Sieben Leute suchen einen

Am 8. August schreibt Daniel Stenberg - der Maintainber des Open Source Tools curl - zwei Absätze auf Mastodon. Niemand im siebenköpfigen Security-Team von curl arbeitet unter Windows.

No one in the seven-person curl security team is on or runs Windows.

daniel:// stenberg:// @bagder@mastodon.social

Meldungen zu Windows-exklusiven Schwachstellen lösen deshalb Stöhnen aus. Der Grund sei, dass niemand im Team unter Windows arbeiten wolle und kein anderer Mitwirkender gleichzeitig aktiv genug, Windows-kundig und an der Teamarbeit interessiert sei. Dann folgt der Schlusssatz, und der ist der eigentliche Inhalt des Postings: falls es so jemanden gebe und er ihn schlicht übersehen habe, möge sich diese Person melden.

Im ersten Moment löst das bei mir ein Schmunzeln aus. Ein "Kann ich verstehen...".

Aber ... das ist eine Stellenausschreibung. Unbezahlte Tätigkeit, formuliert von einem Mann, der die Möglichkeit einräumt, dass er selbst vielleicht nicht gründlich genug hingesehen hat.

Zwei Tage später steht bei heise: "curl: Niemand will mit Windows arbeiten", Unterzeile Hilferuf, im Text die Feststellung, Stenberg beschwere sich auf Mastodon über das Betriebssystem. Der Artikel hat zum Zeitpunkt dieser Zeilen 237 Kommentare, das Aufmacherbild ist laut Bildunterschrift KI-generiert, was in einem Text über ein Projekt, das an KI-generierten Sicherheitsmeldungen erstickt, eine Pointe ist, die sich fast von selbst schreibt 😄 (Die ich selber aber auch oft mit KI-generierten Bildern bediene).

Was zwischen Original und Meldung passiert

Im Originalposting steht jedoch kein Werturteil über Windows. Es steht kein Wort über Microsoft, keines über Geld, keines über Verantwortung. Was dort steht, ist eine reine Auskunft über die Zusammensetzung eines des am längsten bestehenden Freiwilligenteams im Open Source Bereich und einer jetzt gerade daraus folgenden Bearbeitungslücke. Das Stöhnen richtet sich nicht (nur) gegen ein Betriebssystem, sondern gegen den Umstand, dass Meldungen eintreffen, die derzeit niemand kompetent prüfen kann. Das ist ein beschriebener Zustand, kein Geschmack, auch wenn man den hier gern sehen würde.

Aus dieser Auskunft wird in der Übertragung eine Beschwerde über ein Produkt. Damit wandert der Konflikt von der essentiellen Ressourcenfrage auf die Plattformfrage, und ab da läuft die Diskussion in den Threads auf heise, mastodon und Co von selbst. Man muss die 237 Kommentare nicht lesen, um zu wissen, was darin steht. Die Überschrift hat sie provoziert. Selbst unter Stenbergs eigenem Posting drehte sich der öffentliche Teil der Antworten überwiegend um weitere Windows-Klagen und die ewige Abwägung zwischen Linux und macOS. An Stenbergs Schmerz und Thema vorbei.

Man kann das für einen handwerklichen Lapsus halten. Ich halte es für eine klare Produktentscheidung. Ein Personalgesuch mit sieben Betroffenen erzeugt keine Reichweite bei der Leserschaft. Ein Betriebssystemkonflikt erzeugt Reichweite, Reibung, Klicks. Der Heise-Text ist zwei Tage nach dem Sternberg-Posting erschienen, es lag also keine Nachrichtenlage vor, die zur Eile gezwungen hätte. Es lag ein verwertbarer Reibungsstoff vor, und die Verarbeitung war entsprechend.

Dabei ist die eigentliche Nachricht größer als alles, was die Überschrift verspricht. Das Projekt selbst schätzt zwanzig bis dreißig Milliarden Installationen und räumt zugleich ein, dass es sich um eine Hochrechnung aus Beobachtungen und Zufallsfunden handelt und nicht um eine Zählung. Wo curl steckt, erfährt das Projekt oft erst durch Lizenzhinweise in Info-Dialogen, weil niemand verpflichtet ist, es mitzuteilen. Schade eigentlich.

