De mensen die het internet overeind houden

Je wekker, een instapkaart, een vergadering in een ander land, de dag dat je salaris wordt gestort: alles op je telefoon dat een tijdstip weergeeft, moet weten waar je bent. Hieronder liggen elke Android-telefoon, elke iPhone en de meeste servers op het internet.

Ze halen allemaal de lokale tijd uit één tekstbestand, de tijdzone-database, waarin elke klokregel die ooit door een overheid is aangekondigd, is vastgelegd. Paul Eggert, docent aan de UCLA, houdt dit bestand in zijn vrije tijd up-to-date.

Paul Eggert

  • Docent computerwetenschappen aan UCLA en sinds 2012 de officiële coördinator van het tijdzonebestand.
  • 4.000.000.000 Android-telefoons en iPhones maken gebruik van zijn bestand. (Servers, Macs of laptops zijn hier niet bij meegeteld, wat het aantal nog hoger zou maken).

Op 29 september bracht Paul versie 2026e van het bestand uit. De eerste regel van de toelichting vermeldt dat Manitoba op 31 oktober overgaat op permanente -05, wat telefoons in Winnipeg vertelt dat ze hun klokken op 1 november niet terug moeten zetten. Dit was een maand van tevoren ingevoerd door twee vrijwilligers. Van de 251 wijzigingen die het afgelopen jaar in het bestand zijn aangebracht, waren er 218 van hem en 28 van Tim Parenti.

In 2011 klaagde een bedrijf in astrologiesoftware Paul en Arthur Olson (die het bestand in 1986 startte bij de National Institutes of Health) aan. Het bedrijf claimde dat een deel van de geschiedenis afkomstig was uit een atlas van hun eigendom. De mailinglijst en de downloadsite van het bestand werden uitgeschakeld totdat IANA, die de masterlijsten van het internet beheert, deze later die maand overnam. De Electronic Frontier Foundation verdedigde hen gratis, en het bedrijf trok de zaak in februari 2012 in.

De kwetsbaarheid van de digitale infrastructuur

Er is een bekende strip van xkcd waarin een toren wordt afgebeeld met het label "alle moderne digitale infrastructuur". Deze toren rust op één klein blokje met de tekst: "een project dat door een willekeurig persoon in Nebraska sinds 2003 onbaatbaar wordt onderhouden".

We wilden weten in hoeverre dit waar is. We hebben de volledige geschiedenis gedownload van 23 stukken software waar telefoons, browsers en servers afhankelijk van zijn, en we hebben iedereen geteld die tussen oktober 2025 en oktober 2026 tien of meer wijzigingen per project heeft doorgevoerd. Vervolgens hebben we opgelijst wat er daadwerkelijk is geïnstalleerd op een Android-telefoon, een iPhone en een Windows-pc.

Het resultaat was dat 11 van de 23 projecten werden beheerd door één of twee mensen die het regelmatige werk deden.

Voorbeelden van kritieke beheerders

Lasse Collin

  • Woont in Finland en beheert xz, het compressietool op bijna elke Linux-server en in elke iPhone.

Lasse schreef in een e-mail dat zijn capaciteit om het project te beheren "behoorlijk beperkt was, voornamelijk door langdurige mentale gezondheidsproblemen". Gedurende enkele maanden hadden accounts genaamd Jigar Kumar en Dennis Ens berichten geplaatst over hoe traag de voortgang was, en een contributor genaamd Jia Tan stuurde nuttige fixes.

Lasse gaf Jia Tan meer toegang. In 2023 voerde Jia Tan 304 wijzigingen uit in xz en Lasse 172. In februari 2024 bevatten de versies die Jia Tan uitbracht een verborgen achterdeur naar Linux-servers. Andres Freund, een ingenieur bij Microsoft, ontdekte dit op 29 maart omdat zijn logins meer processortijd in beslag namen dan normaal, vlak voordat de meeste Linux-systemen de update hadden geïnstalleerd. Niemand heeft tot nu toe ontdekt wie Jia Tan is.

Na dit incident was Lasse weer alleen; in 2025 schreef hij 97 procent van de wijzigingen.

Denis Pushkarev

  • Schreef core-js, waardoor nieuwe JavaScript werkt in oude browsers. Volgens eigen gegevens draait dit op ongeveer de helft van de duizend drukste websites ter wereld.

In 2019 werkte hij fulltime aan core-js zonder betaling, wonend in Rusland omdat dat goedkoper was. Volgens zijn eigen verslag reed hij drie weken na een grote release om 3 uur 's nachts naar huis, toen twee jonge vrouwen op een donkere weg onder zijn auto terechtkwamen; één van hen overleed. De families vroegen om ongeveer $80.000 en de aanklager vroeg om zeven jaar gevangenis.

