- Die Python Software Foundation (PSF) hat ihren bei der US National Science Foundation (NSF) eingereichten Antrag über 1,5 Millionen US-Dollar zurückgezogen, der auf die Verbesserung von Sicherheitslücken in Python und PyPI abzielte
- Die Stiftung bewarb sich erstmals für das Programm SAFE OSE („Safety, Security, and Privacy of Open-Source Ecosystems“) der NSF, stieß dabei jedoch auf problematische Förderbedingungen, darunter eine Einschränkung von DEI-Aktivitäten (Diversity, Equity, and Inclusion)
- Diese Klausel galt für die gesamten Aktivitäten der PSF und brachte bei einem Verstoß ein hohes finanzielles Risiko mit sich, einschließlich der Möglichkeit einer Rückforderung (claw back) bereits ausgezahlter Mittel
- Entsprechend ihrer Mission, in der DEI als zentraler Wert festgeschrieben ist, lehnte die PSF die Annahme der Bedingungen ab und traf die einstimmige Entscheidung des Vorstands, den Antrag zurückzuziehen
- Die Entscheidung belastet zwar die Finanzen der PSF, wird aber als Wahl zum Schutz ihrer Werte und der Prinzipien ihrer Community bewertet
Hintergrund und Ziele des Antrags
- Im Januar 2025 reichte die PSF einen Antrag im SAFE-OSE-Programm der NSF ein, mit dem Ziel, strukturelle Sicherheitslücken in Python und PyPI zu beheben
- Es handelte sich um den ersten Antrag der PSF auf staatliche Fördermittel; ein kleines Team arbeitete sich dabei durch komplexe Verwaltungsverfahren
- Der Antrag wurde federführend von Seth Larson (Security Developer) erstellt, Loren Crary (Deputy Executive Director) war Mitverantwortliche
- Die PSF war der Ansicht, dass der Antrag dem Programmzweck entsprach und im Erfolgsfall großen Nutzen für die Community bringen würde, weshalb erhebliche Zeit und Mühe investiert wurden
Bewilligung des Antrags und Auftreten des Problems
- Nach mehreren Monaten Prüfung wurde der Antrag zur Förderung empfohlen (recommended for funding), was ein seltener Erfolg war, da nur 36 % der neuen Antragsteller beim ersten Versuch erfolgreich sind
- Das Problem trat jedoch bei den Bedingungen zur Annahme der Förderung auf
- Zu den Bedingungen gehörte die Formulierung, dass keine Programme betrieben werden dürften, die DEI (Diversity, Equity, and Inclusion) oder diskriminierende Gleichheitsideologien fördern
- Diese Klausel galt nicht nur für das mit dem Zuschuss finanzierte Sicherheitsprojekt, sondern für die gesamten Aktivitäten der PSF
- Im Fall eines Verstoßes hätte die NSF bereits ausgezahlte Mittel zurückfordern (claw back) können, wodurch ein unbegrenztes finanzielles Risiko entstanden wäre
Werte und Mission der PSF
- Die PSF benennt DEI als zentralen Wert und macht dies auch in ihrem offiziellen Mission Statement deutlich
- Als Aufgabe der PSF wird festgelegt: „die Förderung und der Schutz der Programmiersprache Python sowie die Unterstützung des Wachstums einer vielfältigen und internationalen Community“
- Die PSF versuchte im Austausch mit der NSF, die Auslegung der Bedingung zu klären, und prüfte Fälle anderer Organisationen wie The Carpentries, die sich in ähnlichen Situationen befanden, kam aber zu dem Schluss, dass sie mit ihren Werten kollidierende Bedingungen nicht akzeptieren könne
- Infolgedessen hielt die PSF an ihrer Position fest, DEI-Aktivitäten nicht einzustellen, und zog das Förderangebot zurück
Technische Inhalte des vorgeschlagenen Projekts
- Das vorgeschlagene Projekt zielte auf die Entwicklung eines automatisierten Vorab-Prüftools zur Abwehr von Supply-Chain-Angriffen auf PyPI
- Derzeit arbeitet PyPI nur mit einem nachgelagerten Prüfsystem, das vorgeschlagene System hätte jedoch alle hochgeladenen Pakete vorab analysiert
- Es sollte eine Capability Analysis auf Basis von Malware-Datensätzen nutzen, um potenzielle Bedrohungen frühzeitig zu erkennen
- Diese Technik wäre nicht nur auf PyPI anwendbar, sondern auch auf andere Open-Source-Paketregistries wie NPM und Crates.io und hätte damit das Potenzial, die Sicherheit im gesamten Open-Source-Ökosystem zu stärken
Finanzielle Auswirkungen und künftige Aufgaben
