Working Draft

Wir waren dieses Jahr erneut auf der Head in the Cloud von mittwald in Espelkamp unterwegs und haben dort mit Torben Mallwitz über einen Vortrag gesprochen, den man so vermutlich nur selten auf einer Konferenz hört. Torben, CTO von guenstiger.de, hat sehr offen darüber berichtet, wie das Unternehmen im April 2025 Opfer eines Ransomware-Angriffs wurde und welche technischen, organisatorischen und menschlichen Herausforderungen die folgenden Tage und Wochen geprägt haben.

Shownotes

[00:00:27] Ransomware, Realität und Wiederherstellung

Am Morgen des 23. April 2025 begann für das Team von guenstiger.de ein Ausnahmezustand. Nahezu sämtliche internen Systeme waren verschlüsselt worden, Daten waren offenbar abgeflossen und in jedem Verzeichnis fanden sich die typischen Lösegeldforderungen samt Verweis auf eine Seite im Darknet. Glück im Unglück: Die eigentliche Preisvergleichsplattform blieb weiterhin online und konnte zumindest in einem eingeschränkten Modus weiterbetrieben werden.

Torben beschreibt sehr eindrücklich, wie professionell die hinter der Qilin-Ransomware stehende Organisation arbeitet. Ransomware wird mittlerweile als „Ransomware as a Service“ betrieben. Die Angreifer agieren wie ein Unternehmen mit klaren Strukturen, Support, Hierarchien und sogar Partnerprogrammen. Die Kommunikation läuft über ein Chatfenster im Darknet und fühlt sich, von der kriminellen Komponente abgesehen, erstaunlich ähnlich zu einer gewöhnlichen Geschäftsbeziehung an.

Für guenstiger.de war schnell klar, dass externe Hilfe benötigt wird. Noch am ersten Tag wurden Spezialisten für Incident Response und Forensik hinzugezogen, die bei der Analyse, der Verhandlung mit den Angreifern und der Wiederherstellung der Systeme unterstützten. Ein wichtiges Learning aus dem Vorfall: In einer solchen Situation sollte man nicht versuchen, alles selbst zu lösen. Die emotionale Belastung und die Vielzahl der gleichzeitig auftretenden Probleme machen einen kühlen Blick auf die Lage nahezu unmöglich.

Besonders spannend ist die wirtschaftliche Perspektive, die Torben auf das Thema einnimmt. Die Entscheidung, Lösegeld zu zahlen, wurde nicht aus Panik getroffen, sondern als nüchterne Business-Entscheidung. Der Zeitgewinn bei der Wiederherstellung der Systeme und die Bedeutung eines möglichst geringen Vertrauensverlusts gegenüber Kunden und Partnern überwogen letztlich die Alternative, alles ausschließlich aus Backups und manuellen Prozessen wieder aufzubauen.

Überraschend ist auch die Professionalität der Angreifer nach der Zahlung. Als die bereitgestellten Entschlüsselungswerkzeuge nicht überall funktionierten, gab es tatsächlich Support und Nachbesserungen. Das mag zunächst absurd wirken, folgt aber einer internen Logik: Das Geschäftsmodell der Erpresser basiert darauf, dass sich herumspricht, dass nach einer Zahlung auch tatsächlich geliefert wird.

Natürlich blieb es nicht bei der Wiederherstellung. Der Vorfall wurde genutzt, um die eigene Infrastruktur grundlegend zu modernisieren. Neue Sicherheitsmaßnahmen, Multi-Faktor-Authentifizierung, stärker zentral verwaltete Geräte und eine überarbeitete Systemarchitektur sollen zukünftige Angriffe erschweren. Daneben setzt das Team inzwischen verstärkt auf Notfallübungen und Planspiele, um im Ernstfall schneller und koordinierter reagieren zu können.

Ein zentrales Fazit des Gesprächs lautet dabei: Absolute Sicherheit gibt es nicht. Moderne IT-Systeme sind zu komplex und die Angriffsvektoren zu vielfältig. Ziel kann daher nur sein, die eigenen Systeme möglichst widerstandsfähig und als Angriffsziel möglichst unattraktiv zu machen.

Das Video zum Talk wird zeitnah auf dem YouTube Kanal von Mittwald verfügbar sein.

Standard Podcast [ 22:15 ] Jetzt abspielen | Play in Popup | Download

Wir haben diese Revision mit Florian Sowade über den EU AI Act gesprochen. Florian hat sich in die Regulierung eingelesen und erklärt uns, was die EU damit eigentlich regulieren will, welche Risikokategorien es gibt und warum der Act nicht primär ein Verbot von KI ist.

Gemeinsam sortieren wir ein, welche Pflichten schon gelten, welche noch kommen, warum Hochrisiko-Anwendungen anders behandelt werden als alltägliche KI-Tools und weshalb gerade Transparenz, Schulungspflichten, Trainingsdaten, Deepfakes und Auditierbarkeit in der Praxis noch viele offene Fragen aufwerfen.

