Produkt einstellen – der Ramp Down von XING Events (Thomas Gläser)
The Decision Stack
Nein sagen als Product Owner

Die aktuelle Ausgabe des Podcasts steht auch im Blog der Produktwerker bereit: "Entscheidungen vertreten, die mir als Product Owner nicht gefallen".

(mai)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Electron-Nerv: App zeigt, welche Programme mit macOS Tahoe Probleme machen

2025-10-27T09:08:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Slack, Discord und viele andere Cross-Platform-Apps nutzen das Electron-Framework. Das Problem: Ein Bug macht sie zu macOS 26 inkompatibel. Ein Prüftool hilft.

Electron Detector für macOS 26: So sieht man zumindest, wo es Probleme geben könnte.

(Bild: Craig Hockenberry)

27.10.2025, 10:08 Uhr

Lesezeit: 3 Min.

Mac & i

Von

Ben Schwan

Spätestens seit dem offiziellen Release von macOS 26 alias Tahoe ist klar, dass manche App, die mit dem populären Electron-Framework erstellt wurde, massive Probleme unter dem neuen Mac-Betriebssystem bereiten können. Der Grund ist simpel: Werden ältere Versionen des Cross-Platform-Systems eingesetzt und gleichzeitig ein bestimmter privater AppKit-API-Override verwendet, bremst eine einzige solche Anwendung das komplette System aus. Warum dies nicht schon während der monatelangen Betaphase von Tahoe auffiel, ist nach wie vor unklar. Abhilfe für das Problem können nur die Entwickler solcher Apps selbst liefern, indem sie das Framework intern aktualisieren. Um festzustellen, ob man betroffen ist, gibt es nun ein neues Werkzeug.

Tool teilt mit, welche Apps noch betroffen sind

Die App stammt von Craig Hockenberry, Macher des Softwareanbieters und Designstudios Icon Factory. Mit dem Tahoe Electron Detector kann man prüfen, ob Electron-basierte Apps bereits mit dem notwendigen Bugfix ausgerüstet wurden oder nicht. Die Anwendung basiert auf einem Script von Entwickler Tomas Kafka, das um einige Xcode-Spezialitäten entschlackt wurde. Heraus kam ein AppleScript-Applet, das nach Freigabe das System auf Electron-Anwendungen scannt und dann mitteilt, ob diese betroffen sind oder nicht.

Videos by heise

Anschließend kann man prüfen, ob die jeweilige App bereits ein Electron-Update erhalten hat oder aber nicht – sollte das nicht der Fall sein, muss man mit der Anwendung vorsichtig umgehen und sie gegebenenfalls deinstallieren (oder man weiß zumindest, warum der Mac derart lahmt, wenn sie läuft). Der Detektor hilft hoffentlich auch dabei, bei den entsprechenden Entwicklern Druck zu machen.

Shaming-Website für Electron-Nutzer

Tatsächlich waren zumindest zwischenzeitlich diverse bekannte Apps betroffen, die Electron nutzen – von Dropbox über GitHub Desktop bis hin zu Slack. Weiterhin gibt es mittlerweile auch eine eigene Website auf GitHub, die sich nur dem "Shaming" von Entwicklern widmet, die das Framework in ihrer App noch nicht aktualisiert haben. Bislang noch nicht aktualisiert wurden laut der Seite unter anderem die Apps von Superhuman, Loom, Logi Options+ oder Notion (Mail und Calendar).

Die betroffenen Apps verwenden einen Override-Hack einer privaten AppKit-API, um bestimmte (eigentlich eher sinnfreie) Fenstereffekte zu generieren. Das kollidiert wiederum mit macOS 26 respektive dessen Implementierung des WindowServer-Tasks, der für die macOS-Fensterdarstellung zuständig ist, heißt es im GitHub-Forum des Electron-Projekts. Resultat: Eine Electron-App generiert Last, die unter anderem zu verlangsamtem Scrollen führt. Mit mehreren Apps wird es noch schlimmer.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.

Preisvergleiche immer laden

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (heise Preisvergleich) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

(bsc)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Apple trifft auf Android: Programmiersprache Swift bekommt ein Android-SDK

2025-10-27T08:35:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Das erste Preview-Release des Swift SDK for Android markiert neues Terrain in der Cross-Plattform-Entwicklung mit Apples Programmiersprache.

(Bild: Apple)

27.10.2025, 09:35 Uhr

Lesezeit: 3 Min.

Developer

Von

Rainald Menge-Sonnentag

Das Swift-Projekt hat die ersten Preview-Releases des Swift SDK for Android veröffentlicht. Damit hat die Android Workgroup des Projekts ihren ersten großen Meilenstein erreicht. Die Releases sind im Rahmen der Nightly Preview Builds verfügbar.

Die Android Workgroup hat im Juni 2025 ihre Arbeit mit dem Ziel aufgenommen, Android als offizielle Plattform für Swift so stabil zu etablieren wie iOS und die großen Desktopbetriebssysteme macOS, Linux und Windows. Zwar ist es seit Längerem möglich, Swift für die Android-Entwicklung zu nutzen. Dafür sind aber viele Anpassungen und zusätzliche Tools wie Scade erforderlich.

Schnittstelle zu Android

Die Android Workgroup will nicht nur die direkte Schnittstelle für die APIs auf Androids Java Virtual Machine (JVM) bereitstellen, sondern sich auch um das Tooling kümmern.

Derzeit ist es unter anderem nicht möglich, Swift-Anwendungen auf Android zu debuggen. Auch will die Arbeitsgruppe für Android-Swift-Projekte die Integration in die CI-Pipeline (Continuous Integration) inklusive automatischer Tests ermöglichen.

Erster Schritt

Das nun veröffentlichte Swift SDK for Android ist dabei der erste Schritt. Es ermöglicht, Swift-Pakete nach Android zu portieren.

Um Android-Anwendungen mit Swift zu erstellen, benötigt man neben dem SDK die Toolchain für das Host-Betriebssystem, auf dem der Code kompiliert wird, und das Android NDK (Native Development Kit). Eine Anleitung hilft beim Einstieg in die Android-Entwicklung mit Swift.

Für die weiteren Schritte hat die Android Workgroup das Android Vision Document angelegt. Außerdem bittet es um Feedback im Swift-Forum.

Swift als Alternative zu Kotlin Multiplatform

Das SDK soll die Cross-Plattform-Entwicklung für iOS und Android sowie Desktopbetriebssysteme ebenso ermöglichen wie JetBrains Kotlin Multiplatform. Kotlin beschreitet dabei den umgekehrten Weg, da es als JVM-Sprache nahtlos mit Android zusammenarbeitet, aber die iOS-Integration schon wegen der fehlenden JVM auf Apples mobilem Betriebssystem schwieriger ist.

Videos by heise

JetBrains' Programmiersprache brachte bereits 2017 die ersten Ansätze für die plattformübergreifende Entwicklung mit: Kotlin 1.2 ermöglichte Cross-Plattform-Projekte für die JVM und JavaScript. Die Entwicklung für iOS stand ebenfalls bereits früh auf dem Plan des Kotlin-Teams. Sie war eine Motivation für native Anwendungen ohne JVM mit Kotlin/Native, das JetBrains ebenfalls 2017 erstmals vorgestellt hat.

Im Jahr 2020 startete JetBrains das Projekt Kotlin Multiplatform Mobile (KMM), das dem Namen getreu vor allem auf den mobilen Bereich zielte und die Cross-Plattform-Entwicklung für Android und iOS ermöglichte. Im Herbst 2022 startete die Betaphase von KMM. JetBrains erweiterte das Projekt im Laufe der Zeit und taufte es schließlich im Juli 2023 in Kotlin Multiplatform um.

