Chaos Computer Club - recent audio-only feed

Was ist La Grange. Warum ist La Grange. La Grange Positionspapier. Wir wollen euch uns Vorstellen und suchen nach neuen Perspektiven. Gerne mit euch. about this event: https://c3voc.de

Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3675.html

In this presentation I'll discuss the ongoing port of KDE Linux to use BuildStream. Rather than describing the work done and to be done, we'll discuss the why, the difficulties this brings and what kind of opportunities does it unveil. Furthermore, we'll discuss the implications to the end user of using an overly immutable root file system and what kind of restrictions does this impose on the design of the operating system as well as how these can be challenged in order to continue having powerful operating systems for our users and developers alike. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3677.html

In this talk, I want to give an overview of the changes that Google has introduced in the past twelve months in the Android ecosystem and how they are affecting Android users, device manufacturers, custom ROM maintainers and the open-source community in general. Furthermore, I want to explore the possibilities of how the community can and is already adapting to the changing landscape. Last year, Google announced the introduction of Android Developer Verification and upcoming restrictions for Android Application sideloading on Android-certified devices. This caused a wave of opposition in the open-source community and led to the creation of the "Keep Android Open" initiative. Projects like UnifiedPush, have seen an increased interest and ideas for a Unified Attestation framework are emerging. Apart from that, there are further changes that Google has made to the development process of the AOSP that affect AOSP developers and custom ROM maintainers, like LineageOS or GrapheneOS. For example, the Pixel phone was dropped as a reference device from the AOSP tree and the count of security patch releases was reduced. In this talk, I want to discuss these examples, along with other developments that have occurred over the last twelve months. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3609.html

Open source projects get forked. They get acquired. They lose contributors, fracture communities, and sometimes quietly stop being open in a meaningful sense. This talk uses ownCloud's history as an honest case study in what goes wrong and what it actually takes to fix it. We'll cover the real lessons from operating a major project without proper open governance, what prompted a course correction, and the concrete steps taken since, in trying to rebuild contributor trust without hiding behind community-washing language. The phrase "open source" carries a lot of weight, and not all of it is as open and honest as it should be. A project can be open source by license and still be effectively closed in every way that matters to contributors: opaque roadmaps, decisions made behind closed doors, community input that gets acknowledged and ignored. ownCloud knows some of this firsthand. This talk is a case study, not a redemption arc. We'll start with ownCloud's origins and the context that led to the 2 forks (one of the more significant splits in the self-hosted software space), then trace what a decade of incomplete open governance actually costs a project: contributor drift, community distrust, and the kind of reputational debt that doesn't show up on any balance sheet until you try to spend it. The second and thrid parts are about what changed. Kiteworks took on commercial stewardship of ownCloud and faced a choice that a lot of companies in similar positions avoid making clearly: keep doing what wasn't working, or build something more honest. This section will also cover the Community Advisory Board model we're building toward. This isn't a talk for people who want reassurance that open source is fine. It's for developers, OSPO practitioners, and anyone involved and intersted in open source projects that have gone through acquisition or a fork and are trying to figure out what "working in the open" actually means when there's a commercial entity at the center. The lessons from ownCloud are specific and sometimes unflattering. That's the point. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3654.html

Im September 2025 genügte eine einzige Phishing-Mail an einen npm-Maintainer, um binnen rund 16 Minuten Schadcode in 18 zentrale Pakete mit über 2 Milliarden Downloads pro Woche einzuschleusen. Wem können wir noch trauen, wenn wir gemeinsam an Open Source Software arbeiten? Der Cyber Resilience Act gibt darauf eine regulatorische Antwort, mit ersten Pflichten schon ab September 2026. Der Vortrag erklärt verständlich, was der CRA von Herstellern und der gesamten Lieferkette verlangt und was er konkret für Open Source Software bedeutet: die neue Rolle des Open-Source-Stewards und die Pflicht zur maschinenlesbaren Software-Stückliste (SBOM). Eine Phishing-Mail, eine übernommene Maintainer-Identität, rund 16 Minuten bis zum verteilten Schadcode – und 2,5 Millioen Downloads betroffen: Der npm-Vorfall um chalk und debug im September 2025 war nur einer von mehreren Lieferkettenangriffen dieses Jahres. Niemand hatte böse Absicht, alle haben einem Maintainer vertraut – und genau dieses Vertrauen wurde zur Schwachstelle. Das ist der Ausgangspunkt dieses Vortrags. Die EU gibt mit dem Cyber Resilience Act (CRA) eine regulatorische Antwort auf die Frage, wem man in der Software-Lieferkette noch trauen kann. Ab dem 11. September 2026 greifen die ersten verbindlichen Pflichten, ab dem 11. Dezember 2027 gilt die Verordnung vollständig. Der Vortrag ordnet die Rechtslage verständlich ein – ganz ohne juristisches Vorwissen. Im Einzelnen geht es um: Das Grundgerüst des CRA: Was ist ein „Produkt mit digitalen Elementen", welche Pflichten treffen Hersteller, und wie ist die Zeitschiene wirklich? Verantwortung in der Lieferkette: Wer fremde Komponenten integriert, auch Open Source Software, trägt Sorgfalts- und Meldepflichten. Der FOSS-Sonderweg: Unter welchen Voraussetzungen Open Source Software in den Anwendungsbereich des CRA fällt und welche Abgrenzungsfragen sich dabei stellen. Der Open-Source-Steward: Eine völlig neue Rechtsfigur mit bewusst abgemildertem Pflichtenregime und ohne Bußgeldrisiko. Wen trifft sie, und was bringt sie? Die SBOM-Pflicht: Warum die maschinenlesbare Software-Stückliste in der Praxis schon weit vor 2027 unverzichtbar wird. Zwei Haftungswelten: Der CRA ist Produktregulierung (Marktüberwachung, Bußgelder) parallel macht die reformierte EU-Produkthaftung Software ausdrücklich zum „Produkt" und lässt die Sicherheitsanforderungen in den Fehlerbegriff einfließen. Wer Open Source Software in ein kommerzielles Produkt einbaut, kann auf beiden Ebenen haften. Zum Abschluss die offene Frage: Schafft der CRA tatsächlich Vertrauen? Und hätte er den Vorfall vom September 2025 überhaupt verhindert? Für wen? Maintainer, Foundations und alle, die Open Source Software kommerziell einsetzen oder ausliefern. Es sind keine juristischen Vorkenntnisse nötig. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3652.html

Sydbox is a sandbox, designed to contain and isolate processes from each other - similar to Bubblewrap, Firejail, GVisor, and minijail. By being very paranoid and leveraging as many of the tools that the linux kernel gives us it manages to do some surprising things. This talk wants to show some of the design decisions, some of the more unconventional features, and a live demonstration how this can be used in daily use. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3552.html

Lightning Talks sind 5-Minuten kurze Vorträge zu einem beliebigen Thema das für Besucher*innen der FroSCon interessant sein könnte. Es muss nicht unbedingt um ein ein von Dir entwickeltes Open-Source-Projekt gehen ... Vielleicht gibt es etwas, bei dem auf Arbeit immer im Hilfe gebeten wirst? Dann red' darüber! Oder Du hast grad etwas gelernt das Dich richtig weitergebracht hat? Dann red' darüber! Oder Du knobelst immernoch an einem Problem und kommst nicht weiter? Dann red' darüber! Du musst keine Folien vorbereiten - aber wenn Du welche hast ist das auch OK! Du glaubst Du kannst keinen Lightning Talk halten? "Alle kennen doch bereits DAS EINE DING" Nein - tun sie nicht. Ja, glauben Sie, aber Du kennst es besser und die anderen können von Dir noch was lernen! Und selbst wenn, dann ist es manchmal auch sehr interessant zu hören, wie andere etwas erklären. "Ich bin kein Experte in irgendwas." Wir wissen alle mehr als wir glauben. Du musst auch kein Experte sein - wenn Du Dich für etwas konkretes interessierst, kannst Du locker 5 Minuten anderen etwas darüber erzählen! Und selbst wenn nicht: dann mach einfach einen Vortrag für 1 Minute! "Ich trau mich nicht vor anderen Leuten zu reden." Ja, das mag stimmen - aber wenn Du Dich für 5 Minuten (oder auch nur 1 Minute ) traust, dann ist das eine Super Leistung auf die Du stolz sein kannst! Bei der FroSCon sind alle neugierig darauf was andere zu sagen haben und wir gehen rücksichtsvoll miteinander um - insbesondere wenn Du Dich zum ersten Mal auf die Bühne traust! Jeder*r ist aufgeregt vor Publikum zu sprechen - selbst diejenigen, von denen man das nicht denkt. Außerdem musst Du nicht unbedingt reden ... "Ich hab eine Idee, aber die ist bestimmt nicht gut ... " Die Idee ist besser als Du denkst! Gibt es überhaupt schlechte Ideen bei Lightning Talks? :) Um Dich für einen Lightning Talk anzumelden, komm zur Information neben der Mensa. Dort steht ein Flipchart auf dem Du Dich eintragen kannst. Wenn Du Fragen hast oder einen Technik-Check machen willst, wende Dich an @[email protected] Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3691.html

Eine Vorstellung des Linux-Treibermodells mit Schwerpunkt auf die Verfolgung von Abhängigkeiten und wie man dessen Probleme mit Tools wie ftrace, dev_err_probe, oder fw_devlink debuggen und beheben kann. Geräte stellen sich vor. Treiber schauen ob sie zu den Geräten passen. Was auf den ersten Blick einfach erscheint, kann im alltäglichen System-on-Chip-Betrieb recht kompliziert sein: Geräte können sich weigern, was über sich Preis zu geben, erfordern einen Tanz, bevor sie ansprechbar sind, oder weisen – unter Umständen zirkuläre – Abhängigkeiten zu anderen Geräten auf. Wird dies nicht berücksichtigt, hat man unverkuppelte Geräte, verzögerte Erkennungsvorgänge und – wenn man wirklich Pech hat – Laufzeitprobleme bis hin zum Hardware-Schaden. Ahmad ist über eine ganze Reihe solcher Probleme gestolpert, sei es während initialer Hardware-Inbetriebnahmen, nach Kernel-Updates oder bei der Portierung von Linux-Treibern zum barebox-Bootloader. In seinem Vortrag stellt er das Linux-Treibermodell vor mit Schwerpunkt auf die Verfolgung von Abhängigkeiten und erläutert, wie man Probleme mit Tools wie ftrace, dev_err_probe, oder fw_devlink debuggt und behebt. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3655.html