- Die PSF arbeitet mit einem Jahresbudget von rund 5 Millionen US-Dollar und ist mit 14 Mitarbeitenden eine kleine Organisation
- Die 1,5 Millionen US-Dollar über zwei Jahre wären der größte Zuschuss in der Geschichte der PSF gewesen
- Dennoch stellte die PSF die Umsetzung ihrer Werte und die freie Unterstützung der Community über den finanziellen Nutzen
- Der Vorstand billigte den Rückzug einstimmig
- Durch den Rückzug steht die PSF nun unter finanziellem Druck, verstärkt durch Inflation, sinkende Sponsorengelder, die Abschwächung der Technologiebranche und globale Unsicherheit
- Die PSF bittet Mitglieder, Spender und Unternehmenssponsoren um fortlaufende Unterstützung und stärkere Beteiligung
- Einzelpersonen können die Mission und Aktivitäten der PSF durch Mitgliedschaft, Spenden und Sponsoring unterstützen
Fazit
- Die PSF entschied sich dafür, statt des finanziellen Vorteils die Werte der Organisation und die Prinzipien ihrer Community zu schützen
- Der Fall gilt als wichtiger Präzedenzfall dafür, welchen Einfluss Bedingungen staatlicher Fördermittel auf die Autonomie und Werte von Open-Source-Organisationen haben können
- Die PSF will ihre Arbeit auch künftig so fortsetzen, dass mehr Sicherheit im Python-Ökosystem und mehr Vielfalt parallel gefördert werden
1 Kommentare
Hacker-News-Kommentare
Viele Kommentare behaupten, „DEI schade der Meritokratie“, verstehen aber nicht richtig, wie DEI-Maßnahmen tatsächlich funktionieren
Laut einem von der Diversity-Verantwortlichen der PyCon 2016 geteilten Tweet stieg der Anteil weiblicher Vortragender von 1 % auf 40 %
Das lag daran, dass es trotz eines Blindverfahrens bei der Auswahl aktive Outreach-Arbeit zur Diversifizierung des Bewerberpools selbst gab
Die Welt funktioniert nicht allein nach reiner Leistung. „Zugehörigkeitsgefühl“ oder das „Gefühl, eingeladen zu sein“ haben großen Einfluss auf Ergebnisse
PSF könnte auf solche Outreach-Arbeit verzichten und beim Status quo bleiben, aber ich hoffe, dass es sich zu einer vielfältigeren und inklusiveren Community weiterentwickelt
In der Realität werden jedoch häufig kennzahlengetriebene DEI-Richtlinien missbraucht, etwa nach dem Motto „In diesem Quartal dürfen nur diverse Kandidaten eingestellt werden“
Dazu wird auf Gerichtsunterlagen verwiesen, die zeigen sollen, dass es solche Fälle tatsächlich gibt
Wichtige Systeme werden letztlich durch Kompetenz betrieben
Keine noch so logische Rechtfertigung kann daran etwas ändern
Ich halte DEI im Kern für eine Form von Diskriminierung
Ich habe tatsächlich erlebt, dass mir wegen meines Geschlechts Bildungschancen verwehrt wurden, und das lässt sich niemals rechtfertigen
Außerdem bin ich skeptisch gegenüber der Behauptung, dass diverse Gruppen immer bessere Ergebnisse liefern
In der Highschool leitete ich ein Robotikteam und betrieb Community-Outreach mit dem Ziel von Fairness in der STEM-Bildung
Unter der DEI-Politik der aktuellen Regierung könnten solche Aktivitäten jedoch dem Risiko von Klagen ausgesetzt sein
Es ist bedauerlich, dass die Regierung willkürlich festlegt, „wer auf der richtigen Seite steht“
Solche binären Ansätze führen eher zu Gegenreaktionen und Spaltung
Es braucht Förderprogramme, die sich auf individuelle Bedürfnisse und Entwicklungswünsche konzentrieren, nicht auf Geschlecht oder Ethnie
Eine Universität in Schweden hat ihr Ziel der Geschlechtergleichstellung in technischen Fächern erreicht und versucht nun, Ungleichgewichte in Biologie und Chemie zu korrigieren
Ich hoffe, dass solche Veränderungen zu echtem moralischem Mut führen
Ich frage mich, warum es keine Unterstützung für Menschen gibt, die wegen ihrer wirtschaftlichen Lage nicht programmieren lernen können
Rein rechtlich scheint diese Klausel DEI an sich nicht zu verbieten, sondern nur DEI-Aktivitäten, die gegen Bundesrecht verstoßen
Tatsächlich hat die Regierung jedoch bereits versucht, DEI-bezogene Organisationen unter Druck zu setzen oder Mittel zurückzufordern, selbst wenn kein Rechtsverstoß vorlag, weshalb ihr schwer zu vertrauen ist
