Quellschau: Was im TYPO3-Ökosystem passiert, auf einer Seite

Warum noch eine Seite?

Die Frage ist berechtigt, und die Antwort ist unspektakulär: Weil die Informationen zwar alle öffentlich sind, aber nirgends zusammenkommen. Ein Security Advisory für eine Extension, die Sie in vier Projekten einsetzen, erscheint auf typo3.org. Die Schweregrad-Einstufung und die betroffenen Versionen stehen dort nicht — die liegen in der Advisory-Datenbank von Packagist, meist ein bis zwei Tage später. Das Release, das die Lücke schließt, taucht in der TER auf. Drei Orte für einen Vorgang.

Ein Feedreader löst das halb. Er bringt die Meldungen zusammen, aber er sortiert nicht, fasst nicht zusammen und weiß nicht, dass ein Advisory wichtiger ist als eine Podcast-Folge. Und er hilft nicht dem Kollegen, der gerade keinen Feedreader offen hat.

Quellschau ist der Versuch, das auf eine Seite zu bringen: www.quellschau.de. Kein Login, keine Registrierung, kein JavaScript im Auslieferungsweg. Wer lieber liest als abonniert, bekommt einen RSS-Feed; wer lieber eine Mail bekommt, den Wochen-Digest.

Was Quellschau sammelt

Zurzeit vierzehn Quellen, und die Auswahl folgt einer einzigen harten Regel: Es muss einen Feed oder eine API geben. Was das ausschließt und warum, steht weiter unten.

• Security Advisories von typo3.org, nachträglich angereichert um Schweregrad, CVE-Nummer und betroffene Versionen aus der Packagist-Advisory-Datenbank. Die Anreicherung ist ein eigener, wiederholbarer Schritt — die Datenbanken veröffentlichen später als typo3.org, und ein einmaliger Versuch beim Abruf hätte die Lücke dauerhaft eingefroren.
• Core-Releases über die API von get.typo3.org.
• Extension-Releases aus der TER, rund fünfzig pro Woche.
• News von typo3.org.
• Foren: talk.typo3.org und der TYPO3-Tag auf Stack Overflow.
• Podcast und Videos: Inside TYPO3 und der YouTube-Kanal der Association.
• Blogs aus der Community, darunter unser eigenes.

Die Seite legt offen, woher jede Meldung stammt und was von ihr gezeigt wird: Die Seite Quellen listet jede einzelne mit Typ und Darstellungsform.

Bei Sicherheitsmeldungen lässt sich zusätzlich nach TYPO3-Version und nach Warnstufe filtern — beides als richtige Adressen, nicht als Suchparameter. /sicherheit/typo3-13/stufe-high ist ein Link, den man verschicken kann.

Was die KI tut — und was sie nicht darf

Jede Meldung bekommt eine Kurzfassung von zwei bis drei Sätzen, auf Deutsch und auf Englisch. Das ist die einzige Stelle, an der ein Sprachmodell beteiligt ist, und sie ist eng begrenzt.

Das Modell sieht nie den Artikel. Es bekommt die Überschrift und höchstens 200 Zeichen Anrisstext — mehr wird gar nicht erst gespeichert. Das ist keine technische Sparsamkeit, sondern das Leistungsschutzrecht für Presseverleger: Was über „einzelne Wörter oder kleinste Textausschnitte" hinausgeht, braucht eine Lizenz. Den Volltext fremder Beiträge abzurufen, um ihn einer KI vorzulegen, ist genau das, was ein Aggregator nicht tun sollte.

Dass die Kurzfassungen deshalb nüchtern klingen, ist eine bewusst in Kauf genommene Folge.

Nicht jede Meldung bekommt eine. Anfangs schon — bis wir die Ergebnisse gelesen haben. Bei Release-Meldungen übersetzte das Modell den Satz, den unser eigener Adapter geschrieben hatte. Bei Security Advisories war es schlimmer: Die Vorlagentexte geben wenig her, und das Modell füllte die geforderten zwei bis drei Sätze mit erfundenen Handlungsempfehlungen — „Entwicklern wird empfohlen, entsprechende Maßnahmen zu ergreifen". Das stand in keiner Quelle. Erfundene Ratschläge unter einer echten Sicherheitslücke sind die schlechteste denkbare Stelle dafür. Seither bekommen Releases und Advisories keine Kurzfassung; dort stehen ohnehin Schweregrad, CVE und betroffene Versionen.

