Der Weg, von oben nach unten

erledigt

Die Ordnung des Repositories, dazu product.yaml und base.yaml: die einzigen Stellen, an denen Produktname und Basis genannt werden. Damit ist eine spätere Umbenennung eine Zeile plus eine neu gezeichnete Wortmarke, und ein Basiswechsel kostet Tage statt Monate.

erledigt

Wer entscheidet was, und wie wir uns streiten. Beide Dateien liest jeder Agentenlauf mit — dieselben Regeln für Menschen und Automaten. Die Trennlinie: Merkt der Nutzer es, entscheidet der Product Owner. Merkt er es nicht, entscheidet der Engineer und legt nicht vor.

erledigt

Jede Architekturentscheidung ist eine nummerierte Datei: Kontext, Entscheidung, Begründung, Folgen — und die Bedingung, unter der sie neu zu prüfen ist. Ein Einwand, der nur im Gespräch fällt, ist in sechs Monaten weg; einer in der ADR taucht wieder auf. Inzwischen sind es dreizehn.

erledigt

Code unter GPL-3.0-or-later, Marke und Artwork ausdrücklich nicht frei. Und zehn Zeilen Hobby-Hinweis: Es kostet nichts, es wird nichts verkauft, wir können nichts garantieren. Was schützt, ist nicht der Haftungsausschluss, sondern die nicht-kommerzielle Natur.

erledigt

Die Gesamtarchitektur als ein Bild, auf Wunsch des Product Owners vor der ersten Zeile Code — und ausschließlich der umgesetzte Stand, nie der geplante. Dazu die Regeln, wie die Marke angewendet wird: Türkis klickbar, Orange Aufmerksamkeit, zwei Werte je Farbe.

erledigt

Ein Begriff, ein Wort: Cloud, nicht Wolke; Sicherung als Ergebnis, Backup als Vorgang. Die Konventionen kommen aus dem Vorgängerprojekt — wer etwas ändert, ändert vier Dinge im selben Zug, und eine Tatsache steht an genau einer Stelle.

erledigt

Mehrere Entscheidungen widersprachen dem ursprünglichen Text. Korrigiert wurde nur, was überholt war; Ton und Aufbau blieben. Zwei Farbwerte des Manifests fielen dabei durch die eigene Kontrastregel.

erledigt

home:sm0x:smaragd:desktop mit zehn Quellpaketen und home:sm0x:smaragd:images mit zwei Abbildern. Gegen die Basis wird gebaut, aber nur die eigenen Pakete existieren — ein Repository-Pfad, kein Projekt-Link. Der Namensraum smaragd: wird vor dem ersten öffentlichen ISO beantragt.

erledigt

Das Paket, das ein Gerät zu einem smaragd macht: /etc/os-release, die Repository-Definitionen, der Schlüssel, die Vendor-Kennung, die Ergänzungsliste. Offen und ehrlich vermerkt: Das Repository zeigt noch auf den Build Service statt auf eine eigene Domain — das ändert sich vor dem ersten ISO, das jemand anderes installiert.

erledigt

Eine Datei, tokens.yaml, aus der alles Sichtbare erzeugt wird. Der Generator misst jedes Farbpaar gegen WCAG AA und bricht bei einem Verstoß den Bau. Auch diese Website bezieht ihre Farben, Zeichen und Wallpapers von dort.

erledigt

Kalkstein und Urgestein als KDE-Farbschemata, dazu Startbild, Anmeldung und Bootmenü — alle aus denselben Tokens, alle im dunklen Artwork, byteidentisch. Seit dem 7. September per zypper auf jedem Tumbleweed installierbar; am 9. September zum ersten Mal vollständig auf einer echten Maschine aktiviert.

erledigt

strace, tcpdump, smartctl, htop, git und einige Dutzend mehr sind im Abbild garantiert. Der Torwächter bricht den Bau, wenn ein Eintrag verschwindet. Wer einen Fehler sucht, findet sein Werkzeug vor — es gibt nichts nachzuinstallieren, also auch nichts, wofür man neu starten müsste.