Shownotes

[00:01:03] EU AI Act

Florian erklärt den EU AI Act als Versuch der EU, den Einsatz von KI zu regulieren, nicht zu verbieten. Im Zentrum steht eine Einteilung nach Risiko: inakzeptables Risiko, hohes Risiko, begrenztes Risiko und niedriges beziehungsweise nicht explizit reguliertes Risiko. Verboten sind etwa Social Scoring, bestimmte biometrische Identifikation im öffentlichen Raum und manipulative Systeme. Hochrisiko-Anwendungen betreffen Bereiche wie Kreditwürdigkeit, Recruiting, Medizin, Migration, Grenzkontrolle oder Rückfallprognosen. Dort braucht es unter anderem menschliche Kontrolle, Risikomanagement und teilweise Folgenabschätzungen.

Beim begrenzten Risiko geht es vor allem um Transparenz: Menschen sollen wissen, wenn sie mit einer KI interagieren oder wenn Bilder, Videos oder Texte KI-generiert sind. Peter und Florian diskutieren, wie gut solche Pflichten überhaupt durchsetzbar sind, ob sich daraus ähnliche Effekte wie bei Cookie-Bannern ergeben könnten und wo Missbrauch oder „malicious compliance“ naheliegen. Die niedrigste Kategorie umfasst Anwendungen wie Spamfilter, KI in Spielen, Übersetzungen, Zusammenfassungen oder alltägliche Textarbeit, die nicht weiter reguliert sind.

Ein größerer Teil des Gesprächs dreht sich um die Frage, was im Gesetz überhaupt als KI gilt. Da die Arbeit am Act bereits vor dem Durchbruch von Large Language Models begonnen hat, ist der Begriff nicht nur auf neuronale Netze oder Chatbots beschränkt. Entscheidend ist eher, ob ein System aus Daten lernt und daraus automatisiert Entscheidungen oder Empfehlungen ableitet. Das führt zu Grenzfällen, etwa bei Workflow-Tools, Coding-Assistenten oder automatisierten Entscheidungen in regulierten Branchen.

Florian ordnet außerdem ein, was der Act für Unternehmen bedeutet. Für seinen eigenen Arbeitskontext sieht er vor allem Schulungspflichten, interne Richtlinien und bewussten Umgang mit Daten als relevant an. Coding-Assistenten fallen nach seinem Verständnis nicht automatisch in Hochrisiko-Regeln, solange am Ende nachvollziehbarer Code entsteht. Kritisch wird es, wenn KI-Systeme selbst Entscheidungen treffen oder wenn generierter Code in Bereichen eingesetzt wird, in denen Grundrechte oder Lebensentscheidungen betroffen sind.

Zum Schluss sprechen wir über Bußgelder, offene Fristen, Kritik von Industrie und Netzpolitik, Transparenzpflichten für Modellanbieter, Trainingsdaten, Urheberrecht, Deepfakes, Watermarking und die Frage, wie sich KI langfristig in bestehende Software und Regulierung einfügt. Florian vermutet, dass der EU AI Act im Alltag vieler Entwicklerinnen und Entwickler eher im Hintergrund bleiben wird, aber bei Hochrisiko-Anwendungen sinnvolle zusätzliche Anforderungen schafft.

Standard Podcast [ 1:15:02 ] Jetzt abspielen | Play in Popup | Download

Wir waren dieses Jahr erneut auf der Head in the Cloud von mittwald in Espelkamp unterwegs und haben die Gelegenheit genutzt, mit André Richter über die Zukunft der Website zu sprechen. André ist seit den frühen Tagen des Webs im Agenturumfeld unterwegs und beschäftigt sich heute als Director Digital Experience mit der Frage, wie Unternehmen auch in einer von KI geprägten Welt digital relevant bleiben können.

Shownotes

[00:00:26] Die Website der Zukunft

Sterben Websites aus? Für André Richter lautet die Antwort: nein, aber sie verändern sich grundlegend. Die klassische Vorstellung einer Website als Sammlung von Seiten, die Menschen direkt im Browser aufrufen, verliert an Bedeutung. Stattdessen werden Inhalte und Funktionen zunehmend über Chatbots, Large Language Models und andere Interfaces vermittelt. Die Website bleibt dabei die digitale Repräsentanz eines Unternehmens, muss ihre Rolle aber neu definieren.

Im Mittelpunkt steht für André die Idee, dass eine Website immer ein Versprechen ist: Sie soll Menschen bei einem konkreten Problem helfen. Diese Funktion bleibt bestehen, auch wenn die Kommunikation künftig häufiger über Maschinen stattfindet. Webseiten werden daher nicht nur für menschliche Besucher, sondern zunehmend auch für KI-Systeme gestaltet werden müssen.

Als Denkmodell führt André seine „fünf I“ ein: Interaktion, Individualisierung, Interfaces, Inhalte und Infrastruktur. Nutzer interagieren anders mit Webseiten als noch vor wenigen Jahren und erwarten Antworten statt Linklisten. Gleichzeitig ermöglicht KI eine bislang ungeahnte Personalisierung, bei der Inhalte situativ und individuell zusammengestellt werden können. Hinzu kommen neue Interfaces jenseits des klassischen Bildschirms sowie die Frage, wie Inhalte strukturiert und technische Infrastruktur möglichst souverän und unabhängig betrieben werden können.

Besonders ausführlich sprechen wir über Inhalte. Unternehmen müssten sich viel stärker damit auseinandersetzen, was sie tatsächlich einzigartig macht. Generische Ratgebertexte und austauschbare Marketingfloskeln verlieren an Wert. Stattdessen sollten Webseiten konkrete Fragen beantworten, Probleme lösen und den eigenen Mehrwert klar herausstellen.

