Fünfzehn Sätze, eine Rangfolge

Was das heißt

Beide Hälften zählen. Wie ein Smartphone: einschalten, benutzen, ohne Handbuch, ohne Forum, ohne dass man wissen muss, was ein Dateisystem-Snapshot ist. Ganz dir gehört: kein fremder Server, ohne den es nicht läuft; kein Konto, das man haben muss; keine Entscheidung, die jemand anderes über dein Gerät trifft.

Zum Beispiel

Deine Cloud wird verknüpft, nicht betrieben — es ist deine eigene Nextcloud, und smaragd sieht dein Kennwort nie. Die Anmeldung am Gerät hängt nie am Netz: Ein Rechner, der sich ohne Internet nicht entsperren lässt, gehört nicht dir. Und jede Einstellung, die smaragd trifft, kannst du umdrehen; die Voreinstellung wird nie gegen dich durchgesetzt.

Wo es wirkt

Überall. Dieser Satz ist der Maßstab, an dem die anderen vierzehn gemessen werden. Alles, was ihm nicht dient, wird gestrichen. Und wo zwei Leitsätze kollidieren, gilt die niedrigere Nummer — dieser ist die eins.

Was das heißt

Ein Telefon geht nicht kaputt, weil man es benutzt. Ein klassisches Linux konnte das bisher: ein halb durchgelaufenes Update, ein Fremd-Repository, das Systembibliotheken überschreibt, ein Kernel, der nicht startet — und als einzige Rettung ein Bootmenü in Fachsprache. Dieser Leitsatz verbietet genau das: Was du im Alltag tust, darf dich nie in eine Lage bringen, aus der du allein nicht mehr herauskommst.

Zum Beispiel

Updates werden nicht im laufenden Betrieb eingespielt, sondern beim nächsten Neustart, ohne offene Programme — ein Zustand, nie ein halber. Startet das System zweimal nicht, holt es sich selbst den letzten funktionierenden Stand zurück; deine Dateien liegen auf einem eigenen Subvolume und werden dabei nie berührt. Eine fremde Quelle bekommt eine Warnung in normaler Sprache und einen Eintrag im Verlauf. Und das Bootmenü sagt „Letzten funktionierenden Stand starten“ statt Snapshot #247.

Die Grenze

Reparierbar geht vor unkaputtbar: Leitsatz 15 schlägt diesen hier. Ein System, das nicht kaputtgeht, aber auch nicht untersucht werden kann, ist ein verschlossener Kasten — und das ist die Hälfte von Leitsatz 1, die smaragd nicht sein will. Deshalb bleibt sudo zypper in offen; Snapper fängt den Fehler auf, aber erst nach dem Schaden. Das ist der Preis des klassischen Wegs, und er steht ehrlich in der Architektur.

Was das heißt

Kein Paket von smaragd darf so tief sitzen, dass sein Ausbleiben das System bricht. Fällt smaragd weg, bleibt ein funktionierendes openSUSE zurück.

Warum

smaragd ist eine Person. Ist sie drei Monate krank, laufen keine Sicherheitsupdates mehr durch die Schicht — und die Nutzer merken es nicht. Für ein Bastelprojekt wäre das in Ordnung. Für ein System, das jemand auf sein einziges Gerät installiert, ist es eine ethische Frage. Deshalb ist die Regel ein Konstruktionsprinzip, keine Fußnote.

Zum Beispiel

Die Basis-Repositories bleiben aktiv — ergänzt, nicht ersetzt. Kein Vendor-Lock auf sicherheitsrelevanten Paketen. Und es gibt einen Rückweg, smaragd-verlassen, der die Schicht entfernt und das System auf reines openSUSE zurückstellt. Er ist Szenario 6 im Prüfstand: Die Zerfallsregel wird bei jedem Release maschinell bewiesen. Das ist zugleich das stärkste Argument gegenüber Skeptikern — du kannst jederzeit wieder raus, und wir zeigen es dir.

Was das heißt

Jede Fähigkeit hat genau eine Implementierung und genau einen Platz in der Oberfläche. Wo sie an zweiter Stelle gebraucht wird, wird verlinkt — nie nachgebaut.

Warum

So ist YaST entstanden: als Klammer über fremde Werkzeuge, die dann selbst zum Werkzeug wurde, das parallel am System schreibt. Zwei Stellen schreiben dieselbe Datei, und die letzte gewinnt. Deshalb baut smaragd kein eigenes Konfigurationsprogramm: Die KDE-Systemeinstellungen sind der Ort.

