Omarchy, die Arch-basierte Linux-Distribution von Ruby-on-Rails-Schöpfer David Heinemeier Hansson, hat mit Version 4.0 alias „Quattro“ die bislang größte Überarbeitung des Projekts erhalten. Das am 14. August veröffentlichte Release baut weite Teile der Desktop-Oberfläche neu auf, stellt die interne Paketierung um und erweitert die Integration von Coding-Agenten.
Bereits am 25. August folgte Version 4.0.1. Das Update enthält vor allem Sicherheitskorrekturen, die das inzwischen eingerichtete Omarchy Security Team geprüft hat.
Quickshell ersetzt zahlreiche Wayland-Werkzeuge
Die größte technische Neuerung von Quattro ist eine neue Desktop-Shell auf Basis von Quickshell und Qt Quick. Bar, Launcher, Menüs, Benachrichtigungen, On-Screen-Displays, Kontrollpanels, Lockscreen und Polkit-Agent laufen nun innerhalb eines gemeinsamen Quickshell-Prozesses.
Damit ersetzt Omarchy mehrere bislang separat eingesetzte Werkzeuge wie Waybar, Walker, Mako, SwayOSD, hyprlock oder polkit-gnome. Gleichzeitig dient Quickshell als Grundlage eines neuen Plug-in-Systems. Drittanbieter können darüber Widgets und andere Bestandteile der Oberfläche bereitstellen. Nach Angaben von Hansson entstanden bereits in der ersten Woche nach Veröffentlichung von Quattro mehr als 1000 Plug-ins.
Lesen Sie auch
Auch unterhalb der Oberfläche gibt es größere Umbauten. Die Hyprland-Konfiguration nutzt nun Lua. Omarchy selbst wird nicht mehr als Git-Checkout im Benutzerverzeichnis verwaltet, sondern über reguläre Arch-Pakete installiert und aktualisiert.
Neu sind außerdem Dual-Boot-Unterstützung, ein um mehr als ein GByte auf unter 6 GByte geschrumpftes ISO-Image, eine laut Projekt rund 30 Prozent schnellere Installation sowie OEM- und Factory-Reset-Funktionen. Für das neue Netzwerk-Panel setzt Omarchy auf NetworkManager.
KI-Agenten per Tastenkürzel
Omarchy integriert außerdem eine Reihe von Coding-Agenten wie Claude Code, Codex, OpenCode, Gemini, Grok oder GitHub Copilot. Der ausgewählte Agent lässt sich direkt per Tastenkürzel beziehungsweise Terminal-Alias starten. Die Kommandozeilenwerkzeuge werden über mise als Lazy-Loading-Stubs bereitgestellt und können sich beim ersten Aufruf installieren.
Gerade diese Automatisierung führte jedoch zu einer der auffälligsten Änderungen in 4.0.1. Claude Code startete zuvor mit bypassPermissions, Codex mit --dangerously-bypass-approvals-and-sandbox. Damit waren vorgesehene Schutzmechanismen weitgehend ausgeschaltet.
Version 4.0.1 wechselt Claude auf einen automatischen Prüfmodus und Codex auf --approve-for-me. In beiden Fällen prüft nun ein Klassifikator jede Aktion vor der Ausführung: Als unbedenklich eingestufte Schritte laufen ohne Rückfrage durch, bei riskanten meldet sich der Agent weiterhin beim Benutzer. Bei Codex ist außerdem die Workspace-Sandbox wieder aktiv.
Das „Fire-and-forget“-Prinzip bleibt damit erhalten. Bei mehreren anderen unterstützten Agenten verwendet Omarchy weiterhin besonders permissive Startparameter, weil restriktivere Modi bei bestimmten Aktionen eine manuelle Bestätigung verlangen würden.
Auto-Review ist allerdings keine Sandbox, sondern ein Modell, das sich täuschen lässt. Die Sicherheitsfirma PromptArmor demonstrierte, wie OpenAIs Prüf-Agent die Installation eines bösartigen NPM-Pakets mit erhöhten Rechten freigab – ausgelöst durch eine einzelne versteckte Zeile in einem GitHub-Issue. Eine von Anthropic beauftragte Untersuchung von Trajectory Labs kam bei Codex im Auto-Review-Modus auf eine Erfolgsquote von 5,83 Prozent für Prompt-Injection-Angriffe, gegenüber 19,03 Prozent bei vollem Zugriff. Mit dem Wechsel folgt Omarchy zugleich einem Branchentrend: Anthropic hat den Auto-Modus in Claude Code inzwischen zum Standard erklärt.
Sicherheitskorrekturen für Themes, Docker und USB
Neben den Coding-Agenten behebt 4.0.1 eine Reihe weiterer Sicherheitsprobleme. Aus Git-Repositories installierte Themes dürfen nicht mehr ohne Weiteres ausführbaren Lua-, Terminal- oder VS-Code einschleusen.