Technisch sieht André viele Parallelen zu den bekannten Disziplinen aus SEO und Barrierefreiheit. Semantische Strukturierung, sauber aufbereitete Inhalte und maschinenlesbare Informationen bleiben entscheidend. Wer bereits gelernt hat, Inhalte so aufzubereiten, dass Suchmaschinen und assistive Technologien sie verstehen können, bringt gute Voraussetzungen für die Welt der KI-getriebenen Suche mit.

Schließlich diskutieren wir die Frage, wie Erfolg künftig gemessen werden kann. Wenn immer weniger Nutzer direkt auf Webseiten landen, verlieren klassische Metriken wie Besucherzahlen oder Rankings an Aussagekraft. Stattdessen werden qualitative Faktoren wichtiger: Werden Nutzerbedürfnisse erfüllt? Entsteht Vertrauen? Werden die richtigen Inhalte von KI-Systemen aufgegriffen? Und wie gut gelingt es Unternehmen, bestehende Kundenbeziehungen zu pflegen und auszubauen?

Das Video zum Talk wird zeitnah auf dem YouTube Kanal von Mittwald verfügbar sein.

Standard Podcast [ 23:05 ] Jetzt abspielen | Play in Popup | Download

Wir sprechen mit Patrick H. Lauke (LinkedIn, Mastodon, Bluesky) und Peter Krautzberger (LinkedIn, Mastodon) über die WCAG, ihre Success Criteria und die Frage, warum ein Standard, der auf den ersten Blick sehr eindeutig wirkt, in der Praxis oft viel Interpretationsspielraum lässt.

Wir sprechen darüber, warum WCAG 2.x trotz ihrer Schwächen weiterhin die Grundlage vieler Audits und gesetzlicher Anforderungen ist, wie sich neue Erfolgskriterien additiv an ältere anhängen, warum das nicht immer elegant ist und wie Patrick im WCAG-GitHub-Repository und der Backlog-Arbeit versucht, offene Fragen und Grauzonen besser zu klären.

Shownotes

[00:00:56] WCAG, Success Criteria und Interpretationsspielräume

Wir steigen mit Patricks und Peters Hintergrund ein: Patrick arbeitet bei Tetralogical im Accessibility Consulting, war früher bei Opera und ist unter anderem im W3C-Kontext aktiv. Peter arbeitet im akademischen Verlagswesen, ist in der ARIA Working Group und Co-Editor der ARIA-Spezifikation. Von dort aus landen wir bei der WCAG 2.2 und der Frage, wie belastbar ihre Erfolgskriterien eigentlich sind.

Patrick beschreibt die WCAG als Standard, der objektiv und binär wirkt, in der Praxis aber oft Interpretationsarbeit verlangt. Ein Kriterium kann formal nach Pass oder Fail aussehen, aber sobald man echte Interfaces, echte Nutzer:innen und echte Audit-Situationen betrachtet, entstehen Grauzonen. Besonders schwierig wird das, weil WCAG in Gesetze und Standards hineinreferenziert wird, etwa über den EAA, EN 301 549, BITV oder andere nationale Regelungen. Damit hängen an der Auslegung nicht nur Best Practices, sondern auch Compliance, Haftungsfragen und wirtschaftlicher Druck.

Ein erstes Beispiel ist 1.1.1 Non-text Content: Alle wissen, dass Bilder, Audiohinweise oder andere Nicht-Text-Inhalte Alternativen brauchen, aber was eine „gute“ Alternative ist, hängt stark vom Kontext ab. Ist ein Speaker-Foto dekorativ, wenn der Name danebensteht? Oder gehört eine Beschreibung des Aussehens dazu? Schon hier zeigt sich, dass selbst das erste Erfolgskriterium nicht rein mechanisch prüfbar ist.

Weiter geht es mit Target Size aus WCAG 2.1 und 2.2. Patrick erklärt, dass die Formulierung theoretisch sogar einen ein Pixel großen Link bestehen lassen kann, wenn rundherum genug Abstand vorhanden ist. Das wäre formal eventuell ein Pass, praktisch aber ein schlechtes Interface. Genau solche Fälle zeigen, dass man WCAG nicht als vollständige Usability-Spezifikation missverstehen sollte.

Ein weiterer großer Block dreht sich um das additive Modell von WCAG 2.x. Ältere Success Criteria werden in Minor-Versionen nicht grundlegend umgeschrieben, damit neuere Fassungen rückwärtskompatibel zu bestehenden gesetzlichen Referenzen bleiben. Stattdessen kommen neue Kriterien hinzu. Das erklärt Überschneidungen wie zwischen Pointer Gestures und Dragging Movement. Patrick beschreibt, wie er in den nicht-normativen Understanding-Dokumenten Beispiele und Erklärungen verschoben und präzisiert hat, ohne den normativen Kern der Spezifikation umzudeuten.

Wir sprechen außerdem über Reflow und die Frage, wie sinnvoll sehr konkrete Grenzwerte wie 320 CSS Pixel sind. Die Idee dahinter ist klar: Inhalte sollen bei starkem Zoom nicht in zwei Richtungen gescrollt werden müssen. In der Praxis entstehen aber neue Fragen, etwa was bei 319 oder 321 Pixeln gilt, wie man Apps auditiert und wie man WCAG auf Nicht-Web-Kontexte überträgt. Dazu verweisen wir auf die Mobile Accessibility Task Force und WCAG2ICT.