Dieser Vortrag beschreibt meine Reise zur ersten Contribution im Linux‑Kernel: von der Idee für einen Treiber über Design und Implementierung bis zur Diskussion auf der Mailingliste und der Aufnahme in den Kernel. Seit Jahren erkläre ich in Videotutorials auf YouTube, wie man Linux‑Treiber entwickelt — obwohl bislang noch keine Zeile meines Codes in den Kernel gelangt ist. Um etwas Street‑Credibility zu gewinnen, habe ich mir ein Ziel gesetzt: ein eigener Treiber muss in den Kernel. 2023 ergab sich dank eines Zuschauers die Chance: ich fand ein Gerät ohne vorhandenen Treiber, das zugleich einfach genug für eine Erstimplementierung war. In diesem Vortrag nehme ich euch mit auf meine Reise zur ersten Linux‑Kernel‑Contribution. Ich zeige den kompletten Ablauf: von der Geräteanalyse und Treiberarchitektur über Entwicklung und Test bis zur Einreichung und der anschließenden Diskussion auf der Kernel‑Mailingliste. Ihr lernt praktische Techniken zum Treiber‑Coding, typische Fallstricke und wie die Review‑ und Aufnahmeprozesse im Kernel funktionieren. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3573.html

Was haben die Vereinte Föderation der Planeten und die Free Software Foundation Europe gemeinsam? Überraschend viel. Beide feiern dieses Jahr Jubiläum. Beide träumen von einer besseren Zukunft. Und beide haben verstanden, dass der Schlüssel dazu im Teilen liegt. Dieser Vortrag erkundet die Parallelen zwischen zwei Visionen und fragt, was Freie Software mit dem Warpantrieb zu tun hat und warum die Ferengi definitiv unfreie Software bevorzugen würden. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3647.html

Right to repair is usually a hardware story, but open-source infrastructure faces its own version: the discipline of keeping software actually working over decades. NetXMS started in 2003 and still runs on AIX, Solaris, older RHEL, Windows 7 kiosks, and a long tail of 32-bit ARM, FreeBSD, OpenBSD, and Alpine — users who didn't choose to be a long tail, but chose stability. For them, the contract is that the agent we shipped in February 2009 still talks to the server we shipped last week, and old config files still parse. This talk walks through three war stories from the last year — a 32-bit ARM crash from format-string mismatches, a 14-year-old GTK bug in SWT fixed upstream, and a Mastodon thread that unlocked Solaris SPARC for our Jenkins agents — and five concrete layers of backward compatibility we maintain in code. I'll close with what this approach costs, what it gains, and why software right to repair is inseparable from who we expect to be there when other things break. On 30 March 2026 at 18:55, I wrote to my boss: "Server crashes every second build on 32-bit ARM. Caught it under gdb but I don't yet understand." At 20:39 the same evening I committed the fix: fifteen format-string changes in one file. A %u specifier with a uint64_t argument — harmless on 64-bit by design (every variadic argument occupies the same 8-byte slot, so the truncation doesn't shift the next argument's offset) but fatal on 32-bit ARM, where a uint64_t needs two slots and %u reads one, the offset shifts, and you end up calling wcslen(NULL). The kind of bug that only surfaces if you still build for 32-bit ARM in 2026, on a project that started in 2003. Right to repair is usually a hardware story — schematics, parts, the right to open your toaster, or, in the European citizens' initiative now past first review, the right not to lose a video game when its servers go dark. Open-source can't be killed by decree: even if a team folds, the code survives, and someone else can keep it running. What stays harder is keeping it actually working over time. That's the obligation I want to talk about. Banks and industrial systems running NetXMS on AIX or Solaris — specialist Unix platforms that never had a clean migration path. Customers still on older RHEL because the cost of moving is too high. Service kiosks frozen on Windows 7, bound to custom hardware that can't be re-certified. Plus a smaller open-source segment on 32-bit ARM, FreeBSD, OpenBSD, Alpine. They didn't choose to be a long tail — they chose stability. Right to repair, for them, means what's working today should keep working tomorrow, even after the rest of the industry has moved on. This talk is about the discipline of holding that promise. Not by refusing to deprecate — we do that often, just carefully. By keeping the contract: the agent build from February 2009 — still downloadable from our public release archive — still talks to the server we shipped last week. Old configuration files still parse, including the export/import format that switched from XML to JSON last year — both readers ship side by side. The contract even survives our own deprecations: the HP-UX agent we last shipped in 2021 still talks to today's server, though we stopped building new HP-UX agents in 2022 after HPE wound the platform itself down. Old hardware in someone's bank doesn't go dark just because we move the build matrix forward. I'll walk through three war stories from the last year — the ARM32 crash above, a 14-year-old GTK bug in SWT fixed through upstream collaboration, and a Mastodon thread with Peter Tribble (Tribblix) and Olaf Bohlen that pointed us to the community-built OpenJDK we needed to update our Jenkins agents on Solaris SPARC. I'll show five concrete layers of backward compatibility we maintain in code — NXCP wire protocol, database schema, configuration files, NXSL scripting, and the parallel XML and JSON parsers for export-import. I'll close with what this approach costs, what it gains, and why software right to repair is inseparable from who we expect to be there when other things break. If you maintain or depend on infrastructure software that has to last — this talk is for you. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3531.html

Come along for a journey through the trenches of trying to find funding for projects related to a community-run Linux distribution. Community-driven projects are notoriously understaffed and underfunded. Even a fairly popular Linux distribution such as Arch Linux struggles to keep up with bug fixes and features for its own projects. Under these circumstances long-running maintenance work or developing novel approaches to long standing problems mostly results in nothing more than wishful thinking. With the rise of dedicated software funds, the free software ecosystem at large has a few avenues at its disposal. In this talk I will provide background information and first hand experience with various publicly accessible funds, as well as corporate funding for projects related to Arch Linux. Together, we will dive into concrete numbers, best practices, pitfalls and what it means to be a freelance software developer in this ecosystem, that is competing over the funding from various sources. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3598.html

This talk provides an overview of building reliable and scalable backup infrastructures with pgBackRest for modern PostgreSQL environments. This talk provides an overview of building reliable and scalable backup infrastructures with pgBackRest for modern PostgreSQL environments. We will explore different backup architecture patterns, ranging from single-node deployments using DAS, SAN, or NAS storage to more advanced setups with dedicated repository hosts using SSH, TLS, S3, or Networker integrations. In addition, the session covers backup strategies for PostgreSQL replication clusters and discusses how centralized repository hosts can improve security, scalability, and operational flexibility. The talk focuses on practical infrastructure designs, operational best practices, and real-world considerations for building resilient PostgreSQL backup solutions. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3603.html

Wenn ein Statiker einen Riss in einer Brücke entdeckt, wird er für seinen Hinweis gefeiert. Entdeckt eine IT-Sicherheitsforscherin eine kritische Lücke in staatlicher Software, droht ihr in Deutschland oft die Staatsanwaltschaft. Warum kriminalisieren wir digitale Zivilcourage, anstatt sie als Schutzschild zu begreifen? Wie wir IT-Sicherheit als gesellschaftliche Gemeinschaftsaufgabe neu definieren können bis hin zu einem leidenschaftlicher Aufruf für eine wehrhafte, offene und ehrliche digitale Gesellschaft. Wir schreiben das Jahr 2026. Während neue Gesetze wie NIS-2 und das Kritis-Dachgesetz Unternehmen zu maximaler Resilienz verpflichten, behindert das deutsche Computerstrafrecht (§ 202c StGB) weiterhin die Menschen, die unsere Systeme tatsächlich absichern. Dieser Vortrag analysiert, warum das aktuelle rechtliche Narrativ den technologischen Realitäten und dem Open-Source-Ethos massiv entgegensteht. Wir beleuchten den notwendigen Wandel auf drei zentralen Ebenen: Technisch: Warum wir "Responsible Disclosure" und verschlüsselte Meldekanäle als Standard für digitale Souveränität brauchen, um Schwachstellen nicht zu verstecken, sondern zu schließen. Gesellschaftlich: Wir dekonstruieren das Zerrbild des "kriminellen Hackers" und positionieren Sicherheitsforschung als Form des digitalen Whistleblowings, das unsere Infrastruktur schützt. Politisch: Wir fordern eine Reform, die sich an europäischen Standards orientiert und Sicherheit durch Kooperation statt durch Kriminalisierung erreicht. Dabei schlagen wir die Brücke zum FrOSCon-Motto "Wem kannst Du noch trauen?": Open Source ist hierbei nicht nur eine Lizenzform, sondern das einzige Vertrauensmodell für eine transparente, auditierbare Infrastruktur. Wir zeigen mit dem Schweizer NCSC-Modell, wie staatliche Bug-Bounty-Programme unter "Safe Harbor"-Bedingungen Sicherheit schaffen, statt sie zu untergraben. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3606.html

Agents are invading modern software development. The gap between what we whisper into the black box (our Intent) and what we actually ship (the 100K LOC we didn't read) can be costly. Software teams are asking the question "Does this work on my legacy codebase with 3M lines in an ancient language?" This talk introduces spec-driven development: a methodology where clear, executable specifications become the north star of your development process, and the cognitive load of reviewing agentic output shifts left. How does Spec Kitty streamline this approach, and what limitations have we found regarding old code, complex code, or working in restricted and regulated environments? How can software teams safely adopt a new agentic-guided paradigm safely, and ship with confidence? Whether you're working on a team of one or managing distributed developers, you'll learn how to: * Write specifications that guide implementation and prevent ambiguity * Create governance Doctrine that keeps agents on the rails * Direct human intelligence into the part of the software development lifecycle where it matters the most * Safely start an agentic loop that can run for hours or days and produce a result you're comfortable with I'm the creator of Spec Kitty, an MIT licensed Python CLI, and I'll show you live examples of how it is being used today, from solo developers to Fortune 500 companies launching critical initiatives. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3679.html

Das Internet ist böse, Social Media gefährlich, und Kinder brauchen Schutz. So weit glauben das viele verstanden zu haben, insbesondere Politiker*innen und oft auch Medienpädagog*innen und Eltern. Und so ganz falsch ist es ja auch nicht. Doch wie sieht es wirklich mit den Erfahrungen junger Menschen im Netz aus? Welche rechtlichen und pädagogischen Grundzüge helfen dabei, Kinderrechte beim Aufwachsen mit digitalen Dingen zu respektieren? Das Internet, das Web und seine Angebote sind ein wichtiger Teil der realen Lebenswelt, auch von Kindern und Jugendlichen. In diesem Vortrag wollen wir das Thema Kinder und Jugendliche, ihre Rechte und den Schutzauftrag von Schulen, Pädagog*innen und Eltern einmal beleuchten. Und das nicht nur begrenzt auf Online-Themen – auch oft missverstandene Themen wie die berüchtigte »Aufsichtspflicht« wollen wir klären und was Kinderschützer eigentlich gegen ein Social-Media-Verbot haben. Am Ende stehen konkrete Vorschläge, wie wir junge Menschen selbstbestimmt, frei, aber trotzdem begleitet und sicher, in die digitale Welt bringen können – z. B. auch in die sozialen Netzwerke des Fediverse. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3632.html