Im Browser steckt es übrigens üblicherweise nicht. Chrome, Firefox und Safari bringen eigene Netzwerkstacks mit, ein Download im Browser läuft nicht durch diesen Code. Dafür läuft so ziemlich alles andere darüber. Git nutzt libcurl für Übertragungen über HTTPS, jedes clone und jedes pull also. Liebe Entwickler, ob Profis oder Hobbyisten, ist euch das bewusst? Auf der RPM-Seite hängt die Paketverwaltung über librepo an libcurl. Dazu kommt die unsichtbarste Klasse überhaupt, die produkteigenen Updater: Installer, Auto-Updater und Lizenzprüfungen kommerzieller Software greifen gern zu libcurl, weil es überall baut und kaum Abhängigkeiten mitschleppt. For free, natürlich. Ihr nutzt dasjeden Tag in Smartphone-Betriebssystemen, Infotainment-Systemen in Autos, Fernsehern, Set-Top-Boxenn, Blu-Ray-Playern, Heimroutern, Druckern und (natürlich) einer Reihe von Bestseller-Spielen auf Windows und Konsolen. Auf der Liste bekannter Nutznießer stehen Adobe, Apple, BMW, Bosch, Cisco, Google, Mercedes-Benz, NASA, Netflix, Nintendo, Samsung, SAP, Siemens, Sony, VMware. Und Microsoft.

Zurück zum Punkt. Die Instanz, die entscheidet, ob eine gemeldete Windows-Schwachstelle real ist, besteht all demgegenüber aus sieben Freiwilligen, und für diese eine OS-Plattform aus null. Besetzt werden soll die Lücke über einen Fediverse-Post. Wer daraus eine Geschmacksdebatte macht, hat die Nachricht nicht verkleinert, sondern verfehlt.

Sankt Augustin, August 2025

Weil es gerade so schön passt, denn kommendes Wochenende FrOSCon-Wochende. Vor etwa einem Jahr hatte ich das Vergnügen, Daniel Stenbergs Keynote Titel "AI slop attacks on the curl project" beizuwohnen und ihn auch persönlich kennenzulernen.

Was aus diesem Vortrag hängengeblieben ist, war nicht die Empörung, sondern deren komplette Abwesenheit. Stenberg trug Zahlen vor. Etwa jede fünfte Einreichung des Jahres 2025 war KI-Ausschuss, bei durchschnittlich zwei Sicherheitsmeldungen pro Woche. Die Bestätigungsquote war von über fünfzehn Prozent auf unter fünf gefallen. In sechs Jahren Beobachtung war aus einer rein KI-generierten Einreichung nicht eine einzige echte Schwachstelle hervorgegangen.

Der Punkt, an dem der Vortrag kippte, war ein anderer. Das Team prüft trotzdem jede Meldung. Muss es, es hat diesen Anspruch an sich. Es gibt keine Abkürzung, wie sollte diese denn aussen. Eine plausibel formulierte Falschmeldung sieht bis zur Verifikation exakt aus wie ein echter belastbarer Fund.

Das Werkzeug KI ist nicht das Problem

Wer daraus eine reflexhafte Anklage gegen KI baut, hat den Mechanismus nicht verstanden. curl selbst setzt inzwischen einen KI-gestützten Analyzer ein, dem in den Monaten vor dem Ende der Prämienzahlungen fünf CVEs zugeschrieben werden. Dasselbe Projekt, das an KI-Ausschuss erstickt, profitiert an anderer Stelle von KI-Analyse. Beides ist wahr, und beides ist dieselbe Technik.

Was sich verschoben hat, ist nicht die Qualität der Werkzeuge, sondern die Kostenverteilung. Eine glaubwürdig klingende Schwachstellenmeldung zu erzeugen, war bis vor kurzem teuer. Man brauchte Codekenntnis, Zeit und Verständnis für das Projekt, und genau dieser Aufwand war der vorgeschaltete gut funktionierende Qualitätsfilter des Bug-Bounty-Modells. Die großen Frontier-Sprachmodelle haben die Einreichungskosten auf nahezu null gesenkt. Die Prüfungskosten sind unverändert geblieben. Ein Modell, das auf der Symmetrie dieser beiden Größen beruhte, funktioniert nicht mehr, sobald eine Seite gegen null geht, nicht wahr? Und das war die Aussage obigen Votrages 2025.

