Phase-1-MVP im Aufbau · Pivot abgeschlossen 2026-05-26

Welches Open-Source-Projekt wird wo, wie lange und wie verbreitet genutzt — verifizierbar anonym?

Prometheus ist eine dezentrale, vollständig öffentliche Plattform zur anonymen Messung von Verbreitung und Nutzungsdauer von Open-Source-Software. Kein zentraler Träger, keine Tenants, keine Paywall — alle akzeptierten Aggregate sind Open Data.

Mitmachen → SDK ansehen

4 Erfassungsmodi 6 SDK-Sprachen 14 Pipeline-Stufen k ≥ 5 als Schema-Constraint

Überblick

Sieben Themen, je eine Seite.

Prometheus lässt sich nicht in einem Absatz erklären — aber jedes einzelne Thema schon. Fang an, wo es dich betrifft.

Das Messproblem

NPM-Downloads zählen Pakete, GitHub-Stars zählen Aufmerksamkeit. Nutzungsdauer misst bisher niemand.

Warum jetzt 02

Vier Erfassungsmodi

SDK, Endnutzer-Agent, Hybrid-Aggregator und Registry-Scraping — parallel, über ein offenes Protokoll.

Wie gemessen wird 03

Anonymität

k-Anonymität ist kein Versprechen, sondern ein Schema-Constraint. Zwei unabhängige PII-Gates.

Wie es garantiert wird 04

Nutzen je Rolle

Was Foundations, Hersteller, Forschung und die Sicherheits-Community konkret davon haben.

Für Entscheider 05

Für Entwickler

Sechs SDK-Sprachen, byte-identische kanonische Ausgabe, ein sehr kleines Laufzeit-Budget.

SDK & Protokoll 06

Roadmap

Drei Phasen: Reach & Runtime MVP, Federation mit ZK-Attestation, Threshold-Konsens.

Was wann kommt 07

Mitmachen

Gesucht sind Mirror-Hosting, eine Pilot-Bibliothek, Forschung und Rechtsberatung — kein Kapital.

Was gebraucht wird

Grundsätze

Vier Zusagen, die nicht verhandelbar sind.

Sie stehen nicht nur in der Dokumentation, sondern sind im Schema und in der Pipeline erzwungen. Eine Verletzung ist ein Auto-FAIL im Review.

k-Anonymität als Schema-Constraint

Default k ≥ 5, für die Modi B und C k ≥ 25. Zu kleine Kohorten werden lokal umgeschrieben, bevor irgendetwas die Maschine verlässt.

PII niemals auf Disk

Roh-Events liegen ausschließlich in RAM bzw. tmpfs. Auf die Platte kommen nur bereits signierte Aggregate.

Open Data als Default

Keine Tenant-Trennung, keine Paywall, kein Login für lesende Zugriffe. Tägliche Snapshots als Parquet und CSV.gz.

Verifizierbarkeit statt Vertrauen

Jede akzeptierte Submission soll als Hash im öffentlichen Sigstore-Rekor-Log landen und von außen prüfbar sein — ab Tag 1 des Mirror-Betriebs.