Die Höhen und Tiefen unseres Wechsels weg von den Hyperscalern und wie einfache Clouds und „langweilige“ Technologie es uns ermöglichen, erfolgreich zu sein. Viele großartige Webanwendungen werden von kleinen Teams mit nur einer Handvoll Mitarbeiter:innen entwickelt. Die gängigen Vorstellungen für größere Unternehmen mit mehreren Teams treffen auf diese Teams nicht zu, und das gilt insbesondere für den Betrieb. Bei fejo.dk haben wir uns entschieden, die Hyperscaler hinter uns zu lassen. In diesem Vortrag sprechen wir über die Höhen und Tiefen dieses Wechsels und darüber, wie einfache Clouds und „langweilige“ Technologie es kleinen Teams ermöglichen, erfolgreich zu sein. Unser Ziel war und ist es, die gesamte Infrastruktur so überschaubar wie möglich zu gestalten. Der Wechsel der Cloud war nur ein Teil davon; ein weiterer Teil bestand darin, die bisher verwendeten Tools und Infrastrukturkomponenten sorgfältig zu evaluieren und alles zu entfernen, was nicht unbedingt notwendig war. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3616.html

"Klar sind Instagram, TikTok und Twitter Scheiße, aber im Fediverse habe ich keine Reichweite.", dieser Satz fällt immer wieder, wenn es darum geht, Menschen von freien dezentralen Social Media Diensten zu überzeugen. Aber stimmt diese Behauptung überhaupt? Darum geht es in diesem Vortrag. Viele nutzen Social Media, um eine möglichst große Reichweite aufzubauen, um wiederum möglichst vielen Menschen ihre Inhalte zu präsentieren. Dieses "Höher, weiter, schneller!" passt auf den ersten Blick überhaupt nicht zur dezentralen Welt von Mastodon, PeerTube und Co. Doch stimmt das noch? Schließlich hat sich das Netzwerk in den letzten Jahren so sehr verändert, dass es mittlerweile einige Szenepromis mit mehreren tausenden Folgenden gibt. Außerdem wünschen sich viele, dass mehr bekannte Menschen in das Fediverse kommen. Doch was gibt es für diese für Anreize? Und steht dieser Wunsch nicht im Widerspruch zur Netzwerkkultur, in der sich alle auf Augenhöhe begegnen können? Dieser Vortrag soll einen Einblick in aktuelle Entwicklungen im Fediverse, Fachbegriffe aus der Social Media Welt und der Funktionsweise des Netzwerkes geben. Und vielleicht können wir zusammen die Frage beantworten, ob es überhaupt möglich ist, im Fediverse reich und berühmt zu werden. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3620.html

Samba erfindet sich neu, ohne Samba neu zu erfinden. Als freie Software ist Samba in vielen Infrastrukturen unsichtbar, aber unverzichtbar: für File Services, Interoperabilität und Identity & Access Management zwischen Unix/Linux- und Windows-Welten. Doch Abhängigkeit bedeutet nicht automatisch Unterstützung. Der Vortrag zeigt, wie das Samba-Projekt mit der Schaffung der Samba Foundation in Europa auf diese Lücke reagiert und neue Strukturen für Beteiligung, Finanzierung und institutionelle Verantwortung schafft – als Beitrag zu belastbarer Open-Source-Infrastruktur und digitaler Souveränität, ohne die technische Autorität der Community zu ersetzen. Die Samba Foundation entsteht in Berlin. Damit bekommt das Samba-Ökosystem einen neuen institutionellen Rahmen. Das ist der sichtbare Schritt. Die eigentliche Geschichte dahinter lautet: Ein wichtiges Open-Source-Projekt organisiert Verantwortung neu, ohne sich selbst umzubauen. Samba ist nicht nur „Filesharing“. Samba verbindet Unix/Linux- und Windows-Welten, implementiert zentrale Protokolle für heterogene IT-Umgebungen, kann als Active-Directory-kompatibler Domain Controller betrieben werden und ist damit auch ein wichtiger Baustein für Identity & Access Management, Interoperabilität und digitale Souveränität. Mit Projekten wie Himmelblau reicht diese Linie weiter in aktuelle Fragen der Linux-Integration mit Entra ID und Intune. Samba ist damit an vielen Stellen unsichtbar – aber unverzichtbar. Die Förderung durch den Sovereign Tech Fund in den Jahren 2024 bis 2026 hat dies deutlich gemacht: Sie ermöglichte gezielte, relevante Arbeit an Sicherheit, Interoperabilität, Skalierbarkeit und Zukunftsfähigkeit von Samba. Zugleich stellt sie eine strukturelle Frage: Wie wird aus zeitlich begrenzter Förderung dauerhafte Unterstützung? Technisch bleibt Samba ein von Community und Samba Team getragenes Projekt. Die neue Struktur soll diese Autorität nicht ersetzen, sondern Beteiligung, Finanzierung und institutionelle Verantwortung verlässlicher organisieren. Zugleich schafft sie eine europäische Ansprech- und Trägerstruktur für ein Ökosystem, das für digitale Souveränität nicht abstrakt, sondern ganz praktisch relevant ist. Der Vortrag zeigt die Samba Foundation als Fallstudie: Wie lässt sich Förderung in dauerhafte Unterstützung übersetzen? Wie können Unternehmen beitragen, ohne technische Entscheidungen zu kaufen? Und wie bleibt ein Projekt Community-geführt, während sein Ökosystem institutioneller wird? Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3555.html

Ob Blog-Beiträge, technische Dokumentationen, Fachartikel oder eine Masterarbeit: In diesem Vortrag verraten wir, wie man möglichst schlecht und unverständlich über Technik schreibt. Angefangen bei lustig hüpfenden Deppenapostrophen, über rumpelnde Passiva und chaotische Wiki-Gliederungen bis hin zu furchtbaren Screenshots mit gruseligen Bildunterschriften stellen wir alle wichtigen Stilmittel anhand von Praxisbeispielen vor. Der Vollständigkeit halber geben wir noch Tipps, wie man gut und lebendig über Technik schreibt. Aber sowas möchte ja keiner lesen. Oder vielleicht doch? Verständliche Texte vermitteln leichter technisches Wissen, während fesselnde Inhalte Leserinnen und Leser auf der Website halten. Wie man solche Texte schreibt und vor allem in welche Fettnäpfchen man dabei möglichst nicht treten sollte, verraten Carina Schipper Reuß (stellvertretende Chefredakteurin des Linux-Magazins) und Tim Schürmann (IT-Journalist und Diplom-Informatiker). Freitagnachmittag, kurz vor halb Sechs in Deutschland. Für den wohlverdienten Feierabend fehlen nur noch die Quartalszahlen aus dem letzten Jahr. Sie stecken in irgendeinem alten Dokument in den Untiefen des eigenen Rechners. Netterweise gibt es für solche Fälle den Spürhund Grep. Die Internetsuchmaschine des Vertrauens zaubert rubbeldiekatz dessen deutsche Anleitung hervor. Eine Stunde später klebt das bereits im Wochenende weilende Hirn immer noch am Satz „Reguläre Ausdrücke werden analog zu arithmetischen Ausdrücken aufgebaut: Sie werden mit Hilfe verschiedener Operatoren aus kleineren Ausdrücken zusammengesetzt.“ [https://manpages.debian.org/testing/manpages-de/grep.1.de.html] Nicht nur in der Dokumentation von Grep warten zahlreiche Sätze, die geneigte Leser und Leserinnen erst nach mehrmaligen Anläufen oder dem Kauf von überteuerten Fachbüchern verstehen. Derlei mysteriöse Wörterschlangen lauern in Blog-Beiträgen, Referenzhandbüchern, Pressetexten und in Masterarbeiten. Jedes gute Unternehmen führt zudem ein Wiki mit hastig aus dem Internet kopierten Textschnipseln, die niemand mehr erklären oder zuordnen kann. PR-Agenturen verstecken die eigentlichen Informationen gut unter einem Berg inhaltsleerer Sätze und trendigem Denglisch. In jedem Fall begrünen die Textwüste unpassende Screenshots des Grauens, an denen nichtssagende Bildunterschriften kleben. Damit niemand mehr über diese Stolperfallen -äh- stolpert, verpetzen wir sie ungeniert in unserem Vortrag. Angefangen bei lustig hüpfenden Deppenapostrophen, über rumpelnde Passiva und chaotische Wiki-Einträge bis hin zu unfreiwillig komischen Illustrationen stellen wir infernalische Stilmittel anhand von Praxisbeispielen vor. Da wir eigentlich ganz nett sind, verraten wir auch gleich noch, wie man diese Fettnäpfchen vermeidet und lebendig über Technik schreibt. Das gelingt mit ganz einfachen Maßnahmen. Oder für das obere Management: Wir sharen super-tighte Best Practices mit maximalem ROI. Die damit erzielten Ergebnisse vermitteln leichter technisches Wissen, ihre fesselnden Inhalte halten außerdem Leserinnen und Leser länger auf der Website. Wir schöpfen dabei nicht nur aus unseren Alltagserfahrungen als IT-Journalisten, sondern auch aus unseren eigenen Fehlern. Die wir selbstverständlich heutzutage nicht mehr machen. Meisten jedenfalls. Carina Schipper Reuß zieht als stellvertretende Chefredakteurin des Linux-Magazins unermüdlich in den Kampf gegen Passiv-Konstrukte, zeilenverschlingende Schlangensätze und blähendes Geschwafel. Tim Schürmann ist Diplom-Informatiker. Als wäre das nicht schon Expertise genug, folgte nach dem (zumindest aus seiner Sicht) äußerst erfolgreichen Universitätsabschluss ein schnelles Abgleiten in den IT-Journalismus, mehrere Buchveröffentlichungen und einige Arbeiten als Video-Trainer. Er weiß also genau, wie man möglichst wenige Informationen in möglichst viel Text unterbringt, um so aus den Verlagen das maximale Honorar herauszupressen. Einige Literaturvorschläge haben wir ebenfalls im Gepäck. Deren Lektüre empfiehlt sich generell zur umfassenden Vor- und Nachbereitung unseres granatenmäßig recherchierten Vortrags. Unsere erste Empfehlung hat der bereits verstorbene, aber bis heute als Journalisten-Papst gefeierte Wolf Schneider geschrieben. Auch wenn der Titel etwas anderes suggeriert, sollte das Buch jeder gelesen haben, der häufiger Texte schreibt: Wolf Schneider Deutsch für Profis Goldmann-Verlag ISBN 978-3-442-16175-1 Auf Texte für das Internet geht das folgende spätere Werk von ihm ein: Wolf Schneider Deutsch für junge Profis: Wie man gut und lebendig schreibt Rowohlt Taschenbuch (Rororo) ISBN 978-3-499-62629-6 Unterhaltsamer sind die Bücher von Bastian Sick, allen voran: Bastian Sick Der Dativ ist dem Genitiv sein Tod KiWi-Taschenbuch ISBN 978-3-462-03448-6 Erreichen kann man uns selbstverständlich auch. Carina lässt sich via [email protected] kontaktieren, Tim ist über [email protected] ansprechbar. Zumindest meistens. Die beiden kann man übrigens auch buchen. Nur nicht für Firmenfeiern. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3537.html

A look back and forward into KDE's life. This year 2026, KDE turns 30! After three decades, this project born in Tübingen is not only alive but bigger than ever. We will take a look back into its history, discuss what it stands for nowadays and where it's going in the future. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3676.html