Zum Beispiel

Die Firewall wird an einer Stelle verwaltet; die Sicherheitsübersicht zeigt ihren Zustand und verlinkt dorthin. Ein Software-Center, nicht Discover und etwas Eigenes. Ein Passwortspeicher. Eine Ergänzungsliste, gelesen von zwei Oberflächen. Eine Zeitleiste für Snapshots und Sicherungen zusammen. Und: Jede Einstellung hat genau einen Schreiber — die Tabelle dazu steht auf der Architektur-Seite.

Die Grenze

Die Darstellung darf mehrfach sein, die Implementierung nicht. Die Ergänzungslogik ist eine Bibliothek; darauf sitzen dünne Oberflächen im Installer, in den Systemeinstellungen und vielleicht im Software-Center. Ein Code-Stand, mehrere Türen.

Was das heißt

Medienformate, der NVIDIA-Treiber, Microsoft-Schriften, Steam, Wine, Behördendienste: Was aus rechtlichen Gründen nicht ab Werk dabei sein darf, ist ein Haken im Installer — und derselbe Haken im Software-Center. Niemand muss je eine Anleitung im Internet suchen.

Wie

Es ist nicht zweimal dieselbe Liste, es ist einmal dieselbe Datei: supplements.yaml. Eine neue Ergänzung ist ein Eintrag, keine Codeänderung an zwei Stellen. Eine Hardware-Bedingung sorgt dafür, dass jemand ohne NVIDIA-Karte den Punkt gar nicht sieht — der Installer stellt nur Fragen, die dieses Gerät betreffen.

Zum Beispiel

Das Feld „Warum nicht ab Werk“ ist Pflicht. Man kann keine Ergänzung hinzufügen, ohne zu erklären, warum sie nicht ohnehin da ist: „Für einige Verfahren verlangen die Patentinhaber Geld. Wir dürfen sie nicht mitliefern. Du darfst sie privat nutzen.“ Die Liste ist damit auch die ehrliche Antwort auf „Was fehlt, und warum“.

Was das heißt

shim, grub2-*-efi, kernel-*, *-kmp-*, dracut — diese Pakete werden niemals neu gebaut, gepatcht oder ersetzt. Sie kommen unverändert aus der Basis.

Warum

Die signierte Kette lautet shim → GRUB → Kernel → Module. Der shim ist von Microsoft signiert, alles Weitere von SUSE. Wird eines davon neu gebaut, bricht die Kette, und jedes Gerät mit Secure Boot zeigt einen schwarzen Bildschirm. Ein eigener shim hieße: Microsoft-Signierung, öffentliches Review, Monate Vorlauf. Und „Schalten Sie Secure Boot im BIOS ab“ ist für die Zielgruppe das Ende.

Was trotzdem geht

Konfiguration und Themes: /etc/grub.d/, das GRUB-Theme, die Kernel-Kommandozeile, ein danebenliegendes Paket, das eine Datei ablegt. Genau deshalb können der Rettungsbildschirm und der Bootwächter überhaupt existieren. Zwei Folgen: Der NVIDIA-Treiber kommt nur als signiertes Kernelmodul. Und der TPM bindet den Festplattenschlüssel nur an PCR 7 plus PIN — sonst würde ein automatischer Rückfall die Platte nicht mehr entsperren. Der Torwächter bricht den Bau, wenn eines dieser Pakete in einem smaragd-Projekt auftaucht.

Was das heißt

Kein GNOME, kein Xfce, keine „Lite“-Ausgabe, keine Server-Variante. Ein ISO, ein Desktop, eine Zusammenstellung. Und nur x86_64 — die Geräte, die von Windows 10 fallen, sind ausnahmslos x86_64.

Warum

Keine Beschränkung, sondern die Voraussetzung für fast alles andere. Die Testmatrix bleibt sechs Szenarien statt sechzig. „Aus einem Guss“ ist nur bei einem einzigen Erscheinungsbild einlösbar. Der Basiswächter prüft gegen eine Paketliste, nicht gegen fünf. Jede Supportfrage hat genau eine richtige Antwort.

Und wenn jemand mehr will

Erweitert wird über Patterns und Ergänzungen, nicht über Varianten. Wer Entwicklungswerkzeuge will, setzt einen Haken — er bekommt keine andere Distribution.

Was das heißt

Alle eigenen Anwendungen sind Qt6, KF6 und Kirigami und fügen sich in die Systemeinstellungen ein. Kein Electron, kein GTK, kein Web-Wrapper.

Der Kniff

Jedes Systemwerkzeug ist ein Modul der Systemeinstellungen — und KDE erlaubt, ein solches Modul als eigenes Fenster mit eigenem Symbol zu starten. Damit ist es in den Systemeinstellungen an seinem richtigen Platz und eine startbare Anwendung. Ein Code-Stand, zwei Türen, keine zweite Bedienlogik.

