{"id":50381,"date":"2026-08-29T09:15:00","date_gmt":"2026-08-29T07:15:00","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50381"},"modified":"2026-08-29T09:15:00","modified_gmt":"2026-08-29T07:15:00","slug":"sovereign-tech-agency-flatpak-sandbox-508640-euro-investition-50381","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/sovereign-tech-agency-flatpak-sandbox-508640-euro-investition-50381\/","title":{"rendered":"Sovereign Tech Agency investiert 508.640 Euro in Flatpak-Sandbox"},"content":{"rendered":"

Die Sovereign Tech Agency<\/a> (STA) investiert 508.640 Euro in die Weiterentwicklung der Flatpak<\/a>-Sandbox. Das Geld flie\u00dft \u00fcber einen Zeitraum von zwei Jahren in die Verbesserung der Berechtigungsverwaltung und schlie\u00dft damit eine kritische Sicherheitsl\u00fccke, von der alle imagebasierten Betriebssysteme betroffen sind \u2013 von SteamOS auf dem Steam Deck<\/a> \u00fcber Fedora Silverblue bis hin zu GNOME<\/a> OS und KDE Linux.<\/p>\n

Wenn die Spieluhr das Mikrofon mitbringt: Das Problem der granularen Berechtigungen<\/h2>\n

Flatpak ist das f\u00fchrende System zur Anwendungsverteilung auf dem Linux-Desktop. Es kapselt Programme in einer Sandbox, die den Zugriff auf das Hostsystem kontrolliert. Doch diese Sandbox hat grobe Maschen. Ein besonders eklatantes Beispiel: Gew\u00e4hrt man einer Anwendung die Berechtigung f\u00fcr die Audioausgabe, erh\u00e4lt sie automatisch auch Zugriff auf das Mikrofon. Eine Musik-App, die lediglich \u00fcber Lautsprecher abspielen soll, k\u00f6nnte damit theoretisch mith\u00f6ren. W\u00e4hrend Android und iOS hier fein zwischen den Berechtigungen \u201eMikrofon\u201c und \u201eLautsprecher\u201c unterscheiden, fehlt Flatpak diese Differenzierung.<\/p>\n

Das Problem zieht sich durch das gesamte Berechtigungsmodell. Erlaubt man einer App den Netzwerkzugriff, kann sie nicht nur ins Internet, sondern auf das gesamte lokale Netzwerk zugreifen. Eine einfache Notiz-App h\u00e4tte so potenziell Zugriff auf Drucker, Router oder NAS-Systeme im Heimnetz. F\u00fcr die Verwaltung von VPN-Verbindungen existiert bislang keine standardisierte API. Die Steuerung dieser Zugriffe erfolgt idealerweise \u00fcber sogenannte Portale \u2013 Vermittlungsdienste, die zwischen der Sandbox und dem Hostsystem agieren. W\u00e4hrend es Portale f\u00fcr grundlegende Funktionen wie Dateiauswahl oder Kamerazugriff bereits gibt, fehlen sie f\u00fcr die feine Steuerung von Audio, Netzwerk und VPN.<\/p>\n

Die \u00f6ffentliche Hand schlie\u00dft die L\u00fccken: 508.640 Euro f\u00fcr zwei Jahre<\/h2>\n

Hier setzt die neue Finanzierung der Sovereign Tech Agency an. Die STA, eine vom deutschen Bundesministerium f\u00fcr Wirtschaft und Klimaschutz \u00fcber die Agentur f\u00fcr Sprunginnovationen (SPRIND) finanzierte Einrichtung, stellt 508.640 Euro f\u00fcr ein auf zwei Jahre angelegtes Projekt bereit. Durchgef\u00fchrt wird es vom Modal Collective, einer in Berlin ans\u00e4ssigen Organisation, die bereits an GNOME, postmarketOS und systemd mitwirkt. Technisch verantwortlich sind Sebastian und Adrian, die Organisation liegt bei Kateryna und Cade. Zum Entwicklungsteam geh\u00f6ren unter anderem Philip Withnall und Julian Sparber, die bereits beim GNOME-STF-Projekt 2023\/2024 mitwirkten, sowie Dhanuka Warusadura, Zelda Ahmed, Ignacy Kuchci\u0144ski, Hari Rana, Eva vom Bazaar-Projekt und GNOME-Designer Sam Hewitt.<\/p>\n

Drei neue Portale schlie\u00dfen die Sicherheitsl\u00fccken<\/h3>\n

Das Projekt konzentriert sich auf die Entwicklung von drei neuen Portalen, die die Sandbox-Funktionalit\u00e4t auf das Niveau mobiler Betriebssysteme heben sollen.<\/p>\n

Das Audio-Portal<\/strong> f\u00fchrt statische Socket-Berechtigungen f\u00fcr PipeWire ein. Mittels WirePlumber wird granular festgelegt, ob eine Anwendung nur die Wiedergabe \u00fcber Lautsprecher steuern darf oder auch Zugriff auf das Mikrofon erh\u00e4lt. Dieses Portal erm\u00f6glicht erstmals die pr\u00e4zise Trennung von Ein- und Ausgabe.<\/p>\n

Das Netzwerk-Portal<\/strong> isoliert den Netzwerkzugriff einer Anwendung komplett vom Host. Es f\u00fchrt statische Berechtigungen f\u00fcr das gesamte Netz, das lokale Netzwerk und das Internet ein. Eine Applikation kann so auf einen bestimmten Port oder eine IP-Range beschr\u00e4nkt werden, ohne dass sie das gesamte Heimnetz einsehen kann.<\/p>\n

