SignPath hat abgelehnt: unsere Windows-Builds bleiben vorerst unsigniert

Vor ein paar Tagen hatten wir hier im Blog erzählt, dass wir uns beim kostenlosen Open-Source-Programm der SignPath Foundation um ein Code-Signing-Zertifikat für unsere Windows-Installer beworben haben. Jetzt kam die Antwort — und sie ist ein Nein. Weil wir hier im Devblog nicht nur die Erfolge feiern, sondern ehrlich erzählen, wie so ein Projekt wirklich läuft, gehört auch diese Nachricht hierher.

Kurz zur Erinnerung: worum ging es? Unsignierte Windows-Programme lösen beim ersten Start die SmartScreen-Warnung „Der Computer wurde durch Windows geschützt" aus — der Installer stammt aus Sicht von Windows von einem „unbekannten Herausgeber". Ein Code-Signing-Zertifikat schafft das aus der Welt, kostet aber jährlich Geld, was für ein Familien-Hobbyprojekt eine echte Hürde ist. Die SignPath Foundation vergibt Signaturen kostenlos an Open-Source-Projekte — genau dafür hatten wir uns beworben.

Warum es nicht geklappt hat. Die Begründung ist nachvollziehbar: Das Foundation-Programm richtet sich an Projekte, die bereits eine gewisse öffentliche Sichtbarkeit und damit Vertrauen aufgebaut haben — GitHub-Sterne, Forks, externe Mitwirkende, Artikel, Diskussionen auf Reddit oder Stack Overflow. Diese Signale zeigt unser junges Projekt schlicht noch nicht in ausreichender Menge. Ausdrücklich dabei: Das sei kein Urteil über die Qualität der Arbeit, und wir dürfen uns gerne erneut bewerben, wenn das Projekt bekannter geworden ist. Genau das haben wir vor.

Was das für euch bedeutet. Praktisch: alles bleibt wie bisher. Die SmartScreen-Warnung beim ersten Start wird uns noch eine Weile begleiten. Wenn ihr das Spiel von unserer offiziellen GitHub-Seite heruntergeladen habt, könnt ihr sie mit „Weitere Infos → Trotzdem ausführen" bestätigen. Ladet das Spiel bitte weiterhin nur aus offiziellen Quellen — genau dafür ist die Warnung ja da. Unsere README, die Sicherheitshinweise und die Code-Signing-Policy haben wir auf den ehrlichen Ist-Stand gebracht: nicht signiert, Bewerbung abgelehnt, neuer Anlauf geplant.

Und jetzt? Der Weg ist klar: Das Projekt muss sichtbarer werden — mehr Spieler, mehr Sterne, mehr Stimmen von außen. Daran arbeiten wir sowieso jeden Tag, jetzt gibt es einen Grund mehr. Wenn ihr helfen wollt, ist das übrigens der einfachste Beitrag überhaupt: ein ⭐ auf GitHub, das Spiel einem Freund zeigen, irgendwo davon erzählen. Jedes bisschen Sichtbarkeit bringt uns näher an den Tag, an dem die Warnung verschwindet. Bis dahin: Danke, dass ihr trotzdem auf „Trotzdem ausführen" klickt. 🚀