Demo gegen Rechtsextremismus in Rostock. – Alle Rechte vorbehalten: IMAGO / BildFunkMV
Bayern will, dass Nutzer:innen für Geodaten bezahlen. (Symbolbild) – Gemeinfrei-ähnlich freigegeben durch unsplash.com: Unsplash / Nathan Queloz
Die Ray-Ban Wayfarer: das Modell mit Kamera ist von einer herkömmlichen Brille kaum zu unterscheiden. – Alle Rechte vorbehalten: MAGO / anke waelischmiller
Wollte dem Social-Media-Verbot seinen Stempel aufdrücken: Emmanuel Macron. – Alle Rechte vorbehalten: IMAGO / Political-Moments; Bearbeitung: netzpolitik.org
Bei Asylanträgen und Visa soll mehr KI zum Einsatz kommen. – Alle Rechte vorbehalten: IMAGO / BeckerBredel
Setzt die Motorsäge auch an der Privatsphäre an: Argentiniens Präsident Javier Milei. – Alle Rechte vorbehalten: IMAGO / ZUMA Press Wire
Nutzer:innen müssen sich demnächst bei Apple wieder durch manipulativen Informationsmüll wühlen, wenn sie kein Tracking wollen. (Symbolbild) – Gemeinfrei-ähnlich freigegeben durch unsplash.com: Carl Campbell
Wie würde die AfD mit der Polizei umgehen, wenn sie an der Macht wäre? – Alle Rechte vorbehalten: IMAGO / dts Nachrichtenagentur
Laut dem Künstler kann das T-Shirt Erkennungssoftware verwirren. – Alle Rechte vorbehalten: Simon Weckert
Das Internet Archive ist die größte frei zugängliche Sammlung digitaler Inhalte im Netz. Seit 1996 sammelt die gemeinnützige Organisation aus San Francisco Bücher, Zeitschriften, Videos, Software und Webseiten. Ihr bekanntestes Werkzeug ist die Wayback Machine. Sie speichert frühere Versionen von Webseiten und hält sie zugänglich. So lassen sich öffentliche Aussagen auch dann noch nachprüfen, wenn die ursprüngliche Seite längst verändert oder gelöscht wurde. Mehr als eine Billion Seiten sind dort in verschiedenen Versionen gesichert.
Solche Kopien nutzen wir bei Digitalcourage regelmäßig selbst. Für Recherchen sichern wir den aktuellen Stand einer Website, damit sich später nachvollziehen lässt, worauf sich unsere Angaben stützen. In unseren Büchern zitieren wir gespeicherte Seiten, weil Links von Nachrichtenportalen mit der Zeit ins Leere führen oder sich Inhalte verändern können.
Das Internet Archive hilft uns zudem in Stellungnahmen an die Politik. Über die Wayback Machine verlinken wir dort ältere Entscheidungen des Bundesverfassungsgerichts und sichern so den Zugriff auf die zitierte Fassung. Auch für die BigBrotherAwards sichern wir dort regelmäßig den Stand von Websites. Denn nach der Preisverleihung versuchen Preisträger immer wieder, problematische Inhalte zu ändern oder ganz verschwinden zu lassen. Ist der frühere Stand aber bereits im Internet Archive gesichert, lassen sich solche Änderungen weiterhin nachvollziehen.
Wie wichtig eine unabhängige Archivierung des Netzes ist, zeigt sich seit dem Amtsantritt von Donald Trump. Allein in den ersten Wochen seiner zweiten Amtszeit verschwanden über 8.000 Webseiten und etwa 3.000 Datensätze mehrerer US-Bundesbehörden. Betroffen sind vor allem Umwelt- und Gesundheitsthemen, aber auch Menschenrechtsdaten sowie Forschungsergebnisse zu LGBTQ-Themen und HIV. Ein Gericht ordnete inzwischen die teilweise Wiederherstellung mehrerer CDC- und FDA-Seiten an. Ob und in welcher Form solche Inhalte langfristig öffentlich zugänglich bleiben, ist damit jedoch nicht gesichert. Für solche Fälle archiviert das End of Term Web Archive seit 2008 zum Ende einer US-Präsidentschaft die Webauftritte von Bundesbehörden. Dabei kommt die Infrastruktur des Internet Archive zum Einsatz. Werden Seiten nicht archiviert, lässt sich später nicht mehr nachvollziehen, was dort stand.
