Erstellt mit Next.js, MapLibre GL, FastAPI und Python. Über 40 umschaltbare Datenebenen, darunter SAR-Bodenveränderungserkennung, Telegram-OSINT (Vorschauen öffentlicher Kanäle, geokodiert auf der Karte), ein serverseitiges Recon-Toolkit (DNS, WHOIS, Sanktionen, BGP, IP-Sweep und mehr), Lieferketten-Risikoüberlagerungen sowie Malware-/C2- und CISA-KEV-Cyberbedrohungsfeeds. Mehrere visuelle Modi (DEFAULT / SATELLITE / FLIR / NVG / CRT). Rechtsklick auf einen beliebigen Punkt der Erde liefert ein Länderdossier, Staatschef-Suche, Entity-Graph-Erweiterung und das aktuellste Sentinel-2-Satellitenfoto. ShadowBroker hat keine Konten, Produkttelemetrie oder Analysen; das Dashboard kommuniziert mit Ihrem selbst gehosteten Backend. Sensitive Recon- und Shodan-Abfragen erreichen keine Drittanbieter-APIs aus dem Browser – sie werden über das Backend mit SSRF-Schutz und lokaler Operator-Authentifizierung weitergeleitet. Der OpenClaw / Agent-Command-Channel stellt dieselben Recon-Backends sowie eine vollständige Telemetriesuche bereit – keine separate API-Integration erforderlich.

Konzipiert für Analysten, Forscher, Funkamateure und alle, die sehen möchten, wie die Welt aussieht, wenn jedes öffentliche Signal auf derselben Karte erscheint.

Eine überraschende Menge globaler Telemetrie ist bereits öffentlich zugänglich – Flugzeug-ADS-B-Signale, maritime AIS-Signale, Satellitenbahndaten, Erdbebensensoren, Mesh-Funknetzwerke, Polizeifunk-Feeds, Umweltüberwachungsstationen, Internet-Infrastrukturtelemetrie und mehr. Diese Daten sind über Dutzende von Tools und APIs verstreut. ShadowBroker vereint alles in einer einzigen Oberfläche.

Das Projekt führt keine neuen Überwachungsfähigkeiten ein – es aggregiert und visualisiert vorhandene öffentliche Datensätze. Es ist vollständig Open Source, sodass jeder überprüfen kann, auf welche Daten genau zugegriffen wird und wie. ShadowBroker enthält keine Produkttelemetrie, Analysen oder Konten. Von Operatoren bereitgestellte Schlüssel verbleiben in Ihrer lokalen Bereitstellung, aber Live-OSINT-Funktionen senden zwangsläufig ausgehende Anfragen an die öffentlichen Datenanbieter, die Sie aktivieren oder abfragen.

ShadowBroker enthält einen optionalen Shodan-Connector für vom Operator bereitgestellten API-Zugriff (SHODAN_API_KEY) und ein Recon-Toolkit-Panel für schlüssellose OSINT-Abfragen. Beide laufen nur serverseitig: Der Browser ruft Ihre selbst gehosteten Routen /api/osint/* und /api/tools/shodan/* auf; ausgehende Anfragen werden vom Backend nach SSRF-Validierung durchgeführt. Recon erfordert lokalen Operator-Zugriff (gleiches Vertrauensmodell wie Ebenen-Umschaltungen und Admin-Routen). Shodan-Ergebnisse werden als separate Kartenüberlagerung dargestellt und unterliegen weiterhin den Nutzungsbedingungen von Shodan.

• Verfolgen Sie die Air Force One, die Privatjets von Milliardären und Diktatoren sowie alle militärischen Tanker, ISR- und Kampfflugzeuge, die ADS-B ausstrahlen. Air Force One und alle begleitenden Präsidenten-/Vizepräsidentenflugzeuge werden hervorgehoben und überwacht, sobald sie abheben.
• Verbinden Sie einen KI-Agenten als Co-Analysten über den HMAC-signierten Agent Command Channel von ShadowBroker – unterstützt OpenClaw und jeden anderen Agenten, der das Protokoll spricht (Claude, GPT, LangChain, benutzerdefiniert). Der Agent erhält vollständigen Lese-/Schreibzugriff auf alle über 40 Datenebenen, kompakte ebenenübergreifende Suche (search_telemetry, search_news), das vollständige Recon-Toolkit (osint_lookup für IP/DNS/WHOIS/Sanktionen/CVE usw.), Entity-Graph-Erweiterung, Pin-Platzierung, Kartensteuerung, SAR-Bodenveränderung, Mesh-Netzwerk und Alarmzustellung. Er sieht alles, was der Operator sieht, und kann in Echtzeit Aktionen auf der Karte ausführen.
• Kommunizieren Sie im InfoNet-Testnetz – dem ersten dezentralisierten Intelligence-Mesh, das in ein OSINT-Tool integriert ist. Verschleierte Nachrichtenübermittlung mit Gate-Personae, Dead-Peer-to-Peer-Austausch und einer integrierten Terminal-CLI. Keine Konten, keine Anmeldung. Privatsphäre ist noch nicht garantiert – dies ist ein experimentelles Testnetz – aber das Protokoll ist live und wird gehärtet.
• Rechtsklick auf einen beliebigen Punkt der Erde für ein Länderdossier (Staatschef, Bevölkerung, Sprachen), eine Wikipedia-Zusammenfassung und das aktuellste Sentinel-2-Satellitenfoto mit 10m Auflösung
• Klicken Sie auf einen KiwiSDR-Knoten und stimmen Sie direkt im Dashboard Live-Kurzwelle ein. Klicken Sie auf einen Polizeifunk-Feed und lauschen Sie mit einem Klick.
• Beobachten Sie über 11.000 CCTV-Kameras in 6 Ländern – London, New York City, Kalifornien, Spanien, Singapur und mehr – live auf der Karte
• Sehen Sie GPS-Störzonen in Echtzeit – abgeleitet aus NAC-P-Verschlechterungsanalyse von Flugzeug-Transponderdaten
• Überwachen Sie Satelliten über Ihrem Standort farbcodiert nach Missionsart – militärische Aufklärung, SIGINT, SAR, Frühwarnung, Raumstationen – mit SatNOGS- und TinyGS-Bodenstationsnetzwerken
• Verfolgen Sie Schiffsverkehr einschließlich über 25.000 AIS-Schiffe, Fischereiaktivitäten über Global Fishing Watch und Superyachten von Milliardären
• Folgen Sie Erdbeben, Vulkanausbrüchen, aktiven Waldbränden (NASA FIRMS), Unwetterwarnungen und Luftqualitätsmesswerten weltweit
• Kartieren Sie Militärbasen, über 35.000 Kraftwerke, über 2.000 Rechenzentren und Internetausfallregionen – automatisch referenziert
• Verbinden Sie sich mit Meshtastic-Mesh-Funkknoten und APRS-Amateurfunknetzen – auf der Karte sichtbar und in Mesh Chat integriert
• Erkennen Sie Bodenveränderungen durch Wolkendecke mit SAR (Synthetic Aperture Radar) – mm-genaue Bodenverformung, Überschwemmungsausdehnung, Vegetationsstörungen und Schadensbewertungen von NASA OPERA und Copernicus EGMS. Definieren Sie eigene Überwachungsbereiche und erhalten Sie Anomaliealarme. Kostenlos mit einem NASA-Earthdata-Konto.
• Wechseln Sie die visuellen Modi – DEFAULT, SATELLITE, FLIR (thermisch), NVG (Nachtsicht), CRT (Retro-Terminal) – über die STYLE-Schaltfläche
• Verfolgen Sie Züge in den USA (Amtrak) und Europa (DigiTraffic) in Echtzeit
• Schätzen Sie den Aufenthaltsort von US-Flugzeugträgern mittels automatisierter GDELT-Nachrichtenanalyse – kein anderes Open-Source-Tool macht das
• Durchsuchen Sie weltweit mit dem Internet verbundene Geräte über Shodan – Kameras, SCADA-Systeme, Datenbanken – als Live-Überlagerung auf der Karte dargestellt
• Führen Sie ein vollständiges Recon-Toolkit über die linke Seitenleiste aus – IP-Geolokalisierung, DNS, RDAP/WHOIS, Zertifikatstransparenz, BGP/ASN, OFAC-Sanktionssuche, CVE-Abfrage, Tor/OTX-Bedrohungsprüfungen und Subnet-Sweeps (InternetDB über das Backend proxyd)
• Erweitern Sie einen Entity-Graph bei Auswahl eines Flugzeugs, Schiffs, Unternehmens oder einer IP – Wikidata + OFAC + Live-Store-Querverweise, dargestellt im Entity-Graph-Panel
• Überwachen Sie Lieferkettenrisiken – Tier-1/2-Halbleiter- und Batteriefabriken bewertet nach nahegelegenen Erdbeben, Waldbränden und Konfliktereignissen (SCM-Panel)
• Schalten Sie Malware-C2-Hotspots um – abuse.ch Feodo Tracker + URLhaus-Feeds nach Ländern kartiert (Opt-in-Ebene)
• Überwachen Sie Telegram-OSINT-Kanäle – öffentliche t.me/s Kriegs-/Konflikt-Feeds (OSINTdefender, NEXTA usw.) stündlich abgerufen, risiko-bewertet, auf Metro-Anker geokodiert und als anklickbare Karten-Pins mit eingebetteten Medien dargestellt
• Überlagern Sie globale Unterseekabel – statische TeleGeography-abgeleitete Kabelrouten (Opt-in-Ebene)