Auch die Terminologie kommt zur Sprache: WCAG 2.x denkt noch stark in „Pages“, was bei Single-Page-Apps, App-Screens und dynamischen Views immer weniger passt. In Richtung WCAG 3 und im Kontext von WCAG-EM wird deshalb stärker über Views und Screens gesprochen. Patrick schätzt WCAG 3 zwar als wichtig und konzeptionell interessant ein, hält es aber für realistischer, die heute verwendete WCAG 2.x weiter zu schärfen, weil sie die aktuelle Audit- und Gesetzesrealität prägt.

Zum Schluss sprechen wir darüber, wie man sich einbringen kann. Die Arbeit an WCAG läuft öffentlich über GitHub, Issues und Pull Requests können verfolgt und eingebracht werden. Patrick verweist auch auf das öffentliche WCAG 2 Backlog Project Board, über das offene Themen sortiert und abgearbeitet werden.

Links

Revision 139

Patricks frühere Working-Draft-Folge aus dem Jahr 2013, in der es unter anderem um Touch Events ging.

These aren’t the success criteria you’re looking for

Patricks Talk über problematische, auslegbare und teilweise austricksbare WCAG Success Criteria.

Why are my live regions not working?

Ein Tetralogical-Artikel zu typischen Problemen mit ARIA Live Regions.

Standard Podcast [ 1:15:18 ] Jetzt abspielen | Play in Popup | Download

Wir sprechen mit Nina Gerling über das erste Jahr nach dem Inkrafttreten des Barrierefreiheitsstärkungsgesetzes (BFSG). Nina bringt mehr als 20 Jahre Erfahrung im Bereich digitale Barrierefreiheit mit und berichtet aus ihrer Arbeit als Beraterin, Auditorin und Mitglied verschiedener Accessibility-Communities.

Gemeinsam schauen wir darauf, welche Auswirkungen das BFSG in der Praxis hat, welche Produkte und Dienstleistungen tatsächlich betroffen sind und wo sich bereits erste Herausforderungen, Missverständnisse und Schlupflöcher zeigen. Außerdem sprechen wir darüber, warum Barrierefreiheit weit über Webseiten hinausgeht und welche Rolle Banken, Telekommunikation, E-Books, Selbstbedienungsterminals und digitale Dienstleistungen im Alltag vieler Menschen spielen.

Shownotes

[00:01:02] Ein Jahr BFSG: Was hat sich verändert?

Nina erzählt von ihrem Weg von der Frontend-Entwicklung in die Beratung für digitale Barrierefreiheit und berichtet, wie sich die Accessibility-Szene durch das Inkrafttreten des BFSG verändert hat. Wir sprechen darüber, warum plötzlich viele neue Expert:innen aufgetaucht sind, weshalb Barrierefreiheit ein enorm breites Fachgebiet ist und warum man auch nach Jahrzehnten noch ständig dazulernt.Anschließend ordnen wir das Barrierefreiheitsstärkungsgesetz (BFSG) ein. Dabei geht es um die Übergangsfristen, die Unterschiede zwischen Bestands- und Neusystemen sowie um die Frage, welche Produkte und Dienstleistungen überhaupt betroffen sind. Nina erläutert, dass das Gesetz vor allem verbraucherorientierte Angebote adressiert und nicht pauschal jede Website erfasst.

Wir betrachten verschiedene Anwendungsfälle wie Websites und Apps mit Vertragsabschluss, E-Books und E-Book-Reader, Selbstbedienungsterminals, Streaming- und Medienangebote sowie Telekommunikationsdienste. Besonders interessant ist die Diskussion über Echtzeit-Textkommunikation für gehörlose Menschen und die technischen Voraussetzungen in den Mobilfunknetzen, die durch europäische Vorgaben vorangetrieben werden.

Ein weiterer Schwerpunkt ist die praktische Bedeutung von Barrierefreiheit im Alltag. Am Beispiel von Banken, Geldautomaten und digitalen Bankdienstleistungen diskutieren wir, warum Barrierefreiheit nicht nur Komfort bedeutet, sondern häufig Voraussetzung für gesellschaftliche Teilhabe ist. Dabei wird deutlich, wie eng physische und digitale Zugänge inzwischen miteinander verknüpft sind.

Gegen Ende sprechen wir über die Durchsetzung von Barrierefreiheit, über Meldewege für Verstöße und über die Rolle von Community-Angeboten, Verbänden und Netzwerken. Dabei geht es auch um den Austausch innerhalb der Accessibility-Community sowie um Möglichkeiten für Menschen, die sich dem Thema erstmals nähern möchten.

Links

Nina Gerling auf LinkedIn

Ninas LinkedIn-Profil mit Hinweisen auf Vorträge, Webinare und Beiträge rund um digitale Barrierefreiheit.

MLBF

Projekt und Informationsangebot rund um Meldungen und Beschwerden zu mangelnder Barrierefreiheit von Marcus Herrmann.

Barrieren-Gutachten

Portal zur Meldung und Dokumentation von Barrieren, insbesondere im öffentlichen Bereich von Casey Kreer & Mitstreiter:innen.