(Bild: cobobayangno/123rf)

Die Online-Konferenz betterCode() Kotlin zeigt am 24. und 25. Februar 2026 Neuerungen für die Programmiersprache und bringt Deep Dives. Der erste Tag konzentriert sich auf die mobile und die Cross-Plattform-Entwicklung. Der zweite Tag zeigt neue Features der Programmiersprache und gibt Einblick in das Koog-Framework für KI-Agenten.

(rme)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Developer Snapshots: Kleinere News der Woche

2025-10-25T07:34:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Die Übersicht enthält kleine, aber interessante Meldungen zu Grafana Tempo, Visual Studio 2026, Accessibility, GitHub, Valkey, PyTorch, Slint und Django.

(Bild: erzeugt mit Midjourney von der iX-Redaktion)

25.10.2025, 09:34 Uhr

Lesezeit: 3 Min.

Developer

Von

Zum Wochenende gibt es einen kleinen Überblick über alles, was es zwar nicht in die News geschafft hat, wir aber dennoch für spannend halten:

Die Gewinner der GitHub-Challenge "Love of Code" stehen fest. Gesucht waren unterhaltsame und kreative Projekte, zum Beispiel Hardware-Hacks, Spiele und interaktive Kunst. Zu den Gewinnerprojekten zählt ein digitaler E-Ink-Bilderrahmen, der einen Raspberry Pi nutzt und sich automatisch aktualisiert, wenn Bilder per Mail an ihn gesendet werden.
Das Team hinter dem Videocast software-architektur.tv sucht für eine Special-Folge "Diversität in der IT" persönliche Erfahrungsberichte von Menschen, die in der Tech-Branche unterrepräsentiert sind oder sich dort nicht immer willkommen gefühlt haben. Auch können sie mitteilen, was ihnen in konkreten Situation geholfen hätte. Dabei bleiben die Personen anonym, es sei denn, sie wünschen explizit, dass ihr Name genannt wird.
Grafana Tempo, ein Open-Source-Backend für Distributed Tracing, hat Version 2.9 erreicht. Unter anderem bringt es Support für das Model Context Protocol (MCP) und verbessert die Performance beim Verwenden der Query-Sprache TraceQL durch neue Query Hints.

(Bild: Golden Sikorka/Shutterstock)

Die Online-Konferenz LLMs im Unternehmen am 29. Oktober zeigt, wie man das passende Modell auswählt, die Infrastruktur aufbaut und die Sicherheit im Griff behält. Außerdem gibt der Thementag von iX und dpunkt.verlag einen Ausblick auf Liquid Foundation Models als nächste Generation von LLMs.

Neuer Standard für die Barrierefreiheit im Web: Die Web Content Accessibility Guidelines (WCAG) 2.2 liegen nun als internationaler Standard ISO/IEC 40500:2025 vor. Diese formale Anerkennung von Version 2.2 soll mehr Ländern zur Umsetzung verhelfen. Gemäß den WCAG-2.2-Kriterien sollen Webseiten wahrnehmbar, bedienbar, verständlich und robust sein.
Extensions für Visual Studio 2022 sollen auch mit der nächsten Version der Entwicklungsumgebung, Visual Studio 2026, funktionieren. Laut Microsoft müssen Entwicklerinnen und Entwickler daher keine Updates ihrer Extensions veröffentlichen.

Lesen Sie auch

Projektmanagement: Wir sind eine große Familie

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

DeepSeek-OCR: Bilder vereinfachen Texte für große Sprachmodelle

2025-10-24T08:47:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

DeepSeek experimentiert mit einem OCR-Modell und zeigt, dass komprimierte Bilder für Berechnungen auf GPUs speicherfreundlicher sind als viele Text-Token.

(Bild: Runrun2/Shutterstock.com)

24.10.2025, 10:47 Uhr

Lesezeit: 10 Min.

iX Magazin

Von

Dr. Christian Winkler

Viele Unternehmensdokumente liegen zwar als PDFs vor, sind aber häufig gescannt. Obwohl es simpel klingt, können diese Dokumente oftmals nur unter großen Mühen in Text gewandelt werden, insbesondere wenn die Struktur der Dokumente komplexer ist und erhalten bleiben soll. Auch Bilder, Tabellen und Grafiken sind häufige Fehlerquellen. In den letzten Monaten gab es daher eine wahre Flut von OCR-Software, die auf großen Sprachmodelle (LLMs) setzt.

Auch der chinesische KI-Entwickler DeepSeek steigt nun in diesen Bereich ein und veröffentlicht nach dem Reasoning-Modell R1 ein experimentelles OCR-Modell unter MIT-Lizenz. Auf den ersten Blick mag das verblüffen, denn OCR schien bisher nicht die Kernkompetenz von DeepSeek zu sein. Und tatsächlich ist das neue Modell erstmal eine Technikdemo für einen neuen Ansatz in der Dokumentenverarbeitung von großen Sprachmodellen.

Prof. Dr. Christian Winkler beschäftigt sich speziell mit der automatisierten Analyse natürlichsprachiger Texte (NLP). Als Professor an der TH Nürnberg konzentriert er sich bei seiner Forschung auf die Optimierung der User Experience.

DeepSeek versucht, lange Textkontexte in Bildern zu komprimieren, da sich hierdurch eine höhere Informationsdichte mit weniger Token darstellen lässt. DeepSeek legt die Messlatte für die Erwartungen hoch und berichtet, dass das Modell bei hohen Kompressionsraten (Faktor 10) noch eine Genauigkeit von 97 Prozent erreicht, bei einer noch stärkeren Kompression fällt zwar die Genauigkeit, bleibt dabei aber relativ hoch. Das alles soll schneller funktionieren als bei anderen OCR-Modellen und auf einer Nvidia A100-GPU bis zu 200.000 Seiten pro Tag verarbeiten.

Videos by heise

Das Kontext-Problem

Large Language Models haben Speicherprobleme, wenn der Kontext von Prompts sehr groß wird. Das ist der Fall, wenn das Modell lange Texte oder mehrere Dokumente verarbeiten soll. Grund dafür ist der für effiziente Berechnungen wichtige Key-Value-Cache, der quadratisch mit der Kontextgröße wächst. Die Kosten der GPUs steigen stark mit dem Speicher, was dazu führt, dass lange Texte sehr teuer in der Verarbeitung sind. Auch das Training solcher Modelle ist aufwendig. Das liegt allerdings weniger am Speicherplatz, sondern auch an der quadratisch wachsenden Komplexität der Berechnungen. Daher forschen die LLM-Anbieter intensiv daran, wie sich man diesen Kontext effizienter darstellen kann.

Hier bringt DeepSeek die Idee ins Spiel, den Kontext als Bild darzustellen: Bilder haben eine hohe Informationsdichte und Vision Token zur optischen Kompression könnten einen langen Text durch weniger Token. Mit DeepSeek-OCR haben die Entwickler diese Grundidee überprüft - es ist also ein Experiment zu verstehen, das zeigen soll, wie gut die optische Kompression funktioniert.

Die Modellarchitektur

Der dazugehörige Preprint besteht aus drei Teilen: einer quantitativen Analyse, wie gut die optische Kompression funktioniert, einem neuen Encoder-Modell und dem eigentlichen OCR-Modell. Das Ergebnis der Analyse zeigt, dass kleine Sprachmodelle lernen können, wie sie komprimierte visuelle Darstellungen in Text umwandeln.

