Linux-Kernel strich elf Entwickler von seiner Liste, darunter alle mit .ru-Adresse, dann trug er einen wieder ein

Am 18. Oktober 2024 verschickte der Kernel-Maintainer Greg Kroah-Hartman per E-Mail einen Patch für MAINTAINERS, die Datei, die festhält, wer welchen Teil des Linux-Kernels betreut, und nahm ihn binnen neun Minuten in seinen eigenen Entwicklungszweig auf. Die Begründung des Patches lautet vollständig: "Einige Einträge aufgrund verschiedener Compliance-Anforderungen entfernen. Künftig können sie zurückkehren, wenn ausreichende Unterlagen vorgelegt werden." Die E-Mail ging an eine einzige Patch-Mailingliste und an ihn selbst; keiner der Gestrichenen stand unter den Empfängern, und der Commit trägt keinen Review-Vermerk. Linus Torvalds übernahm ihn am 20. Oktober per Merge.

Der Commit änderte keinen Code. Er löschte 178 Zeilen und strich elf Personen aus der Datei, neun davon als Maintainer eingetragen, zwei nur als Reviewer. Eine Auszählung der Datei zeigt: Vor dem Commit enthielt MAINTAINERS 23 Zeilen mit einer .ru-Adresse, verteilt auf zehn Personen; danach keine mehr. Der Elfte, Serge Semin, war unter einer gmail.com-Adresse eingetragen.

Am 21. Oktober fragte ein anderer Kernel-Maintainer auf der Mailingliste, worin die Anforderungen bestünden, und fügte hinzu: "Ich fürchte außerdem, dass dies weiterer (missbräuchlicher) Verwendung Tür und Tor öffnet ..." Ein zweiter Maintainer antwortete noch am selben Tag: "Ich stimme zu." Eine öffentliche Antwort Kroah-Hartmans wurde nicht gefunden. Phoronix schrieb am 22. Oktober, die Gestrichenen seien "anscheinend alle Russen oder mit Russland verbunden"; LWN hielt fest, es habe "keine öffentliche Bekanntgabe der Richtlinie, die die Entfernung dieser Einträge verlangte", gegeben. Am 23. Oktober schrieb der Administrator von kernel.org, der sich im selben Beitrag eine "als russisch identifizierte Person" in "einer der leitenden Positionen der Linux Foundation" nannte, in einem öffentlichen Streit auf dem Social-Media-Server von kernel.org, er spreche nicht für die Foundation, und die Gestrichenen seien "als Beschäftigte von Unternehmen auf der Sanktionsliste der USA und der EU identifiziert worden". Diese Unternehmen, schrieb er weiter, seien "unmittelbar am russischen Militärkomplex beteiligt"; falls die Gestrichenen für Unternehmen arbeiteten, die "Waffen oder Logistik entwickeln, die das russische Militär nutzt", mache er sie "auf einer sehr persönlichen Ebene verantwortlich". Der Beitrag nennt kein Unternehmen und keine Quelle.

Weniger als eine Stunde nach diesem Beitrag antwortete Torvalds auf einen Vorschlag, die Streichung zurückzunehmen: "Okay, jede Menge russische Trolle unterwegs." Es sei, schrieb er, "völlig klar, warum die Änderung vorgenommen wurde, sie wird nicht zurückgenommen", und "der Einsatz mehrerer beliebiger anonymer Konten" werde daran nichts ändern; für "die tatsächlich unbeteiligten Zuschauer, die keine Konten von Trollfabriken sind", fügte er hinzu, die Anforderungen seien "nicht nur eine US-Sache". Weiter schrieb er: "Falls Sie von den Russland-Sanktionen noch nichts gehört haben, sollten Sie irgendwann einmal versuchen, Nachrichten zu lesen." Und: "Ich bin Finne. Dachten Sie, ich würde russische Aggression *unterstützen*?" Auf die Frage, ob er an eine Verschwiegenheitsvereinbarung gebunden sei, antwortete er: "Nein, aber ich bin kein Anwalt, also werde ich nicht auf die Einzelheiten eingehen, die mir - und anderen Maintainern - von Anwälten mitgeteilt wurden." Keine seiner beiden Antworten nennt eine Regel oder eine Liste.