Auch Benachrichtigungsaktionen und USB-Gerätenamen werden nun so verarbeitet, dass manipulierte Eingaben nicht als Shell- beziehungsweise Lua-Code ausgeführt werden können. Die FIDO2-Einrichtung verwendet keinen vorhersagbaren temporären Dateipfad mehr, und Git-Transport-Helper-URLs werden stärker eingeschränkt. Ein privilegierter DNS-Helper nutzt zudem einen fest hinterlegten, vertrauenswürdigen PATH, und das Kommando zum Zurücksetzen der Sudo-Sperre entfällt ersatzlos.
Eine weitere wichtige Änderung betrifft Docker: Benutzer landen nicht mehr standardmäßig in der docker-Gruppe. Der damit verbundene passwortlose Zugriff auf den Docker-Daemon muss nun ausdrücklich aktiviert werden. Das ist relevant, weil Docker-Zugriff auf klassischen Linux-Systemen praktisch Root-Rechte ermöglicht.
Bestehende Systeme lassen sich über den integrierten Updater auf 4.0.1 aktualisieren. Für Sicherheitsmeldungen hat das Projekt inzwischen unter security@omarchy.org eine eigene Adresse und einen Responsible-Disclosure-Prozess eingerichtet.
Plug-ins laufen ohne Sandbox
Das schnell wachsende Plug-in-Ökosystem bleibt sicherheitstechnisch relevant. Plug-ins laufen nicht in einer Sandbox, sondern mit den Rechten des jeweiligen Benutzers. Die Registry ist ein unabhängiges Community-Projekt. Eine Aufnahme in den Katalog ist nicht mit einer Sicherheitsprüfung des Plug-in-Codes gleichzusetzen.
Gerade die bisherige Kombination aus fremdem Plug-in-Code und standardmäßiger Docker-Gruppenmitgliedschaft konnte deshalb problematisch sein. 4.0.1 entschärft zumindest diesen Teil des Modells.
Zehn Millionen Dollar für Omarchy
Parallel zum technischen Umbau stellt DHH das Projekt organisatorisch neu auf. Am 21. August startete die Omacom Foundation mit Zusagen von zunächst acht Millionen US-Dollar durch acht sogenannte Founding Patrons – allesamt bekannte Persönlichkeiten aus der IT-Branche: Shopify-CEO Tobi Lütke, Stripe-CEO Patrick Collison, Dell-Technologies-Chef Michael Dell, Block-Mitgründer und Chairman Jack Dorsey, Cloudflare-CEO Matthew Prince, Sesame- und Oculus-Mitgründer Brendan Iribe, 37signals-CEO Jason Fried sowie 37signals-Mitgründer David Heinemeier Hansson sagten jeweils eine Million US-Dollar zu. Am 24. August kamen Dropbox-Mitgründer und Co-CEO Drew Houston und OpenClaw-Entwickler Peter Steinberger hinzu. Damit steigt die Finanzierung auf zehn Millionen Dollar.
Die Stiftung soll unter anderem Infrastruktur finanzieren, Markenrechte halten und Open-Source-Projekte unterstützen, von denen Omarchy abhängt.
Erste Förderungen sind bereits angekündigt. Hyprland und dessen Entwickler Vaxry erhalten ab dem 10. Oktober ein exklusives Sponsoring, terminiert auf drei Jahre mit Option auf zwei weitere. Für Anwender relevant: Das kostenpflichtige Hyperperks-Programm endet, seine Leistungen werden für alle kostenlos. Persönliche Spenden nimmt das Projekt weiterhin an. Entsprechende Engagements gibt es auch für Quickshell und dessen Entwickler outfoxxed sowie für den Versionsmanager mise und dessen Entwickler jdx.
Vom persönlichen Setup zum Ökosystem
Omarchy 4.0 markiert damit den Übergang von einer stark auf DHHs persönliche Vorstellungen zugeschnittenen Linux-Konfiguration zu einem breiteren Desktop-Ökosystem mit eigener Shell, Plug-ins, Core Team, Security-Strukturen und finanzieller Stiftung. Das Core Team hat DHH am 19. August gegründet; es teilt sich seither die Verantwortung für die Ausrichtung der Distribution. Einen produktiven Großanwender gibt es ebenfalls: 37signals zieht seine Ops- und Ruby-Teams im Takt der Hardware-Erneuerung auf Omarchy um – angekündigt bereits im August 2025, abgeschlossen sein soll der Wechsel bis etwa 2028.
Das hohe Entwicklungstempo zeigt zugleich seine Schattenseiten. Nur elf Tage nach dem bislang größten Release musste Omarchy mehrere Angriffsmöglichkeiten schließen und frühere Sicherheitsentscheidungen korrigieren.
Das Grundkonzept bleibt jedoch unverändert: Omarchy will einen stark automatisierten, leicht veränderbaren und eng mit KI-Coding-Agenten verzahnten Linux-Desktop bieten. Mit Quattro und der Omacom Foundation erhält dieser Ansatz nun deutlich professionellere technische und organisatorische Strukturen. ISO-Image, Changelog und Dokumentation stehen unter omarchy.org bereit, der Quellcode unter MIT-Lizenz findet sich auf GitHub.
(axk)
