Die Menschen, die das Internet stützen: Elf von 23 Kernprojekten hängen an ein oder zwei Personen

Markus Seyfferth

Autor Dr. Web

14. Oktober 2026

2 Min. Lesezeit

Rund vier Milliarden Android-Smartphones und iPhones lesen ihre Ortszeit aus einer Datei, die ein Informatik-Dozent der UCLA in seiner Freizeit pflegt. Bei elf von 23 Softwareprojekten, auf die Telefone, Browser und Server angewiesen sind, zählte sheets.works nur ein oder zwei regelmäßig Mitwirkende. Ab Dezember 2027 verlangt der Cyber Resilience Act von Softwareherstellern Sorgfalt bei jedem dieser Bausteine.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

„Man sollte auch bedenken, dass dies ein unbezahltes Hobbyprojekt ist“, schrieb Lasse Collin im Juni 2022 auf der Mailingliste von xz, einem Kompressionswerkzeug auf fast jedem Linux-Server. Im Februar 2024 veröffentlichte Jia Tan, ein Mitstreiter mit erweiterten Rechten, zwei Versionen mit einer versteckten Hintertür.^[1]

Das Wichtigste in Kürze

Paul Eggert schrieb binnen eines Jahres 218 von 251 Änderungen an der Zeitzonen-Datenbank.
Fördergeld erreicht vor allem Projekte mit eigener Organisation.
Der Cyber Resilience Act verlangt ab Dezember 2027 Sorgfalt bei eingebauter freier Software.

Wie viele Menschen halten das Netz am Laufen?

Ein Turm aus weißen Würfeln auf einem orangefarbenen Würfel mit dem Wort — Bei 11 von 23 Projekten tätigten zwischen Oktober 2025 und Oktober 2026 maximal zwei Personen jeweils zehn oder mehr Änderungen

Bei elf von 23 untersuchten Projekten machten zwischen Oktober 2025 und Oktober 2026 höchstens zwei Personen jeweils zehn oder mehr Änderungen.^[1]

Paul Eggert koordiniert die Zeitzonen-Datenbank seit 2012 und schrieb 218 der 251 Änderungen des vergangenen Jahres.^[1] Allein 2026 erschienen fünf Ausgaben, zuletzt 2026e am 29. September, weil Manitoba ab dem 31. Oktober dauerhaft bei UTC−5 bleibt.^[2]

Bei curl, dem Werkzeug für Datenübertragungen in Windows, Autos und Fernsehern, arbeiteten elf Personen regelmäßig mit.^[1] Die vom Bund finanzierte Sovereign Tech Agency zahlte 2022 und 2023 zusätzlich 195.000 Euro für Fehlerbereinigung und neue HTTP-Optionen.^[3]

Warum kommt das Fördergeld nicht bei allen an?

Förderprogramme zahlen an Organisationen, die Anträge stellen und Berichte liefern. Paul Eggert, Lasse Collin und Mark Adler von zlib haben nicht einmal eine Sponsorenseite.^[1]

Nach Heartbleed im April 2014 sammelte die Linux Foundation binnen zwei Monaten umgerechnet rund 4,7 Millionen Euro. Bei OpenSSL wuchs das Kernteam von sechs auf vierzehn Leute, heute arbeiten 32 regelmäßig mit. Für xz fand sheets.works nach der Hintertür kein neues Geld, 2025 stammten 97 Prozent der Änderungen wieder von Collin.^[1]

Die Sovereign Tech Agency steckte seit Oktober 2022 insgesamt 41,1 Millionen Euro in 118 Technologien.^[4] München geht direkter vor und beschäftigt seit August 2026 Sebastian Pipping, Maintainer des XML-Parsers Expat, für bis zu sechs Monate, damit er fünf offene Schwachstellen schließt. Ungeprüfte KI-Meldungen verbittet sich Pipping,^[5] wie sie zuletzt einen halluzinierten CVE-Eintrag zu SQLite hervorbrachten.

Das Internet in wenigen Händen

Wie viele Menschen zentrale Open-Source-Bausteine pflegen und was sie dafür bekommen

Kennzahlen (Stand Oktober 2026)

4 Mrd.

Android-Smartphones und iPhones nutzen die Zeitzonen-Datenbank

218 / 251

Änderungen an der Datenbank binnen eines Jahres von Paul Eggert

11 / 23

Kernprojekte mit höchstens zwei regelmäßig Mitwirkenden

Ausgaben der Zeitzonen-Datenbank allein im Jahr 2026

Drei Projekte, drei Geldlagen

Gefördert

curl

Team: 11 Personen mit regelmäßigen Änderungen

Geld: rund 78.000 € im Jahr über Open Collective, dazu 195.000 € vom Bund

Nach Heartbleed

OpenSSL

Team: 6 Personen 2013, 32 im Jahr 2026

Geld: rund 4,7 Mio. € sammelte die Linux Foundation binnen zwei Monaten

Nach der Hintertür

Team: 1 Person, 97 % der Änderungen 2025

Geld: keine neue Förderung auffindbar

Vier Milliarden Smartphones stellen ihre Uhr nach einer Datei, die Paul Eggert nach Feierabend pflegt. Öffentliches Geld hat dafür bisher niemand angewiesen.
Michael Dobler, Herausgeber Dr. Web

Was bedeutet das für Agenturen und Softwarehersteller?

Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen melden, ab dem 11. Dezember 2027 gelten die Hauptpflichten des Cyber Resilience Act.^[6] Zu den Hauptpflichten gehört Sorgfalt bei jeder zugekauften Komponente, ausdrücklich auch bei freier Software.^[7]

Unbezahlte Freiwillige wie Collin fallen nicht unter die Verordnung, Open-Source-Verwalter müssen juristische Personen sein.^[8] Das Risiko eines verwaisten Bausteins liegt damit beim Hersteller, der ihn einbaut.

Für Agenturen beginnt die Vorsorge mit einer Stückliste: Welche Bibliotheken stecken in Ihren Plugins und Apps, und wie viele Menschen pflegen sie? Der Schadcode im Zod-Repository und das kompromittierte Paket Keyv zeigten, wie schnell ein einzelnes Paket zur Gefahr wird.

WordPress rechnet Ortszeiten über PHP, das eine eigene Kopie der tz-Datenbank mitbringt; die PECL-Erweiterung timezonedb erschien Ende September in Version 2026.5.^[9] Den Stand Ihres Servers zeigt timezone_version_get(); bei zögerlichen Hostern hilft der WordPress-Hosting-Vergleich. Bausteinen, von denen Ihr Geschäft abhängt, hilft ein Sponsoring über GitHub Sponsors oder Open Collective am direktesten.