Jede Kurzfassung ist als KI-generiert gekennzeichnet, sichtbar an der Meldung und auch in der Mail. Das verlangt Artikel 50 der KI-Verordnung, und wir halten es unabhängig davon für das Mindeste.

Der Wochen-Digest

Freitagmorgens geht eine Mail hinaus: Sicherheitsmeldungen, Releases, Beiträge aus der Community, Termine. Anmeldung mit Double-Opt-in, Abmeldung in jeder Mail.

Eine Entscheidung darin ist erwähnenswert, weil sie beim ersten Entwurf falsch war. Ursprünglich waren Security und Releases beide ungekappt. Gegen eine echte Woche gerechnet ergab das 52 Versionsmeldungen und null Community-Beiträge — die Mail wäre ein TER-Changelog gewesen. Jetzt hat jede Sektion ihre eigene Obergrenze, und nur eine hat keine: Sicherheit. Ein Advisory, das nicht mehr hineinpasst, ist der eine Fehler, den dieser Digest sich nicht leisten darf.

Wer wissen will, was er abonniert, muss sich nicht anmelden: Das Digest-Archiv zeigt jede versendete Ausgabe — und zwar die gespeicherte Mail, nicht eine Neuberechnung. Was dort steht, ist exakt das, was hinausging.

Was wir bewusst nicht tun

Ein Aggregator lebt von fremden Inhalten. Damit das fair bleibt, gibt es ein paar Regeln, die nicht verhandelbar sind:

• Kein Scraping. Quellen ohne Feed werden nicht aufgenommen. Eine Seite auszulesen bricht still, sobald sich ihr HTML ändert — und niemand merkt es. Lieber eine Quelle weniger als eine, die monatelang nichts liefert.
• Keine Bilder aus fremden Quellen. Kein Vorschaubild, kein OG-Image. Wer das Foto des Verlags übernimmt, veröffentlicht nach. Die Aufmacher bekommen stattdessen eine selbst erzeugte Grafik.
• Kein Volltext. Siehe oben — 200 Zeichen, hart in der Datenbankspalte begrenzt, damit kein Codepfad sie überschreiten kann.
• Keine Kopie. Jede Überschrift führt auf die Originalseite. Quellschau will Verkehr weiterleiten, nicht behalten.
• Keine Redaktionsschleife. Meldungen gehen sofort online. Eine Freigabe, auf die jemand warten müsste, wäre der Anfang vom Ende einer Seite, die sich selbst betreiben soll.

Ihr Blog als Quelle

Wenn Sie über TYPO3 schreiben, kann Ihr Blog dort erscheinen. Die einzige Bedingung ist ein Feed. Zwei Formen der Aufnahme sind möglich:

• Überschrift und Link. Die Voreinstellung, ohne Absprache — was ein öffentlicher Feed anbietet, darf verlinkt werden.
• Mit Kurzfassung. Dafür brauchen wir Ihr ausdrückliches Einverständnis.

Schreibt Ihr Blog über mehr als TYPO3 — unseres tut das —, lässt sich auf eine Kategorie einschränken, die der Feed selbst ausweist. Von zehn Beiträgen unseres eigenen Blogs erscheinen so zwei.

Eine Anfrage genügt: info@~@netthinks.com, mit der Adresse Ihres Feeds.

Fazit

Quellschau ist kein Produkt und kostet nichts. Sie ist entstanden, weil wir die Informationen selbst brauchen und es müßig fand, sie jede Woche von Hand zusammenzusuchen. Dass daraus etwas wurde, das auch anderen nützt, war der zweite Gedanke.

Die Seite läuft ohne Zutun: Sie ruft ihre Quellen selbst ab, schaltet defekte vorübergehend ab und versucht es später erneut, meldet sich nur, wenn etwas nicht stimmt. Der Betrieb kostet uns eine Viertelstunde pro Woche — an guten Wochen keine.

Schauen Sie hinein: www.quellschau.de.