Dazu haben die Forscher mit DeepEncoder ein Modell entwickelt, das auch bei hochaufgelösten Bildern mit wenig Aktivierungen auskommt. Der Encoder nutzt eine Mischung aus Window und Global Attention verbunden mit einem Kompressor, der Konvolutionen einsetzt (Convolutional Compressor). Die schnellere Window Attention sieht nur einzelne Teile der Dokumente und bereitet die Daten vor, die langsamere Global Attention berücksichtigt den gesamten Kontext, arbeitet nur noch mit den komprimierten Daten. Die Konvolutionen reduzieren die Auflösung der Vision Token, wodurch sich der Speicherbedarf verringert.

DeepSeek-OCR kombiniert den DeepEncoder mit DeepSeek-3B-MoE. Dieses LLM setzt jeweils sechs von 64 Experten und zwei geteilte Experten ein, was sich zu 570 Millionen aktiven Parametern addiert. Im Gegensatz zu vielen anderen OCR-Modellen wie MinerU, docling, Nanonets, PaddleOCR kann DeepSeek-OCR auch Charts in Daten wandeln, chemische Formeln und geometrische Figuren erkennen. Mathematische Formeln beherrscht es ebenfalls, das funktioniert zum Teil aber auch mit den anderen Modellen.

Die DeepSeek-Entwickler betonen allerdings, dass es sich um eine vorläufige Analyse und um ebensolche Ergebnisse handelt. Es wird spannend, wie sich diese Technologie weiterentwickelt und wo sie überall zum Einsatz kommen kann. Das DeepSeek-OCR-Modell unterscheidet sich jedenfalls beträchtlich von allen anderen. Um zu wissen, wie gut und schnell es funktioniert, muss man das Modell jedoch selbst ausprobieren.

DeepSeek-OCR ausprobiert

Als Testobjekt dient eine Seite aus einer iX, die im JPEG-Format vorliegt. DeepSeek-OCR kann in unterschiedlichen Konfigurationen arbeiten: Gundam, Large und Tiny. Im Gundam-Modus findet ein automatisches Resizing statt. Im Moment funktioniert das noch etwas instabil, bringt man die Parameter durcheinander, produziert man CUDA-Kernel-Fehler und muss von vorne starten.

Für den Test kommt eine Nachrichtenseite aus der iX 6/2025 zum Einsatz. Die ist dreispaltig gesetzt und enthält mehrere Haupt- und eine Zwischenüberschrift sowie ein Screenshot eines Diagramms.

Möchte man den Text aus Dokumenten extrahieren, muss man das Modell geeignet prompten. DeepSeek empfiehlt dazu den Befehl <image>\n<|grounding|>Convert the document to markdown.. Als Ergebnis erhält man in einem Ordner die Markdown-Syntax und die zusätzlichen Bilder, außerdem eine visuelle Erklärung, welche unterschiedlichen Fragmente erkannt wurden. Im Gundam-Modus funktioniert das für die iX-Seite gut:

Im Gundam-Modus erkennt DeepSeek-OCR den gesamten Text und alle relevanten Elemente und kann auch Textfluss des Magazins rekonstruieren.

Den Text hat das Modell praktisch fehlerfrei erkannt und dazu auf einer RTX 4090 etwa 40 Sekunden benötigt. Das ist noch weit entfernt von den angepriesenen 200.000 Seiten pro Tag, allerdings verwendet Gundam auch nur ein Kompressionsfaktor von zwei: 791 Image Token entsprechen 1.580 Text Token. Immerhin erkennt das Modell den Textfluss im Artikel richtig. Das ist bei anderen Modellen ein gängiges Problem.

Mit etwa 50 Sekunden rechnet die Large-Variante nur wenig länger als Gundam, allerdings sind die Ergebnisse viel schlechter, was möglicherweise auch dem größeren Kompressionsfaktor geschuldet ist: 299 Image-Token entsprechen 2068 Text-Token. Im Bild verdeutlichen das die ungenauer erkannten Boxen um den Text – hier gibt es noch Optimierungsbedarf. Außerdem erkennt das Modell die Texte nicht sauber, teilweise erscheinen nur unleserliche Zeichen wie "¡ ¢", was möglicherweise auf Kodierungsfehler und eigentlich chinesische Schriftzeichen hindeuten könnte.

Der Large-Modus komprimiert die Bilder stärker als Gundam, was zu einer ungenaueren Erkennung führt. Die Textboxen sind unschärfer abgegrenzt und es erscheinen unleserliche Zeichen, die auf eine fehlerhafte Kodierung hinweisen.

Fehler mit unleserlichen Zeichen gibt es beim Tiny-Modell nicht. Das rechnet mit einer Dauer von 40 Sekunden wieder etwas schneller und nutzt einen Kompressionsfaktor von 25,8 - 64 Image-Token entsprechen 1652 Text-Token. Durch die hohe Kompression halluziniert das Modell allerdings stark und erzeugt Text wie "Erweist, bei der Formulierung der Ab- fragen kann ein KI-Assistent helfen. Bis Start gilt es auf Caffès offiziell die Gewicht 50 Prozent der Früh-, der Prüfung und 50 Prozent für den Arzt- und NEUT und in Kürze folgen. (Spezielle)". Das hat nichts mit dem Inhalt zu tun – auf diese Modellvariante kann man sich also nicht verlassen.

Die Tiny-Variante hat den höchsten Kompressionsfaktor für die Bilder und halluziniert bei der Text-Ausgabe stark. Hier sollte man sich also nicht auf die Ergebnisse verlassen.

Neben der Markdown-Konvertierung lässt DeepSeek-OCR auch ein Free OCR zu, das das Layout nicht berücksichtigt. Damit funktioniert das Modell sehr viel schneller und produziert auch in der Large-Version mit hoher Kompression noch gute Resultate. Diese Variante ist aber nur sinnvoll, wenn man weiß, dass es sich um Fließtexte ohne schwieriges Layout handelt.

Informationen aus Grafiken extrahieren

DeepSeek-OCR hat beim Parsing die im Artikel enthaltenen Bilder erkannt und separat abgelegt. Das Diagramm speichert das Modell dabei in einer schlecht lesbaren Auflösung.

Das mit Gundam extrahierte Diagramm ist verschwommen und lässt sich mit bloßem Auge nur noch schlecht entziffern.

Jetzt wird es spannend, denn DeepSeek-OCR soll aus diesem Diagramm auch Daten extrahieren können, das geht mit dem Prompt <image>\nParse the figure.. Als Ergebnis erstellt das Modell die folgende Tabelle:

	2024	2023	2022
I have a good understanding of what artificial intelligence is	67%	67%	64%
I know which types of products and services use artificial intelligence	52%	51%	50%
Products and services using artificial intelligence have profoundly changed my daily life in the past 3-5 years	50%	50%	49%
Products and services using artificial intelligence will profoundly change my daily life in the next 3-5 years	66%	66%	60%
Products and services using artificial intelligence have more benefits than drawbacks	55%	54%	52%
I trust people not to discriminate or show bias toward any group of people	45%	45%	44%
I trust artificial intelligence to not discriminate or show bias toward any group of people	54%	54%	50%
I trust that companies that use artificial intelligence will protect my personal data	47%	50%	50%
Products and services using artificial intelligence make me nervous	39%	39%	39%

Offenbar haben sich Fehler in die Tabelle eingeschlichen, aber zumindest hat das Modell den verwaschenen Text richtig erkannt. Hier zeigt sich die Stärke des Encoders, aber auch die englische Beschriftung vereinfacht den Prozess für das Modell. Die meisten Prozentwerte stimmen, ebenso die Struktur der Daten. Verwendet man eine höhere Auflösung, verbessern sich die Ergebnisse allerdings nur marginal.