IAAP D-A-CH

Fachverband für digitale Barrierefreiheit im deutschsprachigen Raum mit Webinaren und Veranstaltungen.

Accessibility Club

Niedrigschwellige Community-Treffen für Menschen, die sich mit digitaler Barrierefreiheit beschäftigen oder einsteigen möchten.

Standard Podcast [ 1:27:50 ] Jetzt abspielen | Play in Popup | Download

Wir sprechen über Agentic Engineering und die Frage, wie sich KI-gestützte Softwareentwicklung gerade verändert. Dabei geht es weniger um klassisches Vibe Coding und mehr um die Orchestrierung von Agents, Tools und Workflows, die uns bei Planung, Umsetzung und Betrieb von Software unterstützen können.

Anhand unserer eigenen Erfahrungen diskutieren wir aktuelle Werkzeuge, den Umgang mit Skills, MCPs und Agenten sowie die Herausforderungen, die beim Einsatz von KI im Entwicklungsalltag entstehen.

Shownotes

[00:01:00] Agentic Engineering statt Vibe Coding

Ausgehend von Hans‘ Artikel sprechen wir darüber, wie sich KI-Unterstützung in der Softwareentwicklung in kurzer Zeit verändert hat. Während zunächst Code-Vervollständigung, Copiloten und später Vibe Coding im Vordergrund standen, geht es heute zunehmend darum, Agents, Tools und Workflows miteinander zu verbinden. Wir diskutieren, was einen Agenten ausmacht, welche Rolle Tool-Use spielt und warum Agentic Engineering mehr umfasst als das reine Generieren von Code.

Anschließend vergleichen wir unsere persönlichen Setups. Vanessa setzt unter anderem auf OpenCode, GitLab Duo und getrennte Arbeitsumgebungen für klassische Entwicklung und Agenten-gestützte Aufgaben. Hans beschreibt seine Arbeitsweise mit Cursor und die zunehmende Verlagerung von klassischen Entwicklungsabläufen hin zu Chat- und Agent-zentrierten Workflows. Dabei geht es auch um automatisierte Refactorings, Commit-Erstellung und den sogenannten YOLO-Modus.

Ein weiterer Schwerpunkt ist die Zusammenarbeit verschiedener Systeme über das Model Context Protocol (MCP). Wir erläutern, wie Agents Informationen aus Werkzeugen wie Notion, GitLab, Slack oder Datenbanken zusammenführen können und weshalb Agentic Engineering häufig über einzelne Repositories hinausgeht. Dabei betrachten wir auch konkrete Beispiele aus dem Projektalltag, bei denen Planung, Dokumentation und Implementierung über mehrere Systeme hinweg koordiniert werden.

Ausführlich beschäftigen wir uns mit Skills. Dabei handelt es sich um wiederverwendbare Anweisungen und Kontextinformationen, die Agents bei ihrer Arbeit unterstützen. Wir sprechen darüber, wie sich Entwicklungsrichtlinien, Brand-Vorgaben, Ticket-Strukturen oder projektspezifische Regeln in Skills abbilden lassen und welche Vor- und Nachteile ein umfangreicher Skill-Katalog mit sich bringt.

Danach betrachten wir den eigentlichen Entwicklungsprozess. Wir sprechen über Brainstorming mit AI, die Ausarbeitung von User Stories und Anforderungen, die Erstellung von Implementierungsplänen sowie den Übergang zur eigentlichen Umsetzung. Dabei wird deutlich, dass Agentic Engineering nicht nur Coding umfasst, sondern den gesamten Software-Development-Lifecycle begleiten kann.

Zum Schluss diskutieren wir die Grenzen aktueller Systeme. Insbesondere bei komplexen Frontend-Projekten, bestehenden Design-Systemen, CSS-Architekturen und großen Codebasen stoßen Agents noch regelmäßig an ihre Grenzen. Gleichzeitig betrachten wir die organisatorischen Auswirkungen auf Teams, Reviews, Kostenstrukturen und die zukünftige Rolle von Entwicklerinnen und Entwicklern in einer zunehmend KI-gestützten Arbeitswelt.

Links

From Vibe Coding to Agentic Engineering

Hans beschreibt in seinem Blogpost die Entwicklung von einfachem „Vibe Coding“ hin zu einem strukturierteren Umgang mit KI-Agenten in der Softwareentwicklung.

skills.sh

Eine Sammlung von Markdown-Dateien, mit denen man seine KI um Fähigkeiten erweitern kann.

v0

Das KI-gestützte Entwicklungstool von Vercel erzeugt Benutzeroberflächen und Anwendungen direkt aus natürlichsprachigen Beschreibungen.

Cursor

Ein KI-unterstützter Code-Editor, der Entwickler:innen beim Schreiben, Verstehen und Refaktorieren von Code unterstützt.

OpenCode

Ein Open-Source-Werkzeug für agentisches Programmieren mit KI, das verschiedene Modelle und Entwicklungsworkflows integriert.

Standard Podcast [ 1:12:29 ] Jetzt abspielen | Play in Popup | Download

Wir setzen unsere Hörendenfragen aus Revision 703 fort und sprechen diesmal ausführlich über den Zustand von PWAs im Jahr 2026 sowie über die Frage, warum sich Browser gefühlt kaum noch weiterentwickeln. Dabei landen wir bei Install-Prompts, App-Stores, Browser-Engines, alternativen Suchmaschinen und der immer gleichen Chromium-Basis unter vielen modernen Browsern.