Für produktionsreife Bereitstellungen oder Home-Lab-Cluster unterstützt ShadowBroker die Bereitstellung über Helm. Dieses Chart basiert auf der bjw-s-labs-Vorlage und bietet ein robustes, modulares Setup sowohl für das Backend als auch für das Frontend.

1. Repository hinzufügen:```bash helm repo add bjw-s-labs https://bjw-s-labs.github.io/helm-charts/ helm repo update

**2. Installieren Sie das Chart:**```bash
# Default — pulls images from GHCR
helm install shadowbroker ./helm/chart --create-namespace --namespace shadowbroker

# GitLab registry variant
helm install shadowbroker ./helm/chart --create-namespace --namespace shadowbroker \
  -f helm/chart/values.yaml \
  -f helm/chart/values-gitlab.yaml

3. Hauptmerkmale:

• Modulare Architektur: Individuelle Skalierung des Intelligence-Backends und des HUD-Frontends.
• Sicherheitskontext: Läuft mit eingeschränkten UIDs (1001) zur Containerhärtung.
• Ingress-Bereit: Kompatibel mit Traefik, Cert-Manager und Gateway API für sicheren externen Zugriff auf Ihren Intelligence-Knoten.

Besonderer Dank an @chr0n1x für den Beitrag zur initialen Kubernetes-Architektur.

ShadowBroker v0.9.7 liefert InfoNet (dezentrales Intelligence-Mesh + Sovereign Shell Governance-Ökonomie), einen agentischen KI-Befehlskanal (unterstützt OpenClaw und jeden HMAC-signierenden Agenten), Time Machine Snapshot-Wiedergabe und SAR-Satelliten-Bodenveränderungsdetektion. Dies ist ein experimentelles Testnetz – kein privater Messenger und kein Produktions-Governance-System.

Übermitteln Sie nichts Sensibles auf irgendeinem Kanal. Behandeln Sie alle Kanäle vorerst als offen und öffentlich. E2E-Verschlüsselung und tiefere native/Tauri-Härtung sind die nächsten Meilensteine. Wenn Sie dieses Projekt forken, behalten Sie diese Kennzeichnungen bei und machen Sie keine stärkeren Datenschutzbehauptungen als die Implementierung unterstützt.

Für ein vollständiges Bild dessen, wogegen das Mesh tatsächlich schützt und wogegen nicht, lesen Sie das Bedrohungsmodell und die Anspruchsabgleich. Jeder Satz oben ist dort auf den Codepfad abgebildet, der ihn erzwingt (oder auch nicht).

🧅 InfoNet – Dezentrales Intelligence-Mesh + Sovereign Shell (erweitert in v0.9.7)

Die erste dezentrale Intelligence-Kommunikations- und Governance-Ebene, die direkt in eine OSINT-Plattform integriert ist. Keine Konten, keine Anmeldung, keine Identität erforderlich. v0.9.7 erhebt InfoNet von einer Chat-Ebene zu einer vollständigen Governance-Ökonomie mit einem klaren Weg zu einer datenschutzbewahrenden dezentralen Intelligence-Plattform.

Kommunikationsebene (seit v0.9.6):

• InfoNet Experimentelles Testnetz – Ein globaler, verschleierter Nachrichtenrelay unter Verwendung von Tor und Reticulum. Jeder, der ShadowBroker ausführt, kann auf dem InfoNet senden und empfangen. Nachrichten durchlaufen eine Wormhole-Relay-Ebene mit Gate-Personas, kanonischer Ed25519-Nutzlastsignatur und Transportverschleierung.
• Mesh-Chat-Bedienfeld – Drei-Tab-Oberfläche: INFONET (Gate-Chat mit verschleiertem Transport), MESH (Meshtastic-Funkintegration), DEAD DROP (Peer-to-Peer-Nachrichtenaustausch mit token-basierten Epochen-Mailboxen – stärkster aktueller Kanal).
• Gate-Persona-System – Pseudonyme Identitäten mit Ed25519-Signierschlüsseln, Prekey-Bündeln, SAS-Wort-Kontaktverifizierung und Missbrauchsmeldung.
• Mesh-Terminal – Integrierte CLI: send, dm, Marktbefehle, Gate-Zustandsprüfung. Verschiebbares Bedienfeld, minimiert sich zur oberen Leiste. Geben Sie help ein, um alle Befehle zu sehen.
• Krypto-Stack – Ed25519-Signierung, X25519 Diffie-Hellman, AESGCM-Verschlüsselung mit HKDF-Schlüsselableitung, Hash-Chain-Commitment-System. Double-Ratchet-DM-Gerüst in Arbeit.

Sovereign Shell — Governance-Ökonomie (NEU in v0.9.7):