Open Source wird oft gleichgesetzt mit „kostet nichts“. In Wahrheit kostet es u.a. die Freizeit anderer Leute. Daneben gibt es auch versteckte Kosten bei der Verwendung, wie zum Beispiel die Einarbeitung und die Pflege in der eigenen Software. Da die Anzahl der Maintainer und Zeit im Allgemeinen begrenzt sind und Open Source einen kritischen Teil praktisch in jeder Software ausmacht, sollte dieser Zustand die Alarmglocken bei uns schrillen lassen. Dieser Vortrag betrachtet, was Open Source ist und wie Open Source in der Allgemeinheit wahrgenommen wird. Es gibt verschiedene Ansätze, die Arbeit an Open-Source-Projekten dauerhaft auf ein tragfähiges Fundament zu stellen. Er stellt dazu verschiedene Finanzierungsmodelle mit ihren Vor- und Nachteilen vor, beschreibt, wie eine ideale Welt aussehen kann, und wie die ersten Schritte dorthin aussehen. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3481.html

Wem traust du, wenn ein Vendor-Dashboard ein KI-Modell als "nicht biased" abnickt? Bias zeigt sich selten im offensichtlichen Output, sondern in dem, was ein Modell wahrscheinlicher findet. Eine grüne Compliance-Ampel löst dieses Evidence-Problem nicht; sie versteckt nur ein Vertrauensproblem. Der Vortrag erklärt CrowS-Pairs als anschaulichen Bias-Check: stereotype und anti-stereotype Satzpaare werden per Log-Probability verglichen, bis aus Bauchgefühl eine dokumentierte Stereotyp-Präferenz wird. Der Bias-Score ist dabei kein Heiligenschein, sondern ein Messprotokoll. EuConform macht daraus ein offenes, maschinenlesbares Evidence-Format: AI-BOM, Risk Report, CI-Ergebnis, Bias-JSON und SHA-256-verifizierbare Bundles. Eine kurze Demo zeigt den lokalen Run gegen ein LLM mit deutschem CrowS-Pairs-Dataset — ohne Cloud, ohne API-Key, wiederholbar und überprüfbar. Bias bei KI-Modellen ist selten der spektakuläre Ausrutscher im Output, sondern die statistische Schieflage darunter: die konsistente Präferenz eines Modells für die stereotype Satzvariante in den Wahrscheinlichkeitsverteilungen, mit denen es rechnet. Modelle haben keine Werte, sondern Wahrscheinlichkeiten und genau diese Wahrscheinlichkeiten können in eine bestimmte Richtung verschoben sein, ohne dass es im sichtbaren Output sofort auffällt. Genau dort beginnt das Problem für Entwicklerinnen und Entwickler, Compliance-Teams und Auditor:innen. CrowS-Pairs macht diese Schicht sichtbar. Statt ein Modell zu fragen "Bist du biased?" — ungefähr so sinnvoll wie einen Build zu fragen, ob er reproduzierbar ist , vergleicht die Methode stereotype und anti-stereotype Satzpaare über Log-Probabilities. Daraus entsteht eine dokumentierte Stereotyp-Präferenz: kein Moralurteil, kein Compliance-Freifahrtschein, sondern ein nachvollziehbares Messprotokoll. Der Bias-Score ist kein Heiligenschein. Er ist Evidence. Die zweite Hälfte des Problems ist das Format. Ein Bias-Score in einem Vendor-Dashboard ist schwer zu prüfen, schwer zu versionieren und schwer in CI-Pipelines, Code-Reviews oder Audits weiterzuverwenden. Software-Engineering hat diese Art Vertrauensproblem schon mehrfach gelöst: Reproducible Builds machen Artefakte überprüfbar, SBOMs beschreiben Lieferketten maschinenlesbar, CVE-Einträge machen Befunde öffentlich referenzierbar. AI-Compliance-Evidence braucht dieselbe offene Infrastruktur, sonst bleibt sie ein Marketing-Versprechen. Genau daran arbeitet EuConform: ein offenes Evidence-Format für AI-Act-Nachweise, begonnen als Solo-OSS-Projekt und aktuell als NGI-Zero-Commons-Fund-Antrag eingereicht. Die vorhandenen Schichten beschreiben Projekt und Komponenten als AI-BOM (aibom.v1), halten Risiko- und CI-Ergebnisse maschinenlesbar fest (report.v1, ci.v1) und bündeln Artefakte SHA-256-verifizierbar (bundle.v1). Die empirische Bias-Schicht (bias.v1) erzeugt das Bias-JSON aus CrowS-Pairs-Runs gegen lokal via Ollama gehostete LLMs. Mit englischem und deutschem Dataset, ohne Cloud-API-Key und ohne dass Daten die Maschine verlassen. In einer kurzen Demo läuft ein deutscher CrowS-Pairs-Run gegen ein lokales Llama-Modell. Wir öffnen nicht nur den Score, sondern das erzeugte JSON: Modell, Dataset, Methode, Anzahl der Satzpaare, Score und Stereotyp-Präferenz. Danach zeige ich, wie EuConform AI-BOM, Report, CI-Ergebnis und Bundle-Manifest als maschinenlesbare Dokumente zusammenführt und per verify gegen Hash- und Metadatenabweichungen prüft. Die Demo ist nicht der Talk; sie ist das Beweisstück. Zentrale Botschaft: Wir brauchen keine magischen Vendor-Scores und keine grünen Ampeln, die Wahrheit spielen. Wir brauchen dokumentierte, versionierbare, überprüfbare Evidence, auf deren Basis Menschen verantwortbare Urteile fällen. JSON ist nicht sexy, aber es lügt wenigstens nicht im Sales-Call. Zielgruppe: Entwicklerinnen und Entwickler, die OSS-AI-Projekte betreuen oder einsetzen; Compliance- und IT-Sicherheits-Verantwortliche im EU-Raum; alle, die bei "AI-Compliance-Plattform" instinktiv zur Brieftasche greifen. Vorwissen: keines erforderlich; Reproducible-Builds- oder SBOM-Erfahrung hilft, ist aber nicht Voraussetzung. Take-Aways: Ein verständliches mentales Modell dafür, warum neutraler Modell-Output keine neutrale Bias-Evidence garantiert. Ein konkreter Blick auf CrowS-Pairs, Log-Probability und Stereotyp-Präferenz als wiederholbares Messprotokoll. Ein offenes Evidence-Format, auf dem OSS-Projekte, CI-Pipelines und spätere Compliance-Tools aufbauen können. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3498.html

Der Vortrag gibt einen Überblick über das LibreOffice-Projekt. Dabei werden auch die letzten Ereignisse den letzten beiden Jahren sowie aus diesem Jahr thematisiert. Danach geht es um den Plan für die künftige Entwicklung des Projektes und wie man Teil davon werden kann. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3549.html

Kleine und mittelgroße Open-Weight-Modelle holen in ihren Fähigkeiten rasant auf und laufen auf der eigenen Infrastruktur. Manche behaupten sogar, sie seien die Zukunft und könnten proprietäre Cloud-Anbieter als Standard-Weg für die Nutzung von KI ablösen. Aber wie betreibt man LLMs jenseits der Cloud - lokal und on prem? Dieser Vortrag führt in das Thema „Inference Engineering“ ein und zeigt, wie sich der schnell wachsende Zoo an Tools und Konzepten sinnvoll strukturieren lässt. Denn sobald man über erste Spielereien mit Ollama hinausgeht, wird das Thema schnell zum Rabbit Hole. Begriffe und Technologien fliegen einem um die Ohren: KV-Cache, TurboQuant, Prefill/Decode Disaggregation, MoE-Modelle, vLLM vs. SGLang, LiteLLM vs. Portkey, KServe vs. llm-d vs. Dynamo, ... Im ersten Teil des Vortrags räumen wir dieses Chaos auf und entwickeln ein Schichtenmodell des „Inference Stacks“. Ziel ist ein mentales Modell, das hilft, neue Technologien schnell einzuordnen und Zusammenhänge zu verstehen. Darauf aufbauend betrachten wir konkrete Open-Source-Stacks und typische Deployment-Szenarien: vom lokalen Setup mit kleineren, quantisierten Modellen bis hin zu GPU-basierter Inferenz im eigenen Cluster. Dabei geht es weniger um alle Details einzelner Tools als um deren Einordnung und Zusammenspiel. Der Vortrag richtet sich an Entwickler:innen und Architekt:innen, die LLMs nicht nur konsumieren, sondern verstehen und selbst betreiben wollen – sei es aus Interesse an Open Source, aus Compliance-Gründen oder für mehr Kontrolle über Kosten und Daten. Voraussetzungen: Um schnell auf die interessanteren Aspekte zu kommen, wird ein Basiswissen zu LLMs vorausgesetzt: Folgende Begriffe solltet ihr grob verstehen: Tokens, „das nächste Token vorhersagen“ (GPT), Context Window, Hugging Face. Optional: Wer schon einmal mit lokalen Modellen in Ollama oder LMStudio experimentiert hat und den Begriff „Quantisierung“ grob in eigenen Worten erklären kann, ist perfekt vorbereitet! Der Vortrag stellt diese Themen aber auch im Schnelldurchlauf vor. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3521.html

Generative KIs/LLMs zu verwenden, birgt ethische Risiken und ist in vielen Aspekten nicht nachhaltig. Schauen wir uns das zusammen genauer an, damit wir bewusster, informierter und verantwortungsvoller damit umgehen können. Generative KI, die uns Texte, Chats, Code, Bilder und Musik erzeugt, wird immer mehr eingesetzt und in Software integriert. Die Hersteller wie OpenAI oder Anthtropic verschweigen dabei in ihrem Marketing die ethischen Probleme und die Risiken für Nachhaltigkeit, die mit dem Angebot und der Nutzung ihrer Software einhergehen. Mit diesem Talk möchte ich dazu beitragen, dass wir bewusster, informierter und verantwortungsvoller darüber entscheiden, ob und wofür wir generative KI nutzen und unterstützen. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3560.html