Außerdem diskutieren wir über neue Browser-Ideen wie den OpenAI Atlas Browser, schauen auf die Rolle von Projekten wie Electron und Tauri und fragen uns, ob echte Browser-Innovation heute überhaupt noch stattfindet oder ob sich das Web längst in einer Konsolidierungsphase befindet.

Shownotes

[00:05:36] The State of PWAs in 2026

Angestoßen durch die entsprechende Hörerfrage von Jan Gregor Emge-Triebel und Søren Birkemeyer diskutieren wir, wie es Progressive Web Apps aktuell geht und warum sie trotz vieler technischer Fortschritte nie ganz den Durchbruch geschafft haben. Wir sprechen über Installierbarkeit, Browser-Chrome, fehlende Sichtbarkeit im Alltag und warum sich native App-Stores weiterhin als dominante Plattform behaupten.

Außerdem schauen wir auf neue Möglichkeiten wie das experimentelle <install>-Element von Chrome und Edge und diskutieren, ob bessere Install-Prompts oder integrierte App-Verzeichnisse PWAs langfristig helfen könnten. Dabei vergleichen wir PWAs auch mit Ansätzen wie Electron und Tauri, die Webtechnologien in klassische Desktop-Anwendungen verpacken.

Auch Apples Verhältnis zu Web-Apps bleibt Thema. Wir sprechen über die jüngsten Entwicklungen rund um deklarative Push-Notifications in WebKit und die Frage, wie ernst Plattformbetreiber das offene Web als App-Plattform tatsächlich nehmen.

[00:23:01] Browser-Innovation und die Chromium-Monokultur

Im zweiten großen Themenblock sprechen wir über eine weitere Frage von Jan Gregor Emge-Triebel: What happened to Browser-Innovation? Ausgangspunkt ist die Beobachtung, dass Browser heute zwar technisch leistungsfähig sind, sich ihre Interfaces und Konzepte aber nur noch langsam verändern.

Wir sprechen über neue Ideen wie den OpenAI Atlas Browser und fragen uns, ob AI-gestützte Interfaces tatsächlich eine neue Browser-Generation einläuten könnten oder ob sich dahinter am Ende doch wieder nur Chromium verbirgt. Dazu passt auch unsere ältere Folge Revision 688: Browser-Engine-Diversity, die wir erneut aufgreifen.

Danach geht es um alternative Browser und Suchmaschinen. Wir diskutieren die Wahrnehmung von Brave, den historischen Hintergrund von Vivaldi und die Rolle von Kagi, unter anderem anhand eines Mastodon-Posts von Nileane über die Plattform.

Außerdem schweifen wir kurz zu älteren Browser- und Präsentationsideen ab und erinnern uns an Peters HTML-basiertes Präsentationsframework Pik. Zum Schluss sprechen wir noch über den Essay Never Forgive Them von Ed Citron und darüber, wie sich das Web und seine Plattformen in den letzten Jahren verändert haben.

[00:42:58] Tailwind und Utility-First-CSS

Die letzte Hörendenfrage kommt von Pi^2 und dreht sich um Tailwind CSS sowie den allgemeinen Trend zu Utility-First-CSS. Wir sprechen darüber, warum Tailwind trotz anfänglicher Vorbehalte inzwischen in vielen Teams angekommen ist und welche Vor- und Nachteile dieser Ansatz im Projektalltag mit sich bringt.

Dabei diskutieren wir Wartbarkeit, Wiederverwendbarkeit und die Frage, ob man Komplexität lieber direkt im HTML oder in abstrahierten CSS-Strukturen organisiert. Außerdem schauen wir darauf, wie moderne CSS-Features manche ursprünglichen Probleme von Utility-Frameworks inzwischen auch nativ lösen könnten und warum pragmatische Teamentscheidungen oft wichtiger sind als ideologische CSS-Debatten.

Standard Podcast [ 1:09:13 ] Jetzt abspielen | Play in Popup | Download

Wir sprechen mit Bastian Allgeier (Web / Mastodon / Bluesky / LinkedIn) darüber, wie sich Kirby nach mehr als 14 Jahren weiterentwickelt und was es bedeutet, ein kommerzielles CMS langfristig zu pflegen. Dabei geht es um Verantwortung gegenüber Kundinnen, Kunden und Community, um Wartbarkeit, Refactoring und die Frage, warum Beständigkeit gerade in schnelllebigen Zeiten ein eigenes Feature ist.

Außerdem diskutieren wir, wie sich KI auf CMS-Entwicklung, Content-Workflows, Plugins, Support und Produktentscheidungen auswirkt. Bastian beschreibt, warum Kirby KI nicht als fest eingebautes Kernfeature behandelt, sondern weiterhin auf Offenheit, Erweiterbarkeit und Unabhängigkeit setzt.

