Das zerstörerische Erbe von Ruby Central

 (andre.arko.net)
3 Punkte von GN⁺ 5 시간 전 | 1 Kommentare | Auf WhatsApp teilen
  • Nachdem Ruby Central die Kontrolle über RubyGems, Bundler und RubyGems.org übernommen hatte, verlor die Organisation innerhalb von 10 Monaten zwei Konferenzen, zwei große OSS-Projekte und neun Mitwirkende und konnte den Konflikt dennoch nicht lösen
  • Ohne den Kompromissvorschlag der früheren Maintainer anzunehmen, wiederholte Ruby Central die Bedingung, die Klageandrohung nur dann zurückzunehmen, wenn André Arko seine Ansprüche in Bezug auf Bundler-Rechte und Arbeitsrecht fallen lasse
  • Ein Anwalt von Ruby Central meldete Arko im März 2026 dem FBI, doch laut Arko fanden drei Audits keine Belege dafür, dass er RubyGems.org Schaden zugefügt habe
  • Derzeit betreibt die Organisation ein durch Alpha-Omega unterstütztes Sicherheitsprojekt und die Ruby Alliance, doch Arko kritisiert nicht offengelegte Interessenkonflikte zwischen Sponsoren wie Gusto und Thoughtbot und dem Vorstand
  • Um Vertrauen wiederherzustellen, solle man nicht die bestehende Organisation zurückdrehen, sondern Projekte mit offener Governance wie gem.coop, neue Tools und eine Organisation mit von der Community gewähltem Vorstand aufbauen

Ruby Central vor und nach der Übernahme der Kontrolle

  • Vor etwa 18 Monaten veranstaltete Ruby Central jährlich RubyConf und RailsConf
  • Das Open Source Committee bestand aus Ufuk, Gabi und Mike und unterstützte sowie koordinierte OSS-Personal
    • Sieben Community-Mitwirkende in Teilzeit: André, Arun, Ellen, Gift, Irene, Josef, Martin
    • Drei hauptamtliche OSS-Entwickler: Colby, Samuel, David
    • Betroffene Projekte: RubyGems, Bundler, RubyGems.org
  • Vor etwa 10 Monaten kam es zu dem Vorfall, den Ellen Dash aus dem RubyGems-Kernteam als „feindliche Übernahme“ bezeichnete; das Team, das die Projekte über mehr als zehn Jahre betreut hatte, verlor den Zugriff

Organisatorische Schlagkraft, die in 10 Monaten verschwand

  • Beide Konferenzen haben derzeit keine künftigen Termine mehr
    • RailsConf wurde eingestellt
    • Große Teile der letzten RubyConf wurden abgesagt
    • Zum ersten Mal seit Jahrzehnten wurden Ort und Datum der nächsten Konferenz nicht bekannt gegeben
  • Zwei der drei großen OSS-Projekte gingen verloren; Bundler und RubyGems wurden an Matz übertragen
  • Neun von zehn OSS-Mitwirkenden verließen die Organisation
    • Sechs von sieben Betreibern von RubyGems.org
    • Zwei von drei hauptamtlichen OSS-Mitwirkenden
    • Beide Personen, die für OSS-bezogene Beiträge zuständig waren
  • Alle drei Mitglieder des Open Source Committee, fünf von sieben Vorstandsmitgliedern und alle drei Executive Directors schieden aus ihren Positionen aus
  • Auch die wichtigen Finanzsponsoren Sidekiq und Shopify zogen sich zurück, wobei Shopify neun Monate später zur Ruby Alliance zurückkehrte

Eine Vorstandsstruktur ohne Wahlen

  • Anders als die Python Software Foundation führt Ruby Central keine Vorstandswahlen durch
  • Zwar wurde in diesem Jahr die gesamte Satzung überarbeitet, neue Vorstandsmitglieder werden aber weiterhin nur von den bisherigen Vorständen ernannt, und es gibt auch kein öffentliches Verfahren zur Einholung von Stellungnahmen
  • Der aktuelle Vorstand besteht aus den zwei verbliebenen Mitgliedern der siebenköpfigen alten Führung, die die Übernahme genehmigt hatte, sowie drei neuen Vorständen — Brandon, Jey und Ran — die vom früheren Vorstand ausgewählt wurden

