Omarchy war bei mir genau einen Abend lang installiert. Nicht, weil die Linux-Distribution schlecht wäre, sondern weil ich beim Benutzen gemerkt habe, dass ich mich darin verkleide. Seit dem Wochenende hat das System ein anderes Problem als meine Eitelkeit: Am Sonntag verkündete Gründer David Heinemeier Hansson, dass der Passwort-Manager 1Password und seine eigene Firma 37signals jeweils 100.000 Dollar pro Jahr für drei Jahre in die Omacom Foundation stecken. Zwei Tage später berichtet The Verge über Kunden, die ihren Passwort-Manager kündigen wollen, und über Mitarbeiter, die intern Fragen stellen. Der Grund ist nicht die Software.
- 1Password und 37signals zahlen der Omacom Foundation je 100.000 Dollar pro Jahr für drei Jahre, angekündigt am 31. August 2026, das Stiftungskapital liegt damit bei 12,6 Millionen Dollar
- Omarchy ist die Arch-basierte Linux-Distribution von David Heinemeier Hansson (DHH), Erfinder von Ruby on Rails und Mitgründer von Basecamp
- The Verge berichtet am 2. September von Kunden, die Alternativen suchen, und von internem Widerspruch bei 1Password; CEO David Faugno spricht intern von Bedenken wegen der polarisierenden Natur von DHH
- Auslöser sind DHHs Blogtexte, darunter ein Beitrag vom 21. Juli 2026 mit Abschiebe-Forderungen gegen Roma; 2023 hatte sich bereits die Bibliothek der Duke University von Basecamp getrennt
- An der Sicherheit von 1Password ändert die Spende nichts; ein Wechsel zu Bitwarden oder KeePassXC ist per Export und Import an einem Abend erledigt
- Eine öffentliche Stellungnahme von 1Password liegt bis zum 3. September nicht vor, DHH betont, es gebe keine Gegenleistung für das Geld
300.000 Dollar über drei Jahre, ein Blogpost mit Schlagzeile, und eine interne Slack-Nachricht
Die Ankündigung selbst ist unspektakulär. 1Password und 37signals werden „Distinguished Corporate Patrons“ der Stiftung, die Omarchy trägt, das Stiftungsvermögen wächst damit laut Heinemeier Hansson auf 12,6 Millionen Dollar. Er schreibt, 1Password sei seit dem ersten Tag Teil von Omarchy, weil es der erste Dienst sei, den er auf jedem neuen Rechner installiere, und es gebe „no quid pro quo“, Firmengeld und Privatspenden kauften dasselbe, nämlich Anerkennung. Auf Hacker News sammelte der Beitrag binnen eines Tages 131 Kommentare, und die waren nur zum Teil begeistert.
Was danach passierte, hat The Verge gestern zusammengetragen: Ein viral gegangener Blogpost warf 1Password in der Überschrift vor, mit der Spende die „ethnische Säuberung Europas“ zu unterstützen. In sozialen Netzwerken fragten Kunden nach Alternativen zum Passwort-Manager.
Im Unternehmen selbst gab es Widerspruch, so deutlich, dass CEO David Faugno und Mitgründer Roustem Karimov intern Stellung nahmen. Faugno spricht laut Verge von „Bedenken, intern wie extern“, die wegen der „polarisierenden Natur“ von Heinemeier Hansson geäußert würden. Eine öffentliche Erklärung von 1Password habe ich bis heute Morgen nicht gefunden, der Firmenblog behandelt weiter Autofill und KI-Sicherheit.
Wer DHH ist, und warum sein Name die Reaktion erklärt
David Heinemeier Hansson, in der Szene nur DHH, ist kein Unbekannter, den man erst googeln müsste. Er hat Ruby on Rails erfunden, das Framework, auf dem Shopify und GitHub laufen, und mit Basecamp und HEY zwei bekannte Produkte gebaut. Dazu schreibt er seit Jahren einen Blog, der weit über Software hinausgeht.
2023 trennte sich die Bibliothek der Duke University von Basecamp und begründete das mit dem Verhalten der Firmenspitze. In einem Blogpost vom 21. Juli dieses Jahres vergleicht er Migranten mit Wölfen, die man erschieße, wenn sie außer Kontrolle geraten, und fordert, Roma aus öffentlichen Räumen abzuschieben. The Verge zitiert die Passage wörtlich, ich verzichte darauf.
Das ist der Hintergrund, vor dem die Spende gelesen wird. Omarchy ist nicht irgendein Community-Projekt, es trägt den Zusatz „by DHH“ schon im Installer, und er schreibt selbst, das System müsse zuerst für ihn persönlich großartig sein, bevor es das für andere sein könne.
Wer die Stiftung finanziert, finanziert damit ein Projekt, das untrennbar mit einer Person verbunden ist. The Verge nennt die Reaktion deshalb „vorhersehbar“, und ich finde das Wort treffend: 1Password hat sich nicht in einen Streit verirrt, es hat ihn eingekauft.