erledigt

Ein Eintrag in /etc/grub.d/ und ein Theme, kein Patch: „Letzten funktionierenden Stand starten“ statt Snapshot #247. Ausgeliefert seit dem 1. September 2026. Der Eintrag erscheint nur, wenn es einen Stand gibt, zu dem man zurück kann.

erledigt

Das Live-Abbild nennt nur die Patterns, nie ein Paket — die Paketliste hat genau eine Quelle. Am 9. September hing das Abbild an einem Qt-Übergang der Basis, der sich von selbst auflöst: Das ist die Basis in Bewegung, nicht unsere Liste.

erledigt

Das Installationsmedium ist ein Link auf den Agama-Installer: 39 Zeilen dazu, 5 weg, ein viertes Produktprofil neben openSUSE, Leap und SLE. Logo, dunkles Logo, Favicon und Farben kommen aus den Tokens. Aktuell Build 8.2 vom 9. September, 890 MB, Prüfsumme und Signatur geprüft.

erledigt

Die Ergänzungslogik als Bibliothek, weil der Installer sie braucht: Sie liest die Liste, erkennt die Hardware, wertet die Bedingungen aus. Beim ersten Lesen echter Daten fand sie vier Defekte — und hielt 170 000 verfälschten Eingaben unter ASAN und UBSAN stand.

erledigt

Es existiert seit dem 28. August 2026 und bootet unter Secure Boot — mit Negativkontrolle: shim akzeptiert, das signierte grub.efi ohne shim abgewiesen, Zufallsbytes abgewiesen. Ein Test, der aus dem falschen Grund grün ist, ist schlimmer als kein Test.

erledigt

38 mechanische Prüfungen bei jedem Push, in einem Container, der dem Runner gleicht. Seit dem 10. September auch auf GitHub grün — davor war er dort acht Tage rot, während er lokal jedes Mal bestand. Der Runner ist nicht der Schreibtisch.

teilweise

Der Plan: Jeder Merge baut automatisch nach smaragd:testing. Heute werden Pakete von Hand hochgeladen, und ein Skript prüft danach, dass jedes geänderte Paket wirklich auf dem Build Service liegt — nicht nur das, das man gerade offen hatte.

offen

Szenario 1: Das ISO startet im UEFI-Modus mit aktivem Secure Boot. Szenario 2: Standardinstallation, verschlüsselt, mit TPM, Neustart, Anmeldung, Desktop. Das erste ist von Hand bewiesen, aber nicht automatisiert; das zweite wartet auf eine Installation, die durchläuft. Beides braucht openQA.

offen

Zwei Kerne, 4 bis 8 GB, SATA-SSD, Intel-Grafik — die Klasse, die jetzt von Windows 10 fällt, für 80 bis 150 Euro. Die einzige Anschaffung, die das Projekt braucht. Zurückgestellt; ein geliehenes Ultrabook aus dem Haushalt liefert bis dahin eine Stichprobe, keine Reihe.

offen

Das Herzstück: Holt in der Nacht auf Sonntag den neuen Slowroll-Stand, ordnet jede Änderung in vier Klassen, bestimmt die Auswirkung auf unsere Pakete und öffnet einen Pull Request mit Bericht und Unsicherheitsangabe. Er sucht auch nach eigenen Anpassungen, die überflüssig geworden sind — so schrumpft die Schicht, statt zu wachsen.

teilweise

Ein zweiter Lauf mit getrenntem Kontext und dem Auftrag „Finde, was hier schiefgehen kann“. Der Auftrag ist geschrieben und wurde am 9. September einmal von Hand gefahren — er fand eine Vorprüfung, die etwas verlangte, das kein openSUSE erfüllt. Noch nicht automatisiert.