Moderne digitale Verwaltungsinfrastruktur wird auf einer containerbasierten Infrastruktur betrieben – aber woher kommen die sicheren Container-Images? Aktuell überwiegend von US-amerikanischen Anbietern, mit allen bekannten Lock-in-, Datenhoheits- und Lieferkettenrisiken. In Zeiten, in denen sich geopolitische Verhältnisse innerhalb weniger Wochen ändern können und Software-Supply-Chain-Angriffe (Shai-Hulud, npm-Würmer, kompromittierte Basis-Images) zur Normalität geworden sind, ist das ein strategisches Problem. Mit der Secure Government Container Initiative (SGCI) und der Plattform container.gov.de stellen ZenDiS auf openCode geprüfte, gehärtete Container-Images für Bund, Länder und öffentliche IT bereit – als offene Bausteine, gemeinsam mit der Community. Als technischer Umsetzungspartner berichten wir aus erster Hand: Wie härten wir Container nach BSI-Standards und NIST SP 800-190? Welche Toolchain entsteht dabei? Wo stehen wir nach der ersten Aufbauphase – und was kann noch getan werden, damit dieses Projekt am Ende erfolgreich ist? Warum gehärtete Container aus Europa? Container sind die Basistechnologie moderner Verwaltungs-IT – von der Bundes-Cloud PLAIN bis zur Office-Suite openDesk. Wer die Container kontrolliert, kontrolliert einen erheblichen Teil der digitalen Infrastruktur. Heute ist diese Kontrolle stark konzentriert: Wenige (überwiegend US-amerikanische) Anbieter dominieren den Markt für gehärtete Container-Images, oft hinter proprietären Subscription-Modellen. Für die öffentliche Verwaltung ist das aus mehreren Gründen problematisch: - Datenhoheit & Lieferkette: Kompromittierte oder politisch motiviert manipulierte Basis-Images sind ein realer Angriffsvektor – die Software-Supply-Chain-Wellen 2025/26 (Shai-Hulud, Mini Shai-Hulud) haben das schmerzhaft gezeigt. - Lock-in: Proprietäre Härtungslösungen erzeugen Migrationsbarrieren und Abhängigkeiten, die der IT-Planungsrat in seiner Souveränitätsstrategie explizit als strategisches Risiko benennt. - Compliance: BSI IT-Grundschutz, CRA, NIS2 – die regulatorischen Anforderungen an Container in regulierten Umgebungen steigen, während die operativen Ressourcen der Verwaltung knapp bleiben. container.gov.de und die SGCI container.gov.de ist das zentrale Verzeichnis für geprüfte und gehärtete Container-Images der öffentlichen Verwaltung. Der Rahmen ist die SGCI von ZenDiS und openCode im Auftrag des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS). Alle Images sind quelloffen, alle bekannten Schwachstellen mit hohem oder kritischem Schweregrad müssen explizit per VEX bewertet sein, jedes Image durchläuft eine automatische Compliance-Prüfung. Public Money, Public Code – ganz konkret Die SGCI ist eine direkte Anwendung des "Public Money, Public Code"-Prinzips: öffentlich finanzierte Härtungsarbeit fließt nicht in proprietäre Subscription-Produkte, sondern als Open-Source-Code zurück in die Allgemeinheit. Jede:r kann die Images nutzen, weiterentwickeln und auditieren – Verwaltung, Wirtschaft, Open-Source-Projekte. Die Community wird so nicht nur Konsument, sondern Mitbauer:in einer souveränen, europäischen Container-Lieferkette. Praxisbericht: Was wir gelernt haben Als technischer Umsetzungspartner von ZenDiS härten wir Container und bauen die zugehörige Toolchain auf – CI/CD-Komponenten für Multi-Stage-, Distroless-, Nix- und Deb2Scratch-Builds, integriert mit DevGuard für das kontinuierliche Vulnerability- und VEX-Management. Was wir mit euch diskutieren wollen Die SGCI ist im Aufbau – wir suchen aktiv Community-Input. Über das Projekt Website: container.gov.de · Dokumentation: container.gov.de/docs · GitLab: gitlab.opencode.de/oci-community. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3621.html

Software-defined Networking, Kubernetes, Microservices: In der IT längst Alltag – im Broadcasting beginnt diese Transformation gerade erst. Der Vortrag zeigt mit DMF und dem Open-Source Media eXchange Layer (MXL), wie containerisierte Media Functions Video, Audio und Metadaten per Zero Copy austauschen können. Und warum öffentlich-rechtliche Sender und direkte Marktkonkurrenten gemeinsam an einem offenen Unterbau gegen Cloud-Abhängigkeit und Vendor-Lock-in bauen. Software‑defined Networking gibt es seit 2011, Kubernetes seit 2014, Microservices‑Architekturen sind Alltag. Die Broadcasting‑Welt kommt gerade erst an dieser Stelle an: mit der Dynamic Media Facility (DMF) und ihrem Media-Functions-as-a-Service-Konzept. Wir gehen kurz auf die DMF Referenzarchitektur v2 ein, die auf Container-Technologien beruht. Ein Basislayer der DMF ist der Media eXchange Layer (MXL). Mit dem 2026 v1.0‑Release des Media eXchange Layer (MXL) unter dem Dach der Linux Foundation. MXL ist technisch gesehen eine Schicht für den schnellen Austausch von Mediendaten zwischen containerisierten Medienfunktionen. Solche Funktionen können zum Beispiel Ingest, Replay, Graphics, Mixer oder Playout sein. Jede dieser Funktionen läuft als eigener Prozess. Statt Video, Audio und zeitbezogene Metadaten zwischen diesen Prozessen zu kopieren, nutzt MXL Shared Memory. Dadurch können die Prozesse dieselben Daten direkt verwenden, ohne zusätzliche Kopiervorgänge. Das nennt man Zero Copy. Künftig soll dieser Austausch mit RDMA und libfabric auch über die Grenzen eines einzelnen Hosts hinaus funktionieren. Konzeptionell bewegt sich MXL zwischen Ansätzen wie GStreamer, PipeWire und DPDK: Es übernimmt bestimmte Ideen aus diesen Bereichen, ergänzt sie aber um broadcast-genaues Timing und ein einheitliches Modell für sogenannte Grains, also einzelne zeitlich definierte Medieneinheiten. Organisatorisch ist MXL ein bemerkenswerter Fall von Industry-Open-Source: BBC, SWR/ARD, SVT, CBC und andere öffentlich‑rechtliche Sender bauen gemeinsam mit direkten Marktkonkurrenten wie Grass Valley, Lawo und Riedel einen offenen Unterbau. Der Treiber ist ein gemeinsames Souveränitäts‑Interesse – Rückholbarkeit aus Cloud‑Abhängigkeiten, Ausbruch aus Vendor‑Lock‑in mit 5‑Jahres‑Vertragslaufzeiten, Erfüllbarkeit des öffentlich‑rechtlichen Auftrags auch in Krisenlagen. Der Vortrag richtet sich an Entwickler:innen, Sysadmins und Interessierte mit und ohne Broadcast‑Vorkenntnisse. Nach einer kurzen Einordnung der Broadcast‑Welt in bekannte FOSS‑Konzepte folgt der technische Kern mit Code‑Walkthrough und Demo. Danach ein Blick auf die Governance‑Struktur, die Berührungspunkte zu Projekten wie GStreamer, FFmpeg, OBS, PipeWire und CasparCG – und ein ehrlicher Reifegrad‑Check, der auch sagt, wo es heute noch nicht trägt. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3545.html

Dieser Vortrag gibt einen Überblick über den aktuellen Stand der Open-Source Office-Anwendung Collabora Office. Dieser Vortrag gibt einen Überblick über den aktuellen Stand der Open-Source Office-Anwendung Collabora Office. Von einem der Gründer des LibreOffice Projekts gibt es einen Parforce-Ritt durch die zahlreichen Entwicklungen und Verbesserungen in den Anwendungen, sowie die Ideen und Motivationen für die Entwicklung der neuen Desktop-Anwendungen. Weiterhin beleuchten wir die wachsende Bedeutung der digitalen Souveränität, und welche zentrale Rolle Office-Suiten dabei spielen. Anhand konkreter Migrationsprojekte, wie beispielsweise in Schleswig-Holstein und beim österreichischen Militär, werden wir untersuchen, wie öffentliche Einrichtungen ihre Abhängigkeit von proprietären Anbietern durch die Einführung offener Standards wie ODF und Open-Source-Lösungen verringern. Dazu gehört die Wiedererlangung der Kontrolle über Dokumentformate, Aktualisierungszyklen und Datenflüsse sowie die umfassenderen Herausforderungen, die mit solchen Umstellungen einhergehen. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3657.html

This talk delivers an analysis of the architectural costs associated with PostgreSQL's process-per-connection model, examining Linux shared memory usage, memory allocation tables, CPU context switching and CFS versus EEVDF scheduling. Talk explains why too many connections become exponentially expensive and degrade performance. PostgreSQL connections are expensive, and their count is often the limiting factor for performance and stability. Connection pooling is a primary scaling tool for modern systems with microservices, short-lived clients, and bursty traffic. We all know it, but do we really understand why? This talk offers a deep dive into PostgreSQL and Linux architecture, explaining the concrete costs of “too many connections” in PostgreSQL’s process-per-connection model. We will discuss CPU overhead from context switching; kernel resources such as sockets and file descriptors; differences between the classic Completely Fair Scheduler (CFS) and its newer EEVDF-based scheduling approach; limitations of MVCC snapshot implementation across different PostgreSQL versions; accumulation of allocations in per-session memory contexts; and how much memory a query can allocate during execution. We will also look for guidance on “maximum active connections per CPU core” for OLTP vs. OLAP. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3509.html

There is a massive potential for public procurement to play a key role in open-source funding. Governments want software that is secure, maintainable, and backed by visible ecosystems as they look for digital sovereignty. But the reality is that proprietary procurement remains the safe play for procurement offices. This session shows how interoperable metadata formats could turn procurement requirements into a funding lever by making adoption, security posture, and contribution capacity legible across catalogs and jurisdictions. Public procurement is one of the largest financial levers in the software ecosystem. When procurement criteria favor open, sustainable, and secure solutions, funding follows. But many open source projects are excluded before evaluation because key evidence is fragmented across repositories, documents, and informal signals. This talk focuses on a practical solution: interoperable metadata formats that let projects publish procurement-relevant evidence once and reuse it everywhere. The session connects maintainer workflows to real funding outcomes by showing how better metadata improves discoverability, comparability, and trust for public buyers, grant programs, and ecosystem funders. What attendees will learn: * Which metadata signals matter most for procurement and investment decisions (security, adoption, contributor and vendor ecosystem, support capacity) * How we can use EU laws and policies specifically to build momentum for these metadata signals. * How standardized metadata helps public institutions buy responsibly while channeling resources to sustainable upstream projects. What we will discuss: * How to implement these formats incrementally to keep overhead manageable for maintainers and what signals we need from policymakers and procurement offices to go further. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3485.html