• Petitionen + Governance-DSL – On-Chain-Parameteränderungen über signierte Petitionen. Typsicherer Nutzlastausführer für UPDATE_PARAM, BATCH_UPDATE_PARAMS, ENABLE_FEATURE und DISABLE_FEATURE. Einstellbare Parameter ändern sich durch Abstimmung – keine Code-Deployments erforderlich.
• Upgrade-Hash-Governance – Protokoll-Upgrades, die neue Logik erfordern (nicht nur Parameteränderungen), stimmen über einen SHA-256-Hash der verifizierten Version ab. 80% Supermajorität, 40% Quorum, 67% Heavy-Node-Aktivierung. Lebenszyklus: Signaturen → Abstimmung → Challenge-Fenster → Bereitschaft erwartend → aktiviert.
• Auflösungs- und Streitmärkte – Einsatz auf Marktauflösungsergebnisse (ja / nein / data_unavailable), Streitigkeiten mit hinterlegten Beweisen eröffnen und Einsatz auf Bestätigung oder Umkehrung von Streitigkeiten. Der Einreichungsstatus pro Zeile bleibt isoliert, sodass parallele Aktionen keinen laufenden Slot teilen.
• Beweiseinreichung – Hinterlegte Beweispakete mit clientseitiger SHA-256-Kanonisierung, die exakt mit Python repr() übereinstimmt, sodass Hashes sauber durch die Chain zirkulieren.
• Gate-Sperrung / -Abschaltung / Einsprüche – Formulare zum Sperren oder Herunterfahren eines Gates mit einem wiederverwendbaren Einspruchsablauf, der automatisch die anhängige Petition anzielt.
• Bootstrap Eligible-Node-One-Vote – Die ersten 100 Märkte werden über eine Stimme pro berechtigtem Knoten anstatt über einsatzgewichtete Auflösung abgewickelt. Berechtigung: Identitätsalter ≥ 3 Tage, nicht im Predictor-Ausschlussset, gültiger Argon2id PoW (nur Heavy-Node). Wechsel zu einsatzgewichteter Auflösung bei 1000 Knoten.
• Zwei-Ebenen-Zustand + Epochen-Endgültigkeit – Ereignisse der Ebene 1 verbreiten sich CRDT-artig für niedrige Latenz; Ereignisse der Ebene 2 erfordern Epochen-Endgültigkeit, bevor sie bearbeitet werden können. Identitätsrotation, progressive Strafen, Rampen-Meilensteine und verfassungsrechtliche Invarianten, die über MappingProxyType erzwungen werden.
• Adaptives Polling – Sovereign-Shell-Ansichten fragen alle 8 Sekunden während aktiver Abstimmungs-/Challenge-/Aktivierungsphasen ab, alle 30–60 Sekunden im Leerlauf. Abstimmungen fühlen sich live an, ohne eine WebSocket-Ebene.
• Wörtliche Diagnose – Jeder Schreib-Button zeigt den wörtlichen Ablehnungsgrund des Backends an. Keine undurchsichtigen "abgelehnt"-Toasts.

Datenschutz-Primitiven-Runway (NEU in v0.9.7):

• Funktionstasten – Anonymes Berechtigungsgerüst – Die Infrastruktur ist vorhanden für Nullifier, Challenge-Response, Zwei-Phasen-Commit-Quittungen, aufgezählte Ablehnungscodes und gebündelte Abrechnung. Die heutige Challenge-Response ist ein HMAC-basierter Platzhalter für Integrationstests, kein Produktions-Anonymitäts- oder Zero-Knowledge-Nachweis. Echte unverknüpfbare Ausstellung wartet noch auf eine Entscheidung über die Primitive (RSA-Blind-Signaturen vs. BBS+ vs. U-Prove vs. Idemix).
• Gesperrte Protokollverträge – Stabile Schnittstellen in services/infonet/privacy/contracts.py für Ringsignaturen, Stealth-Adressen, Pedersen-Verpflichtungen, Bereichsbeweise und DEX-Matching. Die Rust-Crate privacy-core ist das Integrationsziel – kein Aufrufer des Datenschutzmoduls muss wissen, welches Schema aktiv ist.
• Sprint 11+ Pfad – Wenn das kryptografische Schema gewählt ist, werden die Primitiven ohne API-Änderungen in die gesperrten Protokolle eingebunden.

Experimentelles Testnetz – Keine Datenschutzgarantie: InfoNet-Nachrichten werden verschleiert, aber NICHT Ende-zu-Ende verschlüsselt. Das Mesh-Netzwerk (Meshtastic/APRS) ist NICHT privat – Funkübertragungen sind von Natur aus öffentlich. Die Datenschutz-Primitiven-Verträge sind eingerüstet, aber noch nicht verdrahtet. Senden Sie nichts Sensibles auf irgendeinem Kanal. Behandeln Sie alle Kanäle vorerst als offen und öffentlich.

🔍 Recon-Toolkit & Shodan (Osiris-abgeleitet, Sicherheit zuerst)

Angepasst vom OSIRIS Recon-Stack (MIT) mit ShadowBrokers Proxy-Modell. Zuschreibung: backend/third_party/osiris/NOTICE.md.

Recon-Toolkit (linke Seitenleiste – nur lokaler Operator):

• IP / DNS / WHOIS – ip-api.com-Geolokalisierung, Google DNS-over-HTTPS, RDAP-Registrantendaten mit optionaler HTTP-Sicherheitsheader-Bewertung
• Zertifikate & BGP – crt.sh-Subdomain-Erkennung, bgpview.io-ASN/Präfix-Abfragen
• Threat Intel – AlienVault OTX-Pulse, Tor-Exit-Node-Checks, optionale Reputation pro IP/Domain
• Sanktionen – OpenSanctions us_ofac_sdn-Index (CC-BY); Querchecks auf WHOIS-Entitäten und IP-ISP/Org-Strings
• CVE / MAC / GitHub / Leaks – MITRE CVE API, MAC-Herstellerabfrage, GitHub-Profil-Recon, öffentliche Leak-Checks
• IP-Sweep – /api/osint/sweep/scan geolokalisiert ein Ziel /24–/32 und leitet Shodan InternetDB-Host-Erkennung serverseitig weiter (Browser kontaktiert InternetDB nie direkt)
• SSRF-Schutz – Private, Loopback-, Link-Local- und Metadata-Hostnamen werden vor jedem benutzergesteuerten Fetch blockiert

Entity-Graph – Wählen Sie eine beliebige Kartenentität aus, um das Entity-Graph-Panel zu öffnen (GET /api/entity/expand). Löst Flugzeuge, Schiffe, Unternehmen, Personen, IPs und Länder in einen Knoten-/Link-Graphen auf (Wikidata SPARQL + OFAC + flug-/schiffsspeicher im Arbeitsspeicher).

OpenClaw / Agentenzugriff – Dieselben Recon-Backends sind über den HMAC-Befehlskanal verfügbar (kein lokaler Operator-Gate im Browser): osint_lookup (passive IP/DNS/WHOIS/Zertifikate/BGP/Sanktionen/CVE/MAC/GitHub/Leaks/Threats), entity_expand (Beziehungsgraph) und osint_sweep (aktiver Subnetz-Scan – nur voller Zugriffstier). Rufen Sie osint_tools auf, um die unterstützten Abfragetypen aufzulisten. Skill-Paket: openclaw-skills/shadowbroker/ (SKILL.md + sb_query.py).

Shodan-Overlay (unverändert):

• Internet-Gerätesuche – Shodan mit Ihrem eigenen API-Schlüssel abfragen; Ergebnisse als Live-Overlay dargestellt
• Konfigurierbare Marker – Form-, Farb- und Größenanpassung für Shodan-Ergebnisse

🛩️ Flugverkehrsverfolgung

• Kommerzielle Flüge – Echtzeitpositionen über OpenSky Network (~5.000+ Flugzeuge)
• Private Flugzeuge – Leichte GA, Turboprops, Bizjets separat verfolgt
• Privatjets – Flugzeuge von vermögenden Privatpersonen mit Besitzeridentifikation
• Militärflüge – Tanker, ISR, Jäger, Transporter über adsb.lol Militär-Endpunkt
• Flugspurenakkumulation – Dauerhafte Brotkrümelspuren für alle verfolgten Flugzeuge
• Warteschleifenerkennung – Markiert automatisch kreisende Flugzeuge (>300° Gesamtdrehung)
• Flugzeugklassifizierung – Formgenaue SVG-Icons: Verkehrsflugzeuge, Turboprops, Bizjets, Hubschrauber
• Bodenkontakterkennung – Flugzeuge unter 100ft AGL werden mit grauen Symbolen dargestellt