Die Interpunktion ist fehlerhaft, sodass eine Auslegung möglich ist, nach der die Regierung absichtlich DEI insgesamt verbieten will
Tatsächlich betrachtet die derzeitige Regierung DEI selbst als rechtswidrig
Wenn die 1,5 Millionen Dollar bereits für Forschung ausgegeben wurden und später zurückverlangt werden, droht finanzieller Ruin
Letztlich besteht das Risiko, dass diese Klausel nicht einen Zuschuss, sondern eine Schuld schafft
Der Ausdruck „discriminatory equity ideology“ wirkt wie ein Neologismus, der diesen Widerspruch verschleiern soll
Ich halte es für eine Überzeugungstat in praktischem Handeln, dass PSF diese Bedingungen abgelehnt hat
Ich hoffe, dass große Unternehmen wie Google, AWS und Microsoft diese Gelegenheit nutzen und mit Matching Funds unterstützen
Sie haben ihre DEI-Programme bereits eingestellt, um ihre Beziehungen zur Regierung zu wahren
Deshalb ist klar, warum sie auf die Stimmung der Regierung achten
Es ist ohnehin sehr wahrscheinlich, dass es später zu einer Rückforderung kommt
Schade, dass mehrere Monate Arbeit am NSF-Antrag umsonst waren
Dieser Vorfall ist nicht nur für PSF, sondern für die wissenschaftliche Forschung insgesamt ein Warnsignal
Forschungsförderung mit politischen Bedingungen schadet langfristig allen
Organisationen wie PSF können ein solches unbefristetes politisches Risiko nicht tragen
Dass Forschungsförderung in den USA politisiert wird, ist ein ernstes Problem
Selbst Anträge beim DOE enthielten DEI-Anforderungen, und ich hoffe, dass solche politischen Eingriffe insgesamt zurückgehen
Forschende mussten ihre Anträge anpassen und Wörter wie „Geschlecht“ durch „Unterschiede“ ersetzen
Die meisten reagieren darauf nach dem Muster „formal anpassen und die eigentliche Forschung wie geplant fortführen“
Schon deshalb, weil der Regierung gar nicht das Personal fehlt, um alles einzeln zu überwachen
Der PSF-Vorstand erklärte, er habe die Förderung wegen des Risikos einer Mittelrückforderung abgelehnt
Ich zolle dem Vorstand, der diese Entscheidung getroffen hat, Respekt und Unterstützung
1,5 Millionen Dollar sind im Vergleich zu dem Wert, den PyPI für den Finanzsektor liefert, eine viel zu kleine Summe
Schon geringe Beiträge großer Unternehmen könnten sehr helfen
Ich bin gespannt, wie es weitergeht
Der tatsächliche Umfang der Unterstützung ist gering und wird oft nur Projekten zugeteilt, die DEI-Checklisten erfüllen
Unternehmen haben kein Interesse an gemeinwohlorientierter Förderung, wenn kein wirtschaftlicher Nutzen darin liegt
In einer Struktur, in der Gewinn vor Ethik steht, ist dieses Ergebnis naheliegend
Die rechtliche Auslegung der Formulierung „DEI oder diskriminierende Gleichheitsideologie nicht in einer Weise zu fördern, die gegen Bundesrecht verstößt“ ist unklar
Tatsächlich ist unbestimmt, auf welchen Teil sich der „Verstoß“ bezieht
Aber weil EO 14151 DEI selbst als illegal einstuft, ist die politische Absicht wichtiger als die Grammatik
Wenn die Regierung will, kann sie jede Klausel politisch instrumentalisieren
Hätte PSF das Geld angenommen, wäre es vielleicht sicherer gewesen, die Hälfte davon Trump zu opfern
Es ist eine widersprüchliche Situation, in der die Regierung vorgibt, die Meinungsfreiheit zu schützen, während sie zugleich die Zensur verschärft
Beim Wortlaut der Klausel ist strittig, ob sich „Verstoß gegen Bundesrecht“ auf die gesamte Formulierung bezieht
Wenn ja, könnte es unproblematisch sein, solange DEI selbst nicht rechtswidrig ist
In der Praxis ist das rechtliche Risiko jedoch viel zu groß, um es zu akzeptieren
Bei Verstößen gegen Bundesrecht oder verbotenen Boykotten (insbesondere in Bezug auf Israel) kann der gesamte Betrag zurückgefordert werden
Falls PSF diese Entscheidung ohne rechtliche Beratung getroffen hat, wäre das bedauerlich
Daher liest es sich so, als solle man einer Auslegung zustimmen, nach der DEI als Gesetzesverstoß gilt
Im PSF-Blog wird ausführlich erklärt, für welches Projekt die abgelehnte Förderung ursprünglich vorgesehen war
Wer die Sicherheitsverbesserung des Python-Ökosystems direkt unterstützen möchte, kann die Spendenseite oder den Sponsoring-Antrag ansehen