Die japanische Begrüßung Konnichiwa (こんにちは) kennt sicher der ein oder andere. Aber wie schreibt man dies eigentlich auf einer Tastatur? Welche Software braucht man dafür unter Linux? Und wie kommunizieren die Komponenten miteinander? Wenn wir eine E-Mail schreiben, so können wir alle Zeichen durch separate Tasten bzw. deren Kombination mit Modifiern (Shift oder Alt Gr) erreichen. Dies ist für die mehreren tausend CJK (Chinesisch, Japanisch, Koreanisch) Zeichen aber keine Option mehr. Daher gibt es für jede Sprache spezielle Eingabeprogramme (Input Method Editor, IME), die für das Mapping der Tastatureingaben auf mögliche CJK-Zeichen(folgen) zuständig sind. Diese werden in Kombination mit einem Framework (Input Method Framework, IMF) genutzt, die die Schnittstelle der Eingabeprogramme mit den Applikationen bilden und auch ein Wechsel zwischen mehreren Eingabeprogrammen erlauben. Diese Komplexität ist üblicherweise durch die Desktopumgebung und GUI-Frameworks vor uns versteckt. Dennoch lohnt sich ein Blick in die Welt der Eingabeprogramme. Sei es nur aus Interesse, wie viel komplexer die Eingabe in anderen Sprachen sein kann oder die Fallstricke, wenn man annimmt, dass jeder Tastendruck ein festes Zeichen darstellt. Auch nutzen beispielsweise Bildschirmtastaturen teilweise diese Integrationen. Ziel des Vortrags ist es einen Überblick der Funktionsweise von Eingabeprogrammen und Frameworks unter Linux zu geben. Zur praktischen Veranschaulichung wird das Einrichten und die Nutzung der japanischen Sprache unter Linux demonstriert. Dazu gibt es einen kurzen Crashkurs der drei japanischen Schriften Hiragana, Katakana und Kanji, welche auch die Herausforderungen in der Spracheingabe veranschaulichen. Teilnehmende brauchen keine speziellen Vorkenntnisse. Nach dem Vortrag sollten sie ein High-Level Verständnis haben, wie Eingabeprogramme und Frameworks funktionieren und mit den Linux Applikationen und Desktopumgebungen interagieren. Und vielleicht nutzen sie danach auch ein japanisches Eingabeprogramm, um Kaomojis (japanische Emojis) einzugeben (´・ω・｀) Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3612.html

Samba ist heute viel mehr als der Fileserver für Windows-Rechner, der es einmal war. Dieser Vortrag wird einen Überblick darüber geben, dass Samba heutzutage seinen Platz nicht nur in Netzen mit Windows findet, sondern auch viele Dinge für die reine Linux- und BSD-Welt bereit hält. Samba ist in den 1990ern als Implementation des SMB-Protokolls entstanden, mit dem DOS-Rechner Laufwerke von entfernten Servern einbinden konnten. Im Laufe der Jahrzehnte hat sich Samba zu einer Lösung auch für reine Unix-Netze entwickelt: Mit dem Active Directory Domain Controller und dem Gegenstück winbind ist alles vorhanden, um Benutzer von Linux-Workstations im Netzwerk sicher zu verwalten. Mit den Posix Extensions für das SMB3-Protokoll steht ein vollwertiger und sicherer Ersatz für NFS zur Verfügung, das oftmals komplett unsicher eingesetzt wird. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3503.html

TUXEDO OS zieht mit der Open Beta von Ubuntu LTS auf Debian Testing um. Der Talk erklärt, warum ein Hardwarehersteller aktuellere Kernel, Mesa, Firmware und Paketstände braucht, warum „einfach Ubuntu mit Backports“ irgendwann an Grenzen stößt und welche QA-, Packaging- und Support-Fragen ein Debian-Testing-basiertes Desktop-System mit sich bringt. Ein technischer Blick hinter die Kulissen einer Distribution im Umbau. Was passiert, wenn ein Linux-Hardwarehersteller seine eigene Distribution von Ubuntu LTS auf Debian Testing umzieht? Mit der Open Beta von TUXEDO OS auf Debian Testing ist dieser Wechsel nicht mehr nur eine Idee, sondern öffentlich testbar. In diesem Talk geht es darum, warum wir diesen Schritt gehen, welche Probleme wir damit lösen wollen und welche neuen Baustellen wir uns damit bewusst einkaufen. Denn moderne Linux-Hardware lebt oft näher am Upstream als klassische LTS-Zyklen erlauben: Kernel, Mesa, Firmware, Treiber und Desktop-Stack entscheiden darüber, ob neue Notebooks wirklich gut funktionieren. Gleichzeitig soll ein vorinstalliertes Betriebssystem nicht wie ein Bastelprojekt wirken, sondern für normale Nutzerinnen und Nutzer zuverlässig installierbar, updatebar und supportbar bleiben. Der Vortrag gibt einen Blick hinter die Kulissen von TUXEDO OS: Warum Debian Testing? Warum nicht einfach weiter Ubuntu LTS plus Backports? Wie viel Debian steckt am Ende wirklich drin? Wo müssen wir eigene Pakete, Kernel, QA-Prozesse und Release-Gates bauen? Und was haben wir aus der Open Beta schon gelernt? Es geht um technische Entscheidungen, schmerzhafte Kompromisse, Distributionspflege aus Hardware-Sicht und die Frage, wie man „näher am Upstream“ sein kann, ohne den Support komplett zu verlieren. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3646.html

Als Teil des Open Source Audio Meetups (jetzt sonoj.org) präsentiere ich Synflow – ein browsernatives, visuelles Node-Graph-System, dessen Hauptfokus auf der flexiblen Erstellung von maßgeschneiderten Synthesizern und Audio-Flows liegt. Das quelloffene Projekt unter MIT-Lizenz schließt die Lücke zwischen starren Desktop-Anwendungen und rein textbasierten Audio-Sprachen, indem es eine komplett installations- und kompilierungsfreie Eurorack-Simulation direkt in den Webbrowser bringt. Anstatt mühsam Code zu schreiben, können Sounddesigner und Entwickler Synthesizer-Strukturen, Drum Machines oder komplexe Modulationsketten durch das visuelle Verdrahten virtueller Module in Echtzeit patchen und sofort hörbar machen. Während klassische Software-Synthesizer oft funktionell fest verdrahtet sind und reine DSP-Sprachen eine steile Lernkurve besitzen, bietet Synflow einen zugänglichen, visuellen Mittelweg für schnelles Prototyping und Experimente. Der Vortrag beleuchtet die modulare Architektur der Web-Workstation und zeigt auf, wie aus einfachen Grundbausteinen komplexe, spielbare Synthesizer-Stimmen geformt werden: - Klangerzeugung & Synthese: Mit aktuell 46 integrierten Open-Source-Nodes lassen sich von klassischen subtraktiven Synthesizern und Orgel-Stimmen bis hin zu perkussiven Synthesen (wie Kicks, Snares und Hi-Hats) jegliche Instrumente frei patchen. Achtung es kommt auch ein Dudelsack! Die native Audio-Engine: Der C++ Rendering-Thread des Browsers (Web Audio API) verarbeitet Oszillatoren, Filter und Gain-Stufen in einem gerichteten, kreisfreien Graphen, während AudioWorklets maßgeschneiderten DSP-Code in einem separaten High-Priority-Thread ausführen. Die visuelle UI-Eben: Angetrieben von React 19 und XYFlow (React Flow) v12 bietet das Interface intuitive Drehregler im Eurorack-Stil, Waveform-Vorschauen und ein unkompliziertes Drag-to-Connect-Kabelsystem. Echtzeit-Steuerung & Logik: Ein minimaler, dependency-freier EventBus synchronisiert MIDI-Keyboards, Clock-Ticks, Sequenzer und Gate-Signale vollkommen verzögerungsfrei über alle Module hinweg. Erweiterbarkeit für Entwickler: Dank des Hot-Swap-fähigen Audio Graph Managers lassen sich Parameter im laufenden Betrieb ändern. Eigene JavaScript- oder WASM-basierte DSP-Ideen können innerhalb weniger Stunden als völlig neue Synthesizer-Module implementiert werden. Zudem wird gezeigt wie man mit Hilfe von Rust in kürzester Zeit hochperfotmante WASM Bausteine für Audio Streaming erstellen kann. Neben den softwarearchitektonischen Konzepten wird im Vortrag anhand einer Live-Demo (dem wenn gewünscht kollaborativen Aufbau eines Synthesizers von Null auf) gezeigt, wie moderne Webstandards den Browser in ein mächtiges Werkzeug für die Open-Source-Audio-Community verwandeln. Zudem zeige ich mehrere Patches und Live Demos. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3566.html

Auch in diesem Jahr sammeln Oliver und Michael die Themen, Kuriositäten und Aufreger des vergangenen Open Source-Jahres auf und diskutieren gemeinsam mit dem Publikum auf der Open Source Couch. Wir begehen wieder einmal eine Reise durch 12 Monate Open Source, mit Wundern und Aufregern, mit Technik und Kultur, mit Geschichten und Geschichte und mit vielen Themen rund um Freie Software und den Menschen, die dafür und damit arbeiten. Oliver und Michael gemeinsam mit dem Publikum auf einer Rundfahrt mit Aussicht.. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3527.html

In den vergangenen 20 Jahren habe ich immer wieder Workshops u.a. für Aktivisten und Journalisten unterrichtet, die ihre Hardware in Krisengebieten oder Unrechtsstaaten absichern wollten. In diesem aktualisierten Vortrag zeige ich, wie man sich mit geeigneter Hardware (z.B. einem gebrauchten Thinkpad) und einem passenden OS (CachyOS) einen weitgehend abgesicherten Laptop z.B. für den C3-Besuch bastelt. Dabei wägt die Konfiguration zwischen Benutzbarkeit und Bedrohungsszenarien ab, z.B. wird der Laptop auch gegen Datenverlust bei Diebstahl oder eine Evil-Maid-Attack abgesichert, d.h. gegen eine Angreiferin die physikalischen Zugriff auf die Maschine hat. Rubber-Hose-Attacken (das KGB will das Passwort aus mir rausprügeln) liegen *nicht* im Fokus dieses Vortrags. Die Sicherungsmaßnahmen sind prinzipiell auch auf andere Linux-Distributionen übertragbar, dort aber unter Umständen mit mehr Handarbeit verbunden. CachyOS als Arch-Derivat bietet hier eine relativ unkomplizierte Installation, eine einsteigerfreundliches Benutzererlebnis und die notwendige aktuelle System-Software. Der Vortrag ist einsteigerfreundlich gestaltet. Ich zeige u.a. wie man: - die Hardware (UEFI/TPM2) absichert und sinnvolle Festplattenverschlüsselung einrichtet - Kernel und Boot-Prozess absichert mit gehärtetem Kernel, IOMMU, Secure Boot mit eigenen Schlüsseln signiert und LUKS2 an die Measured-Boot-Signaturen bindet und mit einer TPM2-PIN entsperrt - Schutz vor USB-Geräten mit Usbguard - Verschlüsselung einzelner Verzeichnisse mit GoCryptFS und verschlüsselte Datensychronisierung in die Cloud, wenn man unterundwegs ist - Firefox und Co. mit Firejail absichern, AppArmor als Alternative - OpenSSH härten, Firewall mit UFW einrichten - OpenPGP-Smartcard und Device-Bound-Passkeys mit Yubikey oder Nitrokey - Passwortmanagement mit KeePassXC Jede Sicherheitsmaßnahme wird in ein Threat Model eingebunden sowie Vor- und Nachteile erklärt. Damit könnt ihr selber entscheiden, ob diese Maßnahme in eurer Situation sinnvoll ist. Der eingesetzte Laptop muss über die Möglichkeit von Secure Boot und TPM2 verfügen, was eigentlich bei allen Business-Reihen (Lenovo Thinkpad, HP Elitebook, Dell Latitude o.ä.) der Fall ist. Ein günstiges Gebrauchtgerät reicht hier vollkommen aus. Ein Yubikey und/oder Nitrokey sind optional, aber für den sicheren Einsatz von GnuPG empfohlen. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3592.html