Neben Diagrammen kann DeepSeek-OCR auch mathematische Formeln erkennen und sie in LaTeX-Syntax wandeln. Chemische Strukturformeln hat es auch im Repertoire und wandelt sie in das SMILES-Format.

Fazit

DeepSeek hat sich erneut einen spannenden technischen Ansatz ausgedacht und mit DeepSeek-OCR überzeugend demonstriert. Die Erkennung von Texten funktioniert besonders im Gundam-Modus schon gut, auch das Parsing der Diagramme ist überzeugend. Allerdings sind andere Modelle wie MinerU, Nanonets und PaddleOCR-VL besonders bei der reinen Texterkennung ebenfalls sehr gut und liefern teilweise sogar bessere Ergebnisse, da sie etwa getrennte Wörter zusammenführen. Besonders das ebenso nagelneue PaddleOCR-VL ist hervorzuheben, das Daten aus Diagrammen verlässlich extrahiert und in eigenen Tests sogar besser als DeepSeek-OCR funktionierte. Um OCR ist ein wahres Wettrennen entbrannt.

DeepSeek scheint mit dem Modell jedoch nicht nur auf OCR zu setzen, sondern möchte zeigen, dass die Vision Token eine gute Darstellung sind, um den Kontext in großen Sprachmodellen besonders kompakt zu speichern. Mit einer geringen Kompression funktioniert das schon gut, mit höherer Kompression leiden die Ergebnisse aber spürbar. Dieser Ansatz steht allerdings noch ganz am Anfang.

DeepSeek-OCR ist in allen Konfigurationen verhältnismäßig schnell. Experimente mit MinerU, Nanonets und PaddleOCR-VL waren alle mindestens 50 Prozent langsamer. Nanonets erzeugte immerhin eine Tabelle aus dem Diagramm, aber ohne die Jahreszahlen, dafür war der Fließtext sehr viel besser erkannt. Das nagelneue PaddleOCR-VL konnte das Diagramm sogar besser als DeepSeek-OCR erkennen, ist aber nicht auf chemische Strukturformeln und ähnliche Inhalte trainiert.

DeepSeek-OCR ist – wie von den Entwicklern deutlich vermerkt – eine Technologiedemonstration, die dafür schon äußerst gut funktioniert. Es bleibt abzuwarten, wie sich die Technologie in klassische LLMs integrieren lässt und dort zur effizienteren Verarbeitung von längeren Kontexten genutzt werden kann.

Weitere Informationen finden sich auf GitHub, Hugging Face und im arXiv-Preprint.

(pst)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Projektmanagement: Wir sind eine große Familie

2025-10-24T08:17:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Wenn der Vorgesetzte darauf hinweist, dass "wir eine große Familie sind", geht es meist nicht um ein bevorstehendes Fest.

(Bild: Sharomka/shutterstock.com)

24.10.2025, 10:17 Uhr

Lesezeit: 4 Min.

Developer

Von

Stefan Mintert

Moin.

Wir sind eine große Familie, sang Peter Alexander 1973, und mancher Chef holt den Schlager auch heute nochmal heraus. Während das Lied eine Geschmacksfrage ist, lädt der Satz im Firmenkontext dazu ein, aufmerksam zu werden. "Wir sind eine große Familie", sagt der Chef. Klingt super, finde ich. Oder doch nicht?

(Bild:

Stefan Mintert

)

Stefan Mintert arbeitet mit seinen Kunden daran, die Unternehmenskultur in der Softwareentwicklung zu verbessern. Das derzeit größte Potenzial sieht er in der Leadership; unabhängig von einer Hierarchieebene. Die Aufgabe, dieses Potenzial zu heben, hat er sich nach einem beruflichen Weg mit einigen Kurswechseln gegeben. Ursprünglich aus der Informatik kommend, mit mehreren Jahren Consulting-Erfahrung, hatte er zunächst eine eigene Softwareentwicklungsfirma gegründet. Dabei stellte er fest, dass Führung gelernt sein will und gute Vorbilder selten sind. Es zeichnete sich ab, dass der größte Unterstützungsbedarf bei seinen Kunden in der Softwareentwicklung nicht im Produzieren von Code liegt, sondern in der Führung. So war es für ihn klar, wohin die Reise mit seiner Firma Kutura geht: Führung verbessern, damit die Menschen, die die Produkte entwickeln, sich selbst entwickeln und wachsen können. Für Heise schreibt Stefan als langjähriger, freier Mitarbeiter der iX seit 1994.

Auch Familien haben ihre Schattenseiten. So wurden 2023 mehr als 250.000 Menschen das Opfer häuslicher Gewalt. Davon sind mehr als 78.000 Opfer innerfamiliärer Gewalt zwischen nahen Angehörigen. (Quelle: BKA-Lagebild, BMFSFJ)

Vermutlich meint mein Chef das nicht, wenn er von Familie spricht, aber was denn dann? Welchen Zweck verfolgt er mit seiner Aussage? Was will er von mir? Welches Verhalten soll meinerseits hervorgerufen werden? Und, last, but not least: Wie gehe ich damit um?

Am liebsten würde ich es bei den Fragen belassen, weil Ihr bestimmt auch eigene Antworten parat habt. Dann wäre der Beitrag allerdings sehr kurz. Deshalb ein Vorschlag: Macht beim Lesen eine Pause, denkt über die Fragen nach und schreibt Antworten in die Kommentare. Danach könnt Ihr meine Antworten lesen. Ich bedanke mich im Voraus für Eure Beiträge.

Videos by heise

Ein Märchen

Zum Zweck der Äußerung: Meine beste Antwort lautet "Bindung". Wer das sagt, möchte andere an sich binden; möglicherweise vor dem Hintergrund einer unangenehmen Aufgabe oder bevorstehenden negativen Veränderung. Zumindest denke ich, dass es nicht nötig ist, bei der Bindung nachzuhelfen, wenn das Arbeitsleben im Augenblick das reinste Paradies ist. Wer sollte dann gehen wollen?

Bindung an sich ist ja nicht so schlecht, allerdings stellt sich eine weitere Frage: Was ist, wenn die wirtschaftliche Lage für die Firma schlechter wird? Wir sind doch eine große Familie, oder? Hier wird doch niemand gefeuert, oder? Wir alle kennen die Wahrheit und das genügt, um die Mär der großen Familie als genau das zu entlarven: ein Märchen. Es gibt Firmen, die eine Ausnahme darstellen, aber dort ist es vermutlich nicht nötig, auf die starke Bindung mit der Familienaussage hinzuweisen.

Damit kommen wir zur wichtigsten Frage: Wie gehe ich damit um? Das hängt natürlich stark vom Einzelfall ab, sodass ich hier keine universelle Antwort anbieten kann. Mein Vorschlag ist, klar zu kommunizieren, wie das, was man gerade hört, ankommt.

Zum Einstieg vielleicht eine Erwiderung der Art: "Wenn ich höre, dass wir eine Familie sind, habe ich den Eindruck/bekomme ich das Gefühl, dass …"

(Bild: Katsiaryna/stock.adobe.com)

Die Agile Leadership Conference 2025 findet im November und Dezember statt. Der Leadership Day (27.11.25) behandelt das Führen von Teams und Organisationen, während sich der Self Leadership Day (3.12.25) mit Selbstführung und dem aktiven Selbst als Führungskraft beschäftigt.

Bindung funktioniert anders

Wenn es um Bindung geht, kann man deutlich machen, dass wir keine Familie sind und Bindung anders funktioniert. Das ist der richtige Zeitpunkt, die eigene Motivation auszusprechen. Was treibt Dich an und was möchtest Du demnächst oder mittelfristig erreichen? Wenn die Wir-sind-eine-Familie-Aussage mit der unangenehmen Aufgabe wie Überstunden für einen längeren Zeitraum verbunden ist, ist es ein guter Zeitpunkt, über Gegenleistungen zu sprechen. Die Palette ist breit gefächert. Man kann über Überstundenausgleich, Sonderurlaub, Fortbildungen oder natürlich Prämien sprechen. Das sind alles persönliche Benefits.