Neues Sicherheitsprojekt und Ruby Alliance

  • Nachdem die zwei Konferenzen beendet und die Hälfte der OSS-Projekte übertragen worden waren, kam öffentlich nur noch ein zusätzliches Programm hinzu: ein durch den Alpha-Omega-Zuschuss finanziertes Sicherheitsprojekt
  • Dieses Projekt nutzt Anthropics Project Glasswing, um Sicherheitsprobleme in bereits veröffentlichten Gems zu finden
  • Der erste Monatsbericht vom Juni 2026 meldete fünf Schwachstellen
    • Eine mit mittlerem Schweregrad
    • Vier mit niedrigem oder nicht klassifiziertem Schweregrad
  • An der Ruby Alliance beteiligen sich Gusto, Thoughtbot und Shopify
  • Arko kritisiert das Potenzial für Interessenkonflikte, das in der Sponsoring-Ankündigung nicht erwähnt wurde
    • Vorstandsmitglied David Corson-Knowles ist Senior Staff Engineer bei Gusto
    • Vorstandsvorsitzender Ran Craycraft ist Managing Director, Americas, bei Thoughtbot
    • Damit nehmen Vorstandsmitglieder, die Sponsoringgelder verteilen, Geld von Unternehmen an, die sie selbst beschäftigen
  • Shopify kehrte nach neun Monaten zurück; Arko verweist dazu auf externe Berichte, wonach Shopify damals von Ruby Central die Übernahme verlangt habe

Der ungelöste Streit um Bundler und RubyGems

  • Seit Oktober 2025 droht Ruby Central Arko mit einer Klage und hat diese Drohung nie zurückgenommen
  • Der Streit begann, als Ruby Central im September 2025 die GitHub-Projekte von Bundler und RubyGems den bisherigen Maintainers entzog
  • Als Arko erklärte, dass ihm die Rechte am Namen Bundler zustehen, warnte Ruby Central mit Verweis auf einen angeblichen „Hack“ vor einer Klage
  • Arko weist diese Hack-Vorwürfe weiterhin zurück
  • Ruby Central hält daran fest, die Klageandrohung nur zurückzunehmen, wenn folgende Ansprüche aufgegeben werden
    • Ansprüche wegen Verletzung der Bundler-Bezeichnung
    • Ansprüche wegen möglicher Verstöße der Arbeit als Auftragnehmer gegen staatliches Arbeitsrecht und auf ausstehende Vergütung

Einigungsversuche nach der Projektübertragung

  • Als Arko seine Ansprüche trotz der Klageandrohung nicht aufgab, übertrug Ruby Central das Bundler-Gem und das RubyGems-GitHub-Repository an Matz
  • Die früheren Maintainer schlugen eine neue Einigung vor, doch Ruby Central antwortete nicht
  • Stattdessen wiederholte die Organisation ihre bisherige Bedingung, die Klageandrohung nur dann zurückzunehmen, wenn Arko allein sämtliche Ansprüche fallen lasse
  • Nachdem es vier Monate lang keinen Fortschritt gegeben hatte, veröffentlichte Arko ein öffentliches Update zum Stand der Dinge

Die Schätzung von rund 450.000 Dollar und die tatsächlichen Forderungen

  • Ruby Central erklärte, eine Einigungssumme aus externen Mitteln zahlen zu wollen, und bat Arko um eine Berechnung
  • Angefragt waren Anwaltskosten, mögliche Rückstände bei der Vergütung und sechs Monate Ausgleich nach der Entlassung; mit Unterstützung von Fachleuten ergab sich ein Betrag von rund 450.000 Dollar
  • Arko erklärt, diesen Betrag nicht selbst gefordert zu haben, sondern ihn auf Wunsch von Ruby Central zur Mittelbeschaffung genannt zu haben
  • Tatsächlich habe er fortlaufend nur zwei Bedingungen verlangt
    • Eine Entschuldigung für rufschädigende Angriffe ohne Belege
    • Die Erstattung von Anwaltskosten, die deutlich unter 450.000 Dollar lagen