Am 24. Oktober verabschiedete sich Semin mit einer Nachricht an die Kernel-Mailingliste. Nach seiner Darstellung hatte der ranghohe Maintainer, mit dem er die Sache privat besprochen hatte, nicht erklärt, worin die Anforderungen bestanden; aus diesem Austausch nannte er nur die Stichworte: "Sanktionen", "tut mir leid", "ich kann nichts tun", "sprechen Sie mit Ihrem (Firmen-)Anwalt". Seine eigene Arbeit am Kernel, schrieb er, sei "seit mehr als einem Jahr rein _ehrenamtlich_", weshalb er keinen Firmenanwalt habe, mit dem er sprechen könne, und der Patch sei "stillschweigend, hinter dem Rücken aller, _unter Umgehung_ des üblichen Patch-Review-Verfahrens, ohne Benachrichtigung der betroffenen Entwickler/Subsysteme" aufgenommen worden. Einer der beiden gestrichenen Reviewer hatte am 21. Oktober geschrieben, als ein anderer Entwickler anbot, von ihm betreute Treiber zu übernehmen: "Ich bin natürlich weiterhin interessiert ... aber es sieht so aus, als dürfte ich nicht mehr." Ein weiterer der elf hatte am 23. Oktober auf den Vorschlag zur Rücknahme mit einer einzigen zustimmenden Zeile geantwortet, einem Acked-by-Vermerk unter seinem eigenen Namen.

Rund zehn Stunden nach Semins Abschied antwortete ihm der Kernel-Entwickler James Bottomley: "Bitte nehmen Sie unser aller Entschuldigung dafür an, wie dies gehandhabt wurde." Den juristischen Rat fasste er so zusammen: "Wenn Ihr Unternehmen auf den SDN-Listen des US-amerikanischen OFAC steht, einem OFAC-Sanktionsprogramm unterliegt oder einem Unternehmen auf der Liste gehört oder von ihm kontrolliert wird, ist unsere Möglichkeit, mit Ihnen zusammenzuarbeiten, Beschränkungen unterworfen, und Sie können nicht in der MAINTAINERS-Datei stehen." An Semin gewandt schrieb er: "In Ihrem konkreten Fall liegt das Problem darin, dass Ihr Arbeitgeber auf dieser Liste steht." Keiner der beiden nannte den Arbeitgeber. Bottomley dankte Semin für seine Beiträge, bot an, ihm "oder jedem anderen" zu einem Eintrag in der CREDITS-Datei des Kernels zu verhelfen, und schrieb: "Die gesamte Linux-Infrastruktur und viele der Maintainer befinden sich in den USA, und wir können die Anforderungen des US-Rechts nicht ignorieren." Noch am selben Tag beantwortete er auch die Frage vom 21. Oktober. "Wir haben endlich die Freigabe erhalten, den eigentlichen Rat zu veröffentlichen", begann er und wiederholte die Regel; die verlangten Unterlagen, die von Anwälten der Linux Foundation geprüft würden, müssten belegen, dass ein Gestrichener "tatsächlich nicht für eine über die SDN-Liste des OFAC sanktionierte Einrichtung arbeitet"; er fügte hinzu: "Ich stimme zu, dass wir in dieser Sache transparenter hätten sein sollen", meinte aber, für jemand anderen als Kroah-Hartman wäre es schwer, einen Maintainer mit dieser Begründung streichen zu lassen, "also ist das wahrscheinlich nicht so anfällig für Missbrauch". Auf die Frage, in welcher Eigenschaft er spreche, antwortete er: "Das ist Linux, also in überhaupt keiner offiziellen Eigenschaft. Allerdings gebe ich die Ansichten einer Reihe von Leuten wieder, mit denen ich gesprochen habe, aber es wäre nicht fair von mir, sie zu nennen." Anwälte, fügte er hinzu, würden "später ein wesentlich längeres Richtliniendokument vorlegen".

