OpenTelemetry ist seit dem 21. Mai 2026 ein graduiertes CNCF-Projekt und damit der Standard, über den Anwendungen ihre Messwerte, Logs und Traces melden.[2] Wie schmal die Basis darunter ausfällt, zeigt eine Datenauswertung des Infrastruktur-Entwicklers Mat Duggan: In der C++-Bibliothek übernahm ein einziger Mensch 86,1 Prozent aller Pull Requests der vergangenen 24 Monate.[1]
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- In der C++-Bibliothek stammen 86,1 Prozent der übernommenen Pull Requests von einer Person, bei Kotlin und PHP teilen sich je zwei die Arbeit.
- Bei Prometheus verteilt sich dieselbe Aufgabe auf 31 Personen, bei Envoy auf 28.
- Einzelne Pull Requests liegen neun bis zwölf Monate offen, bevor jemand sie übernimmt.
- Der Cyber Resilience Act weist die Sorgfaltspflicht für eingebaute Open-Source-Komponenten dem Hersteller zu.
Warum stockt die Entwicklung trotz 12.000 Beitragenden?
Beitragende und Übernehmende sind zwei verschiedene Gruppen. Die CNCF zählt für OpenTelemetry über 12.000 Beitragende aus mehr als 2.800 Unternehmen und die zweithöchste Projektaktivität hinter Kubernetes.[2] Duggan hat eine andere Größe gemessen: die Zahl der Personen, die eingereichte Änderungen prüfen und übernehmen. Bei der C++-Bibliothek waren das vier Personen für 544 Pull Requests, bei Kotlin und PHP jeweils zwei.[1]
Zwei Projektregeln verschärfen die dünne Besetzung. Für Anwender zählen praktisch nur zwei Reifegrade, experimentell und stabil; einmal stabil, bleibt eine Schnittstelle stabil. Über Dutzende Programmiersprachen hinweg wird deshalb um jede Festlegung lange gerungen. Der langsamste Pull Request in der Python-Bibliothek lag 361 Tage offen.[1] Auf ein fehlendes Attribut in der Überwachung der eigenen Anwendungen wartet ein Team damit leicht ein Jahr.
Wie breit ist die Basis bei Prometheus und Envoy?
Bei Prometheus und Envoy verteilt sich dieselbe Aufgabe auf deutlich mehr Schultern. Auf Prometheus entfielen 1.849 Pull Requests, verteilt auf 31 Personen; der aktivste kam auf 14,4 Prozent. Envoy zählt 28 Personen und 5.432 Pull Requests.[1] Beide gehören zur selben Stiftung. Der Abstand entsteht an bezahlter Arbeitszeit, nicht am Reifegrad.
Die CNCF wirbt inzwischen offen um Verstärkung. Bloombergs Open-Source-Büro schickte gemeinsam mit der Stiftung im April 2026 zehn Wochen lang 48 Ingenieure in elf OpenTelemetry-Repositorys. Daraus wurden 118 Pull Requests, 70 davon landeten im Code.[3] Was ein knapp besetzter Unterbau kostet, hat zuletzt das vorzeitige Support-Ende bei Arista vorgeführt. Beim schädlichen Rust-Paket arrayref wurde aus einem gepflegten Baustein sogar eine Waffe.
Was Entscheider daraus mitnehmen
Ein offener Standard schützt vor Anbieterbindung, nicht vor Ausfall. Bevor ein Unternehmen seine gesamte Überwachung auf eine Bibliothek stellt, gehört ein Blick in deren Commit-Historie zur Sorgfalt.
— Markus Seyfferth, Chefredakteur Dr. Web
Was folgt daraus für Hersteller in der EU?
Die Sorgfaltspflicht für eingebaute Open-Source-Komponenten liegt beim Hersteller des Produkts, nicht beim Projekt dahinter. Artikel 13 Absatz 5 der Cyberresilienz-Verordnung verlangt vom Hersteller die gebotene Sorgfalt bei der Integration fremder Bestandteile und nennt freie Software ausdrücklich.[4] Die Projekte selbst gelten als Verwalter mit verkürztem Pflichtenkatalog, ohne CE-Kennzeichnung und ohne Konformitätsbewertung. Nach der Debatte um Dahuas IEC-62443-Zertifikat rückt damit die Wartungskapazität in den Blick.