Nebeneffekt

Die gemeinsamen Bausteine fallen außerhalb von smaragd auf Kirigami-Standardwerte und die Systemfarben zurück. Auf reinem openSUSE installiert sich jedes Paket genauso und erscheint in dessen Systemeinstellungen. Die Anforderung „läuft auch auf openSUSE“ ist kein Zugeständnis — sie fällt aus dem Entwurf ab. KryptMail hält sich daran mit Rust und Kirigami über CXX-Qt.

Was das heißt

Vier Stufen, von billig nach teuer: Daten wie Themes und Konfigurationsdateien kosten bei einem Basiswechsel nichts. Eine Bibliothek benutzen kostet nahe null. Ein sanktionierter Erweiterungspunkt kostet gelegentlich Nacharbeit. Ein Patch in fremdem Code kostet jede Woche, für immer — ein E2E-Szenario und eine Konfliktprüfung bei jedem Basiswechsel.

Die Rechnung

Vor KI-gestützter Entwicklung war Patchen billiger als Selbstbauen, weil Schreiben teuer war. Jetzt ist Schreiben billig und Erhalten teuer. Also gewinnt die eigenständige Anwendung. Das Patch-Budget ist null: smaragd:patched startet leer, und jedes Paket darin wäre eine ADR und eine dauerhafte Schuld.

Wo die Regel nicht gilt

Nicht nachbauen, was Sicherheit betrifft oder groß und erprobt ist: kein eigener Passwortdialog, keine eigene Krypto-Bibliothek, kein eigener Paketauflöser. Dort ist Wiederverwendung kompromisslos richtig. Die Regel richtet sich gegen das Eingreifen in fremde Anwendungen, nicht gegen das Benutzen fremder Bibliotheken.

Was das heißt

Türkis heißt „hier kannst du klicken“. Orange heißt ausschließlich „das braucht deine Aufmerksamkeit“. In dem Moment, in dem Orange auch für Betonung verwendet wird, ist die Regel tot — und mit ihr der Hauptvorteil des Sicherheitswerkzeugs, das mit genau einer Farbe sagt: Hier musst du hinsehen.

Dazu die zweite Regel

Jede Farbe braucht zwei Werte: einen leuchtenden für Flächen, einen abgedunkelten für Text und kleine Symbole. Das leuchtende Türkis erreicht als Text auf Weiß nur 2,19 : 1, die dunkle Variante 6,07. Grün unterstützt und ist nie klickbar — sonst gäbe es zwei klickbare Farben, und keine hieße etwas.

Die eine Ausnahme

Orange erscheint im Zeichen, weil die Eidechse am Hinterbein orange ist. Ein Zeichen ist keine Oberfläche, es ist Heraldik. Der Torwächter misst jedes Farbpaar gegen WCAG AA, lehnt literale Farbwerte im Code ab — und weist Orange überall zurück, wo ein Mensch es für ein Signal halten könnte. Auch auf dieser Website gibt es genau eine orange Stelle.

Was das heißt

Jeder Text im Produkt gibt es in einfachem Deutsch und einfachem Englisch, gleichwertig. Sätze im Schnitt höchstens 15 Wörter, keiner über 25. Englisch auf Niveau B1, ohne Redewendungen. Kein Fachwort ohne Erklärung. Kein Fehler ohne nächsten Schritt.

Warum beide Sprachen

smaragd ist bewusst regional — DACH als Merkmal — aber es darf niemanden ausschließen, der das Gerät bedienen will. Die dritte Zielgruppe sind Menschen, für die weder Deutsch noch Englisch Muttersprache ist.

Wie es erzwungen wird

Ein Glossar legt jeden Begriff fest: Cloud, nicht Wolke; Sicherung als Ergebnis, Backup als Vorgang. Der Torwächter misst die Lesbarkeit jeder neuen Zeichenkette und bricht, wenn eine Übersetzung fehlt. Und die Fehler-Komponente lässt sich ohne Handbuch-Anker gar nicht erst schreiben — der nächste Schritt kommt aus dem Handbuch, also kann keine Meldung ohne ihn existieren.

Was das heißt

Das Referenzgerät „schwach“ hat zwei Kerne, 4 GB RAM, eine SATA-SSD und Intel-Grafik — ein Notebook von 2015, genau die Klasse, die jetzt von Windows 10 fällt. Auf ihm gilt: Kaltstart bis Anmeldung höchstens 25 Sekunden, Anmeldung bis Desktop 8 Sekunden, 900 MB Arbeitsspeicher im Leerlauf. Eine Überschreitung ist ein roter Test, kein Schönheitsfehler.