Meldung an das FBI und die Möglichkeit strafrechtlicher Ermittlungen

  • Während zugleich Geld für eine Einigung gesucht wurde, meldete der Anwalt von Ruby Central Arko dem FBI und bat um strafrechtliche Ermittlungen
  • Am 9. März 2026 informierte dieser Anwalt Arcos Rechtsbeistand über die Meldung und teilte mit, dass womöglich ein auf Strafrecht spezialisierter Anwalt nötig sei
  • Laut Arko wurde das AWS-Konto von RubyGems dreimal auditiert, ohne dass Belege für von ihm verursachten Schaden gefunden wurden
  • Eine Meldung an das FBI kann nicht zurückgezogen werden; selbst wenn Ruby Central erklärt, die Sache nicht weiterverfolgen zu wollen, entscheidet das FBI über Ermittlungen

Das Minimalangebot nach dem Aufbrauchen der Mittel

  • Wenige Wochen nach der FBI-Meldung gab Ruby Central bekannt, dass die Mittel erschöpft seien
  • Arko wertete das als positives Signal und legte einen neuen Lösungsvorschlag vor
  • In diesem Vorschlag verlangte er weder die Rückgabe von Bundler noch eine Entschädigung nach Arbeitsrecht noch eine Entschuldigung
    • Eine öffentliche Bestätigung, dass er RubyGems keinen Schaden zugefügt habe
    • Die Erstattung der durch die Klageandrohung entstandenen Anwaltskosten
  • Auf diesen Vorschlag und mehrere weitere Kontaktversuche reagierte Ruby Central sechs Wochen lang nicht

Eine Nichtverleumdungsklausel, die nur für eine Seite gilt

  • Sechs Wochen später übermittelte Ruby Central erneut ein Angebot, die Klageandrohung zurückzunehmen, falls folgende Bedingungen erfüllt würden
    • Verzicht auf Ansprüche wegen Verletzung der Bundler-Marke
    • Verzicht auf Ansprüche wegen Verstößen gegen Arbeitsrecht
    • Eine Nichtverleumdungsvereinbarung, die nur für Arko gilt und nicht für Ruby Central
  • Als neue Bedingung wurde vorgeschlagen, dem FBI zu empfehlen, von einer strafrechtlichen Verfolgung abzusehen, und im Fall eingeleiteter Ermittlungen oder einer Anklage nur im gesetzlich erforderlichen Umfang zu kooperieren
  • Arko erklärte, er habe dies nicht akzeptieren können, weil mehrere bundesstaatliche und bundesrechtliche Gesetze eine Vereinbarung zur Einschränkung der Mitwirkung an strafrechtlichen Ermittlungen selbst als Straftat einstufen könnten

Ein Gegenangebot mit Entschuldigung als Bedingung

  • Ruby Central konnte die FBI-Meldung nicht zurückziehen, die bereits übergebenen Repositories nicht zurückholen und verfügte offenbar auch nicht über Mittel für eine Entschädigung
  • Arko schickte ein Gegenangebot, in dem er unter folgenden Bedingungen auf Rechte- und arbeitsrechtliche Ansprüche verzichten würde
    • Rücknahme der Klageandrohung durch Ruby Central
    • Eine Entschuldigung für die öffentliche Behauptung ohne Belege, er habe RubyGems.org geschadet
    • Eine Entschuldigung für die Behauptung, er habe versucht, an PII von Nutzern zu gelangen
    • Eine Entschuldigung dafür, dass zur Übernahme die Governance von Bundler und RubyGems zerstört wurde
  • Ruby Central widersprach den Entschuldigungsforderungen nicht, hielt aber an einer Nichtverleumdungsklausel fest, die nicht für die Organisation, sondern nur für Arko gelten sollte
  • Nach dem Gegenangebot gab es 30 Tage lang keine Antwort, und auch das Versprechen des Anwalts, innerhalb eines Tages einen Zeitplan für eine Antwort zu liefern, wurde nicht eingehalten