🚢 Schiffsverfolgung

• AIS-Schiffsstrom – 25.000+ Schiffe über aisstream.io WebSocket (Echtzeit)
• Schiffsklassifizierung – Fracht, Tanker, Passagier, Yacht, Militärschiffstypen mit farbcodierten Symbolen
• Trägerkampfgruppen-Tracker – Alle 11 aktiven Flugzeugträger der US Navy mit OSINT-geschätzten Positionen. Kein anderes offenes Tool macht das.
  • Automatisiertes GDELT-News-Scraping analysiert Trägerbewegungsberichte zur Positionsschätzung
  • 50+ geografische Region-zu-Koordinaten-Zuordnungen (z.B. "Östliches Mittelmeer" → lat/lng)
  • Festplattengecachte Positionen, automatische Aktualisierung um 00:00 & 12:00 UTC
• Kreuzfahrt- und Passagierschiffe – Dedizierte Ebene für Kreuzfahrtschiffe und Fähren
• Fischereiaktivität – Global Fishing Watch Schiffsereignisse (NEU)
• Geclusterte Anzeige – Schiffe clustern bei niedrigem Zoom mit Zählbeschriftungen, de-clustern beim Hineinzoomen

🚆 Zugverfolgung (NEU in v0.9.6)

• Amtrak-Züge – Echtzeitpositionen von Amtrak-Zügen in den USA mit Geschwindigkeit, Kurs, Route und Status
• Europäische Bahn – DigiTraffic-Integration für europäische Zugpositionen

🛰️ Weltraum & Satelliten

• Orbitale Verfolgung – Echtzeit-Satellitenpositionen über CelesTrak TLE-Daten + SGP4-Propagation (2.000+ aktive Satelliten, kein API-Schlüssel erforderlich)
• Missionsklassifizierung – Nach Mission farbcodiert: militärische Aufklärung (rot), SAR (cyan), SIGINT (weiß), Navigation (blau), Frühwarnung (magenta), kommerzielle Bildgebung (grün), Raumstation (gold)
• SatNOGS-Bodenstationen – Amateur-Satellitenbodenstationsnetzwerk mit Live-Beobachtungsdaten (NEU)
• TinyGS LoRa-Satelliten – LoRa-Satellitenkonstellationsverfolgung (NEU)

🌍 Geopolitik & Konflikte

• Globale Vorfälle – GDELT-gestützte Konfliktereignisaggregation (letzte 8 Stunden, ~1.000 Ereignisse)
• Ukraine-Frontlinie – Live-Kriegsfront-GeoJSON von DeepState Map
• Ukraine-Luftalarme – Echtzeit regionale Luftangriffswarnungen (NEU)
• SIGINT/RISINT News Feed – Echtzeit-RSS-Aggregation aus mehreren nachrichtendienstlich fokussierten Quellen mit benutzerkonfigurierbaren Feeds (bis zu 20 Quellen, konfigurierbare Prioritätsgewichte 1-5)
• Regionsdossier – Klicken Sie irgendwo auf der Erde mit der rechten Maustaste für eine sofortige Intelligence-Briefing:
  • Länderprofil (Bevölkerung, Hauptstadt, Sprachen, Währungen, Fläche)
  • Aktuelles Staatsoberhaupt & Regierungstyp (Live-Wikidata-SPARQL-Abfrage)
  • Lokale Wikipedia-Zusammenfassung mit Vorschaubild
  • Neuestes Sentinel-2-Satellitenfoto mit Aufnahmedatum und Bewölkung (10m Auflösung)

🛰️ Satellitenbilder

• NASA GIBS (MODIS Terra) – Tägliche True-Color-Satellitenbildüberlagerung mit 30-Tage-Zeitschieber, Abspielen/Pause-Animation und Deckkraftregelung (~250m/Pixel)
• Hochauflösende Satellitenbilder (Esri) – Sub-Meter-Auflösung über Esri World Imagery – Zoomen Sie auf Gebäude und Geländedetails (Zoom 18+)
• Sentinel-2-Intel-Karte – Klicken Sie mit der rechten Maustaste auf die Karte, um eine schwebende Intel-Karte zu erhalten, die das neueste Sentinel-2-Satellitenfoto mit Aufnahmedatum, Bewölkungs-% und anklickbarem Vollauflösungsbild zeigt (10m Auflösung, aktualisiert alle ~5 Tage)
• Sentinel Hub Process API – Copernicus-CDSE-Satellitenbilder mit OAuth2-Token-Ablauf (NEU)
• VIIRS Nachtlichter – Überlagerung zur Erkennung von Nachtlichtveränderungen (NEU)
• 5 visuelle Modi – Wechseln Sie die gesamte Kartenästhetik über den STYLE-Button:
  • DEFAULT – Dunkle CARTO-Kartenbasis
  • SATELLITE – Sub-Meter Esri World Imagery
  • FLIR – Wärmebildästhetik (invertierte Graustufen)
  • NVG – Nachtsicht grüner Phosphor
  • CRT – Retro-Terminal-Scanline-Overlay

🛰️ SAR-Bodenveränderungsdetektion (NEU)

• Synthetic Aperture Radar-Ebene – Erkennt Bodenveränderungen durch Wolkendecke, bei Nacht, überall auf der Erde. Zwei Modi, beide kostenlos:
  • Modus A (Katalog) – Kostenlose Sentinel-1-Szenenmetadaten von der Alaska Satellite Facility. Kein Konto erforderlich. Zeigt, wann Radarüberflüge über Ihren AOIs stattfanden und wann der nächste Überflug kommt.
  • Modus B (Vollständige Anomalien) – Echtzeit-Bodenveränderungsalarme von NASA OPERA (DISP, DSWx, DIST-ALERT) und Copernicus EGMS. Erfordert ein kostenloses NASA Earthdata-Konto – der In-App-Assistent führt Sie in unter einer Minute durch die Einrichtung.
• Anomalietypen – Bodenverformung (mm-skalige Senkung, Erdrutsche), Oberflächenwasserveränderung (Überflutungsausmaß), Vegetationsstörung (Entwaldung, Brandnarben, Explosionskrater), Schadensbewertungen (UNOSAT/Copernicus EMS verifiziert) und Kohärenzänderungserkennung
• Kartenvisualisierung – Farbcodierte Anomalie-Pins nach Art (orange für Verformung, cyan für Wasser, grün für Vegetation, rot für Schaden, lila für Kohärenz). AOI-Grenzen als gestrichelte Polygone mit kategoriebasierter Färbung gezeichnet. Klicken Sie auf einen Pin für ein Detail-Popup mit Magnitude, Konfidenz, Löser, Szenenanzahl und Herkunftslink.
• AOI-Editor – Definieren Sie Interessensgebiete direkt von der Karte aus. Klicken Sie auf die Schaltfläche "AOIs BEARBEITEN", wenn die SAR-Ebene aktiv ist, und verwenden Sie dann das Fadenkreuz-Werkzeug, um per Klick einen AOI-Mittelpunkt auf der Karte zu setzen. Legen Sie Namen, Radius (1–500 km) und Kategorie fest. AOIs erscheinen sofort auf der Karte.
• OpenClaw-Integration – Der KI-Agent kann SAR-Anomaliedetails inspizieren (sar_pin_click) und die Karte des Bedieners zu jedem AOI-Zentrum fliegen (sar_focus_aoi) – ermöglicht kollaborative Analysten-Workflows.
• Einstellungsfenster – Ein dedizierter SAR-Tab in den Einstellungen zeigt den Status von Modus A/B, den OpenClaw-Integrationsstatus und ermöglicht das Widerrufen von Earthdata-Anmeldedaten mit einem Klick.

📻 Software Defined Radio & SIGINT

• KiwiSDR-Empfänger – 500+ öffentliche SDR-Empfänger weltweit mit geclusterten Bernsteinmarkern dargestellt
• Live-Radio-Tuner – Klicken Sie auf einen KiwiSDR-Knoten, um einen eingebetteten SDR-Tuner direkt im SIGINT-Bedienfeld zu öffnen
• Metadatenanzeige – Knotenname, Ort, Antennentyp, Frequenzbänder, aktive Benutzer
• Meshtastic Mesh-Funk – MQTT-basierte Mesh-Funkintegration mit Knotenkarte, in Mesh Chat integriert (NEU)
• APRS-Integration – Amateurfunk-Positionierung über APRS-IS TCP-Feed (NEU)
• GPS-Störungserkennung – Echtzeitanalyse von Flugzeug-NAC-P-Werten (Navigation Accuracy Category)
  • Gitterbasierte Aggregation identifiziert Störzonen
  • Rote Overlay-Quadrate mit "GPS JAM XX%" Schweregradbeschriftungen
• Radio-Abfangpanel – Scanner-ähnliche UI mit OpenMHZ Polizei-/Feuerwehr-Scanner-Feeds. Klicken Sie auf ein beliebiges System, um live zu hören. Der Scan-Modus wechselt automatisch durch aktive Feeds. Mithören per Klick auf echte Notfallkommunikation.