Alternativ kann man auch Veränderung in der Arbeit ansprechen. Geht es beispielsweise darum, dass ein vorgegebener Termin in der Produktentwicklung nicht ohne Überstunden des Teams gehalten werden kann, ist es vielleicht der richtige Zeitpunkt, auf die Ursache einzugehen. Eine mögliche Forderung wäre dann Mitspracherecht bei zukünftigen Terminen. Wozu sollte man für das anstehende Release Überstunden machen, wenn absehbar ist, dass es beim nächsten Release genauso läuft?

In jedem Fall verstehe ich "Wir sind eine Familie" als Einstieg in eine Verhandlung. Wer sie als Person oder als Team nicht nutzt, verschenkt die Chance für eine Verbesserung.

Erst Lesen, dann Hören

Im Podcast Escape the Feature Factory greife ich ausgewählte Themen des Blogs auf und diskutiere sie mit einem Gast. Durch den Austausch lerne ich eine zweite Perspektive kennen. Wenn Du auch daran interessiert bist, findest Du den Podcast bei Spotify, Deezer, Amazon Music, und Apple Podcasts. Wenn Du die Themen, die ich im Blog anspreche, in Deiner Firma verbessern möchtest, komm' in unsere Leadership-Community für Softwareentwicklung.

(rme)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

.NET: Ein Herz und Sponsoring für NuGet-Maintainer

2025-10-24T07:57:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

NuGet-Package-Maintainer können nun finanzielle Unterstützung durch ihre User erhalten, indem sie Sponsorship-URLs zu ihren Paketen hinzufügen.

(Bild: Monkey Business Images/Shutterstock.com)

24.10.2025, 09:57 Uhr

Lesezeit: 2 Min.

Developer

Von

Maika Möbus

Microsoft hat verkündet, dass für Package-Maintainer im NuGet.org-Ökosystem – dem Paketmanager für .NET – das neue Sponsorship-Feature zur Verfügung steht. Es erlaubt ihnen das Hinterlegen von Sponsorship-URLs, unter der User ihnen finanzielle Unterstützung zukommen lassen können.

Der Link zu den Sponsorship-URLs erscheint als Herz-Emoji beziehungsweise "Sponsor"-Button auf der jeweiligen Paketseite. Nach einem Klick darauf können User mittels einer Plattform wie GitHub Sponsors oder Patreon ihre gewünschte Zahlung tätigen. Wie Microsoft betont, können auch kleine Beiträge einen großen Unterschied machen, um zur Verwaltung und Sicherheit kritischer Pakete beizutragen.

(Bild: coffeemill/123rf.com)

Verbesserte Klassen in .NET 10.0, Native AOT mit Entity Framework Core 10.0 und mehr: Darüber informieren .NET-Profis auf der Online-Konferenz betterCode() .NET 10.0 am 18. November 2025. Nachgelagert gibt es sechs ganztägige Workshops zu Themen wie C# 14.0, künstliche Intelligenz und Web-APIs.

Eintragen von Sponsorship-Links

Entwicklerinnen und Entwickler, die einen Link zum Sponsoring einfügen möchten, müssen Besitzer oder Co-Besitzer des betreffenden NuGet-Pakets sein. Der Link muss zu einer der folgenden zugelassenen Plattformen führen: GitHub Sponsors, Patreon, Open Collective, Ko-fi, Tidelift oder Liberapay.

Auf der Paketmanagement-Seite des jeweiligen Pakets müssen Developer dafür zum Abschnitt "Sponsorship Links" herunterscrollen und dort in das Formular einen oder mehrere Links eintragen, zum Beispiel https://github.com/sponsors/yourusername. Es lassen sich je Package-ID bis zu zehn URLs hinterlegen und per "Remove"-Button bei Bedarf wieder entfernen.

Im Formular lassen sich Sponsorship-Links einfügen.

(Bild: Microsoft)

Nach dem Eintragen der URLs können Developer verifizieren, dass das Hinterlegen funktioniert hat, indem sie die öffentliche Seite ihres Pakets aufrufen. Dort sollte im "About"-Abschnitt der "Sponsor"-Button erscheinen und beim Klick darauf ein Pop-up zu den hinterlegten URLs anzeigen.

NuGet-Paket mit Sponsoring-Button

(Bild: Microsoft)

Das Pop-up nach Klick auf den Button zeigt die hinterlegten URLs an.

(Bild: Microsoft)

Im Rahmen des Sponsorship-Features werden auf NuGet.org keine persönlichen oder Zahlungsinformationen gespeichert, denn die Transaktionen geschehen auf den gewählten externen Plattformen, wie Microsoft betont.

Lesen Sie auch

Neu in .NET 8.0 [35]: Sicherheitswarnungen vor NuGet-Paketen

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Aus Softwarefehlern lernen – Teil 5: 440 Millionen Dollar Verlust in Minuten

2025-10-24T07:05:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Ein vergessenes Feature Flag sorgt für einen Fehlkauf an der Börse – IT-Pannen wiederholen sich nach immer gleichen Mustern. Aber wir können daraus lernen.

(Bild: jurgenfr/ Shutterstock.com)

24.10.2025, 09:05 Uhr

Lesezeit: 4 Min.

Developer

Von

Golo Roden

In modernen Softwareprojekten ist das Deployment längst keine einmalige Aktion mehr, sondern ein kontinuierlicher Prozess. Anwendungen bestehen aus Dutzenden oder Hunderten von Services, laufen in Containern und erhalten oft mehrmals am Tag ein Update. Um neue Funktionen schrittweise zu aktivieren, greifen Teams auf Feature Flags oder Konfigurationsschalter zurück. Diese Flexibilität ist ein Segen – und gleichzeitig eine erhebliche Gefahrenquelle.

Muster 5: Deployment, Konfiguration und Flags: Wenn ein Schalter Millionen kostet

Ein eindrückliches Beispiel liefert der Fall Knight Capital aus dem Jahr 2012. Das Unternehmen war ein Schwergewicht im elektronischen Handel an der US-Börse und wickelte täglich Millionen von Transaktionen ab. Am 1. August 2012 spielte Knight ein neues Softwareupdate aus, das eine Funktion namens "Retail Liquidity Program" unterstützen sollte. Die Bereitstellung lief jedoch schief: Ein Feature Flag, das ursprünglich für Testzwecke existierte, wurde auf einem von acht Servern nicht korrekt aktualisiert.

Videos by heise

Was folgte, war ein Paradebeispiel für die Kaskade aus Konfigurationsfehlern und fehlender Deployment-Sicherheit: Auf sieben Servern lief die neue Logik wie geplant, ein einzelner Server führte beim Start jedoch alten Code aus, der längst nicht mehr produktiv sein sollte – weil das Flag dort nicht korrekt gesetzt war.

Dieser alte Code enthielt eine Legacy-Routine, die fälschlicherweise massenhaft Kaufaufträge generierte. Innerhalb von nur 45 Minuten verursachte Knight Capital rund 440 Millionen US-Dollar Verlust. Das Unternehmen stand am Rand der Insolvenz, nur eine schnelle Übernahme und externe Finanzierung retteten es vor dem Aus.