Offene Fragen trotz öffentlicher Darstellung

  • Ruby Central hat weder eingeräumt noch sich dafür entschuldigt, dass es falsch war, Maintainer mit mehr als zehn Jahren Tätigkeit aus den Projekten auszuschließen
  • Der einzige öffentlich genannte Grund für die Übernahme war eine „Verbesserung der Sicherheit“
  • Arko entgegnet, Ruby Central habe zunächst alle Fachleute entfernt, die eine sicherheitsbezogene Übernahme hätten sicher durchführen können, und dann ausgerechnet ihn, der einen Ausfall der Systemsicherheit verantwortungsvoll offengelegt habe, des Hackings beschuldigt
  • Ruby Central führte drei getrennte Audits durch, fand laut Arko jedoch keine Belege für Schaden
  • Der Fracture Incident Report von Ruby Central sollte die Angelegenheit „abschließen“, beantwortet aber folgende Fragen nicht
    • Über welche konkreten Maßnahmen hat der Vorstand tatsächlich abgestimmt?
    • Was wollte man mit der Übernahme eigentlich erreichen?
    • Warum wurde von mehreren Maintainers nur Arko persönlich ins Visier genommen?
    • Warum folgte sofort die Drohung mit einer Klage?
    • Warum wurde das FBI eingeschaltet, obwohl es keine Belege für Schaden gab?
  • Der frühere Executive Director Shan Cureton vertrat öffentlich die Position, die Community müsse nicht den gesamten Hergang kennen, und die Organisation verweigert auch nach seinem Ausscheiden weiterhin die Offenlegung der Ursachen

Die Community, die Ruby Central aufgebaut hatte

  • Die Konferenzen von Ruby Central waren für Arko der Anlass, sich an der Ruby-Community zu beteiligen und langfristig beizutragen
  • Auf der RubyConf 2005 in San Diego erlebte er Folgendes
    • Einen Vortrag, in dem Matz die ->-Syntax für „stabby lambda“ vorschlug
    • Einen call_cc-Vortrag, in dem Jim Weirich Continuations mit einer Nintendo 64 und The Legend of Zelda: Ocarina of Time demonstrierte
    • Das Rails-Kernteam, das damals auf die Veröffentlichung von Rails 1.0 im Dezember desselben Jahres hinarbeitete
    • Beziehungen über Freenode IRC und Teilnehmende der UCSD, die mehr als 20 Jahre hielten
  • Auf der ersten RailsConf 2006 bekam er durch den Vorschlag einer dort kennengelernten Person seine erste Festanstellung
  • Diese Erfahrungen führten zu folgenden Aktivitäten
    • Entwicklung und Veröffentlichung von Bundler 1.0 im Jahr 2009
    • 15 Jahre Maintainer von Bundler
    • Mehr als 10 Jahre Arbeit an RubyGems und RubyGems.org
    • Gründung und Betrieb der Non-Profit-Organisation Ruby Together über 7 Jahre
  • Die Fusion von Ruby Together und Ruby Central beruhte auf dem Vertrauen in Ruby Centrals bewährte Arbeit bei Konferenzen und Community-Aufbau zwischen 2001 und 2021

Eine neue Umgebung mit offener Governance schaffen

  • Zum ersten Mal in seiner 25-jährigen Geschichte hat Ruby Central keine einzige geplante Konferenz, und dieser Konflikt hat die Community-Governance, die man stärken wollte, stattdessen beschädigt
  • Maintainer wurden aus Projekten ausgeschlossen, die sie über lange Zeit aufgebaut hatten, und konkrete Gründe oder praktische Vorteile zur Rechtfertigung dieses Ergebnisses wurden nicht offengelegt
  • Die Ruby-Community kann neue Projekte und Organisationen selbst aufbauen
  • Statt zu versuchen, die früheren Ruby-Central-Konferenzen und Ruby Together wiederherzustellen, müsse man die Zukunft von Ruby rund um offene Governance und neue Tools neu aufbauen

Verwandte Beiträge

1 Kommentare

 
GN⁺ 5 시간 전
Lobste.rs-Kommentare

  • Ich war überrascht, dass die RubyConf 2005 im nahegelegenen San Diego stattfand, und bin mit den einzigen zwei Freunden hingefahren, die wie ich Programmieren mochten — ich bin also genau die Person aus dem Artikel
    Seit ich 2009 meinen Ruby-Entwicklerjob verlassen habe, nutze ich Ruby nicht mehr, aber die Konferenz ist mir in guter Erinnerung geblieben, und ich finde es bedauerlich, dass die Reaktion von Ruby Central auf die jüngsten Ereignisse so schlecht war