📷 Überwachung

• CCTV-Mesh – 22.000+ Live-Verkehrskameras von 21 Ingestoren in 10 Ländern (USA, UK, Kanada, Australien, Österreich, Spanien, Singapur, Niederlande wenn NDW-Feed aktiv, plus OSM):
  • 🇬🇧 Transport for London JamCams
  • 🇺🇸 NYC DOT, Austin TX (TxDOT)
  • 🇺🇸 Kalifornien (12 Caltrans-Bezirke), Washington State (WSDOT), Georgia DOT, Illinois DOT, Michigan DOT
  • 🇪🇸 Spanien DGT National (20 Städte), Madrid Stadt (357 Kameras über KML)
  • 🇦🇹 Österreich ASFINAG Autobahnwebcams
  • 🇸🇬 Singapur LTA
  • 🌍 Windy Webcams
• Feed-Darstellung – Automatische Erkennung und Darstellung von Video-, MJPEG-, HLS-, Embed-, Satelliten-Tile- und Bild-Feeds
• Geclusterte Kartenanzeige – Grüne Punkte clustern mit Zählbeschriftungen, de-clustern beim Zoomen

🔥 Umwelt- & Gefahrenüberwachung

• NASA FIRMS Brandherde (24h) – 5.000+ globale thermische Anomalien vom NOAA-20 VIIRS-Satelliten, aktualisiert jeden Zyklus. Flammenförmige Symbole farbcodiert nach Feuerstrahlungsleistung (FRP): gelb (niedrig), orange, rot, dunkelrot (intensiv). Bei niedrigem Zoom geclustert mit feuerförmigen Clustermarkern.
• Vulkane – Smithsonian Global Volcanism Program Holozän-Vulkane weltweit dargestellt (NEU)
• Wetterwarnungen – Unwetter-Polygone mit Dringlichkeits-/Schweregradindikatoren (NEU)
• Luftqualität (PM2.5) – OpenAQ-Stationen weltweit mit Echtzeit-Feinstaubmesswerten (NEU)
• Erdbeben (24h) – USGS-Echtzeit-Erdbeben-Feed mit magnitudeskalierten Markern
• Space Weather Badge – Live-NOAA-Geomagnetischer-Sturm-Indikator in der unteren Statusleiste. Farbcodierter Kp-Index: grün (ruhig), gelb (aktiv), rot (Sturm G1–G5). Daten vom SWPC planetary K-Index 1-Minuten-Feed.

🏗️ Infrastrukturüberwachung* Internet-Ausfallüberwachung — Regionale Internet-Konnektivitätswarnungen von Georgia Tech IODA. Graue Markierungen in betroffenen Regionen mit Schweregrad in Prozent. Verwendet nur zuverlässige Datenquellen (BGP-Routingtabellen, aktives Ping-Probing) – keine Teleskop- oder interpolierten Daten.

• Rechenzentrumskartierung — Über 2.000 globale Rechenzentren aus einem kuratierten Datensatz dargestellt. Gruppierte violette Markierungen mit Server-Rack-Symbolen. Klicken für Betreiber, Standort und automatische Querverweise auf Internetausfälle nach Land.
• Militärbasen – Globale Datenbank militärischer Einrichtungen und Raketenanlagen (NEU)
• Kraftwerke – Über 35.000 globale Kraftwerke aus der WRI-Datenbank (NEU)
• Unterseekabel – Globale Unterseekabelrouten aus statischem TeleGeography-abgeleitetem GeoJSON (frontend/public/data/submarine-cables.json). Opt-In-Linienüberlagerung.
• Malware-C2-Ebene – Botnet-C2-Server (Feodo Tracker) und aktuelle Malware-URLs (URLhaus) von abuse.ch, aktualisiert auf der langsamen Stufe, wenn die Ebene aktiviert ist.
• SCM-Lieferantenrisiko – Tier-1/2-Fabriken und Batteriehersteller (TSMC, Samsung, CATL usw.) mit Querverweisen auf Erdbeben, FIRMS-Brände und GDELT-Konfliktnähe. Warnungen im SCM-Bereich; optionale Kartenebene.
• Cyber-Bedrohungs-Feed – Aktuelle Einträge zu bekannten ausgenutzten Schwachstellen (KEV) von CISA, bereitgestellt über /api/cyber-threats und den Ebenen-Umschalter.
• Länderrisikoindex – Statische geopolitische Risikobewertungen mit USGS-Erdbeben-Anreicherung über /api/country-risk.
• Telegram OSINT – Öffentliche Kanal-Webvorschauen (t.me/s/*) aus konfigurierbaren Kriegs-/OSINT-Feeds. Stündlich inkrementelle Zusammenführung (kein redundantes Neuscrapen), Keyword-Risikobewertung, Kyrillisch/Arabisch-Ortsaliase, Metro-Anker-Geokodierung (getrennt von News-Zentroiden), Inline-Foto/-Video über /api/telegram/media-Proxy. Ebenenschlüssel: telegram_osint.

🌐 Zusätzliche Ebenen & Werkzeuge

• Tag/Nacht-Zyklus – Solarterminator-Überlagerung, die globale Helligkeit/Dunkelheit anzeigt
• Globale Markt-Ticker – Live-Finanzmarktindizes (minimierbar)
• Messwerkzeug – Punkt-zu-Punkt-Entfernungs- und Peilungsmessung auf der Karte
• LOCATE-Leiste – Suche nach Koordinaten (31.8, 34.8) oder Ortsnamen (Teheran, Straße von Hormus) zum direkten Fliegen zu einem beliebigen Ort – geokodiert über OpenStreetMap Nominatim

Gaza

🤖 Agentischer KI-Befehlskanal – OpenClaw + Kompatible Agenten (erweitert in v0.9.7)

ShadowBroker stellt einen bidirektionalen agentischen KI-Befehlskanal bereit – eine signierte, stufengesteuerte Brücke, die jedem kompatiblen KI-Agenten vollständigen Lese-/Schreibzugriff auf die Intelligence-Plattform gibt. OpenClaw ist der Referenzagent, aber der Kanal ist ein offenes Protokoll: Jeder LLM-gesteuerte Agent, der Anfragen mit HMAC-SHA256 signiert (Claude Code, GPT, LangChain, benutzerdefinierte Python/TypeScript-Clients oder Ihre eigene Integration), kann sich als Analyst verbinden, der dieselben Daten sieht wie der Operator und Aktionen auf der Karte ausführen kann. ShadowBroker bündelt kein LLM, keine Agenten-Laufzeitumgebung oder Modellgewichte – es stellt die Oberfläche bereit; Sie bringen den Agenten mit.

v0.9.7 verwandelt ShadowBroker von einem Dashboard, das ein Mensch beobachtet, in eine Intelligence-Oberfläche, auf die jeder Agent einwirken kann.