Die Lehren aus diesem Vorfall sind für jede Organisation relevant – ob Börsenhandel, E-Commerce oder SaaS-Betrieb:

Feature Flags brauchen einen Lebenszyklus: Ein Schalter, der nicht dokumentiert, nicht versioniert und nicht befristet ist, wird irgendwann zum Risiko. Flags müssen ein Ablaufdatum, einen Owner und eine Entfernungsperspektive haben.
Deployments müssen atomar und konsistent sein: Es reicht nicht, acht Server irgendwann nacheinander zu aktualisieren. Ohne Sicherstellung, dass alle Instanzen dasselbe Release und dieselbe Konfiguration fahren, entstehen Split-Brain-Situationen. Moderne CI/CD-Pipelines oder Kubernetes-Rollouts lösen dieses Problem durch atomare Deployments und Health-Checks. "Atomar" bedeutet hier nicht, dass alle Instanzen gleichzeitig umgestellt werden, sondern dass innerhalb eines Deployments keine Mischzustände existieren.
Immutable Infrastructure ist die beste Versicherung: Systeme, die man nicht nachträglich verändert, sondern bei Änderungen komplett neu instanziiert, vermeiden Zombiecode. Wer ein neues Image ausrollt, kann sicher sein, dass kein Server alten Code im RAM behält.
Staged Rollouts und Kill-Switches reduzieren den Schaden: Große Änderungen sollten zunächst bei einem Bruchteil der Instanzen aktiviert werden, am besten begleitet von automatisierten Metriken. Ein zentraler Schalter zum sofortigen Abschalten (Kill-Switch) kann Milliardenverluste verhindern. Jede Stufe eines Rollouts ist dabei für sich konsistent, aber die Ausweitung auf alle Instanzen erfolgt schrittweise.
Runbooks und Übung unter Realbedingungen: Selbst die beste Technik hilft wenig, wenn im Ernstfall niemand weiß, wie man reagiert. Unternehmen, die Notfallprozeduren für fehlerhafte Deployments proben, reagieren schneller und souveräner.

Interessant ist, dass Knight Capital nicht am Fehlen von Technologie scheiterte. Die Tools für sichere Deployments existierten längst. Es war vielmehr ein Organisations- und Prozessversagen, bei dem technische Schulden (wie Legacy-Code und Flag-Wildwuchs) und menschliche Routine ("haben wir immer so gemacht") zusammenkamen.

Für moderne Cloud- und Webprojekte gilt übrigens dasselbe Muster: Wer Feature Flags einsetzt, ohne Lifecycle und Dokumentation zu etablieren, erzeugt unbemerkt eine tickende Zeitbombe. Und wer Deployments manuell oder halbautomatisch ausrollt, nimmt Inkonsistenzen in Kauf, die sich irgendwann rächen.

Die Lösung ist eine Kombination aus Disziplin und Automatisierung:

Feature Flags werden wie Code behandelt, mit Versionierung, Owner und Entfernungspflicht.
Deployments laufen atomar und reproduzierbar, am besten als Infrastructure as Code.
Ein zentraler Kill-Switch schützt vor irreversiblen Schäden.

Knight Capital ist das prominenteste Beispiel, aber ähnliche Zwischenfälle gab es seither mehrfach – von falschen Cloudkonfigurationen bis zu versehentlich aktivierten Debug-Modi in der Produktion. Und jedes Mal zeigt sich erneut: Ein einziger vergessener Schalter kann ausreichen, um ein Unternehmen ins Wanken zu bringen.

(who)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

Britisches Urteil: Apple hat App-Käufer abgezockt

2025-10-23T19:53:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Die Gebühren in Apples App Store sind viel zu hoch, sagt ein Gericht in London. Apple soll hunderte Millionen zurückgeben. Auch App-Anbieter dürfen hoffen.

Apple verrechnet im App Store überzogene Gebühren, urteilt ein Wettbewerbsgericht in London.

(Bild: Tada Images / Shutterstock)

23.10.2025, 21:53 Uhr

Lesezeit: 5 Min.

Mac & i

Von

Daniel AJ Sokolov

Apple hat sein Monopol im App Store für iPhones und iPads missbraucht und jahrelang viel zu hohe Gebühren verrechnet. So urteilt das für England und Wales zuständige Wettbewerbsgericht Competition Apeal Tribunal. Es schreibt Apple umfangreiche Rückerstattungen an Kunden vor, denen in den meisten Fällen zweistellige Pfundbeträge winken. Da es aber Millionen betroffene Kunden gibt, geht es in Summe um hunderte Millionen Pfund. Sollte die Gerichtsentscheidung rechtskräftig werden, ist sie eine empfindlichere Niederlage für Apple, als es dieser Betrag erscheinen lässt.

Denn das Urteil betrifft den Zeitraum 1. Oktober 2015 bis 15. November 2024, und damit mehr als fünf Jahre vor dem EU-Austritt Großbritanniens. Entsprechend stellen die drei Richter auch auf EU-Recht ab. Ihre einstimmige Entscheidung hat also Vorbildwirkung nicht nur für Schottland und Nordirland, sondern für die gesamte EU. Außerdem läuft seit 2023 beim selben Gericht eine parallele Sammelklage im Namen jener App-Anbieter, die ihre Software sowie In-App-Verkäufe über denselben App Store abwickeln mussten. Ein Urteil zugunsten Apples in dem Parallelverfahren wäre eine Überraschung.

Das am Donnerstag ergangene Urteil geht auf eine bereits 2021 erhobene Sammelklage der Britin Dr. Rachael Kent zurück. Laut eigener Angabe ist sie die erste Frau, die je eine Sammelklage in Großbritannien angestrengt hat. Die Wissenschaftlerin forscht im Bereich digitale Kultur und Gesellschaft und lehrt am King's College London. Als Besitzerin eines iPhones konnte sie Apps für ihr Handy ausschließlich über Apples App Store beziehen, weil Apple seit jeher alternative Vertriebswege verbietet. Dieses Monopol macht die Sache teuer, denn Apple verrechnet regelmäßig 30 Prozent Gebühren. Kent ging zu Gericht (Dr. Rachael Kent v Apple Inc and Apple Distribution International Ltd, Az. 1403/7/7/21).

30 Prozent Gebühr "exzessiv und unfair"

Laut Urteilsbegründung hat Apple tatsächlich sein Monopol in zwei Märkten missbraucht: (Ver)Kauf von Apps, sowie Umsätze in Apps. In beiden Märkten hat Apple jeglichen Wettbewerb ausgeschlossen. Apple argumentierte, das sei durch Leistungswettbewerb gerechtfertigt, schließlich seien iPhones und iPads eine feine Sache. "Apples Verhalten kann in diesem Zusammenhang nicht als Leistungswettbewerb gerechtfertigt werden, da Apple überhaupt nicht im Wettbewerb steht", heißt es in der Zusammenfassung der fast 400 Seiten dicken Urteilsausfertigung. Verschärfend komme hinzu, dass Apple auch für In-App-Käufe zur Nutzung seines Zahlungsabwicklungssystems zwinge.

Damit habe Apple mehrfach gegen Artikel 102 des Vertrages über die Arbeitsweise der Europäischen Union sowie gegen Kapitel II des britischen Wettbewerbsgesetzes verstoßen. "Apple hat seine Marktmacht missbraucht, indem es exzessive und unfaire Preise verlangt hat, in Form von Kommissionen für den Vertrieb von iOS-Apps und für die Zahlungsabwicklung von In-App-Käufen", heißt es in der Urteilszusammenfassung weiter.

"Mit dem Binnenmarkt unvereinbar und verboten ist die missbräuchliche Ausnutzung einer beherrschenden Stellung auf dem Binnenmarkt oder auf einem wesentlichen Teil desselben durch ein oder mehrere Unternehmen, soweit dies dazu führen kann, den Handel zwischen Mitgliedstaaten zu beeinträchtigen. (...)"