Über 340 lokale US-Nachrichtenportale schränken mittlerweile den Zugriff des Crawlers der Wayback Machine ein. Große Häuser wie die New York Times, Le Monde und El País gehören dazu, ebenso Reddit. Gleichzeitig nutzen diese Redaktionen den Dienst selbst, um frühere Fassungen fremder Webseiten zu prüfen und Änderungen an Behörden- oder Unternehmensseiten nachzuweisen.
Der Grund dafür liegt vor allem im Kampf gegen KI-Scraping: Die Verlage befürchten, dass KI-Unternehmen über archivierte Fassungen an Inhalte gelangen, deren direkten Zugriff sie für KI-Crawler bereits gesperrt haben. Damit erschweren sie jedoch zugleich, dass frühere Versionen ihrer eigenen Seiten archiviert und später überprüft werden können. Für Journalist.innen, Wissenschaft und Organisationen wie Digitalcourage können damit wichtige Quellen für Recherchen und Dokumentation verloren gehen.
Jede Person kann mit wenigen Klicks zum Erhalt dieses digitalen Gedächtnisses beitragen.
Save Page Now ein.SAVE PAGE an.
Digitale Inhalte lassen sich leise ändern oder löschen. Das Internet Archive macht diese Veränderungen sichtbar. Eine solche unabhängige Infrastruktur kostet Geld und ist auf Unterstützung angewiesen. Unterstützen Sie das Internet Archive direkt, wenn Sie dazu beitragen wollen, das digitale Gedächtnis des Netzes zu bewahren. Wer kontrolliert, was im Netz erhalten bleibt, entscheidet auch, woran wir uns als Gesellschaft morgen noch erinnern können.
Protest gegen die Polizeigesetz-Erweiterung in Kiel. – Alle Rechte vorbehalten: Polizeigesetz SH stoppen, Bearbeitung netzpolitik.org
Streit um das Tracking auf iPhones – Gemeinfrei-ähnlich freigegeben durch unsplash.com: Bagus Hernawan
Mit der Bezahlkarte wird schon der Kauf von ein paar Trauben zum Abenteuer (Symbolbild). – CC-BY-NC-SA 4.0: netzpolitik.orgLightning Talks sind 5-Minuten kurze Vorträge zu einem beliebigen Thema das für Besucher*innen der FroSCon interessant sein könnte. Es muss nicht unbedingt um ein ein von Dir entwickeltes Open-Source-Projekt gehen ...
Vielleicht gibt es etwas, bei dem auf Arbeit immer im Hilfe gebeten wirst? Dann red' darüber!
Oder Du hast grad etwas gelernt das Dich richtig weitergebracht hat? Dann red' darüber!
Oder Du knobelst immernoch an einem Problem und kommst nicht weiter? Dann red' darüber!
Du musst keine Folien vorbereiten - aber wenn Du welche hast ist das auch OK!
Du glaubst Du kannst keinen Lightning Talk halten?
Um Dich für einen Lightning Talk anzumelden, komm zur Information neben der Mensa. Dort steht ein Flipchart auf dem Du Dich eintragen kannst. Wenn Du Fragen hast oder einen Technik-Check machen willst, wende Dich an @theuni@social.tchncs.de
Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3691.html
Im September 2025 genügte eine einzige Phishing-Mail an einen npm-Maintainer, um binnen rund 16 Minuten Schadcode in 18 zentrale Pakete mit über 2 Milliarden Downloads pro Woche einzuschleusen. Wem können wir noch trauen, wenn wir gemeinsam an Open Source Software arbeiten? Der Cyber Resilience Act gibt darauf eine regulatorische Antwort, mit ersten Pflichten schon ab September 2026. Der Vortrag erklärt verständlich, was der CRA von Herstellern und der gesamten Lieferkette verlangt und was er konkret für Open Source Software bedeutet: die neue Rolle des Open-Source-Stewards und die Pflicht zur maschinenlesbaren Software-Stückliste (SBOM).