Das VPN-Portal<\/strong> orientiert sich an den APIs von Android und iOS. Es erlaubt Drittanbieter-VPN-Apps, aus der Sandbox heraus eine systemweite VPN-Verbindung zu verwalten. Dar\u00fcber hinaus ist ein Writing Assistance Portal (Rechtschreibhilfe-Portal)<\/strong> geplant. Es erm\u00f6glicht Apps in der Sandbox, W\u00f6rterb\u00fccher zu teilen und Dienste wie Eloquent f\u00fcr die Grammatikkorrektur zu nutzen. Die automatische Passworteingabe, die derzeit \u00fcber die unsichere NativeMessaging-Schnittstelle l\u00e4uft, soll durch ein sicheres Portal ersetzt werden.<\/p>\n

Die Infrastruktur dahinter: Entitlements und Intents<\/h2>\n

Neben den neuen Portalen wird die Basisinfrastruktur der Sandbox modernisiert. Das Kernst\u00fcck ist ein neues System namens Entitlements<\/strong>. Es ersetzt die bisherige undurchsichtige Vergabe von Berechtigungen durch eine standardisierte Deklaration. Entwickler geben in der App-Manifestdatei an, welche statischen Berechtigungen \u00fcber welches Portal ben\u00f6tigt werden. Diese Angaben werden im Appstream-Katalog hinterlegt und k\u00f6nnen von Pr\u00fcfern in der App-Validierung automatisch verifiziert werden. Parallel dazu f\u00fchrt Intents<\/strong> eine Abstraktionsschicht f\u00fcr Dienste ein. Anstatt einer App zu erlauben, einen bestimmten Protokoll-Handler zu \u00f6ffnen, deklariert sie eine Absicht (Intent). Das System sucht dann automatisch nach einer geeigneten nativen App, um die Aktion auszuf\u00fchren. So k\u00f6nnen Deep Links realisiert werden, ohne dass die sandboxierte App einen direkten Befehl an das Hostsystem senden muss.<\/p>\n

Eine strategische Kette: GNOME, KDE und jetzt Flatpak<\/h2>\n

Die Investition ist Teil einer dreistufigen Strategie der Sovereign Tech Agency, die den gesamten Desktop-Stack von der Desktop-Umgebung \u00fcber die Plattform bis zur App-Verteilung st\u00e4rkt. Nachdem die STA 2023 1 Million Euro in GNOME und 2026 rund 1,28 Millionen Euro in KDE investierte, schlie\u00dft die Finanzierung von Flatpak die letzte L\u00fccke in der Sicherheitskette. \u201eDer Desktop ist der Ort, an dem Menschen ihre pers\u00f6nlichen Daten verwalten und auf nahezu alle allt\u00e4glichen Dienste zugreifen\u201c, erkl\u00e4rte Fiona Krakenb\u00fcrger, technische Leiterin der STA, im Rahmen der fr\u00fcheren Investitionen. Diese Logik zieht sich konsequent durch die F\u00f6rderpolitik: Eine sichere Desktop-Umgebung n\u00fctzt wenig, wenn die darauf ausgef\u00fchrten Anwendungen \u00fcber unsichere Kan\u00e4le auf das System zugreifen k\u00f6nnen.<\/p>\n

Die Summe von 508.640 Euro mag im Vergleich zu den Millioneninvestitionen in die Desktop-Umgebungen bescheiden wirken. Ihre Wirkung entfaltet sie jedoch \u00fcber das gesamte Flatpak-\u00d6kosystem. Systeme wie SteamOS, Fedora Silverblue, GNOME OS, openSUSE Aeon oder KDE Linux \u2013 sie alle sind darauf angewiesen, dass die Sandbox, die ihre Anwendungen umgibt, auch wirklich dicht ist. In einer Zeit, in der Europa digitale Souver\u00e4nit\u00e4t als strategisches Ziel definiert und die Abh\u00e4ngigkeit von den mobilen Plattformen Apples und Googles reduziert werden soll, ist eine fertige, sichere App-Sandbox der entscheidende Faktor. Ohne sie bleibt der Linux-Desktop f\u00fcr den Massenmarkt eine Nische. Mit diesem Projekt wird die Grundlage daf\u00fcr gelegt, dass alternative Betriebssysteme auf Augenh\u00f6he mit den etablierten Plattformen konkurrieren k\u00f6nnen. Der Fortschritt des Projekts kann auf den Matrix-Kan\u00e4len \u201eFlatpak\u201c und \u201eXDG Desktop Portals\u201c verfolgt werden.<\/p>\n","protected":false},"excerpt":{"rendered":"

Die Sovereign Tech Agency (STA) investiert 508.640 Euro in die Weiterentwicklung der Flatpak-Sandbox. Das Geld flie\u00dft \u00fcber einen Zeitraum von zwei Jahren in die Verbesserung der Berechtigungsverwaltung und schlie\u00dft damit eine kritische Sicherheitsl\u00fccke, von der alle imagebasierten Betriebssysteme betroffen sind \u2013 von SteamOS auf dem Steam Deck \u00fcber Fedora Silverblue bis hin zu GNOME OS […]<\/p>\n","protected":false},"author":5,"featured_media":53696,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50381.png","fifu_image_alt":"Sovereign Tech Agency investiert 508.640 Euro in Flatpak-Sandbox","footnotes":""},"categories":[6672],"tags":[],"class_list":["post-50381","post","type-post","status-publish","format-standard","has-post-thumbnail","category-technologie"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50381.png","fifu_image_alt":"Sovereign Tech Agency investiert 508.640 Euro in Flatpak-Sandbox","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50381","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50381"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50381\/revisions"}],"predecessor-version":[{"id":50383,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50381\/revisions\/50383"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53696"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50381"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50381"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50381"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}