Anfang dieses Jahres hat curl deshalb die Prämien abgeschafft, nach sieben Jahren, 81 bestätigten Funden und über 90.000 ausgezahlten Dollar. Eigentlich war es ein schönes Modell. Gemeldet werden kann weiterhin, nur eben ohne Geld. Der finanzielle Anreiz, ohne eigenes Know How mal schnell mit einem Chatbot nach Prämien zu fischen, ist damit weg. Die peronelle Lücke im Security-Team ist trotzdem da. Wer die Geschichte nun wieder einmal als reines KI-Problem stilisiert, muss erklären, warum das Abschalten der Ursache das Symptom nicht beseitigt hat.

Ein Monat Abwesenheit, null Reaktion

Fünf Tage bevor Stenberg seinen Windows-Aufruf schrieb, endete etwas, das im Projekt "curl summer of bliss" heißt. Ein interessanten und vielsagendes Experiment. Das Team hatte den kompletten Juli 2026 von der Bearbeitung von Schwachstellenmeldungen freigenommen. Angekündigt, öffentlich, mit einem Hinweis auf der HackerOne-Seite, dass man pausiere und im August wieder da sei. Die Begründung war nicht (eine verständliche) Urlaubslaune, sondern Erschöpfung des Teams. Es war, wie Stenberg anschließend festhielt, eine der besten Projektentscheidungen seit langem.

Er hatte damit gerechnet, dass diese Ankündigung diese riesige Menger kommerzieller, haftender Nutzer beunruhigt. Ein Monat ohne Sicherheitsteam ist ein Zustand, den jede Risikoabteilung dieser Welt in rot in eine Tabelle eintragen müsste, und für genau solche Fälle bietet das Projekt natürlich bezahlte Supportverträge an. Das Ergebnis: kein einziger neuer Vertrag. Nicht nur ein paar wenige. Keiner. Sein eigenes Fazit lautet, die kommerziellen curl-Nutzer seien offenbar auch nicht beunruhigt gewesen.

Damit muss man über Trittbrettfahrerei gar nicht mehr spekulieren. Sie ist gemessen worden, vom Betroffenen selbst, unter Laborbedingungen, mit einem sauberen Nullergebnis. Die Software steckt in zwanzig bis dreißig Milliarden Installationen, ihr Sicherheitsteam macht einen Monat lang angekündigt nichts, und der Markt reagiert nicht. Nicht aus Bosheit, sondern weil ihn nichts dazu zwingt. Wer keine Rechnung bekommt, prüft seine Lieferkette nicht.
They just don't care.

Fünf Tage später schreibt derselbe Mann, dass er für Windows niemanden findet. Das ist die offen zugängliche Chronologie, und sie steht öffentlich in seinem eigenen Blog, im Internet und auf Mastodon.

Warum sich niemand meldet

Bleibt die Frage, warum ein Projekt dieser Bedeutung im Windows-Umfeld niemanden findet.

Die bequeme Antwort lautet, Windows-Leute arbeiteten eben nicht unentgeltlich. Sie ist teilweise falsch. .NET, TypeScript, VS Code, PowerShell und das Windows Terminal sind quelloffen, und in diesen Projekten arbeiten sehr viele Menschen sehr viel unbezahlte Zeit ab.

Nur eben dort. Und das ist der Punkt. Das Microsoft-Ökosystem verfügt über einen ausgebauten Apparat, der freiwillige Expertise in einen herstellergebundenen Status übersetzt: MVP-Programm, Partnerstufen, Zertifizierungen, Reactor-Events, Bootcamps. Wer im Windows-Umfeld Reputation aufbaut, tut das innerhalb einer Ökonomie, die der Hersteller definiert, nicht der Spezialist und in der sich Aufwand in Sichtbarkeit, Leads und am Ende in Marktanteile, Umsatz, Shareholder-Value übersetzt. Die Bereitschaft zur unbezahlten Arbeit fehlt nicht. Sie ist gebunden, und der Bindende hat sie sehr sehr sorgfältig in Fesseln gelegt.