offen

Für jede Änderung an Polkit, PAM, sudoers, Firewall oder SSH erzeugt die Maschine eine Wirkungsbeschreibung in Klartext: „Vorher durfte nur root Updates auslösen. Nachher jeder lokal angemeldete Benutzer.“ Wird der Rechtekreis weiter, ist das ein rotes Tor, das nur ein Mensch öffnet.

offen

Die Kontrolle über die Kontrolle: Welches Feature hat kein Szenario? Welcher Test war vier Wochen weder rot noch grün, also stillgelegt? Welcher Test läuft unzuverlässig? Bei fehlender Codeprüfung der wichtigste Nebenagent.

offen

Gleicht täglich die Sicherheitsdaten von openSUSE mit der ausgelieferten Paketliste ab. Bei einer Lücke ab CVSS 7 mit verfügbarem Fix löst er den Eilweg aus. Er formuliert keine Sicherheitstexte — er wählt aus kuratierten.

offen

Misst das Leistungsbudget auf dem schwachen Referenzgerät: Kaltstart 25 Sekunden, Anmeldung 8 Sekunden, 900 MB im Leerlauf. Eine Verschlechterung ist ein roter Test. Hängt am Gerät, das noch fehlt.

teilweise

Gebaut und paketiert am 1. September: täglicher Timer, nur am Netzteil, Einspielen beim nächsten Neustart ohne offene Programme, genau eine Polkit-Aktion. Neu installieren geht weiter sofort. Gemessen: Der Updater kann nicht live einspielen und nicht mehr als eine Aktion vergeben. Der Nachweis am ganzen System ist Szenario 3.

teilweise

Gebaut: Ein Zähler unter /boot zählt Starts und wird gelöscht, sobald der Anmeldebildschirm steht. Gemessen ist, dass er zählt und löscht. Nicht gemessen ist, dass GRUB nach zwei Fehlstarts wirklich den letzten funktionierenden Stand vorwählt — bis Szenario 4 läuft, ist das Verhalten am Bootloader eine Behauptung.

offen

Alle Quellen, die smaragd anbietet, sind vendor-gepinnt und werden mitgetestet. Fügt jemand von Hand eine hinzu: eine Warnung in normaler Sprache und ein Eintrag im Verlauf. Der Sicherheits-Blick zeigt fremde Quellen als eigene Zeile.

offen

Offline-Update-Runde. Künstlicher Bootfehler mit automatischem Rückfall, /home unverändert und die Platte weiterhin entsperrbar. Flatpak ohne Passwort. Und smaragd-verlassen: Das System läuft als reines openSUSE weiter — die Zerfallsregel, maschinell bewiesen.

offen

Ein Ryzen 9 mit 48 Threads und 64 GB, zwölf Arbeiter in einer eigenen systemd-Slice mit zugewiesenen Kernen — nicht überbucht, weil ein überbuchter Prüfstand zufällig rote Tests produziert. Zurückgestellt mit Auslöser: spätestens Ende Phase 2, weil der Prüfstand ab Phase 3 die Freigabekette ist.

offen

Der Kettentest installiert das ISO von vor sechs Monaten und spielt jedes Update in Folge ein — er findet die Schäden, die erst durch die Abfolge entstehen. Der Dauerlauf lässt ein System 72 Stunden laufen und prüft, was leise vollgelaufen ist. Beides braucht nur Wartezeit.

teilweise

Jede Komponente, die Fremddaten liest, bekommt einen Fuzzer. Die Ergänzungs-Bibliothek hat ihren: 170 000 verfälschte Eingaben ohne Absturz. Windows-Registry, SQLite und der Sicherungs-Rücklauf folgen, wenn der Umzugshelfer und die Sicherung entstehen.

erledigt

Eine bekannte, ausgenutzte Schwachstelle ist schlimmer als ein ungeprüftes Feature. Also gibt es einen geschriebenen Eilweg: Rauchtest muss grün sein, Secure Boot und Installation entfallen nie, der Vermerk steht am Release, und er wird gezählt — mehr als zwei im Quartal heißt, die Suite ist zu langsam.