Shownotes

[00:00:59] Kirby, KI und die Verantwortung langlebiger Software

Bastian erzählt, wie aus einem Nebenprojekt für eigene Kundenprojekte nach und nach Kirby wurde. Seit 2017 arbeitet er Vollzeit daran. Wir erinnern uns an frühere Besuche bei Working Draft, unter anderem Revision 592 zu zehn Jahren Kirby und Revision 167, sowie an Bastians Auftritt bei der Nightly Build.Ausgehend von einem Talk von Oliver Reichenstein über iA Writer sprechen wir darüber, warum schnell erzeugte Software nicht dasselbe ist wie über Jahre gepflegte Software. Bastian betont, dass der eigentliche Aufwand oft erst nach dem ersten funktionierenden Prototyp beginnt: Wartung, Support, Weiterentwicklung, Migrationspfade, alte Abhängigkeiten und das Vertrauen der Nutzerinnen und Nutzer.

Ein großer Teil der Diskussion dreht sich um KI und sogenannte Vibe-Coding-Workflows. Bastian beobachtet, dass KI den Wechsel von anderen Systemen zu Kirby erleichtern kann, weil Migrationen schneller umsetzbar werden. Auch Plugins lassen sich heute leichter für spezifische Projekte bauen. Gleichzeitig entstehen neue Support-Probleme, wenn KI falschen Code erzeugt und Nutzerinnen und Nutzer die Fehler zunächst dem CMS zuschreiben.

Wir sprechen darüber, warum Kirbys dateibasierter Ansatz in dieser neuen Werkzeuglandschaft unerwartet gut funktioniert. Inhalte und Code liegen als Text vor, wodurch KI-Werkzeuge leichter Kontext erfassen können, ohne erst komplexe Datenbankzugriffe oder Schnittstellen zu benötigen. Kirby wird dabei weniger als klassisches Plug-and-Play-CMS beschrieben, sondern eher als flexibler Werkzeugkasten oder Klebersystem zwischen Website, Apps, Enterprise-Systemen und individuellen Workflows.

Bei KI-Features im Produkt selbst bleibt Bastian vorsichtig. Kirby soll weiterhin selbst gehostet auf einfachen Setups ebenso laufen wie auf größeren Servern. Feste Abhängigkeiten zu Anbietern wie OpenAI oder Anthropic passen aus seiner Sicht nicht gut zu diesem Anspruch. Wer KI integrieren möchte, kann das über eigene Erweiterungen oder bestehende Plugins aus dem Kirby Plugin-Verzeichnis tun, etwa über die Suche nach AI-Plugins.

Gleichzeitig beschreibt Bastian die ethische und strategische Ambivalenz im Umgang mit KI. Kirby hat viele Nutzerinnen und Nutzer aus Design, Kunst, NGOs und nachhaltig arbeitenden Projekten, die KI teils sehr kritisch sehen. Das Team will deshalb weder KI ignorieren noch unreflektiert alles darauf ausrichten. Wichtig bleibt, die eigene Unabhängigkeit zu bewahren und nicht in einen technischen oder gedanklichen Lock-in zu geraten.

Zum Schluss schauen wir auf die nächsten Schritte: Die Kirby Konf soll im September in Mainz die Community zusammenbringen, bewusst in kleinem Rahmen mit Talks und Session-Formaten. Außerdem arbeitet das Team an Kirby 6, inklusive größerem Refactoring, Vue-3-Umstieg, TypeScript-Arbeit und Änderungen an der Authentifizierung. Die aktuelle Alpha ist bereits als Kirby 6.0.0 Alpha 2 verfügbar.

Links

Kirby for Artists

Kirbys Einstiegsseite für Künstlerinnen und Künstler, passend zur im Gespräch erwähnten Design- und Kreativ-Community.

Kirby for Clients

Eine Kirby-Seite für Kundinnen und Kunden, die erklärt, wie das CMS in Projekten eingesetzt werden kann.

Kirby Community

Das Community-Forum rund um Kirby, Support, Plugins und Projektfragen.

Kirby kaufen

Die Lizenz- und Kaufseite für Kirby.

Standard Podcast [ 1:20:40 ] Jetzt abspielen | Play in Popup | Download

Wir drehen wieder am ARIA-Glücksrad und sprechen mit Daniela, Paweł und Peter Krautzberger über Rollen und Attribute, die man im Alltag teils nie sieht, teils besser nicht selbst nachbauen sollte. Dabei geht es um abstrakte Rollen, Menü-Patterns, deaktivierte Zustände, Dialoge, Präsentationswerkzeuge und einige ARIA-Fallen, die erst in Kombination mit Screenreadern richtig sichtbar werden. Diesmal müssen wir leider auf unser Runden-Mitglied Marco verzichten.

Shownotes

[00:02:33] ARIA Sectionhead Role

Die erste gezogene Rolle ist eine abstrakte ARIA-Rolle. sectionhead ist nicht für Autorinnen und Autoren gedacht, sondern dient innerhalb der ARIA-Ontologie als übergeordnete Rolle für Dinge, die den Kopf eines Bereichs bilden, etwa Headings, Column Header, Row Header oder Tabs. Laut Spezifikation sollen User Agents solche abstrakten Rollen nicht auf Accessibility APIs mappen, was sie für die praktische Arbeit eher zu einem Stolperstein beim Lernen macht.

[00:08:04] ARIA Menuitemcheckbox Role

menuitemcheckbox passt in Menüs von Web-Apps, die sich an native Anwendungen annähern. Beispiele sind Menüleisten, Quick Settings und das Pattern aus den ARIA Authoring Practices für Menubars, etwa bei einem Texteditor, in dem Einträge wie Bold oder Italic direkt einen aktivierten Zustand haben können.