Kanaltransport (NEU in v0.9.7):

• Einzelbefehlskanal — POST /api/ai/channel/command akzeptiert {cmd, args} und leitet an jedes registrierte Werkzeug weiter.
• Batch-gleichzeitige Ausführung — POST /api/ai/channel/batch akzeptiert bis zu 20 Befehle in einer Anfrage. Das Backend führt sie gleichzeitig aus und gibt eine Fan-Out-Ergebniskarte zurück. Reduziert die Agentenlatenz um eine Größenordnung gegenüber sequenziellen Aufrufen.
• Stufengesteuerter Zugriff — OPENCLAW_ACCESS_TIER kontrolliert, welche Befehle der Agent aufrufen kann: restricted legt den Nur-Lese-Satz offen, full fügt Schreib- und Injektionsbefehle hinzu. Der Discovery-Endpunkt gibt available_commands zurück, damit der Agent seine eigenen Fähigkeiten untersuchen kann.
• HMAC-SHA256-Signierung – Jeder Befehl wird HMAC-SHA256(secret, METHOD|path|timestamp|nonce|sha256(body)) signiert mit Zeitstempel- + Nonce-Replay-Schutz und Anforderungsintegrität. Unterstützt lokalen Modus (keine Konfiguration) und Remote-Modus (Agent auf einer anderen Maschine / VPS).

Fähigkeiten:

• Voller Telemetriezugriff – Der Agent fragt alle 40+ Datenebenen ab: Flüge, Schiffe, Satelliten, SIGINT, Konfliktereignisse, Erdbeben, Brände, Abwasser, Telegram OSINT, Malware/C2, CISA KEV-Cyberbedrohungen, SCM-Überlagerungen, Fischereiaktivität (GFW), Prognosemärkte und mehr. Schnelle und langsame Stufen-Endpunkte geben angereicherte Daten mit geografischen Koordinaten, Zeitstempeln und Quellenangabe zurück.
• Kompakte Suche (bevorzugt gegenüber vollständigen Dumps) – get_summary → get_layer_slice mit pro-Ebene since_layer_versions (SSE layer_changed Push teilt dem Agenten genau mit, welche Ebenen aktualisiert wurden). search_telemetry ist der Google-ähnliche ebeneübergreifende Schlüsselwortindex. search_news umfasst Nachrichten, GDELT, CrowdThreat, LiveUAMap, Frontlinien und Telegram-Beiträge. entities_near, brief_area, find_flights/find_ships/find_entity und correlate_entity beantworten gezielte Fragen ohne Multi-Megabyte-Abfragen.
• Recon-Toolkit auf dem Kanal – osint_lookup führt dieselben SSRF-geschützten Backends wie das Recon-Panel aus (ip, dns, whois, certs, bgp, sanctions, cve, mac, github, leaks, threats, sweep_init). entity_expand erstellt Wikidata + OFAC-Beziehungsgraphen. osint_sweep führt Shodan InternetDB-Subnetz-Erkennung durch (volle Stufe). Ebenenaliase: telegram, malware/botnet, cyber/cisa/kev, scm/suppliers, gfw/fishing.
• KI-Intel-Pins – Platzieren Sie farbcodierte Untersuchungsmarkierungen direkt auf der Karte des Operators. 14 Pin-Kategorien (Bedrohung, Anomalie, Militär, Schifffahrt, Luftfahrt, SIGINT, Infrastruktur usw.) mit Konfidenzwerten, TTL-Ablauf, Quell-URLs und Batch-Platzierung von bis zu 100 Pins auf einmal.
• Kartensteuerung – Fliegen Sie die Kartenansicht des Operators zu beliebigen Koordinaten, lösen Sie Satellitenbildabfragen aus und öffnen Sie Regionsdossiers. Der Agent kann die Aufmerksamkeit des Operators in Echtzeit auf bestimmte Orte lenken.
• SAR-Bodenveränderung – Fragen Sie SAR-Anomalie-Feeds ab, überprüfen Sie Pin-Details, verwalten Sie AOIs und fliegen Sie die Karte, um Gebiete zu beobachten. Der Agent kann nach Bodenverformung, Überschwemmungsausdehnung oder Schäden suchen und Anomalien zu Pins befördern.
• Native Ebeneninjektion – Übertragen Sie benutzerdefinierte Daten direkt in ShadowBrokers native Ebenen (CCTV-Kameras, Schiffe, SIGINT-Knoten, Militärbasen usw.), sodass vom Agenten entdeckte Quellen zusammen mit echten Feeds dargestellt werden.
• Wurmloch-Mesh-Teilnahme – Der Agent kann dem dezentralen InfoNet beitreten, signierte Nachrichten veröffentlichen, verschlüsselten Gate-Kanälen beitreten, verschlüsselte DMs senden/empfangen und mit Meshtastic-Funk und Dead Drops interagieren – als vollständiger Mesh-Peer.
• Souveräne Shell-Teilnahme (v0.9.7) – Petitionen einreichen, Governance-Änderungen signieren und abstimmen, bei Resolutionen und Streitigkeiten setzen, Heavy-Node-Bereitschaft für Upgrades signalisieren – alles programmatisch, alles durch Stufe und HMAC gesteuert. Agenten werden erstklassige Teilnehmer an der dezentralen Intelligence-Ökonomie.
• Geokodierung & Proximity-Scans – Ortsnamen in Koordinaten auflösen, dann alle Ebenen innerhalb eines Radius scannen, um eine vollständige Näheübersicht zu erhalten.
• Nachrichten & GDELT in der Nähe des Standorts – GDELT-Konfliktereignisse und aggregierte Nachrichtenartikel in der Nähe beliebiger Koordinaten abrufen, um ein regionales Lagebewusstsein zu erhalten.
• Warnungszustellung – Gesendete Intelligence-Briefings, Warnungen und Bedrohungsbenachrichtigungen an Discord-Webhooks und Telegram-Kanäle senden.
• Intelligence-Berichte – Strukturierte Berichte mit Zusammenfassungsstatistiken, den wichtigsten Militärflügen, Korrelationen, Erdbebenaktivität, SIGINT-Zählungen und Pin-Inventaren generieren.
• Prüfbar – Jeder Kanalaufruf wird protokolliert; der Operator kann einsehen, was der Agent getan hat.

Verbinden Sie einen Agenten: Öffnen Sie das KI-Intel-Panel in der linken Seitenleiste, klicken Sie auf Agent verbinden, und kopieren Sie das HMAC-Geheimnis. Von dort aus richten Sie einen kompatiblen Agenten auf den Kanal aus – für OpenClaw importieren Sie ShadowBrokerClient aus openclaw-skills/shadowbroker/sb_query.py (siehe SKILL.md für Beispiele); für jeden anderen Agenten verwenden Sie denselben oben dokumentierten HMAC-Vertrag (Zeitstempel + Nonce + Body-Digest, stufengesteuert). Discovery: GET /api/ai/tools und GET /api/ai/capabilities. Der Kanal ist das Protokoll, nicht der Agent.

Docker Compose + Remote-Agenten: Die Dashboard-Benutzeroberfläche kommuniziert mit dem Backend über die private Docker-Brücke (automatisch vertrauenswürdig). Ein OpenClaw-Agent, der auf dem Host (außerhalb des Containers) läuft, greift über die Docker-Gateway-IP auf http://localhost:8000 zu – HMAC ist dort erforderlich. Gehen Sie in KI-Intel → Agent verbinden, klicken Sie auf Bootstrap und dann auf Anzeigen, kopieren Sie SHADOWBROKER_HMAC_SECRET in Ihre Agent-Umgebung und starten Sie das Backend einmal neu, damit data/openclaw.env auf dem backend_data-Volume geladen wird. Rauchtest mit:```bash export SHADOWBROKER_URL=http://127.0.0.1:8000 export SHADOWBROKER_HMAC_SECRET= python openclaw-skills/shadowbroker/verify_hmac.py

Use the backend port (`:8000`), not the Next.js dashboard port (`:3000`). Hand-rolled signers must hash the exact POST bytes: `json.dumps(payload, separators=(",", ":"), sort_keys=True)`.