Was Omarchy ist, und warum 1Password da überhaupt drinsteckt
Für alle, die beim Wort Distribution aussteigen: Eine Linux-Distribution ist Linux plus eine Auswahl an Programmen und Voreinstellungen, so wie es jemand für sinnvoll hält. Omarchy ist die Auswahl von DHH, gebaut auf Arch Linux, mit einem Fenstermanager, der Programme automatisch nebeneinander kachelt, und einer Bedienung, die fast komplett über Tastenkürzel läuft.
Auf Screenshots sieht das aus wie aus einem Hacker-Film, und genau deshalb hatte ich es beim Umstieg von Windows auf Linux ausprobiert. Einen Abend später war das Backup zurückgespielt. Gegen ein gut geöltes Tastenkürzel habe ich nichts, aber als Pflichtprogramm für jeden Handgriff ist es ein Kostüm, und ich bin nicht der Coder, dessen Werkzeug das ist.
Dass 1Password ausgerechnet hier Geld hinlegt, hat einen nüchternen Grund: Omarchy-Nutzer sind Entwickler, und Entwickler sind die Zielgruppe, die 1Password mit seinen Team-Tarifen und dem Geheimnis-Management verdient. Laut Verge ist Omarchy inzwischen eine der größeren Kundenumgebungen des Anbieters.
Das Sponsoring ist also weniger Idealismus als Marketing an der richtigen Adresse. Geändert hat sich am Code durch das Geld nichts, Omarchy bleibt Open Source, und die Stiftung bezahlt Infrastruktur und Entwicklung, nicht Meinungen. Das ist die Verteidigungslinie, die DHH selbst zieht, und technisch stimmt sie.
Wechseln oder bleiben: Was das für 1Password-Nutzer heißt
Zuerst das Wichtigste, weil es in der Aufregung untergeht: An der Sicherheit von 1Password ändert eine Spende nichts. Die Tresore sind so verschlüsselt wie letzte Woche, es gibt keine Lücke und keinen Vorfall. Wer wechseln will, tut das aus Haltung, nicht aus Vorsicht, und das ist ein legitimer Grund, aber ein anderer.
Der Wechsel selbst ist heute weniger Arbeit als sein Ruf: 1Password exportiert alle Einträge als Datei, Bitwarden oder KeePassXC lesen sie ein, danach müssen nur die Browser-Erweiterungen getauscht werden. Ein Abend, nicht ein Wochenende.
Für Umsteiger, die gerade eine Linux-Distribution suchen, ist die Geschichte eine Erinnerung daran, dass die Wahl des Systems immer auch die Wahl der Leute ist, die es bauen. Bei Fedora, das bei mir läuft, ist das eine Community mit Red Hat im Rücken, bei Omarchy ein einzelner Mann mit Meinung. Beide Systeme laufen. Nur eines davon steht seit Sonntag in den Schlagzeilen, und zwar nicht wegen eines Kernel-Bugs.
Ich habe Omarchy nicht wegen DHH gelöscht, ich wusste an dem Abend nicht einmal, was er nebenbei schreibt. Gelöscht habe ich es, weil ich mich darin verkleidet habe. Jetzt fällt mir auf, dass die Frage, wessen Werkzeug man benutzt, nicht nur eine technische ist. Bei der Bohrmaschine ist mir der Hersteller egal. Bei dem Programm, das alle meine Passwörter kennt, offenbar nicht mehr.
Ein Passwort-Manager lebt davon, dass ihm alle Lager vertrauen
Ich habe kein Problem damit, dass Firmen Open-Source-Projekte bezahlen, im Gegenteil, davon gibt es zu wenig. Aber ein Passwort-Manager ist kein Energydrink. Sein einziges Produkt ist Vertrauen, und zwar von Menschen, die sich politisch in nichts einig sind außer darin, dass ihre Passwörter niemand lesen soll.
Sich mit 300.000 Dollar an eine Person zu hängen, deren Texte einen Teil dieser Kunden direkt betreffen, ist keine mutige Entscheidung, sondern eine unnötige. 1Password hätte Arch Linux finanzieren können oder gleich den Kernel. Es hat sich für den einen Namen entschieden, der garantiert Schlagzeilen macht. Die hat es jetzt.
Die Fragen zum Fall
Was ist Omarchy?
Eine Linux-Distribution auf Basis von Arch Linux, zusammengestellt von David Heinemeier Hansson (DHH), dem Erfinder von Ruby on Rails. Sie setzt auf einen kachelnden Fenstermanager und Tastenkürzel und richtet sich an Entwickler. Getragen wird sie von der Omacom Foundation mit inzwischen 12,6 Millionen Dollar Kapital.
Warum steht 1Password wegen Omarchy in der Kritik?
Weil 1Password der Omacom Foundation 100.000 Dollar pro Jahr für drei Jahre zusagt und DHH in seinem Blog unter anderem die Abschiebung von Roma fordert. Kunden und Mitarbeiter lesen die Spende laut The Verge als Unterstützung der Person, nicht nur der Software.
Ist 1Password deshalb unsicher?
Nein. Die Spende ändert nichts an Verschlüsselung oder Sicherheit des Passwort-Managers, es gibt keinen Vorfall und keine Lücke. Wer aus Haltung wechseln will, exportiert seine Einträge und importiert sie in Bitwarden oder KeePassXC.