Im Linux-Umfeld existiert dieser Einzugsmechanismus nicht. Reputation fällt dort in die Allmende, der Herrenlosigkeit, weil es keine Instanz gibt, die sie einsammeln oder vereinnahmen könnte. Genau daraus schöpfen Projekte wie curl seit dreißig Jahren. Wer sich daran gewöhnt hat, dass Fachleute einfach auftauchen, übersieht leicht, dass dieses Auftauchen eine strukturelle Voraussetzung hat, die anderswo systematisch abgeräumt wurde.

Wie das Abräumen aussieht, habe ich an anderer Stelle am Beispiel GitHub beschrieben. Das Muster ist dasselbe: Community-Energie wird eingesammelt, umgeschlagen und als Produkt zurückverkauft. Was hier zu besichtigen ist, ist die Rechnung dafür, ausgestellt an ein ursprünglich tollen Projekt, das mit Microsoft nie etwas zu tun hatte. EIne traurige Geschichte, wie so oft.

Bei Sicherheitsarbeit kommt eine zweite Schicht hinzu. Windows-Schwachstellenanalyse ist ein bezahlter Beruf mit Arbeitgeber, Vertraulichkeitspflichten und Interessenkonflikten. Unbezahlte Triage unter Embargo, mit Verfügbarkeitserwartung und ohne Sichtbarkeit, ist für diese Leute nicht nur unattraktiv, sondern arbeitsvertraglich häufig problematisch. Es ist nach GUI-/UX-Design die teuerste und unsichtbarste Rolle in einem Open-Source-Projekt, und sie produziert weder Commits noch Vorträge, sondern nur Bereitschaft.

Der Vorwurf, den ich mache

Bis hierher ist das eine Beschreibung von Verhältnissen, keine Anklage. Einen Vorwurf mache ich dem Hersteller dann aber doch, und es ist genau einer.

Er setzt voraus, was weiter oben schon stand: Microsoft steht auf der Anwenderliste des Projekts. Nicht als Randnotiz, sondern als Konzern, der curl im Betriebssystem ausliefert und in eigenen Produkten verwendet. Die unbesetzte Stelle im curl-Security-Team betrifft also exakt die Plattform, mit der dieser Konzern sein Geld verdient.

Microsoft verfügt über einen der ausgefeiltesten Apparate der Branche, um Ressourcen in fremden Unternehmen zu finanzieren. Der formelbasierte Teil davon ist öffentlich dokumentiert, Co-op-Mittel und Marktentwicklungsgelder, gebunden an Umsatz und Aktivitätsnachweise. Das kann der interessierte Leser gern im jeweils aktuellen Incentive-Guide nachschlagen, welches man gern hinter unwirksamen "Confidential"-Klauseln versteckt.
Interessanter ist der andere Teil. Investitionsmittel für konkrete Vorhaben und, in der Praxis, mitfinanzierte Köpfe im Partnerunternehmen laufen nicht über eine Rechenregel, sondern über willkürliche Nominierung. Jemand innerhalb des Herstellers schlägt vor, jemand entscheidet. Ich habe genug Jahre in diesem Umfeld verbracht, um zu wissen, wie routiniert das gehandhabt wird, und wie schnell es gehen kann, wenn der Vorschlag ins strategische Interesse passt.

Ich weiß aber auch, wie es aussieht, wenn er das nicht tut. Umsätze in Segmenten wie SPLA, das in Redmond als unliebsames "Legacy"-Modell geführt wird, wuchs in den letzten Jahren - wenn man hinter alle Nebelwände schaut - in DACH immer noch schneller als die reine Cloud-Consumption. Finanzierte Köpfe gibt es dafür nicht. Die gingen an die attraktiven Themen: Copilot, Azure, Data Center Optimization, was ein Etikett dafür ist, Kunden aus dem eigenen Rechenzentrum in die Azure-Cloud zu eskortieren. Umsatz allein qualifiziert also nicht. Es qualifiziert die opportune Richtung, in die der Umsatz zeigt.