Eine Phishing-Mail, eine übernommene Maintainer-Identität, rund 16 Minuten bis zum verteilten Schadcode – und 2,5 Millioen Downloads betroffen:
Der npm-Vorfall um chalk und debug im September 2025 war nur einer von mehreren Lieferkettenangriffen dieses Jahres. Niemand hatte böse Absicht, alle haben einem Maintainer vertraut – und genau dieses Vertrauen wurde zur Schwachstelle. Das ist der Ausgangspunkt dieses Vortrags.
Die EU gibt mit dem Cyber Resilience Act (CRA) eine regulatorische Antwort auf die Frage, wem man in der Software-Lieferkette noch trauen kann. Ab dem 11. September 2026 greifen die ersten verbindlichen Pflichten, ab dem 11. Dezember 2027 gilt die Verordnung vollständig. Der Vortrag ordnet die Rechtslage verständlich ein – ganz ohne juristisches Vorwissen.
Im Einzelnen geht es um:
Zum Abschluss die offene Frage: Schafft der CRA tatsächlich Vertrauen? Und hätte er den Vorfall vom September 2025 überhaupt verhindert?
Für wen? Maintainer, Foundations und alle, die Open Source Software kommerziell einsetzen oder ausliefern. Es sind keine juristischen Vorkenntnisse nötig.
Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3652.html
Generative KI, die uns Texte, Chats, Code, Bilder und Musik erzeugt, wird immer mehr eingesetzt und in Software integriert. Die Hersteller wie OpenAI oder Anthtropic verschweigen dabei in ihrem Marketing die ethischen Probleme und die Risiken für Nachhaltigkeit, die mit dem Angebot und der Nutzung ihrer Software einhergehen.
Mit diesem Talk möchte ich dazu beitragen, dass wir bewusster, informierter und verantwortungsvoller darüber entscheiden, ob und wofür wir generative KI nutzen und unterstützen.
Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3560.html
Right to repair is usually a hardware story, but open-source infrastructure faces its own version: the discipline of keeping software actually working over decades. NetXMS started in 2003 and still runs on AIX, Solaris, older RHEL, Windows 7 kiosks, and a long tail of 32-bit ARM, FreeBSD, OpenBSD, and Alpine — users who didn't choose to be a long tail, but chose stability. For them, the contract is that the agent we shipped in February 2009 still talks to the server we shipped last week, and old config files still parse. This talk walks through three war stories from the last year — a 32-bit ARM crash from format-string mismatches, a 14-year-old GTK bug in SWT fixed upstream, and a Mastodon thread that unlocked Solaris SPARC for our Jenkins agents — and five concrete layers of backward compatibility we maintain in code. I'll close with what this approach costs, what it gains, and why software right to repair is inseparable from who we expect to be there when other things break.
On 30 March 2026 at 18:55, I wrote to my boss: "Server crashes every second build on 32-bit ARM. Caught it under gdb but I don't yet understand." At 20:39 the same evening I committed the fix: fifteen format-string changes in one file. A %u specifier with a uint64_t argument — harmless on 64-bit by design (every variadic argument occupies the same 8-byte slot, so the truncation doesn't shift the next argument's offset) but fatal on 32-bit ARM, where a uint64_t needs two slots and %u reads one, the offset shifts, and you end up calling wcslen(NULL). The kind of bug that only surfaces if you still build for 32-bit ARM in 2026, on a project that started in 2003.
Right to repair is usually a hardware story — schematics, parts, the right to open your toaster, or, in the European citizens' initiative now past first review, the right not to lose a video game when its servers go dark. Open-source can't be killed by decree: even if a team folds, the code survives, and someone else can keep it running. What stays harder is keeping it actually working over time.
