Hello Codeberg – Bye GitHub?

Warum ich zu Codeberg gewechselt bin (geschrieben am 7. Juni 2026), hat wie bei vielen aktuellen Fällen mit Microsoft zu tun. Vor vier Monaten habe ich alles von GitHub geholt. Nicht im Affekt, nicht weil eine Newsmeldung mich emotional erwischt hat, sondern weil ich an einem Punkt angekommen war, an dem die Frage nicht mehr zu ignorieren war: Wem gehört eigentlich der Ort, an dem mein gesamter Code liegt?

GitHub war einmal unsere Plattform — so fühlt es sich leider nicht mehr an.

Ihr müsst wissen, diese Plattform gehört seit 2018 Microsoft.¹ Und seit August 2025 nicht mehr nur Microsoft, sondern Microsofts KI-Abteilung.² Genau da liegt der Code von Millionen Open-Source-Projekten. Und meiner lag mittendrin.

Heute liegt er hier: codeberg.org/karameht. Das alte Repository ist leer. Weg. Alles mitgenommen und eine einzige README.md dagelassen mit dem Hinweis, dass ich zu Codeberg gewechselt bin.

Es war mal ein neutraler Ort

GitHub fühlt sich an wie Infrastruktur. Wie Strom aus der Steckdose. Du git pushst und denkst nicht weiter darüber nach, wo das landet. Weil GitHub vor Microsoft einfach keine großen Sorgen machte. Es tat das, wofür es gebaut wurde — Code versionieren. Aber genau das ist die Falle. Eine Plattform, auf der quasi die gesamte freie Softwarewelt ihren Code verwaltet, ist eben keine neutrale Infrastruktur. Sie gehört einem börsennotierten Konzern, der eigene Interessen verfolgt — und wir alle wissen, wie gut Windows 11 funktioniert (auch ein Grund, warum ich wieder zurück zu Arch Linux bin).

Lange Zeit war das ein theoretisches Problem. Etwas, worüber man in Foren-Threads diskutiert, während im Alltag alles weiterläuft. Das Logo blieb, die Oberfläche blieb, sogar ein paar gute Features kamen dazu. Warum also wechseln?

Weil „theoretisch” irgendwann „praktisch” wird. Und bei mir war das vor vier Monaten so weit.

Drei Gründe, die jeder für sich schon gereicht hätten

Souveränität. GitHub gehört einem US-Unternehmen, die Server stehen in den USA, der Code unterliegt amerikanischem Recht. Das ist nicht abstrakt: 2019 sperrte GitHub Entwickler-Konten aus Iran, Syrien und der Krim — wegen US-Exportsanktionen, durchgesetzt anhand von IP-Adresse und Zahlungsdaten.³ Hamed Saeedi, ein iranischer Entwickler, beschrieb in einem viralen Medium-Post, wie sein Account ohne Vorwarnung und ohne Möglichkeit zum Backup zugemacht wurde. 2022, nach der russischen Invasion in der Ukraine, das gleiche Spiel: Russische Entwickler — auch unabhängige Open-Source-Maintainer — bekamen ihre Accounts gesperrt, ihre Repos, Issues und Pull-Requests wurden gelöscht.⁴ Genau die Leute, die für eine freie, offene Gesellschaft stehen, wurden ausgesperrt — wegen politischer Entscheidungen, mit denen sie nichts zu tun hatten. Das widerspricht allem, wofür Open Source steht.

KI. Im August 2025 hat Microsoft GitHub in seine CoreAI-Abteilung eingegliedert.² Das ist keine organisatorische Fußnote, das ist eine strategische Aussage. CEO Thomas Dohmke trat zurück, einen direkten Nachfolger gibt es nicht — die Leitung wandert in die CoreAI-Gruppe. Copilot wurde auf öffentlichem Code trainiert (die größte Frechheit, wenn ihr mich fragt), der auf GitHub lag. Viele Entwickler haben ihren Code unter Lizenzen wie MIT, GPL oder Apache veröffentlicht, damit Menschen ihn nutzen und weiterentwickeln — nicht, damit ein kommerzielles KI-Produkt damit gefüttert wird. Genau deshalb läuft seit November 2022 eine Sammelklage gegen GitHub, Microsoft und OpenAI: Copilot reproduziere Code ohne Attribution und verletze damit die Lizenzbedingungen.⁵ Was 2022 noch theoretisch war, steht heute im Organigramm.