Der Vortrag gibt Einblicke in Erkenntnisse aus dem Projekt „Digitale Barrierefreiheit im Arbeitsleben durch partizipative Evaluation“ mit Fokus auf Developer-Perspektiven, Open-Source-Communities und Weiterbildung. Die Projekt-Analysen zeigen, dass digitale Barrierefreiheit nicht nur eine technische, sondern auch eine organisatorische und kommunikative Aufgabe ist. Zudem werden entwickelte Personas vorgestellt, die unterschiedliche Bedarfe und Perspektiven in Softwareentwicklung und Communities sichtbar machen. Ziel ist es, Barrierefreiheit als gemeinsame Verantwortung in der Open-Source-Community zu diskutieren. Barrierefreiheit in Software wird häufig vor allem als technisches Problem betrachtet: Semantisches HTML, Screenreader-Kompatibilität oder Kontrasteinstellungen. Doch digitale Barrierefreiheit entsteht nicht allein durch Technik – sie ist ebenso eine Frage von Entwicklungsprozessen, Kommunikation, Rollenverständnissen und Community-Kultur. Der Vortrag gibt Einblicke in Teil-Erkenntnisse aus dem Projekt „Digitale Barrierefreiheit im Arbeitsleben durch partizipative Evaluation“. Im Fokus stehen dabei insbesondere die Bereiche Developer-Perspektive, Open Source Communities und Weiterbildung. Ausgehend von Interviewanalysen wird beleuchtet, wie Entwickler\*innen Barrierefreiheit im Arbeitsalltag wahrnehmen: Welche Hürden bestehen in Entwicklungsprozessen? Wo fehlen Wissen, Zeit oder organisatorische Strukturen? Welche Spannungsfelder entstehen zwischen rechtlichem Anspruch, Ressourcen und Projektentscheidungen? Ergänzt werden diese Perspektiven durch Erkenntnisse aus Umfragen und Praxisberichten aus Open-Source-Communities. Dabei geht es unter anderem um die Frage, wie Community-Strukturen und Projektorganisation Barrierefreiheit fördern – oder behindern – können. Desweiteren werden exemplarisch die im Projekt entwickelte Personas vorgestellt. Diese können helfen, unterschiedliche Bedarfe und Motivationen innerhalb der Softwareentwicklung (sowie OS-Communities) besser zu verstehen. Ziel ist es, dass Menschen mit Behinderungen als Expert\*innen besser an diesen Prozessen teilhaben können. Der Vortrag möchte die gewonnenen Erkenntnisse zurück in die Community tragen und zur Diskussion anregen: - Was braucht es, damit Barrierefreiheit selbstverständlicher Teil von Softwareentwicklung wird? - Welche formalen, organisatorischen und kommunikativen Veränderungen sind notwendig? - Und was können bspw. Entwickler\*innen, Testende, Maintainer, Projektverantwortliche, Förderinstitutionen und Communities konkret selbst beitragen? Denn digitale Barrierefreiheit ist keine Aufgabe einzelner Spezialist\*innen – sondern eine gemeinsame Verantwortung in der gesamten Open-Source-Community bzw. Softwareentwicklungslandschaft. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3581.html

Billige Geigerzähler können (fast) ohne Löten mit der offenen RadPro-Firmware ausgestattet und mit einem ESP32 an Home Assistant angebunden werden. Nach einem prinzipiellen Überblick über ionisierende Strahlung und unterschiedliche Typen von Detektoren werden einige günstige Modelle mit Geiger-Müller-Zählrohr vorgestellt. Die Modelle GC-01 und GC-03 von Fnirsi lassen sich ohne Lötkolben mit der RadPro-Firmware flashen (Achtung: nur die Originale - inkompatible Produktfälschungen sind weit verbreitet!). RadPro bietet neben erweiterten Menüfunktionen auch Datenexport über USB an. Ein ESP32-S3-Board mit radpro-wifi-bridge nimmt die Daten entgegen und published sie via MQTT an Home Assistant. Gesamtkosten (je nach Modell und Händler): 50-90€. Spoiler: Hintergrundstrahlung ist sehr langweilig und es gibt ein gut ausgebautes Netzwerk von Sensoren. Und wer mit dem Geigerzähler zum Flohmarkt geht (Uranglas, Radium/Tritium-Uhrzeiger), erntet vielleicht mehr als nur komische Blicke. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3667.html

Acht Stunden am Rechner, der Kopf raucht – aber der Körper hat keinen einzigen Schritt gemacht. Das Gehirn ist erschöpft, hat aber nichts Greifbares vorzuweisen. Kein Ergebnis, das man anfassen, riechen oder essen kann. Ich habe irgendwann angefangen, Brot zu backen. Sauerteig, Brötchen, Focaccia. Nicht als Hobby. Als Gegengift. Wer in der IT arbeitet, kennt das Phänomen: Ein langer Arbeitstag hinterlässt einen mental leer, körperlich aber völlig unberührt. Das Gehirn hat stundenlang Probleme gelöst, Entscheidungen getroffen, auf Bildschirme gestarrt – und am Ende des Tages gibt es nichts Physisches, das zeigt, dass man überhaupt da war. Kein sichtbares Ergebnis, nichts zum Anfassen, nichts, das nach Arbeit riecht. Irgendwann habe ich angefangen, Brot zu backen. Was zunächst wie eine Laune wirkte, hat sich als echtes Gegengewicht zur Bildschirmarbeit herausgestellt: Beim Backen arbeitet die Hand, nicht der Kopf. Der Teig gibt direktes, ehrliches Feedback – nicht nach dem nächsten Deployment, sondern sofort. Das Ergebnis ist greifbar, riechbar, essbar. Und wenn etwas schiefgeht, liegt es nicht an einem Merge-Konflikt. Dieser Vortrag ist kein Produktivitäts-Hack und keine Wellness-Predigt. Es ist eine persönliche Geschichte darüber, warum handwerkliche Arbeit für Menschen, die den ganzen Tag abstrakt denken, eine besondere Qualität hat – und warum ausgerechnet Sauerteig dabei eine Hauptrolle spielt. Ich teile: Warum ich angefangen habe – und was mich dazu gebracht hat, weiterzumachen Was Backen neurologisch und psychologisch anders macht als andere Ausgleichsaktivitäten Meine liebsten Rezepte: Sauerteigbrot, Brötchen, Focaccia – mit allem, was ich dabei gelernt (und falsch gemacht) habe Wie man mit Sauerteig anfängt, ohne sofort zu scheitern Zielgruppe: alle, die zu viel Zeit vor dem Rechner verbringen und deren Hände sich manchmal nach echter Arbeit sehnen. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3542.html

Lightning Talks sind 5-Minuten kurze Vorträge zu einem beliebigen Thema das für Besucher*innen der FroSCon interessant sein könnte. Es muss nicht unbedingt um ein ein von Dir entwickeltes Open-Source-Projekt gehen ... Vielleicht gibt es etwas, bei dem auf Arbeit immer im Hilfe gebeten wirst? Dann red' darüber! Oder Du hast grad etwas gelernt das Dich richtig weitergebracht hat? Dann red' darüber! Oder Du knobelst immernoch an einem Problem und kommst nicht weiter? Dann red' darüber! Du musst keine Folien vorbereiten - aber wenn Du welche hast ist das auch OK! Du glaubst Du kannst keinen Lightning Talk halten? "Alle kennen doch bereits DAS EINE DING" Nein - tun sie nicht. Ja, glauben Sie, aber Du kennst es besser und die anderen können von Dir noch was lernen! Und selbst wenn, dann ist es manchmal auch sehr interessant zu hören, wie andere etwas erklären. "Ich bin kein Experte in irgendwas." Wir wissen alle mehr als wir glauben. Du musst auch kein Experte sein - wenn Du Dich für etwas konkretes interessierst, kannst Du locker 5 Minuten anderen etwas darüber erzählen! Und selbst wenn nicht: dann mach einfach einen Vortrag für 1 Minute! "Ich trau mich nicht vor anderen Leuten zu reden." Ja, das mag stimmen - aber wenn Du Dich für 5 Minuten (oder auch nur 1 Minute ) traust, dann ist das eine Super Leistung auf die Du stolz sein kannst! Bei der FroSCon sind alle neugierig darauf was andere zu sagen haben und wir gehen rücksichtsvoll miteinander um - insbesondere wenn Du Dich zum ersten Mal auf die Bühne traust! Jeder*r ist aufgeregt vor Publikum zu sprechen - selbst diejenigen, von denen man das nicht denkt. Außerdem musst Du nicht unbedingt reden ... "Ich hab eine Idee, aber die ist bestimmt nicht gut ... " Die Idee ist besser als Du denkst! Gibt es überhaupt schlechte Ideen bei Lightning Talks? :) Um Dich für einen Lightning Talk anzumelden, komm zur Information neben der Mensa. Dort steht ein Flipchart auf dem Du Dich eintragen kannst. Wenn Du Fragen hast oder einen Technik-Check machen willst, wende Dich an @[email protected] Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3548.html

Building a phone operating system, like postmarketOS is hard. Manually testing upgrades is time-consuming and should be automated. Let me present to you what the postmarketOS project has been working on to automate booting software on consumer hardware, and to especially handle the case when the boot is not successful. With the postmarketOS hardware CI boards, you can replace its battery, remotely control the phone, and get logs. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3588.html

Wer Vertrauensanker kontrolliert, kontrolliert das Gerät, und der CRA sorgt gerade auf EU-Ebene mit harmonisierten Standards dafür, zu beantworten was verpflichtend auf der Verpackung stehen muss. Zwei Fragen sind bei der Sicherheit der Bootchain tief verzahnt: eine technische („verifiziert dieses Gerät den Code kryptografisch vor der Ausführung?") und eine politische („mit wessen Schlüsseln?"). Für die FOSS-Community sind die Fragen nicht neu und sie begleiten uns spätestens seit UEFI Secure Boot. Mit dem CRA sind sie jetzt in EU-weiter harmonisierter Normung. Der Vortrag erklärt die technischen und regulatorischen Grundlagen und schaut auf die verschiedenen Beteiligten mit ihrer jeweiligen ökonomischen und operativen Realität. Welche Fragen werden auf EU-Ebene mit dem CRA und den Normen tatsächlich beantwortet, wenn es um Sicherheit und Souveränität von Nutzer*innen geht? Und was bedeutet das alles für das umliegende Ökosystem, oder eben gerade nicht? Gerade für FOSS-Enthusiasten ist es sehr relevant, ob sie mit einem Gerät machen können, was sie wollen, oder ob das einfach nur ein fremdgesteuertes Etwas ist, über das nur eingeschränkte Kontrolle besteht. Gerade bei Geräten mit persönlichen Daten ist es extrem wichtig zu wissen, wer was mit welchen Daten machen kann und wer die Hoheit hat. Im Cyber Resilience Act sind verschiedene Aspekte dieser Frage behandelt. Wir arbeiten an Standards, die das zumindest transparent machen sollen. Wichtig ist auch, dass die Gesetzgebung weitreichende Freiheiten für FOSS vorsieht, die in den Standards reflektiert sind. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3497.html