Zwei Unternehmen, deren Namen zu gestrichenen Einträgen passen, standen bereits auf dieser Liste des US-Finanzministeriums: ein Unternehmen namens Metrotek seit dem 31. März 2022 und Baikal Electronics seit dem 15. September 2022, beides im ersten Jahr des Krieges in der Ukraine. Ein gestrichener Reviewer war unter einer metrotek.ru-Adresse eingetragen; Semin stand als Maintainer in den beiden Baikal-T1-Einträgen des Kernels, und als er im März 2023 Patches unter einer Adresse von Baikal Electronics einreichte, antwortete ein Netzwerk-Maintainer: "Wir fühlen uns nicht wohl dabei, Patches anzunehmen, die von Ihrer Organisation stammen oder von ihr hergestellte Hardware betreffen." Eine dritte Person wurde unter einer sberdevices.ru-Adresse gestrichen: Die Liste auf dem Stand vom 13. Oktober 2026 enthält keinen Eintrag unter dem Namen SberDevices, und die Sberbank steht seit dem 6. April 2022 darauf; ob SberDevices der Sberbank gehört, wurde nicht geprüft. Patches von Gestrichenen wurden weiterhin angenommen: Am 13. Oktober 2026 fand die Commit-Suche von GitHub im Hauptzweig des Kernels siebzehn Commits mit Datum nach der Streichung, eingereicht von den .ru-Adressen, unter denen zwei der Gestrichenen in MAINTAINERS gestanden hatten; einer davon, mit Datum vom April 2025, stammt vom anderen gestrichenen Reviewer, dem oben zitierten. Im März 2025 strich QEMU, ein anderes Open-Source-Projekt, zwei Maintainer - in einem per Review geprüften Commit, der zwei Organisationen nennt und angibt, dass sie auf der US-Sanktionsliste stehen. Im selben Monat nannte ein per Review geprüfter Kernel-Commit, der Maintainer für einen anderen Teil des Kernels eintrug, die Regel in seiner Begründung: Er bezeichnet ein Unternehmen als "eine vom OFAC sanktionierte Einrichtung", "was Beschäftigte als Maintainer ausschließt", und verweist auf Bottomleys Antwort auf die Frage vom 21. Oktober.

Einer der elf kehrte zurück: Abylay Ospan, unter einer .ru-Adresse gestrichen, schickte von einer amazon.com-Adresse einen auf den 23. Oktober datierten Patch, der ihn wieder als Maintainer von sechs Medientreiber-Einträgen eintrug, und Kroah-Hartman nahm den Patch am 29. Oktober 2024 auf. Die allgemeine Handreichung der Linux Foundation vom 29. Januar 2025 zu US-Sanktionen nennt es ein Problem, Leistungen für "einen Entwickler, der (direkt oder indirekt) bei einem SDN beschäftigt ist", also bei einer Person oder Einrichtung auf der Liste des US-Finanzministeriums, zu erbringen; sie erwähnt weder den Kernel noch MAINTAINERS, und LWN bezeichnete sie als "die Überlegungen, die hinter der Entfernung einer Gruppe russischer Kernel-Maintainer im Oktober standen". Der Bericht des Code-of-Conduct-Komitees des Kernels für April 2024 bis März 2025, den Kroah-Hartman am 30. April 2025 im Namen des Komitees an die Kernel-Mailingliste schickte, verzeichnet "Meldungen über Maßnahmen im Zusammenhang mit dem Office of Foreign Assets Control (OFAC) und über beiläufige Bemerkungen in technischen Diskussionen, die die Schwelle zu einem Verstoß nicht erreichen"; um welche Meldungen und Maßnahmen es ging, sagt er nicht. Im Kernel auf dem Stand vom 12. Oktober 2026, Linux 7.3-rc7, enthält MAINTAINERS keine .ru-Adresse, und keiner der anderen zehn ist dort oder in der CREDITS-Datei aufgeführt. Keine für diese Aufzeichnung gelesene Primärquelle nennt die Nationalität oder die Staatsangehörigkeit auch nur eines der elf.