Die Differenz zwischen den verlangten Gebühren und den Kosten sei signifikant und dauerhaft. Das zeige, dass die Preise überhöht sind. Der Tarif sei sowohl für sich genommen unfair, als auch im Vergleich zu den Online-Shops Epic Games', Microsofts und Steams.

Apples Argumente fallen flach

Apple versuchte sich dadurch zu rechtfertigen, dass der Wettbewerbsausschluss zur Erreichung legitimer Ziele notwendig und verhältnismäßig sei. Beides lehnt das Gericht ab. Außerdem meinte Apple, ein einzelner App Store sei effizienter; davon würden Verbraucher in größerem Umfang profitieren, als sie durch die hohen Preise belastet würden. Auch das akzeptiert das Gericht nicht, schließlich schließe Apple jeglichen Wettbewerb in den beiden Märkten von vornherein aus.

Videos by heise

Statt 30 Prozent sind laut Urteil maximal zehn Prozent für In-App-Käufe und maximal 17,5 Prozent für App-Käufe gerechtfertigt. Die Differenz habe allerdings nicht nur Kunden, sondern auch die Anbieter der Apps und App-Inhalte belastet. Die Anbieter hätten nur die Hälfte der Mehrbelastung an ihre Kunden weiter verrechnet.

Diese Hälfte soll Apple für den gut neun Jahre langen relevanten Zeitraum rückerstatten, zuzüglich acht Prozent Zinsen. Die andere Hälfte müssen sich die App-Anbieter erstreiten. Das dafür anhängige Verfahren heißt Dr Sean Ennis v Apple Inc and Others (Az. 1601/7/7/23).

Über die genauen Modalitäten der Rückerstattung sollen sich die Streitparteien tunlichst einigen und das Ergebnis bei der nächsten Tagsatzung, frühestens im November, präsentieren. Parallel kann Apple die Zulassung von Rechtsmitteln beantragen, was das Unternehmen sicher tun wird. Das Gericht muss dann entscheiden, gegen welche Teile des Urteils Apple berufen kann.

(ds)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

AWS: CloudWatch generiert jetzt automatisch Incident-Reports

2025-10-23T12:34:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Amazon hat CloudWatch um automatische Incident-Report-Generierung erweitert. Das soll nur wenigen Minuten dauern – was beim eigenen Ausfall aber nicht klappte.

(Bild: Michael Vi/Shutterstock.com)

23.10.2025, 14:34 Uhr

Lesezeit: 2 Min.

iX Magazin

Von

Moritz Förster

Amazon Web Services hat für seinen Monitoring-Dienst CloudWatch eine neue Funktion zur automatischen Erstellung von Incident-Reports angekündigt. Laut AWS können Kunden damit innerhalb weniger Minuten umfassende Post-Incident-Analyseberichte generieren. Das Timing der Veröffentlichung ist bemerkenswert: Sie erfolgt kurz nach dem schweren Ausfall der AWS-Infrastruktur, der zahlreiche Dienste auch von anderen Anbietern lahmlegte.

Die neue CloudWatch-Funktion sammelt automatisch Telemetriedaten, Nutzeraktionen während der Fehlersuche sowie Systemkonfigurationen und fügt diese zu einem strukturierten Bericht zusammen. Laut AWS umfassen die generierten Reports Executive Summaries, detaillierte Zeitverläufe der Ereignisse, Impact-Assessments und konkrete Handlungsempfehlungen. Das System korreliert dabei die verschiedenen Datenquellen, um ein möglichst vollständiges Bild des Vorfalls zu zeichnen.

CloudWatch ist Amazons zentrale Plattform für die Echtzeitüberwachung von Cloud-Ressourcen und -Anwendungen. Der Dienst bietet laut AWS-Dokumentation eine systemweite Übersicht über die Anwendungsperformance, operative Systemgesundheit und Ressourcenauslastung. Die neue Incident-Report-Funktion erweitert dieses Monitoring jetzt um eine strukturierte Nachbetrachtung von Störfällen.

Das Versprechen: Automatisch immer besser

Die automatisch erstellten Berichte sollen IT-Teams helfen, wiederkehrende Muster zu erkennen und präventive Maßnahmen zu implementieren. AWS verspricht, dass Kunden durch die strukturierte Post-Incident-Analyse ihre operative Aufstellung kontinuierlich verbessern können. Die Funktion erfasst dabei kritische Betriebstelemetrie, Servicekonfigurationen und Untersuchungsergebnisse automatisch – manuelle Zusammenstellungen entfallen. Inwiefern dies jetzt bereits bei Amazons jüngstem Ausfall intern geholfen haben könnte, bleibt jedoch offen. Nach den versprochenen wenigen Minuten lagen hierbei jedenfalls keine gesicherten Informationen vor.

Videos by heise

Die neue CloudWatch-Funktion ergänzt die kürzlich eingeführte KI-gestützte Fehleranalyse in CloudWatch Investigations. Diese nutzt generative KI zur Diagnose und automatischen Ursachenanalyse von Betriebsproblemen. Die Integration mit AWS Systems Manager soll die Komplexität von Cloud-Umgebungen bei der Fehlerbehebung reduzieren. Laut AWS ist der Dienst in mehreren Regionen verfügbar, darunter Europe (Frankfurt). Die Kosten entsprechen denen von CloudWatch Investigations, für die Funktion gelten keine zusätzlichen Aufpreise.

(fo)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

software-architektur.tv: Experiencing Generative AI mit Oliver Zeigermann

2025-10-23T09:35:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Anhand einer Demo-Applikation sprechen Oliver Zeigermann und Lisa Maria Schäfer über das Thema generative KI.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externes YouTube-Video (Google Ireland Limited) geladen.

YouTube-Video immer laden

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Google Ireland Limited) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

23.10.2025, 11:35 Uhr

Lesezeit: 1 Min.

Developer

Von

Rainald Menge-Sonnentag

In dieser Folge des Videocasts software-architektur.tv sprechen Oliver Zeigermann und Lisa Maria Schäfer über das Thema generative KI. Dabei zeigen sie eine Demo-Applikation.

Im Fokus stehen die Grundlagen von GenAI, aber Oliver wird auch zeigen, wie man KI verstehen kann, ohne jemals einen Computer anzufassen. Die Folge ist bewusst spielerisch ausgelegt.

Da Lisa Maria Schäfer vor der Kamera ist, wird sie diesmal keine Sketchnotes malen.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externes YouTube-Video (Google Ireland Limited) geladen.

YouTube-Video immer laden

Livestream am 24. Oktober

Die Ausstrahlung findet am Freitag, 24. Oktober 2025, live von 13 bis 14 Uhr statt. Die Folge steht im Anschluss als Aufzeichnung bereit. Während des Livestreams können Interessierte Fragen via Twitch-Chat, YouTube-Chat, Bluesky, Mastodon, Slack-Workspace oder anonym über das Formular auf der Videocast-Seite einbringen.

software-architektur.tv ist ein Videocast von Eberhard Wolff, Blogger sowie Podcaster auf iX und bekannter Softwarearchitekt, der als Head of Architecture bei SWAGLab arbeitet. Seit Juni 2020 sind über 250 Folgen entstanden, die unterschiedliche Bereiche der Softwarearchitektur beleuchten – mal mit Gästen, mal Wolff solo. Seit mittlerweile mehr als zwei Jahren bindet iX (heise Developer) die über YouTube gestreamten Episoden im Online-Channel ein, sodass Zuschauer dem Videocast aus den Heise Medien heraus folgen können.