geplant

Der Basiswächter holt den neuen Slowroll-Stand, ordnet die Änderungen ein, öffnet einen Pull Request mit verständlichem Bericht, das Fließband baut, der Prüfstand fährt die sechs Szenarien — und der Product Owner liest zehn Minuten und drückt auf freigeben. Ist das an einem Sonntag passiert, ist der Proof of Concept bestanden.

geplant

Die Zahl wird ab dem ersten Tag mitgeschrieben. Ist sie einstellig, ist die These belegt. Ist sie zweistellig, ist sie widerlegt — und das ist ein ebenso gültiges Ergebnis. Diese Zahl hat noch niemand veröffentlicht.

geplant

Nach Phase 2 weiß man, was die Arbeit tatsächlich kostet; vorher war es eine Schätzung. Bei Nein endet es sauber: Die Werkbank ist für jedes andere Projekt brauchbar, kein Nutzer verliert etwas. Bei Ja: Markenrecherche, Domain, Handles, der Namensraum — vor dem ersten öffentlichen ISO. Erwartet im Frühjahr 2027.

geplant

Die gemeinsamen Bausteine: Statuskarte, Aktionszeile, Hinweisleiste, Fehlerzustand — die Komponente, die sich ohne nächsten Schritt gar nicht schreiben lässt. Und der D-Bus-Dienst, der als Einziger Systemzustand schreibt. Außerhalb von smaragd fallen die Bausteine auf Kirigami-Standard zurück.

geplant

Firewall, offene Updates, Verschlüsselung, Firmware, Sicherungsalter, fremde Quellen — und ein Satz Gesamturteil. ClamAV als Basis, über den Socket angesprochen, ab 8 GB RAM standardmäßig an. Kein „Ihr System ist geschützt“, sondern was stimmt.

geplant

Passwort, Fingerabdruck, TPM plus PIN, Wiederherstellungsschlüssel — an einer Stelle. Ein funktionierendes Fingermuster wird nie ohne Warnung überschrieben; das hat der eigene Sensortreiber gelehrt. Und der Schlüssel wird an dem Tag hinterlegt, an dem verschlüsselt wird.

geplant

Drei Fragen zum Einrichten, ein Zustandsanzeiger, und im Dateimanager „Frühere Versionen“ mit Snapshots und Sicherungen in einer Zeitleiste. Dazu die Wiederaufbau-Liste — wenige Kilobyte, die aus „meine Dateien sind zurück“ ein „mein Gerät ist zurück“ machen.

geplant

Anwendungen sind Flatpaks im Benutzerbereich, das System ist RPM. Eine Flatpak-Installation fragt nie nach einem Passwort, weil sie keine Systemrechte braucht. Das Software-Center bevorzugt Flatpak; distrobox ist für die Werkstatt dabei.

geplant

Sicherung, Rettungsstick, eine Kurzführung von drei Minuten — als eigenes Programm, weil es später wieder aufrufbar sein muss. Wer die Sicherung am ersten Tag überspringt und sie in der dritten Woche will, darf nicht „neu installieren“ hören.

geplant

DocBook als einzige Quelle, daraus die Hilfe in der Anwendung, das Hilfezentrum und die Website mit Versionsauswahl. Jeder Arbeitsschritt in fünf Teilen; Meldungstexte stehen im Handbuch und werden wörtlich zitiert. Deutsch ist die Quelle, Englisch eine Übersetzung mit Vollständigkeitsprüfung.

geplant

Ab hier entsteht PAM- und Polkit-Code. Änderungen dort brauchen den Rechte-Diff, zwei getrennte Agenten und bei jeder Erweiterung eine ausdrückliche menschliche Bestätigung. Ein zweiter Mensch für die Sperrzonen wird mit dem Modul Anmeldung gesucht.

geplant

Ab dem ersten ISO zum Download gilt Rechtsstufe 1: SECURITY.md mit realistischer Reaktionszeit, bekannte Fehler öffentlich — auch die peinlichen —, ein Satz auf der Website, was passiert, wenn das Projekt endet. Und ein Mensch hat das ISO einen Tag lang benutzt.