Zum Beispiel

Die Dateiindizierung ist ab Werk auf Dateinamen begrenzt, nicht auf Inhalte — der häufigste Grund, warum KDE auf alten Geräten als langsam gilt. Der Dateiwächter ist unter 8 GB RAM aus, weil er allein 1,4 GB belegen würde; ein ehrlicher Satz daneben sagt, warum. Kompositor-Effekte richten sich nach der erkannten Grafikklasse.

Und auf starken Geräten

Die Voreinstellung schützt das schwache Gerät. Die Optimierung holt für das starke heraus, was es kann: Auf 32 GB schlägt sie vor, die Volltextsuche einzuschalten — mit der Zahl, was es kostet.

Was das heißt

Ein Feature ist nicht fertig, wenn es funktioniert, sondern wenn sein Szenario im Prüfstand liegt und grün ist. Vier Regeln: Kein Feature ohne Szenario. Ein Test darf nur entfernt werden, wenn das Feature entfernt wird — und das braucht eine ADR. Jeder gefundene Fehler wird erst ein Test, dann behoben. Jeder Basiswechsel fährt die volle Suite.

Warum so streng

Weil der Code nicht von Menschen gelesen wird, ist die Suite die Prüfinstanz. Der klassische Tod einer Testsuite ist nicht, dass niemand Tests schreibt, sondern dass ein roter Test „reparaturhalber“ gelöscht wird. Hier wäre das ein Loch in der Prüfkette, und niemand würde es merken. Deshalb: Rote Tests werden behoben oder als bekannter Fehler öffentlich geführt. Gelöscht werden sie nicht.

Die Zahl dahinter

Sechs Kernszenarien am Anfang, etwa 40 bis 60 am Ende von Phase 5. Die tragfähige Obergrenze für eine Person liegt bei rund 80 — nicht wegen der Laufzeit, sondern weil jedes Szenario Bildvergleiche enthält, die jemand reparieren muss, wenn sich eine Oberfläche verschiebt. Das ist das ehrlichere Budget als die Zeilenzahl.

Was das heißt

Der Automat schreibt alles, auch Code. Aber nichts erreicht main ohne sechs mechanische Tore, und nichts erreicht den Release ohne einen Menschen, der das Ergebnis benutzt hat. Der Product Owner liest keinen Code — das ist keine Lücke, sondern die Konstruktionsbedingung.

Wie das geht

Jede Änderung bringt zugesagte Eigenschaften in normaler Sprache mit, und die Maschine beweist sie. Für die Sicherung etwa: Was gesichert wurde, kommt Byte für Byte identisch zurück. Eine Sicherung überschreibt nie eine vorhandene Datei ohne Rückfrage. Bricht sie ab, ist die vorherige noch benutzbar. Diese Sätze kann ein Mensch beurteilen, der keine Zeile Code versteht — und er merkt, wenn ein Fall fehlt: „Und was, wenn die Platte während der Sicherung abgezogen wird?“

Die Tore

Es baut ohne Warnung. Es stürzt nicht ab, auch nicht bei Unsinn — Fuzzer für alles, was Fremddaten liest. Die zugesagten Eigenschaften gelten. Ein zweiter, unbeteiligter Agent hat es angegriffen. Das Verhalten stimmt am ganzen System, auch nach dem Update. Und nichts wurde heimlich weiter geöffnet — ein Rechte-Diff in Klartext für jede Änderung an Polkit, PAM oder Firewall. Ein Mensch, der einen 400-Zeilen-Diff überfliegt, ist ein schwächerer Prüfer als eine Testsuite, die das Verhalten nachweist.

Was das heißt

Wer einen Fehler sucht, findet sein Werkzeug vor. strace, tcpdump, smartctl, htop und einige Dutzend mehr sind im Abbild garantiert — der Werkzeugkasten M0, vom Umfangsbudget ausgenommen. Fehlt doch etwas, geht zypper in sofort, live, ohne Neustart. Nur das Aktualisieren wartet auf den Neustart, den es ohnehin bräuchte.

Warum das den Bauplan entschieden hat

Auf einem atomaren System ist das Nachinstallieren eines Werkzeugs nicht bloß langsam, es ist der ausdrücklich unerwünschte Weg: Fehlerberichte aus einer so veränderten Konfiguration werden dort als „wird nicht behoben“ geschlossen. Für ein System, das nicht wie SLE 15 sein will, wo grundlegende Kommandozeilenwerkzeuge verschwunden sind, war das der Grund für den klassischen Aufbau.

Die Ausnahme in der Rangfolge

Dieser Leitsatz schlägt Leitsatz 2. Wo „Benutzen macht nichts kaputt“ und „man kommt sofort ran“ kollidieren, gewinnt die Reparierbarkeit. Kein Diagnosepfad darf durch eine Konfiguration führen, die wir selbst nicht unterstützen.