Abhängigkeit. Millionen Repositories an einem zentralen Ort. Ein Ort, der ausfallen kann — und regelmäßig ausfällt. Wer in den letzten Monaten auf den Statusverlauf von GitHub geschaut hat, weiß, dass „verfügbar” zur Glückssache geworden ist. Aber Ausfälle sind nur das halbe Problem. Eine zentrale Plattform entscheidet allein, was bleibt und was geht. Im Oktober 2020 löschte GitHub das youtube-dl-Repository nach einer fragwürdigen DMCA-Beschwerde der RIAA. Einfach weg. Drei Wochen später, nach massivem öffentlichen Pushback und Intervention der EFF, wurde das Repo wiederhergestellt⁶ — aber drei Wochen reichen, um zu zeigen, wer am Hebel sitzt. Open Source ist eigentlich das Gegenteil davon. Sie sagen „gelöscht”, haben den Code aber noch parat, um ihn drei Wochen später zurückzuholen? Das hat ein Geschmäckle.

Jeder dieser Punkte allein war schon ein guter Grund, mal nachzudenken. Es gibt noch viele weitere Vorfälle — aber irgendwann wollte ich einfach nur weg.

Was in den letzten Monaten passiert ist

Ich bin nicht der Einzige. Die Liste der Projekte, die GitHub den Rücken kehren, wird länger:

Gentoo Linux, eine der ältesten Distributionen überhaupt, begann im Februar 2026 mit der Migration. Begründung: die kontinuierlichen Versuche, Copilot in die Repositories zu drängen.⁷
BookStack, ein selbstgehostetes Wiki, hat den Umzug Anfang 2026 abgeschlossen — Issues, Pull Requests, alles auf Codeberg, das alte Repository nur noch Mirror.⁸ Begründung: Codeberg passt besser zu den Werten, die BookStack vertritt — gemeinschaftsgetragen statt konzerngetrieben.
Zig, die System-Programmiersprache, kündigte den Wechsel Ende November 2025 an, mit deutlichen Worten zur fehlenden Engineering-Excellence bei GitHub.⁹
Ghostty, der Terminal-Emulator von Mitchell Hashimoto (Mitgründer von HashiCorp), wechselte im April 2026 zu einer selbstgehosteten Forgejo-Instanz.¹⁰ Wenn ein Ex-HashiCorp-Gründer die Plattform verlässt, ist das ein Signal.
Luxtorpeda, ein Linux-Gaming-Compatibility-Layer, zog im Juni 2026 nach.

Es geht den meisten nicht darum, GitHub aus Wut den Rücken zu kehren. Es geht darum, bewusst zu entscheiden, wo der eigene Code liegt. Das ist genau die Freiheit, für die Open Source von Anfang an stand.

Und dann kam der Mai 2026. Als hätte ich es geahnt — ich hatte noch Scherze gemacht: Kann ja nicht mehr lange dauern, bis die gehackt werden, wenn man die Open-Source-Community so verärgert.

Der Hack, der alles bestätigt hat

Am 19. Mai 2026 bestätigte GitHub, dass unautorisiert auf rund 3.800 interne Repositories zugegriffen wurde.¹¹ Der Vektor: eine vergiftete VS-Code-Extension auf dem Gerät eines Mitarbeiters. Konkret nrwl.angular-console (Nx Console) in Version 18.95.0, eine Extension mit über 2,2 Millionen Installationen und Verified-Publisher-Badge. Die kompromittierte Version war keine zwanzig Minuten online — und das reichte.

Das eigentlich Lehrreiche ist die Kette dahinter. Der initiale Zugang kam nicht aus dem Nichts: Ein Nx-Maintainer war zuvor über eine kompromittierte npm-Supply-Chain (die TanStack-Pakete, Teil der „Mini-Shai-Hulud”-Welle) bestohlen worden. Aus diesem Diebstahl fielen GitHub-Credentials, mit denen sich die bösartige Extension überhaupt erst veröffentlichen ließ. Beim Start der Extension lief — getarnt als harmloser MCP-Setup-Task — ein Credential-Stealer, der gezielt 1Password-Tresore, npm-Tokens, AWS-Keys, GitHub-Credentials und sogar Anthropic-Claude-Code-Konfigurationen abgriff. Hinter dem Angriff steht die Gruppe TeamPCP, die die Daten anschließend zum Verkauf anbot. CISA hat die zugrunde liegenden Lücken (CVE-2026-45321 und CVE-2026-48027) in den KEV-Katalog aufgenommen — US-Bundesbehörden mussten bis zum 10. Juni 2026 patchen.