    • Wenn man nicht nur eine Seite der Geschichte hört, wirkt die Lage vielleicht etwas weniger schlimm
      Auf Reddit verbreitete sich das Missverständnis, Ruby Central habe die Einschaltung des FBI veranlasst, tatsächlich aber hat eine Rechtsexpertin bzw. ein Rechtsexperte den Sachverhalt unabhängig beurteilt und gemeldet, ohne Rücksprache mit Ruby Central
      Selbst wenn ich damals im Open-Source-Komitee gewesen wäre, hätte ich das nicht verhindern können, und niemand bei Ruby Central hatte die Befugnis, das zu stoppen
      Der Inhalt der Meldung lautete ungefähr: „Ruby Central hat für X Tage die Kontrolle über die AWS-Infrastruktur verloren“, und nach Eingang konnte sie zwar zurückgezogen werden, war aber keine formelle Anzeige
      Ruby Central hat viel zu lernen und zu verbessern, aber es ist auch wichtig, die Situation und die Vorfälle korrekt darzustellen

  • Ich glaube, Andre hat schon viel früher auf leise und schrittweise Weise versucht, RubyGems, Bundler und RubyGems.org unter seine Kontrolle zu bringen
    Der folgende Incident Report stellt das nicht ausdrücklich als Tatsache fest, stützt diese Sicht aber: https://rubycentral.org/news/rubygems-fracture-incident-report/
    Dass Andre im Februar 2025 Evan Phoenix ohne alternativen Ruby-Central-Ansprechpartnern den GitHub-Zugriff entzog und die Open-Source-Leitung ausschloss, war beispiellos
    Der Open-Source-Leitung hätten auch Administratorrechte für 1Password übertragen werden müssen, stattdessen behielt er selbst nach dem Rollenwechsel die Administratorrechte für ein sekundäres 1Password-Konto
    Dadurch konnte Andre das AWS-Konto an sich bringen, alle anderen Administratoren entfernen und Ruby Central aus der Produktionsumgebung aussperren; es hätte nie möglich sein dürfen, dass eine einzelne Person die Open-Source-Leitung gleichzeitig aus AWS und 1Password ausschließen kann
    Außerdem informierte er die Community fälschlich über den Zusammenhang zwischen GitHub-Zugriff und Admin-Rechten in der Produktionsumgebung, hielt auch Monate nach dem Entzug seines Zugriffs an dieser Darstellung fest und spielt das Sicherheitsrisiko bis heute herunter, obwohl Ruby Central versucht hat und daran gescheitert ist, ihm die Betriebsrechte vollständig zu entziehen
    Wenn Ruby Central als angemessener Stakeholder behandelt worden wäre und die für den Betrieb von RubyGems.org nötigen Rechte ordnungsgemäß übertragen bekommen hätte, hätte es weder einer feindlichen Übernahme noch eines Ausschlusses von Andre bedurft
    Interessenkonflikte sind äußerst wichtig, und die Open-Source-Leitung sollte nicht in einem Komitee sitzen, das die eigene Finanzierung beaufsichtigt
    Die Struktur, in der Andre bei der Zusammenlegung von Ruby Together mit Ruby Central Mitglied des Open-Source-Komitees war, das die an ihn gezahlten Mittel beaufsichtigte, war weder professionell noch ethisch
    Ich rechne es ihm hoch an, dass er den Weg für bezahlte Open-Source-Arbeit geebnet hat, aber meiner Ansicht nach hat er die zentrale Aufgabe nicht erfüllt, die Grenzen zwischen bezahlter Arbeit und freiwilliger Arbeit klar zu definieren und zu verhindern, dass sie verwischen
    Auch bei anderen Punkten, einschließlich der rechtlichen Fragen, ist vieles bestenfalls nur zur Hälfte wahr, aber ich bin weder Vorstandsmitglied noch Anwalt und gerade im Familienurlaub, daher kann ich wahrscheinlich keine weiteren Antworten geben