geplant

Dokumente, Bilder, Lesezeichen, gespeicherte Passwörter, WLAN-Zugänge, Drucker, Mailkonten von Windows — und der ehrliche Programmbericht: „3 laufen hier nicht. Brauchst du eines davon jeden Tag? Dann ist smaragd heute nicht das Richtige für dich.“ Distributionsunabhängig gebaut, weil es das Stück ist, das das Projekt am wahrscheinlichsten überlebt.

geplant

Zweistufig: Ein öffentlicher Bericht aus einer Positivliste — kein Hostname, kein Nutzername, kein Pfad, weil sie nie gesammelt wurden — und ein volles Diagnosepaket, das auf dem Gerät bleibt. Mit dem Feld, das jeder Support zuerst braucht: Was hat sich zuletzt geändert?

geplant

Die Ampel vor jedem Schreibzugriff im Installer: WLAN, Grafik, Fingerabdruck, TPM, Secure Boot. Freiwillige, anonyme Berichte füllen eine öffentliche Seite: „Läuft smaragd auf meinem ThinkPad T14?“ — mit einer Antwort von echten Geräten.

geplant

Neun Kapitel in der Reihenfolge der Arbeit, nicht des Menüs: Anfangen mit dem USB-Stick, Von Windows umziehen, Dein Gerät, Deine Cloud, Anmeldung, Sicherung, Software, Sicherheit — und zuletzt: Wenn etwas nicht stimmt.

geplant

Ein einzelnes Bit in der Repository-Anfrage, das grob unterscheidet, ob ein System diese Woche zum ersten, zweiten, dritten oder vierten Mal gesehen wurde. Keine IDs, keine Profile. Ohne Zahlen weiß niemand, ob die Arbeit ankommt — und die Motivation stirbt an Stille.

geplant

Energie, Akku-Ladeschwelle, Temperaturen, Lüfter — lesen überall, steuern nur mit Treiber, und ehrlich sagen, wo die Grenze liegt. Dazu Vorschläge mit gemessenen Zahlen: „Dateiwächter abschalten spart 1,4 GB.“ Jeder nennt, was man verliert. Kein Sammelknopf. Und der Leerzustand: „Dein Gerät läuft gut.“

geplant

Drucken im Netzwerk, Dateifreigabe, Fernzugriff, Bluetooth — in Klartext mit Schalter, und darunter alle systemd-Units mit dem Journal direkt daneben. Lebenswichtige Dienste werden angezeigt, aber nicht schaltbar.

geplant

Systemupdate, App-Installation, Einstellungsänderung, neue Quelle, Sicherung — in einer Liste, mit Rücknahme je Zeile. Und M6: Das Gerät weicht in neun Punkten vom Standard ab, hier sind sie, mit dem Grund, warum wireshark vor drei Monaten dazukam. Nichts wird automatisch entfernt.

geplant

Gerät verloren, neues Gerät, anmelden, alles ist wieder da: Hintergrundbild, Dateien, Mailkonten, WLAN, Drucker. Auf dem klassischen Weg nur mit der Wiederaufbau-Liste einlösbar — ohne sie kämen die Dateien zurück, aber nicht die Programme.

geplant

Welche App durfte wann Kamera, Mikrofon oder Standort benutzen — was Android und iOS seit Jahren haben und Linux nicht. Unter Wayland laufen diese Zugriffe ohnehin durch das Portal; es hat nur noch niemand zu einer Ansicht gemacht.

geplant

ID Austria, FinanzOnline, ELGA, ELSTER, die Ausweis-App: Kartenleser, PC/SC und Browser-Erweiterungen als ein Haken, eine Handbuchseite je Dienst, und ein halbjährlich wiederholter, dokumentierter Test — funktioniert, funktioniert mit Einschränkung, funktioniert nicht.