Weitere Informationen zur Folge finden sich auf der Videocast-Seite.

(rme)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

JavaScript: Testing-Framework Vitest 4.0 bringt visuelles Regressionstesting

2025-10-23T09:08:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Im Major Release ist der Browser Mode stabil, der neuerdings Visual Regression Testing bietet, um optische Änderungen aufzudecken.

(Bild: janews/Shutterstock.com)

23.10.2025, 11:08 Uhr

Lesezeit: 2 Min.

Developer

Von

Maika Möbus

Vitest liegt in der neuen Hauptversion 4.0 vor. Updates gibt es unter anderem für den Browser Mode, den Umgang mit dem End-to-End-Testing-Framework Playright und das Debugging mit der Visual-Studio-Code-Erweiterung.

Bei Vitest handelt es sich um ein Testing-Framework auf Basis des Frontend-Build-Tools Vite.js, das einen Fokus auf Schnelligkeit legt. Beide sind quelloffen verfügbar, jedoch arbeitet das Vite-Team derzeit auch an dem kommerziellen Angebot Vite+, das eine einheitliche JavaScript-Toolchain darstellen soll.

(Bild: jaboy/123rf.com)

Browser Mode stabil verfügbar

Der Browser Mode ist ein Feature der Vitest-API, das bislang als experimentell gekennzeichnet war und nun den stabilen Status erreicht hat. Damit lassen sich Tests nativ im Browser ausführen.

Um einen Provider festzulegen, ist nun die Installation eines separaten Pakets notwendig: @vitest/browser-playwright, @vitest/browser-webdriverio oder @vitest/browser-preview. Damit können Developer einfacher mit benutzerdefinierten Optionen arbeiten, und sie können auf die Kommentare /// <reference verzichten.

Visuelles Regressionstesten im Browser Mode

Der Browser Mode erhält darüber hinaus eine neue Funktion: Visual Regression Testing. Das bedeutet, Vitest erstellt Screenshots von UI-Komponenten und Seiten und vergleicht diese mit Referenzbildern, um unbeabsichtigte visuelle Änderungen festzustellen. Das Visual Regression Testing lässt sich durch die Assertion toMatchScreenshot ausführen, wie das Entwicklungsteam demonstriert:

import { expect, test } from 'vitest'
import { page } from 'vitest/browser'

test('hero section looks correct', async () => {
  // ...the rest of the test

  // capture and compare screenshot
  await expect(page.getByTestId('hero')).toMatchScreenshot('hero-section')
})

Updates für die Anbindung an Playwright und VS Code

Vitest 4.0 bringt ein Update für die Verwendung mit dem End-to-End-Testing-Framework Playwright: Es kann nun Playwright Traces generieren, wenn die trace-Option in der test.browser-Konfiguration gesetzt ist, oder mithilfe der Option --browser.trace=on, in der sich auch off, on-first-retry, on-all-retries oder retain-on-failure festlegen lassen. Die erstellte Trace-Datei lässt sich mit dem Playwright Trace Viewer öffnen. In der Extension für Visual Studio Code gibt es ebenfalls eine Neuerung: Dort lässt sich nun der "Debug Test"-Button beim Ausführen von Browser-Tests nutzen.

Videos by heise

Die komplette Liste der Änderungen führt das Vitest-Team im Changelog auf und geht in einem Blogeintrag detaillierter auf die wichtigsten Neuerungen ein. Da es einige Breaking Changes gibt, empfiehlt es Entwicklerinnen und Entwicklern, vor einem Upgrade die Migrationsanleitung zu beachten.

(mai)

Top 10: Die beste Smartwatch im Test – Apple Watch bleibt Testsieger

Top 10: Die besten Saugroboter im Test – Roborock, Ecovacs, Eufy, Dreame & Co.

Top 10: Mähroboter ohne Begrenzungskabel im Test – jetzt besonders günstig

OpenWrt: Updates schließen Sicherheitslücken in Router-Betriebssystem

2025-10-23T06:24:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Zwei als hochriskant geltende Sicherheitslücken haben die Entwickler des quelloffenen Router-Betriebssystems OpenWrt geschlossen.

(Bild: Sashkin/Shutterstock.com)

23.10.2025, 08:24 Uhr

Lesezeit: 3 Min.

Security

Von

Dirk Knop

Im quelloffenen Linux-Betriebssystem OpenWrt haben die Entwickler zwei Sicherheitslücken geschlossen. Sie ermöglichen unter Umständen das Einschleusen und Ausführen von Schadcode sowie die Ausweitung von Rechten. Die Schwachstellen gelten als hochriskant. Wer OpenWrt einsetzt, sollte daher die aktualisierten Images installieren.

Eine der Sicherheitslücken betrifft den ubusd (Microbus-Daemon). Darüber kommunizieren in OpenWrt Clients – etwa Daemons oder Anwendungen – mit Diensten. Es handelt sich um ein System zur Interprozesskommunikation. Im Code zur Verarbeitung von Event-Registrierungen können Angreifer einen Heap-basierten Pufferüberlauf auslösen und dadurch möglicherweise Schadcode im Kontext des ubus-Daemons ausführen. Da der Code vor Zugriffsberechtigungsprüfungen ausgeführt wird, können alle ubus-Clients derartige manipulierte Nachrichten senden und die Schwachstelle missbrauchen, erörtern die OpenWrt-Entwickler in ihrer Sicherheitsmitteilung (CVE-2025-62526, CVSS 7.9, Risiko "hoch"). Nähere Erläuterungen, wie Angriffe aussehen könnten, die ubus-Clients zum Senden solcher manipulierter Nachrichten bringen, macht das Projekt nicht.

Die andere Schwachstelle ermöglicht die Ausweitung der Rechte von lokalen Usern. Die können beliebigen Kernel-Speicher durch die IOCTLs des ltq-ptm-Treibers lesen und beschreiben, der für den Datenpfad des DSL-Modems bedient, schreibt OpenWrt in der Sicherheitsmeldung (CVE-2025-62525, CVSS 7.9, Risiko "hoch"). OpenWrt laufe standardmäßig als Single-User-System, jedoch befinden sich einige Dienste in einer Sandbox. Die Schwachstelle ermöglicht Angreifern, aus einer ujail-Sandbox oder anderen Beschränkungen auszubrechen. Davon betroffen sind lediglich die Lantiq-Build-Targets mit Unterstützung für xrx200-, Danube- und Amazon-SoCs (System-on-Chip) von Lantiq, Intel und MaxLinear. Dazu müsse DSL im PTM-Modus genutzt werden, was zumeist bei VDSL-Anbindungen der Fall sei, während ADSL-Anbindungen in der Regel den ATM-Modus nutzen, erklären die Programmierer. Sie erklären zudem, dass der VRX518-DSL-Treiber nicht verwundbar sei.

Videos by heise

Aktualisierte Softwareversionen

Die Schwachstellen haben die Programmierer in Version 24.10.4 und neueren von OpenWrt ausgebessert. Snapshots-Builds seit dem 18. Oktober 2025 enthalten die Korrekturen, der ltq-ptem-Treiber ist seit 15. Oktober korrigiert. Alle älteren OpenWrt-Versionen sind verwundbar, schreibt das Projekt. OpenWrt-Versionen wie 23.05 oder 22.03 sind jedoch am End-of-Life angelangt und erhalten daher keine Sicherheitsupdates mehr.

Ende vergangenen Jahres hatte OpenWrt eine als kritisch eingeordnete Sicherheitslücke in den SysUpgrade-Server geschlossen. Angreifer hätten manipulierte Firmware-Images erstellen und damit versehene OpenWrt-Geräte kompromittieren können.

(dmk)