04 — Nutzen
Prometheus ist kein Investitions-Pitch. Es gibt keine Rechtsperson, in die Geld fließt, keine Tenants und keinen Vertrieb — der Wert entsteht als Gemeingut.
Stakeholder
Vier Perspektiven auf dieselben Daten — jede Rolle liest dieselbe Zeile mit einer anderen Frage im Kopf.
Entscheidungen über Roadmap, Deprecation und Fördermittel ruhen heute auf Downloads und Bauchgefühl.
Supply-Chain-Risiko ist heute eine Liste von Paketnamen, keine belastbare Einschätzung.
Jede Studie beginnt bislang mit eigener Datenbeschaffung — nicht reproduzierbar, nicht vergleichbar.
Ob eine unmaintainte Bibliothek gefährlich ist, hängt daran, wie weit sie tatsächlich verbreitet ist.
Dieselbe veröffentlichte Zeile, vier Lesarten — welche Spalten für welche Rolle die Antwort tragen:
„Kommt Version 4 in der Breite an, oder läuft alles weiter auf 3?“
Dieselbe Kohorte über mehrere Fenster, nach version_id getrennt:
Ob eine Migration ankommt, liest sich als Verschiebung zwischen den
Versionszeilen — ohne eigene Datenpipeline und ohne Rückfrage bei den
Nutzern.
„Wie verbreitet ist eine Abhängigkeit, die in unserem Produkt steckt?“
project_id ist dieselbe PURL, die im eigenen SBOM steht. Das
Wertband sagt die Größenordnung — genug für eine Risiko-Einordnung, zu grob
für einen Rückschluss auf einzelne Installationen.
„Ist eine Auswertung von gestern morgen noch reproduzierbar?“
window_start ordnet jede Zahl einem festen Zeitraum zu,
source_mode sagt, aus welchem Erfassungsmodus sie stammt. Der
Snapshot bleibt archiviert, und der Public Audit Log macht nachprüfbar, was
ein Mirror akzeptiert hat.
„Wie viel Reach hat eine Bibliothek, die niemand mehr pflegt?“
Verbreitung und Laufzeitband je Version, über dieselbe PURL mit OSV- und CVE-Einträgen verknüpfbar. Priorisiert wird nach realer Verbreitung statt nach Download-Zahlen.
Kompakt
Dieselben Angaben für die Vorlage — für Gremien, die es in einer Zeile pro Rolle brauchen.
| Rolle | Was Prometheus liefert |
|---|---|
| Maintainer & Foundations |
Belege für Fördermittel-Anträge, Roadmap-Priorisierung und Sunset-Entscheidungen — ohne eigene Datenpipeline aufbauen zu müssen. |
| Software- Hersteller |
Dependency-Health-Snapshots, Supply-Chain-Frühwarnung und Branchen-Benchmarks, vollständig aus Open Data. |
| Forschung & Öffentlichkeit |
Reproduzierbarer Daten-Backbone als tägliches Parquet und CSV.gz, dazu ein öffentliches Audit-Log. CC-BY-4.0 mit Provisional-Klausel bis zur Foundation-Rechtsfreigabe. |
| Sicherheits- Community |
Prospektive Reach-Sicht auf unmaintainte Bibliotheken und Korrelation mit CVE-Datenbanken. |
Abgrenzung
Die Abgrenzung ist Teil des Konzepts, nicht eine spätere Einschränkung. Bestehende Werkzeuge werden ergänzt, nicht ersetzt.
Prometheus erzeugt keine Stücklisten. Es misst Nutzung, nicht Zusammensetzung — beides ergänzt sich.
Schwachstellen werden dort geführt. Prometheus liefert die Reach-Dimension dazu, nicht die Verwundbarkeit selbst.