Hij voegde een bericht toe dat in de terminal verscheen telkens wanneer iemand core-js installeerde, waarin hij vroeg om hulp of een baan. Miljoenen ontwikkelaars zagen dit, en velen klaagden over het bericht. Hij ging in januari 2020 naar de gevangenis en kwam ongeveer tien maanden later vervroegd vrij.

Sinds oktober 2020 is hij terug aan het werk. Dit jaar schreef hij 95 procent van de wijzigingen en heeft hij twee sponsors op GitHub. In totaal haalde hij slechts $57 per maand op toen hij om donaties vroeg om core-js draaiende te houden.

Todd Miller

  • Beheert sudo (het commando dat administratorrechten geeft op een Mac of Linux-server) sinds het begin van de jaren '90.

Sudo werd rond 1980 geschreven aan SUNY Buffalo, en Todd beheert het al langer dan Linux bestaat. Nadat The Register in februari schreef over zijn verzoek om financiering, bereikte het budget van het project via Open Collective ongeveer $61.700 per jaar en sponsorden 30 mensen het project op GitHub. Dit maakt sudo het best gefinancierde eenmansproject in ons onderzoek.

DRC

  • Beheert libjpeg-turbo, waarmee elke JPEG op Android-telefoons en in Chrome en Edge wordt geopend.

Hij startte het project in 2010 door de JPEG-code uit de jaren '90 te nemen en deze twee tot zes keer sneller te maken. In 2019 werd het de referentieversie van JPEG voor de ISO en de ITU. Hij runt het als een klein bedrijf, wat het project beschrijft als "uitsluitend gefinancierd door patronage en betaalde ontwikkeling". Op een gegeven moment schreef hij dat er algemene financiering was "voor ongeveer 8-10 uur arbeid per maand". Dit jaar schreef hij 98 procent van de wijzigingen.

Het SQLite-team

  • SQLite is aanwezig in elke Android-telefoon, iPhone, Mac, elke kopie van Windows 10 en 11 en elke grote browser.

Vier mensen hebben het afgelopen jaar wijzigingen aangebracht in SQLite. D. Richard Hipp schreef SQLite in 2000 nadat hij software had ontwikkeld voor een Amerikaanse marine-destroyer, waarbij de database telkens faalde als een aparte server uitviel; daarom maakte hij een database die in één enkel bestand leeft. Wanneer je WhatsApp opent, laden je chats vanuit zo'n bestand. De schatting van het project is dat er meer dan een biljoen SQLite-databases in gebruik zijn. Het team financiert het werk door support te verkopen via het bedrijf van Hipp.

Mark Adler

  • Schreef zlib in 1995 samen met Jean-loup Gailly. In zijn andere baan beheerde hij de Spirit-rover van NASA op weg naar Mars.

zlib maakt bestanden kleiner en zit in PNG-afbeeldingen, webpagina's, Git, Android, iPhones en Chrome. Debian telt het op 291.615 van de machines die aan hen rapporteren, wat effectief elke machine is. Het afgelopen jaar deden twee mensen het meeste werk: Mark en een contributor die bekend staat als Vollstrecker. Mark heeft geen sponsorpagina en zlib staat op geen enkele publieke financieringslijst die we hebben gecontroleerd.

Chet Ramey

  • Heeft bash (de shell op Linux en Macs) beheerd van 2003 tot 2019, en in totaal sinds ongeveer 1990, naast zijn baan bij de netwerkgroep van Case Western Reserve University in Ohio.

In september 2014 rapporteerde Stéphane Chazelas een bug in bash aan Chet. Iedereen kon hiermee commando's uitvoeren op een server door een speciaal gevormd stuk tekst te versturen. Op 24 september werd dit publiek bekend als 'Shellshock', wat invloed had op honderden miljoenen machines. De regel code die dit veroorzaakte, was op 5 augustus 1989 aan bash toegevoegd. Elke wijziging in de publieke geschiedenis van bash is van Chet, inclusief de officiële fixes.

Behdad Esfahbod

  • Schreef HarfBuzz opnieuw, wat bepaalt hoe letters worden verbonden en geplaatst in Android, Chrome, Firefox, Edge, Kindle en Figma.

Voor het Engels is dit werk eenvoudig. In het Hindi, Arabisch, Tamil en het grootste deel van de wereldtalen veranderen letters van vorm afhankelijk van hun buren; zonder deze 'shaping' komt een woord uit als een rij losse stukjes. Behdad startte de rewrite rond 2012 tijdens zijn tijd bij Google. Dit jaar schreef hij 85 procent van de wijzigingen, waarbij vijf andere mensen regelmatig werk verrichtten.

Daniel Stenberg

  • Startte curl in Zweden in 1996. Het verplaatst data voor telefoons, auto's, tv's en Windows (dat het sinds 2018 implementeert).