Damit erübrigt sich die jedoch bequemste aller Ausreden. Es gibt keine Programmregel, die curl ausschließt, weil es für diesen Fall gar keine Programmregel gibt. Es gibt nur niemanden, der auf die Idee kommt. Ein oder zwei bezahlte Stellen für Windows-Sicherheitsprüfung im curl-Projekt wären keine Wohltätigkeit und keine Sonderaktion, sondern ein Nominierungsvorgang. Für einen Konzern, der 7,5 Milliarden Dollar für GitHub ausgegeben hat, liegen zwei Entwicklergehälter in Bereichen weit unterhalb der Rundungsdifferenz.

Der Einwand liegt auf der Hand: curl ist kein Partner, es gibt keine Vertriebsbeziehung, und Co-Funding folgt der Pipeline. Das stimmt alles. Es ist aber die Erklärung, nicht die Entlastung. Das Geld fließt dorthin, wo es Umsatz erzeugt, und nicht dorthin, wo es Ausfälle verhindert. Genau das ist der eigentlich tragische Befund, nicht wahr?

Wer einwendet, ein herstellerfinanzierter Kopf in einem Open-Source-Sicherheitsteam sei ein Unabhängigkeitsproblem, sollte wissen, dass dieses Modell bei curl seit Jahren gelebt wird. Stenberg selbst ist seit 2019 bei wolfSSL angestellt und pflegt curl in dieser Anstellung hauptberuflich. Bezahlte Köpfe von außen sind hier keine Neuerung, sondern die Voraussetzung dafür, dass es das Projekt in dieser Form überhaupt noch gibt. Es geht also.

Die MIT-nahe Lizenz erlaubt das Zugreifen ohne Gegenleistung ausdrücklich. Das ist kein Wortbruch und kein Rechtsverstoß, das ist die vereinbarte Geschäftsgrundlage, und Stenberg hat sie selbst damals gewählt. Der Vorwurf lautet nicht, dass Microsoft sich bedient. Das dürfen alle. Der Vorwurf lautet, dass ein Konzern mit einem einsatzbereiten Instrument für genau diesen Zweck es nicht einsetzt, während das Sicherheitsteam der Software, die er millionenfach mit ausliefert, an einer Stelle unbesetzt bleibt, die exakt seine ureigenste Plattform betrifft.

Was zu melden gewesen wäre

Die Presse-Meldung hätte lauten können, dass eines der meistverbreiteten Softwarebauteile der Welt seine Sicherheitsprüfung für die verbreitetste Desktop-Plattform der Welt derzeit nicht abdecken kann, dass die Stelle über einen Fediverse-Post ausgeschrieben wird und dass die Gründe dafür nicht bei einem Betriebssystem liegen, sondern bei der Frage, wo freiwillige Fachkompetenz noch entsteht und wo sie längst eingesammelt wird. Sie hätte sein können, dass einer der größten Legacy-OS-Hersteller dieser Welt es nicht für nötig hält, Ressourcen Stenbergs Team zur Seite zu stellen, warum auch, es war ja bisher ein freier kompetenter Selbstbedienungsladen.

Das ist eine unaufgeregte, präzise und ausgesprochen unbequeme Nachricht. Sie hätte vermutlich vierzig Kommentare bekommen. Der Betriebssystemkrieg (und ihr wisst, dass ich selber hier meine Entscheidung schon vor langer Zeit getroffen habe) hat bis heute am 11. August 2026 237 geliefert. Die Aufmerksamkeit ist also entstanden (gut!) , sie ist nur nicht dort angekommen (schlecht!), wo sie gebraucht wird.

Ich werde diesen Artikel auch auf Linkedin publizieren. Und vielleicht lernt das Pferd ja doch singen. Oder jemand mit Einfluss bei Microsoft liest ihn zufällig und spendiert Stenberg einen Rundungsfehler aus seinem Budget-Topf.

Es ist ein kleines Beispiel, und genau deshalb taugt es. Man kann hier Wort für Wort nachvollziehen, wie aus einer Zustandsbeschreibung ein Konflikt wird, weil Konflikte sich in Metriken wie Clicks und Hits besser ausspielen lassen. Wer über die Fragilität digitaler Infrastruktur schreibt, sollte im Blick behalten, dass die Berichterstattung über diese Fragilität denselben ökonomischen Anreizen folgt wie alles andere, worüber wir hier reden. Das ist keine Verschwörung. Das ist Marktstruktur. Und die gilt natürlich auch für heise.