Lies dir diese Kette nochmal durch: npm-Paket → gestohlener Token → vergiftete Extension → die internen Repos von GitHub selbst. Das ist für mich kein „Cherry on top”, wie es der ITION-Geschäftsführer in seinem Video nennt — das ist die handfeste Bestätigung der Abhängigkeitsfrage. Jede Abhängigkeit ist eine Angriffsfläche. Auto-Update ist der Weg, auf dem man sich besitzt. Und je tiefer der Dependency-Baum, desto weniger weißt du, was auf deiner Maschine eigentlich läuft.

Ich hatte da schon längst nvm, npm und yarn vom Host geworfen und alle Runtimes in Docker gesperrt. Der Hack hat mir nur gezeigt, dass dieselbe Logik auch für die Plattform gilt, der ich meinen Code anvertraue. Wenn nicht mal GitHub sicher ist vor einem Schadpaket, das sich als harmloser MCP-Setup-Task tarnt, warum sollte ausgerechnet mein Code dort sicher liegen?

Was Codeberg ist – und was es bewusst nicht ist

Codeberg ist ein gemeinnütziger Verein mit Sitz in Berlin. Ja, richtig gelesen — made in Germany, Leute. Kein Unternehmen, keine Investoren, keine Aktionäre, keine Übernahmestrategie. Finanziert über Spenden und Mitgliedsbeiträge der Community, die es nutzt. Technisch läuft Codeberg auf Forgejo — einem Community-kontrollierten Fork von Gitea, der 2022 unter dem Dach von Codeberg e.V. entstand, weil die Governance-Frage bei Gitea unklar wurde.

Das klingt fast zu schön, wenn man es gegen die drei Sorgen von oben hält:

Souveränität? Server in Deutschland, europäisches Recht, DSGVO. Passt.
KI? Codeberg trainiert kein Modell auf deinem Code. Es gibt kein Copilot-Äquivalent. Dein Code wird gehostet, mehr nicht.
Abhängigkeit? Ein gemeinnütziger Verein ist nicht verkäuflich. Es kann nicht passieren, dass dich morgen ein neuer Eigentümer mit einer neuen Strategie überrascht.

Aber — und das gehört zur ehrlichen Bilanz — Codeberg ist nicht GitHub. Die CI-Infrastruktur über Woodpecker und Forgejo Actions ist begrenzter. Wer große Pipelines braucht, betreibt eigene Runner. Enterprise-Features, SLAs, dedizierter Support, Compliance-Zertifizierungen — das gibt es nicht in der Form. Wer das vermisst, sollte ehrlich sein und es benennen.

Und noch ein Punkt, der zur ehrlichen Bilanz gehört: Codeberg lebt von der Community, die es nutzt. Keine Investoren, kein Werbe-Modell, kein Konzern im Hintergrund — das heißt auch: keine fremde Finanzierung. Wer Codeberg nutzt und es kann, sollte Mitglied werden oder spenden. Ohne Mitgliedsbeiträge und Spenden gibt es keine unabhängige Plattform. So einfach ist die Rechnung.

Für mich ist das kein Verlust, sondern Konsistenz. Ich brauche kein Konzern-Backend mit tausend Knöpfen. Ich brauche einen Ort, der meinen Code hostet und mir nicht in den Rücken fällt. Das ist exakt dasselbe Prinzip wie vanilla statt Framework-Monokultur: nimm das Werkzeug, das tut, was es soll, und nicht das, das dich besitzt.

Kann Codeberg das neue GitHub werden?

Falsche Frage. Codeberg will nicht das nächste GitHub werden. Codeberg will das sein, was GitHub mal war, bevor es einem Konzern gehörte: ein Ort, an dem die Open-Source-Welt zu Hause ist, getragen von der Community statt vom Geschäftsmodell.

Technisch wird Codeberg GitHub so schnell nicht ersetzen. Dafür müssten Tausende Entwickler den Schritt mitgehen, und das ist eine Bewegung von Jahren, vielleicht Jahrzehnten. Aber darum geht es nicht. Der Punkt ist, dass es überhaupt eine ernstzunehmende Alternative gibt, die keinem Konzern gehört. Genau das ist der Wert, den man unterstützen sollte — nicht, weil GitHub über Nacht zum bösen Ort geworden wäre, sondern weil eine Welt, in der zentrale Infrastruktur an einem einzigen Anbieter hängt, langfristig immer Probleme produziert.

Ich habe meinen Code nicht im Zorn weggezogen. Ich habe entschieden, wo er liegen soll. Das ist der ganze Unterschied.

Euer Mehmet