Self-Hosting scheitert nicht an fehlender Motivation, sondern an der Komplexität: Die meisten Menschen können oder wollen keine Server administrieren. Dieser Vortrag zeigt, wie Solid und PodOS einen anderen Ansatz ermöglichen: Statt unzählige Apps selbst zu hosten, nutzen wir einen Data Pod – und wie bei einem echten Betriebssystem entsteht ein Kontinuum von einfacher App-Nutzung bis zum Blick unter die Haube. Das Paradoxe: Indem wir den Fokus von Apps auf Daten verschieben, gewinnen wir nicht nur Einfachheit, sondern auch mehr Freiheit und Kontrolle. Wer seine digitale Souveränität ernst nimmt, landet schnell in der Self-Hosting-Falle: Jede App braucht ihre eigene Installation, Wartung, Backups und Updates. Was als Befreiung von Cloud-Diensten beginnt, wird zur administrativen Last. PodOS zeigt einen anderen Weg: Basierend auf der Solid-Spezifikation verschiebt sich der Fokus von der App-Verwaltung zur Daten-Orchestrierung. Persönliche Daten werden in Pods gespeichert – dezentral, unter eigener Kontrolle, aber mit standardisierten Schnittstellen versehen. PodOS fungiert dabei als Operating System für diese Daten: Es bietet generische Zugriffsmöglichkeiten, ermöglicht die Erstellung maßgeschneiderter Dashboards und schafft ein Kontinuum zwischen universeller Datenbearbeitung und domänenspezifischen Anwendungen. Das Spannende: Weil die Daten standardisiert im eigenen Pod liegen, entstehen völlig neue Kombinationsmöglichkeiten. Ich kann fremdgehostete Open-Source-Apps nutzen UND gleichzeitig eigene Tools auf denselben Daten bauen. OSS-Projekte profitieren doppelt: Sie müssen nicht mehr selbst gehostet werden und tragen weniger Verantwortung für Datenhaltung und Backups. Das senkt die Einstiegshürden für Nutzer*innen und entlastet Entwickler*innen. Der Vortrag zeigt konkret: Wie PodOS die Brücke zwischen Datenhoheit und Benutzerfreundlichkeit schlägt Welche neuen Möglichkeiten entstehen, wenn fremdgehostete OSS-Apps und eigene Tools auf denselben Daten arbeiten Warum diese Architektur sowohl Nutzer*innen als auch OSS-Entwickler*innen entlastet Wie sich durch Web Components wiederverwendbare UI-Bausteine für Pod-Daten erstellen lassen Praktische Beispiele: Von generischen Editoren bis zu individuellen Dashboards Data Agency bedeutet: Unsere Daten arbeiten für uns – nicht wir für unsere Apps. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3474.html

Christian und Jörg teilen in diesem Vortrag Beobachtungen aus ihrem beruflichen Umfeld, wie Unternehmen und Organisationen sich dem Thema Schwachstellen- und Patch-Management stellen. Neben den Beobachtungen bietet der Vortrag etwas Statistik zu Schwachstellen und benennt konkrete Open Source-Werkzeuge, mit denen die unterschiedlichen Anforderungen an Schwachstellen- und Patchmanagement adressiert werden können. Wenn der CISO zweimal klingelt, steht den Admins meist sofort der Schweiß auf der Stirn. Bestimmt liegt der neueste Schwachstellen-Bericht mit besorgniserregenden CVE und CVSS-Scores vor und es wird erwartet, die wichtigsten Lücken innerhalb der nächsten Stunden und Tage zu schließen. Ja, ihr habt richtig gelesen. Wo früher noch ein- bis zweimal im Jahr gepatcht wurde, wird heute erwartet, dass dies jederzeit innerhalb weniger Stunden geleistet werden kann. Natürlich ohne eventuell vorhandenen Service Level Agreements (SLA) der betroffenen IT-Dienste zu brechen. Die Anforderungen und Verantwortlichkeiten der Fachbereiche und der IT-Sicherheitsabteilung lassen sich dabei häufig nicht so leicht in Einklang bringen. Christian und Jörg teilen in diesem Vortrag ihre Beobachtungen, welchen Herausforderungen sich Unternehmen und Organisationen stellen müssen und wie sie damit umgehen können. Sie diskutieren, ob Responsible Disclosure noch zeitgemäß ist und wie Werkzeuge wie z.B. Foreman, Uyuni oder OpenSCAP dabei helfen können, die Lage zu verbessern. Christian Stankowic beschäftigt sich seit 2006 mit großer Freude mit den grauen Kisten, die einem dabei helfen sollen, Probleme zu lösen, die man ohne sie gar nicht erst gehabt hätte. Vor allem Linux, Virtualisierung und Infrastructure as Code gehören zu seinen Interessen. Zu den bevorzugten Tools gehören: RHEL, Foreman/Katello, Uyuni, Terraform und Ansible. Nebenbei sammelt er ThinkPads und podcastet. Jörg arbeitet seit März 2023 als Senior Technical Account Manager (TAM) bei der Firma Red Hat. Zu seinen Aufgaben als TAM gehört, seine Kunden zu strategischen Themen des IT-Betriebs und der IT-Sicherheit zu beraten. Schwachstellen mit einem hohen CVE-Score und die Frage wann ein Patch verfügbar ist, stehen dabei regelmäßig auf der Tagesordnung. In diesem Vortrag möchten die beiden Vortragenden Bewusstsein für das behandelte Thema schaffen und Open-Source-Werkzeuge benennen, mit denen die gestellten Anforderungen adressiert werden können. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3524.html

mise-en-place ist ein modernes Rust-Tool zur Verwaltung von Entwicklungsumgebungen und Automatisierungsprozessen. Es vereint Setup, Build, Testing und Deployment in einer konsistenten, deklarativen Struktur. Es kann sogar einen klassischen GitLab CI/CD Pipeline Runner vollständig ersetzen. Damit wird es zu einem durchgängigen Werkzeug von der lokalen Entwicklung bis zum produktiven Deployment – effizient, reproduzierbar und unverzichtbar für moderne Entwicklungsprozesse. In diesem Vortrag wird mise-en-place, ein leistungsstarkes Tool aus dem Rust-Ökosystem, vorgestellt. Ziel von mise-en-place ist es, sämtliche Schritte eines Softwareprojekts – von der lokalen Einrichtung über Build und Tests bis hin zum Deployment – in einer einheitlichen, deklarativen Konfiguration abzubilden. Ein zentraler Aspekt ist die Fähigkeit, klassische CI/CD-Setups – insbesondere GitLab Pipeline Runner – vollständig zu ersetzen. Statt komplexer YAML-Pipelines und externer Runner ermöglicht mise-en-place die direkte Ausführung derselben Prozesse lokal wie auch in automatisierten Umgebungen. Der Vortrag zeigt praxisnah, wie mise-en-place in bestehenden Projekten integriert werden kann und welche Vorteile sich daraus ergeben: weniger Kontextwechsel, reproduzierbare Umgebungen und eine klare, versionierte Definition aller Prozesse. Besonders in Teams und bei wachsender Projektkomplexität wird mise-en-place zu einem unverzichtbaren Werkzeug, das den gesamten Software-Lifecycle effizient unterstützt. Wer moderne Entwicklungs- und Deployment-Workflows vereinfachen und vereinheitlichen möchte, sollte mise-en-place nicht missen. Ich zeige auch konkret, wie wir in unserer Firma mise-en-place nutzen. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3468.html

Öffentlich zugängliche Quellen für Wissen und Daten, wie Wikipedia oder OpenStreetMap, sind dem Ansturm von KI-Bots kaum noch gewachsen. Auch die Idee hinter Open Data und Open Content wird durch die KI-Nutzung gefährdet, mindestens aber infrage gestellt. Der Beitrag untersucht die (lizenz-)rechtlichen Rahmenbedingungen und sucht nach Lösungen. Öffentlich zugängliche Quellen für Wissen und Daten, wie Wikipedia oder OpenStreetMap, sind dem Ansturm von KI-Bots kaum noch gewachsen. Auch die Idee hinter Open Data und Open Content wird durch die KI-Nutzung gefährdet, mindestens aber infrage gestellt. Der Beitrag untersucht in einem ersten Schritt die (lizenz-)rechtlichen Rahmenbedingungen und sucht nach Lösungen. Dabei wird zunächst geklärt, weshalb KI-Bots ungefragt den Inhalt von Datenbanken und Webseiten auswerten dürfen und welche rechtlichen Schranken (in Europa) hierfür bestehen. In einem zweiten Schritt geht der Beitrag der Frage nach, welche Implikationen die festgestellte rechtliche Lage für Open-Content- und Open-Data-Lizenzen wie die CC-Lizenzen und die Open Database License (OpenStreetMap) hat. Könnte beispielsweise eine Ergänzung oder Änderung der Lizenzbedingungen helfen? Neben der rein rechtlichen Betrachtung wird auch immer ein Seitenblick auf die soziökonomischen Kräfteverhältnisse genommen. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3638.html

Newly built mobile apps often support only two proprietary platforms, further feeding an unhealthy duopoly. Yet, a vast majority of mobile apps could also be built platform-independent as a ProgressiveWebApp (PWA). PWAs run almost anywhere - but is this technology really a suitable alternative? At Bingen UAS, our students implemented DigiZiege - a PWA for goat farmers that provides photo-based weight assessment, various horde management functions and run fully offline. In this talk, we reflect on our experience and report lessons learned. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3649.html

Loki ermöglicht zusammen mit Grafana und Alloy die zentrale Erfassung, Speicherung und Analyse von Log-Daten. Obwohl die Kombination vor allem in der Cloud Native-Welt prominent ist, eignet sie sich auch für traditionelle IT. Der Vortrag stellt die wesentlichen Aspekte von Log-Management vor und zeigt in einer praktischen Demo, wie diese mit Loki umgesetzt werden. Der Vortrag erläutert die typische Architektur von Log-Management-Plattformen und ordnet den Loki-Stack neben verschiedenen anderen freien Lösungen ein. Anschließend beschreibt der Vortrag den exemplarischen Aufbau einer Logging-Infrastruktur mit der Datenerhebung und -vorverarbeitung mit Alloy, dem Speichern mit Loki und der Darstellung in Grafana. Während des Vortrags wird ein praktisches Beispiel aufgebaut, in dem fehlerhafte SSH-Logins protokolliert, nach verschiedenen Kriterien ausgewertet und gemäß ihrer Herkunft auf einer Weltkarte dargestellt werden. Fabian Thorns ist Trainer und Berater bei der xamira networks GmbH. Er befasst sich neben Linux und IPv6 vor allem mit Cloud Native-Infrastruktur und ist Autor von dem “IPv6-Handbuch”. Fabian ist unter anderem Kubestronaut (KCNA, KCSA, CKAD, CKA, CKS) und LPIC-3-zertifiziert. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3479.html