That's the obligation I want to talk about. Banks and industrial systems running NetXMS on AIX or Solaris — specialist Unix platforms that never had a clean migration path. Customers still on older RHEL because the cost of moving is too high. Service kiosks frozen on Windows 7, bound to custom hardware that can't be re-certified. Plus a smaller open-source segment on 32-bit ARM, FreeBSD, OpenBSD, Alpine. They didn't choose to be a long tail — they chose stability. Right to repair, for them, means what's working today should keep working tomorrow, even after the rest of the industry has moved on.
This talk is about the discipline of holding that promise. Not by refusing to deprecate — we do that often, just carefully. By keeping the contract: the agent build from February 2009 — still downloadable from our public release archive — still talks to the server we shipped last week. Old configuration files still parse, including the export/import format that switched from XML to JSON last year — both readers ship side by side. The contract even survives our own deprecations: the HP-UX agent we last shipped in 2021 still talks to today's server, though we stopped building new HP-UX agents in 2022 after HPE wound the platform itself down. Old hardware in someone's bank doesn't go dark just because we move the build matrix forward.
I'll walk through three war stories from the last year — the ARM32 crash above, a 14-year-old GTK bug in SWT fixed through upstream collaboration, and a Mastodon thread with Peter Tribble (Tribblix) and Olaf Bohlen that pointed us to the community-built OpenJDK we needed to update our Jenkins agents on Solaris SPARC. I'll show five concrete layers of backward compatibility we maintain in code — NXCP wire protocol, database schema, configuration files, NXSL scripting, and the parallel XML and JSON parsers for export-import. I'll close with what this approach costs, what it gains, and why software right to repair is inseparable from who we expect to be there when other things break.
If you maintain or depend on infrastructure software that has to last — this talk is for you.
Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3531.html
Dieser Vortrag führt in das Thema „Inference Engineering“ ein und zeigt, wie sich der schnell wachsende Zoo an Tools und Konzepten sinnvoll strukturieren lässt. Denn sobald man über erste Spielereien mit Ollama hinausgeht, wird das Thema schnell zum Rabbit Hole. Begriffe und Technologien fliegen einem um die Ohren: KV-Cache, TurboQuant, Prefill/Decode Disaggregation, MoE-Modelle, vLLM vs. SGLang, LiteLLM vs. Portkey, KServe vs. llm-d vs. Dynamo, ...
Im ersten Teil des Vortrags räumen wir dieses Chaos auf und entwickeln ein Schichtenmodell des „Inference Stacks“. Ziel ist ein mentales Modell, das hilft, neue Technologien schnell einzuordnen und Zusammenhänge zu verstehen.
Darauf aufbauend betrachten wir konkrete Open-Source-Stacks und typische Deployment-Szenarien: vom lokalen Setup mit kleineren, quantisierten Modellen bis hin zu GPU-basierter Inferenz im eigenen Cluster. Dabei geht es weniger um alle Details einzelner Tools als um deren Einordnung und Zusammenspiel.
Der Vortrag richtet sich an Entwickler:innen und Architekt:innen, die LLMs nicht nur konsumieren, sondern verstehen und selbst betreiben wollen – sei es aus Interesse an Open Source, aus Compliance-Gründen oder für mehr Kontrolle über Kosten und Daten.
Voraussetzungen:
Um schnell auf die interessanteren Aspekte zu kommen, wird ein Basiswissen zu LLMs vorausgesetzt:
Wem traust du, wenn ein Vendor-Dashboard ein KI-Modell als "nicht biased" abnickt? Bias zeigt sich selten im offensichtlichen Output, sondern in dem, was ein Modell wahrscheinlicher findet. Eine grüne Compliance-Ampel löst dieses Evidence-Problem nicht; sie versteckt nur ein Vertrauensproblem.
Der Vortrag erklärt CrowS-Pairs als anschaulichen Bias-Check: stereotype und anti-stereotype Satzpaare werden per Log-Probability verglichen, bis aus Bauchgefühl eine dokumentierte Stereotyp-Präferenz wird. Der Bias-Score ist dabei kein Heiligenschein, sondern ein Messprotokoll.