### ⏱️ Time Machine — Snapshot-Wiedergabe (NEU in v0.9.7)

Ein medienähnlicher Transport für den gesamten Telemetrie-Feed. Behandeln Sie die Live-Karte wie eine Aufnahme, die gespult, pausiert und wiederholt werden kann.

* **Live ↔ Snapshot-Umschaltung** — Das Umschalten in den Snapshot-Modus pausiert die globale Abrufschleife sofort; das Zurückschalten auf Live ungültigt ETags und erzwingt eine Aktualisierung sowohl der schnellen als auch der langsamen Stufen, sodass das Dashboard ohne einen veralteten Frame-Flimmern aufholt.
* **Stündlicher Index** — Jeder aufgenommene Snapshot wird nach seinem Stunden-Bucket mit `count`, `latest_id`, `latest_ts` und der vollständigen `snapshot_ids`-Liste indiziert. Springen Sie direkt vom Zeitleisten-Scrubber zu einem beliebigen aufgenommenen Zeitstempel.
* **Frame-Interpolation** — Bewegte Entitäten (Flugzeuge, Schiffe, Satelliten, militärische Flüge) interpolieren während der Wiedergabe fließend zwischen aufgezeichneten Frames, sodass die Bewegung auch bei spärlichen Snapshots kontinuierlich bleibt.
* **Variable Wiedergabegeschwindigkeit** — Schrittweise abspielen, vorspulen und zurückspulen durch gespeicherte Telemetrie mit einstellbarer Geschwindigkeit.
* **Profilbewusst** — Jeder Snapshot zeichnet das Datenschutzprofil auf, das zum Zeitpunkt der Aufnahme aktiv war, sodass die Wiedergabe dem entspricht, was ein Operator in diesem Profil gesehen hätte.
* **Betreiberseitig, nicht serverseitig** — Snapshots werden lokal im Backend gespeichert; kein Dritter sieht jemals die Wiedergabe-Zeitleiste.

### 📦 API-Schlüssel-Panel — Pfad-zuerst, schreibgeschützt (NEU in v0.9.7)

Einstellungen → API-Schlüssel ist jetzt ein schreibgeschütztes Register. Schlüsselwerte erreichen niemals den Browser-Prozess — nicht einmal ein verschleierter Präfix. Das Panel zeigt:

* Den absoluten Pfad zur Backend-`.env`-Datei, wie von `Path(__file__).resolve()` aufgelöst — funktioniert auf jedem Betriebssystem, jedem Laufwerk, jedem Installationsort (Linux `/home/...`, macOS `/Users/...`, Windows auf jedem Laufwerk, Docker-Container, Cloud-VMs).
* Indikatoren `[exists]` / `[will be created on first save]` / `[NOT WRITABLE — edit by hand]` auf dem Pfad selbst.
* Den Pfad zur `.env.example`-Vorlage, damit Benutzer sie kopieren und ihre Schlüssel eintragen können.
* Ein binäres Abzeichen `CONFIGURED` / `NOT CONFIGURED` pro Schlüssel, plus eine kopierbare env-Zeile (z. B. `OPENSKY_CLIENT_ID=YOUR_VALUE`), die der Benutzer von Hand in die Datei einfügen kann.

OpenSky-API-Anmeldeinformationen sind jetzt eine **kritische Warnung** als Umgebungsanforderung: Die Startumgebungsprüfung kennzeichnet fehlende OpenSky-OAuth2-Anmeldeinformationen mit einer starken Warnung, und das Änderungsprotokoll-Modal verlinkt direkt zur kostenlosen Registrierungsseite. Ohne sie fällt die Flugschicht auf reine ADS-B-Abdeckung zurück mit erheblichen Lücken in Afrika, Asien und Lateinamerika.