Dit jaar deden elf mensen regelmatig werk aan curl. Viktor Szakats voerde de meeste wijzigingen uit, gevolgd door Daniel en Stefan Eissing (445 wijzigingen). In zijn review van 2025 schreef Daniel dat iedereen behalve hijzelf nu meer regels aan curl heeft toegevoegd dan hijzelf. Hij werkt er fulltime aan omdat bedrijven betalen voor support, het project ongeveer $89.700 per jaar ontvangt via Open Collective, en het Duitse publieke fonds voor open source €195.000 betaalde voor werk hieraan.

Beveiliging en Financiering

OpenSSL zorgt voor het slotje op een groot deel van het web. In april 2014 liet een bug genaamd 'Heartbleed' iedereen wachtwoorden en private sleutels lezen uit het geheugen van ongeveer 17 procent van de vertrouwde beveiligde servers. In die week schreef de president van de OpenSSL foundation, Steve Marquess, dat zij ongeveer $2.000 per jaar aan donaties ontvingen, en hij vertelde NPR dat één persoon er fulltime aan werkte.

Binnen twee maanden zamelde de Linux Foundation $5,4 miljoen op bij technologiebedrijven, waardoor OpenSSL twee betaalde ontwikkelaars en een audit kreeg. In 2013 waren er zes mensen die regelmatig werk deden; in 2014 waren dat er veertien.

Een vergelijking tussen OpenSSL en xz laat een verschil zien:

  • OpenSSL: Had vóór 2014 drie tot zeven mensen per jaar. Na Heartbleed in 2014 kwam het geld binnen en steeg het aantal mensen naar veertien. In 2026 heeft OpenSSL 32 mensen die regelmatig werk verrichten.
  • xz: Had vóór 2014 één persoon. Na de ontdekking van de xz-backdoor in maart 2024 is er geen nieuw geld binnengekomen dat we konden vinden. In 2026 heeft xz nog steeds één persoon die het werk doet.

Overzicht van financiering

Het Sovereign Tech Agency van Duitsland heeft sinds 2022 ongeveer negentig open source-projecten gefinancierd, en het Alpha-Omega-fonds gaf vorig jaar bijna $6 miljoen uit.

Gefinancierd door het Sovereign Tech Agency:

  • log4j: €596.160
  • FFmpeg: €437.930
  • OpenSSL: €405.888
  • OpenSSH: €200.000
  • curl: €195.000

Geen publieke subsidies gevonden:

  • Tijdzone-database: €0
  • SQLite: €0
  • zlib: €0
  • libxml2: €0
  • libjpeg-turbo: €0
  • HarfBuzz: €0
  • xz: €0
  • bash: €0
  • nghttp2: €0
  • expat: €0

Op GitHub Sponsors heeft Daniel Stenberg 64 sponsors. Paul Eggert, Lasse Collin, DRC en Mark Adler hebben geen sponsorpagina.

Het risico van een ontbrekende beheerder

Vorig jaar zat libxml2 gedurende 85 dagen zonder beheerder, terwijl het op 5,6 miljard telefoons en computers staat. libxml2 leest XML, het formaat achter veel documenten, feeds en instellingen, en bevindt zich op Android-telefoons, iPhones en in Chrome.

Op 15 september 2025 schreef de beheerder, Nick Wellnhofer, op het GNOME-forum dat hij stopte, "wat betekent dat dit project voor nu meer of minder onbeheerd is". Op 9 december namen twee vrijwilligers, Daniel Garcia Moreno en Iván Chavero, het over.

Methodologie

Voor dit onderzoek hebben we de volledige publieke geschiedenis van elk project genomen en de wijzigingen tussen 7 oktober 2025 en 7 oktober 2026 behouden, waarbij merges en bots zijn weggelaten. Een persoon wordt meegeteld als hij of zij in die tijd tien of meer wijzigingen heeft doorgevoerd. Een auteur van een wijziging is niet altijd de beheerder.

Voor de apparaten hebben we een project alleen op een platform geteld als we konden vaststellen dat het er daadwerkelijk op staat:

  • Android: We hebben de systeembibliotheken van een Android 16 image geanalyseerd. Hierbij ontdekten we dat de "liblzma" van Android code is van 7-Zip en niet van xz.
  • iPhone: We hebben de systeembibliotheken in de Apple iOS 26.2 developer kit gelezen.
  • Windows: We hebben de aankondiging van Microsoft voor curl gebruikt en de code in Edge geanalyseerd.

Android heeft over drie miljard actieve apparaten (Google, 2022), iPhones over één miljard (Apple, 2021) en Windows 1,6 miljard per maand (Microsoft, 2026). Macs, iPads, servers, auto's en tv's zijn niet meegeteld, waardoor elk apparaataantal hier lager is dan in werkelijkheid.

"Geen publieke subsidie" betekent dat er geen financiering is gevonden via het Sovereign Tech Agency, Alpha-Omega, Open Collective of GitHub Sponsors, niet dat deze mensen nooit zijn betaald.