EuConform macht daraus ein offenes, maschinenlesbares Evidence-Format: AI-BOM, Risk Report, CI-Ergebnis, Bias-JSON und SHA-256-verifizierbare Bundles. Eine kurze Demo zeigt den lokalen Run gegen ein LLM mit deutschem CrowS-Pairs-Dataset — ohne Cloud, ohne API-Key, wiederholbar und überprüfbar.
Bias bei KI-Modellen ist selten der spektakuläre Ausrutscher im Output, sondern die statistische Schieflage darunter: die konsistente Präferenz eines Modells für die stereotype Satzvariante in den Wahrscheinlichkeitsverteilungen, mit denen es rechnet. Modelle haben keine Werte, sondern Wahrscheinlichkeiten und genau diese Wahrscheinlichkeiten können in eine bestimmte Richtung verschoben sein, ohne dass es im sichtbaren Output sofort auffällt. Genau dort beginnt das Problem für Entwicklerinnen und Entwickler, Compliance-Teams und Auditor:innen.
CrowS-Pairs macht diese Schicht sichtbar. Statt ein Modell zu fragen "Bist du biased?" — ungefähr so sinnvoll wie einen Build zu fragen, ob er reproduzierbar ist , vergleicht die Methode stereotype und anti-stereotype Satzpaare über Log-Probabilities. Daraus entsteht eine dokumentierte Stereotyp-Präferenz: kein Moralurteil, kein Compliance-Freifahrtschein, sondern ein nachvollziehbares Messprotokoll. Der Bias-Score ist kein Heiligenschein. Er ist Evidence.
Die zweite Hälfte des Problems ist das Format. Ein Bias-Score in einem Vendor-Dashboard ist schwer zu prüfen, schwer zu versionieren und schwer in CI-Pipelines, Code-Reviews oder Audits weiterzuverwenden. Software-Engineering hat diese Art Vertrauensproblem schon mehrfach gelöst: Reproducible Builds machen Artefakte überprüfbar, SBOMs beschreiben Lieferketten maschinenlesbar, CVE-Einträge machen Befunde öffentlich referenzierbar. AI-Compliance-Evidence braucht dieselbe offene Infrastruktur, sonst bleibt sie ein Marketing-Versprechen.
Genau daran arbeitet EuConform: ein offenes Evidence-Format für AI-Act-Nachweise, begonnen als Solo-OSS-Projekt und aktuell als NGI-Zero-Commons-Fund-Antrag eingereicht. Die vorhandenen Schichten beschreiben Projekt und Komponenten als AI-BOM (aibom.v1), halten Risiko- und CI-Ergebnisse maschinenlesbar fest (report.v1, ci.v1) und bündeln Artefakte SHA-256-verifizierbar (bundle.v1). Die empirische Bias-Schicht (bias.v1) erzeugt das Bias-JSON aus CrowS-Pairs-Runs gegen lokal via Ollama gehostete LLMs. Mit englischem und deutschem Dataset, ohne Cloud-API-Key und ohne dass Daten die Maschine verlassen.
In einer kurzen Demo läuft ein deutscher CrowS-Pairs-Run gegen ein lokales Llama-Modell. Wir öffnen nicht nur den Score, sondern das erzeugte JSON: Modell, Dataset, Methode, Anzahl der Satzpaare, Score und Stereotyp-Präferenz. Danach zeige ich, wie EuConform AI-BOM, Report, CI-Ergebnis und Bundle-Manifest als maschinenlesbare Dokumente zusammenführt und per verify gegen Hash- und Metadatenabweichungen prüft. Die Demo ist nicht der Talk; sie ist das Beweisstück.
Zentrale Botschaft: Wir brauchen keine magischen Vendor-Scores und keine grünen Ampeln, die Wahrheit spielen. Wir brauchen dokumentierte, versionierbare, überprüfbare Evidence, auf deren Basis Menschen verantwortbare Urteile fällen. JSON ist nicht sexy, aber es lügt wenigstens nicht im Sales-Call.