Paweł erzählt außerdem von QuentinC’s Playroom, einer Plattform für Brett- und Kartenspiele für blinde Menschen, die Web-App-Patterns und ARIA-Rollen kreativ nutzt, um komplexe Spieloberflächen per Tastatur und Screenreader bedienbar zu machen.

[00:13:33] ARIA Disabled

aria-disabled kam schon in Revision 707 vor, wir beleuchten es aber noch einmal im Kontext bestimmter UI-Komponenten. Daniela bringt nämlich zwei Beispiele mit: einen Button mit Loading-, Success- und Fail-State sowie einen selbstgebauten Date Picker, in dem einzelne Tage nicht verfügbar sind.

Beim Date Picker stellt sich die Frage, ob nicht verfügbare Tage weiterhin per Pfeiltasten erreichbar sein sollten. Paweł plädiert dafür, sie im Grid sichtbar und erreichbar zu lassen, damit Screenreader-Nutzende die Struktur des Kalenders verstehen und nicht durch übersprungene Tage irritiert werden. Idealerweise sollte zusätzlich der Grund kommuniziert werden, etwa dass ein Datum nicht verfügbar oder bereits gebucht ist. Als Bezug dient das Date Picker Dialog Beispiel der ARIA Authoring Practices.

[00:18:58] ARIA Radio Role

Die radio-Rolle macht im Grunde das, was man erwartet, sollte aber möglichst nicht selbst nachgebaut werden, solange native Radio-Inputs funktionieren. Das Gespräch dreht sich schnell um Radio-Groups, die abhängig von der Auswahl weitere Formularfelder einblenden.

Paweł beschreibt ein Pattern, bei dem neue Felder im DOM direkt zwischen Radio-Optionen eingefügt werden. Bei kurzen Formularen kann das noch verständlich sein, bei längeren Abschnitten verliert man mit Screenreader aber schnell den Zusammenhang zur ursprünglichen Radio-Group. Dazu passt die Diskussion im ARIA-Issue zu aria-expanded auf Radio- und Checkbox-Elementen, in der genau solche dynamischen Formular-Patterns besprochen werden.

Als möglicher, aber problematischer Bezug kommt aria-controls zur Sprache. Der alte Artikel “aria-controls is poop” von Heydon Pickering wird erwähnt, weil das Attribut zwar Beziehungen ausdrücken soll, in der Praxis aber oft zu generisch und schlecht nutzbar bleibt.

[00:31:53] ARIA Application Role

role="application" zwingt Screenreader in einen Anwendungsmodus und signalisiert damit: Innerhalb dieses Bereichs übernimmt die Anwendung selbst Tastaturnavigation und Rückmeldungen. Peter beschreibt das als eine Art Canvas-Element für ARIA, bei dem man viel Unterstützung selbst bauen muss.

Ein Beispiel ist Reveal.js, das Paweł für einen Vortrag beim Accessibility Club Summit mit Pandoc aus Markdown erzeugt hat. Die Präsentation ist HTML im Browser, nutzt aber intern role="application". Dadurch funktionieren Pfeiltasten für Slides, gleichzeitig wird das Lesen der eigentlichen HTML-Struktur mit Screenreader und Braille-Display komplizierter, weil man zwischen Application Mode und virtuellem Lesemodus wechseln muss.

[00:41:42] ARIA Valuemax

aria-valuemax wird gezogen, aber wir vertiefen es nicht weiter, weil es als Teil der Wert-Attribute relativ selbsterklärend ist und die Runde lieber noch einmal neu dreht.

[00:42:30] ARIA Term Role

Die term-Rolle führt zu einem Abstecher über Definitionen, <dfn>, <dt>, <dd> und <dl>. <dfn> mappt auf term, während <dt> laut MDN keine implizite ARIA-Rolle hat.

Wir kommen darauf, dass Description Lists mehrere <dt>– und <dd>-Elemente kombinieren können, etwa für Synonyme oder mehrere Bedeutungen. Gleichzeitig sind komplexe Definition Lists für assistive Technologien nicht immer leicht zu vermitteln. Die Working-Draft-Shownotes selbst nutzen dieses HTML-Pattern, indem Themen in <dt> und Erklärungen in <dd> strukturiert werden.

[00:54:00] ARIA Dialog Role

Die dialog-Rolle wird als Rolle besprochen, die man heute oft nicht mehr braucht, weil es das native <dialog>-Element gibt. Trotzdem gibt es Randfälle, etwa Navigationskomponenten, die manchmal modal und manchmal als Teil der Seite erscheinen sollen.

Im Gespräch geht es außerdem um aria-modal, Fokus-Trapping, inert und die Probleme früherer Implementierungen, die etwa mit aria-hidden auf großen DOM-Bereichen gearbeitet haben. Dabei wird auch erwähnt, dass Browser heute teils versuchen, fehlerhafte Kombinationen zu reparieren oder Warnungen auszugeben.

Zum Schluss verweisen wir noch auf Manuel Matuzovićs Artikel zu role="presentation". Der erklärt, warum diese Rolle nicht automatisch dasselbe leistet wie aria-hidden und wie ARIA-Konfliktauflösung dazu führen kann, dass Browser Rollen oder Attribute verwerfen, wenn sie falsch eingesetzt werden.

Links

Standard Podcast [ 1:07:31 ] Jetzt abspielen | Play in Popup | Download