Ab dem 11. September 2026 gehen aktiv ausgenutzte Schwachstellen binnen 24 Stunden als Frühwarnung an das zuständige CSIRT und an die ENISA, nach 72 Stunden folgt die vollständige Meldung, nach 14 Tagen der Abschlussbericht. Vollständig anwendbar wird die Verordnung am 11. Dezember 2027.[4] Ein deutscher Anbieter, der die PHP-Bibliothek von OpenTelemetry ausliefert, meldet dann selbst, auch falls die beiden Betreuer des Projekts nicht antworten.
Vor der Festlegung auf eine Bibliothek lohnen zwei Blicke: auf die Zahl der Personen, die dort zuletzt Änderungen übernommen haben, und auf das Alter der ältesten offenen Pull Requests. Duggan hat seine Rohdaten veröffentlicht, sodass sich die Rechnung für jedes eigene Paket wiederholen lässt.[1] Die Mühe fällt ohnehin an: Genau diese Dokumentation verlangt der Gesetzgeber ab Dezember 2027.
FAQ: OpenTelemetry und die Frage nach der Wartung
Was ist OpenTelemetry?
OpenTelemetry ist ein herstellerneutraler offener Standard, mit dem Anwendungen ihre Messwerte, Protokolle und Ablaufspuren einheitlich melden. Statt für jeden Monitoring-Anbieter eine eigene Bibliothek einzubauen, instrumentieren Entwickler ihren Code einmal und schicken die Daten an ein Ziel ihrer Wahl. Das Projekt entstand 2019 aus OpenTracing und OpenCensus.
Was bedeutet der Bus-Faktor bei Open-Source-Software?
Der Bus-Faktor beziffert, wie viele Personen ein Projekt verlieren könnte, bevor die Weiterentwicklung stillsteht. Ein Bus-Faktor von eins heißt: Fällt ein einziger Mensch aus, bleiben Fehlerkorrekturen und neue Funktionen liegen. Bei der C++-Bibliothek von OpenTelemetry übernahm eine Person 86,1 Prozent aller Beiträge der vergangenen zwei Jahre.
Gilt der Cyber Resilience Act auch für Open-Source-Projekte?
Nur eingeschränkt. Projekte, die Software ohne kommerzielle Absicht bereitstellen, gelten als Open-Source-Verwalter und bekommen einen verkürzten Pflichtenkatalog ohne CE-Kennzeichnung und ohne Konformitätsbewertung. Die volle Herstellerpflicht trifft das Unternehmen, das die Komponente in ein verkauftes Produkt einbaut.
Welche OpenTelemetry-Bibliotheken stehen auf der breitesten Basis?
Go und .NET. In Duggans Auswertung verteilten sich die übernommenen Beiträge dort auf fünf beziehungsweise sechs Personen, der jeweils aktivste kam auf 36,9 und 31,5 Prozent. Deutlich enger besetzt sind die Bibliotheken für C++, Kotlin, Ruby und PHP.
Was ist ein graduiertes CNCF-Projekt?
Graduiert ist die höchste Reifestufe der Cloud Native Computing Foundation, oberhalb von Sandbox und Incubating. Sie setzt unter anderem eine breite Anwenderbasis, ein offenes Führungsgremium und ein bestandenes Sicherheitsaudit voraus. OpenTelemetry hat diese Stufe am 21. Mai 2026 erreicht.
Quellen
[1] Mat Duggan: „OTel Isn’t Going Well (And I Made A Spreadsheet About It)“
[2] Cloud Native Computing Foundation: Ankündigung der OpenTelemetry-Graduierung vom 21. Mai 2026
[3] Cloud Native Computing Foundation: „Sustaining OpenTelemetry: What a 10-week contributor cohort actually looks like“
[4] Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung): Volltext auf EUR-Lex
Mehr Newshunger?
- Die unsichtbare Gefahr: Warum Cybersecurity Chefsache ist
- Support-Ende bei Arista: Die Patches enden zwei Jahre vor dem Gerät
- Schädliches Rust-Paket arrayref: Der Schadcode startet beim Kompilieren
- Dahua erhält das IEC-62443-Zertifikat, die Vertrauensfrage bleibt offen
- Open-Source-KI als öffentliches Gut: AI Potluck kartiert 24.600 Projekte
- Adform kompromittiert: Ein manipuliertes Tracking-Skript ersetzte Krypto-Adressen