Zielgruppe: Entwicklerinnen und Entwickler, die OSS-AI-Projekte betreuen oder einsetzen; Compliance- und IT-Sicherheits-Verantwortliche im EU-Raum; alle, die bei "AI-Compliance-Plattform" instinktiv zur Brieftasche greifen. Vorwissen: keines erforderlich; Reproducible-Builds- oder SBOM-Erfahrung hilft, ist aber nicht Voraussetzung.
Take-Aways:
Lightning Talks sind 5-Minuten kurze Vorträge zu einem beliebigen Thema das für Besucher*innen der FroSCon interessant sein könnte. Es muss nicht unbedingt um ein ein von Dir entwickeltes Open-Source-Projekt gehen ...
Vielleicht gibt es etwas, bei dem auf Arbeit immer im Hilfe gebeten wirst? Dann red' darüber!
Oder Du hast grad etwas gelernt das Dich richtig weitergebracht hat? Dann red' darüber!
Oder Du knobelst immernoch an einem Problem und kommst nicht weiter? Dann red' darüber!
Du musst keine Folien vorbereiten - aber wenn Du welche hast ist das auch OK!
Du glaubst Du kannst keinen Lightning Talk halten?
Um Dich für einen Lightning Talk anzumelden, komm zur Information neben der Mensa. Dort steht ein Flipchart auf dem Du Dich eintragen kannst. Wenn Du Fragen hast oder einen Technik-Check machen willst, wende Dich an @theuni@social.tchncs.de
Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3691.htmlIm September 2025 genügte eine einzige Phishing-Mail an einen npm-Maintainer, um binnen rund 16 Minuten Schadcode in 18 zentrale Pakete mit über 2 Milliarden Downloads pro Woche einzuschleusen. Wem können wir noch trauen, wenn wir gemeinsam an Open Source Software arbeiten? Der Cyber Resilience Act gibt darauf eine regulatorische Antwort, mit ersten Pflichten schon ab September 2026. Der Vortrag erklärt verständlich, was der CRA von Herstellern und der gesamten Lieferkette verlangt und was er konkret für Open Source Software bedeutet: die neue Rolle des Open-Source-Stewards und die Pflicht zur maschinenlesbaren Software-Stückliste (SBOM).
Eine Phishing-Mail, eine übernommene Maintainer-Identität, rund 16 Minuten bis zum verteilten Schadcode – und 2,5 Millioen Downloads betroffen:
Der npm-Vorfall um chalk und debug im September 2025 war nur einer von mehreren Lieferkettenangriffen dieses Jahres. Niemand hatte böse Absicht, alle haben einem Maintainer vertraut – und genau dieses Vertrauen wurde zur Schwachstelle. Das ist der Ausgangspunkt dieses Vortrags.
Die EU gibt mit dem Cyber Resilience Act (CRA) eine regulatorische Antwort auf die Frage, wem man in der Software-Lieferkette noch trauen kann. Ab dem 11. September 2026 greifen die ersten verbindlichen Pflichten, ab dem 11. Dezember 2027 gilt die Verordnung vollständig. Der Vortrag ordnet die Rechtslage verständlich ein – ganz ohne juristisches Vorwissen.
Im Einzelnen geht es um:
Zum Abschluss die offene Frage: Schafft der CRA tatsächlich Vertrauen? Und hätte er den Vorfall vom September 2025 überhaupt verhindert?
Für wen? Maintainer, Foundations und alle, die Open Source Software kommerziell einsetzen oder ausliefern. Es sind keine juristischen Vorkenntnisse nötig.
Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3652.html
Attraktor e.V. Blog
C-RaDaR
CCC Berlin
CCC Dresden
CCC Duesseldorf
CCC Events
CCC Hamburg
CCC Kassel
CCC Koeln
CCC Media
CCC Zuerich
CCC e.V.
Chaosradio
Chaostreff Dortmund
Datenschleuder
Metalab
Muellis Blog
Netzpolitik.org
digitalcourage
haecksen.org
khjk.org
vulns.xyz
Contact:
In case that you want to contact us, please send your email to mail@hamburg.ccc.de
Last updated:
August 21, 2026 10:00 PM
All times are UTC.
Powered by: 