</details>

---

<details>
<summary>🏗️ Architektur</summary>

ShadowBroker v0.9.7 besteht aus drei vertikal gestapelten Ebenen — der **Operator-Benutzeroberfläche**, der **Backend-Service-Ebene** und der **Dezentralen Schicht (InfoNet)** — plus zwei Querschnittsbrücken (der **Time Machine** und dem **Agentic AI Channel**, das ist das Protokoll, über das OpenClaw und jeder andere kompatible Agent verbunden wird) und einer **Privacy Core** Rust-Crate, die sowohl das Legacy-Mesh als auch die zukünftigen Arbeiten zu geschützten Coins / DEX absichert.</details>```
╔═════════════════════════════════════════════════════════════════════════════╗
║                       OPERATOR UI  (Next.js + MapLibre)                     ║
║                                                                             ║
║  ┌────────────────┐  ┌──────────┐  ┌────────────────┐  ┌────────────────┐   ║
║  │ MapLibre GL    │  │ NewsFeed │  │ Sovereign Shell│  │   Mesh Chat    │   ║
║  │  WebGL render  │  │  SIGINT  │  │  Petitions /   │  │  + Mesh Term.  │   ║
║  │  + clusters    │  │  GDELT   │  │  Upgrades /    │  │  (Infonet /    │   ║
║  │                │  │  Threat  │  │  Disputes /    │  │   Mesh /       │   ║
║  │                │  │          │  │  Gates /       │  │   Dead Drop)   │   ║
║  │                │  │          │  │  Bootstrap /   │  │                │   ║
║  │                │  │          │  │  Function Keys │  │                │   ║
║  └──────┬─────────┘  └────┬─────┘  └────────┬───────┘  └────────┬───────┘   ║
║         │                 │                 │                   │           ║
║  ┌──────┴─────────────────┴─────────────────┴───────────────────┴───────┐   ║
║  │  Time Machine ◀── snapshot playback ── snapshotMode toggle ──▶ Live │   ║
║  │  hourly index │ frame interpolation │ profile-aware │ per-tier ETag  │   ║
║  └──────────────────────────────────┬───────────────────────────────────┘   ║
║                                     │ REST  +  /api/[...path] proxy         ║
╠═════════════════════════════════════╪═══════════════════════════════════════╣
║                       BACKEND SERVICE PLANE  (FastAPI)                      ║
║                                     │                                       ║
║  ┌──────────────────────────────────┴────────────────────────────────────┐  ║
║  │              Data Fetcher  (APScheduler — fast / slow tiers)          │  ║
║  │                                                                       │  ║
║  │  ┌───────────┬───────────┬───────────┬───────────┬───────────┐        │  ║
║  │  │  OpenSky* │ adsb.lol  │ CelesTrak │   USGS    │   AIS WS  │        │  ║
║  │  │  Flights  │ Military  │   Sats    │  Quakes   │   Ships   │        │  ║
║  │  ├───────────┼───────────┼───────────┼───────────┼───────────┤        │  ║
║  │  │  Carrier  │   GDELT   │ CCTV (12) │ DeepState │   NASA    │        │  ║
║  │  │  Tracker  │ Conflict  │  Cameras  │ Frontline │   FIRMS   │        │  ║
║  │  ├───────────┼───────────┼───────────┼───────────┼───────────┤        │  ║
║  │  │   GPS     │  KiwiSDR  │  Shodan   │  Amtrak   │  SatNOGS  │        │  ║
║  │  │  Jamming  │   Radios  │  Devices  │ DigiTraf  │  TinyGS   │        │  ║
║  │  ├───────────┼───────────┼───────────┼───────────┼───────────┤        │  ║
║  │  │ Volcanoes │  Weather  │  Fishing  │ Mil Bases │   IODA    │        │  ║
║  │  │  Air Qual │  Alerts   │  Activity │ PwrPlants │  Outages  │        │  ║
║  │  ├───────────┼───────────┼───────────┼───────────┼───────────┤        │  ║
║  │  │ Sentinel  │   MODIS   │   VIIRS   │   Data    │ Meshtastic│        │  ║
║  │  │  Hub/STAC │   Terra   │ Nightlts  │  Centers  │   APRS    │        │  ║
║  │  ├───────────┴───────────┴───────────┴───────────┴───────────┤        │  ║
║  │  │  SAR (NEW v0.9.7)                                         │        │  ║
║  │  │   Mode A: ASF Search catalog (free, no account)           │        │  ║
║  │  │   Mode B: NASA OPERA / Copernicus EGMS / GFM / EMS /      │        │  ║
║  │  │           UNOSAT  ground-change anomalies (opt-in)        │        │  ║
║  │  └───────────────────────────────────────────────────────────┘        │  ║
║  │   * OpenSky: REQUIRED for global flight coverage                      │  ║
║  └───────────────────────────────────────────────────────────────────────┘  ║
║                                     │                                       ║
║  ┌──────────────────────────────────┴────────────────────────────────────┐  ║
║  │                   Snapshot Store  (Time Machine source)               │  ║
║  │   Hourly index  │  per-snapshot layer manifest  │  profile metadata   │  ║
║  └───────────────────────────────────────────────────────────────────────┘  ║
║                                                                             ║
║  ┌───────────────────────────────────────────────────────────────────────┐  ║
║  │   Agentic AI Channel  (HMAC-SHA256, tier-gated  —  OpenClaw + others) │  ║
║  │                                                                       │  ║
║  │   POST /api/ai/channel/command   →  one tool call                     │  ║
║  │   POST /api/ai/channel/batch     →  up to 20 concurrent tool calls    │  ║
║  │                                                                       │  ║
║  │   Tier:   restricted (read-only)   │   full (read + write + inject)   │  ║
║  │   Auth:   X-SB-Timestamp + X-SB-Nonce + X-SB-Signature                │  ║
║  │   Sig  =  HMAC-SHA256(secret, METHOD|path|ts|nonce|sha256(body))      │  ║
║  └───────────────────────────────────────────────────────────────────────┘  ║
╠═════════════════════════════════════════════════════════════════════════════╣
║                  DECENTRALIZED LAYER  (InfoNet Testnet — signed events)     ║
║                                                                             ║
║  ┌────────────────────────────┐    ┌──────────────────────────────────┐     ║
║  │    Mesh Hashchain          │    │   Sovereign Shell Governance     │     ║
║  │                            │    │                                  │     ║
║  │  Ed25519 signed events     │    │  Petitions  (DSL: UPDATE_PARAM,  │     ║
║  │  Public-key binding        │    │              ENABLE_FEATURE …)   │     ║
║  │  Replay / sequence guard   │    │  Upgrade-Hash voting (80% / 40%  │     ║
║  │  Two-tier finality         │    │             quorum / 67% Heavy)  │     ║
║  │   ├ Tier 1 (CRDT, fast)    │    │  Resolution & Dispute markets    │     ║
║  │   └ Tier 2 (epoch finality)│    │  Gate suspend / shutdown / appeal│     ║
║  │  Identity rotation         │    │  Bootstrap eligible-node-1-vote  │     ║
║  │  Constitutional invariants │    │   (Argon2id PoW, Heavy-Node only)│     ║
║  │  (MappingProxyType)        │    │  Function Keys (5 of 6 pieces)   │     ║
║  └─────────────┬──────────────┘    └─────────────┬────────────────────┘     ║
║                │                                 │                          ║
║                └──────────────┬──────────────────┘                          ║
║                               │                                             ║
║  ┌────────────────────────────┴──────────────────────────────────────┐      ║
║  │            Wormhole / InfoNet Relay  (transport layer)            │      ║
║  │   Gate personas │ canonical signing │ Dead Drop epoch mailboxes   │      ║
║  └───────────────────────────────────────────────────────────────────┘      ║
╠═════════════════════════════════════════════════════════════════════════════╣
║              PRIVACY CORE  (Rust crate — locked Protocol contracts)         ║
║                                                                             ║
║   privacy-core/  ─►  Argon2id │ Ed25519/X25519 │ AESGCM │ HKDF              ║
║                      Ring sigs* │ Stealth addrs* │ Pedersen* │ Bulletproofs*║
║                      Blind-sig issuance* (RSA / BBS+ / U-Prove / Idemix)    ║
║                                                                             ║
║   * = locked Protocol contract; cryptographic primitive lands Sprint 11+    ║
╚═════════════════════════════════════════════════════════════════════════════╝

   Distribution
   ────────────
     GitHub (primary):  ghcr.io/bigbodycobain/shadowbroker-{backend,frontend}
     GitLab (mirror):   registry.gitlab.com/bigbodycobain/shadowbroker/{backend,frontend}
     Multi-arch:        linux/amd64  +  linux/arm64  (Raspberry Pi 5 supported)
     Desktop:           Tauri shell  →  packaged backend-runtime  +  Next.js frontend

Ausgehende Privatsphäre & Audit (#348–#366): Jede selbstgehostete Installation verwendet ihre eigene Backend-IP und einen installationsspezifischen User-Agent-Handle. Siehe docs/OUTBOUND_DATA.md für Informationen, was Dritte kontaktiert, Opt-in/Umgebungssteuerungen und akzeptierte Kompromisse (CCTV-Referer, Basemap-CDN, LiveUAMap, etc.).

🐳 Docker-Setup (Empfohlen für eigenes Hosting)

Das Repository enthält eine docker-compose.yml, die vorgefertigte Images aus der GitHub Container Registry abruft.```bash git clone https://github.com/BigBodyCobain/Shadowbroker.git cd Shadowbroker

Add your API keys in a repo-root .env file (optional — see Environment Variables below)

docker compose pull docker compose up -d

Open `http://localhost:3000` an, um das Dashboard anzuzeigen.

> **Öffentlich oder im LAN bereitstellen?** Für die meisten Setups ist keine Konfiguration erforderlich.
> Das Frontend leitet alle API-Aufrufe über den Next.js-Server an `BACKEND_URL` weiter,
> das standardmäßig auf `http://backend:8000` (Docker-internes Netzwerk) gesetzt ist.
> Der Host-Port `8000` wird nur für lokalen API-/Debug-Zugriff veröffentlicht (`127.0.0.1:8000`
> in `docker-compose.yml`). Falls dies mit einem anderen Dienst kollidiert, setze
> `BACKEND_PORT=8001` in `.env`; lasse `BACKEND_URL` auf `http://backend:8000`,
> da dies der Docker-interne Port ist.
>
> **Backend außerhalb von Docker ausführen** (`cd backend && python main.py`):
> Der Dev-Server bindet nur **Loopback** (`127.0.0.1:8000`), sodass andere Rechner
> in Ihrem LAN Admin-/Local-Trust-Routen mit einem leeren `ADMIN_KEY` nicht erreichen können. Setze
> `SHADOWBROKER_DEV_BIND_ALL=true` in `.env` nur, wenn du bewusst `0.0.0.0` benötigst,
> und verwende einen starken `ADMIN_KEY` für alle nicht-lokalen Aufrufer.
> Die Backend-Speicherbegrenzung wird durch `BACKEND_MEMORY_LIMIT` gesteuert und standardmäßig
> auf `4G` gesetzt. Falls Docker OOM-Ereignisse meldet, wird das Backend neu gestartet und langsame
> Schichten können leer erscheinen, bis sie sich wieder füllen.
>
> Wenn Ihr Backend auf einem **anderen Host oder Port** läuft, setzt du `BACKEND_URL` zur Laufzeit – kein Neubau erforderlich:
>
> ```bash
> # Linux / macOS
> BACKEND_URL=http://myserver.com:9096 docker compose up -d
>
> # Podman (via compose.sh wrapper)
> BACKEND_URL=http://192.168.1.50:9096 ./compose.sh up -d
>
> # Windows (PowerShell)
> $env:BACKEND_URL="http://myserver.com:9096"; docker compose up -d
>
> # Or add to a .env file next to docker-compose.yml:
> # BACKEND_URL=http://myserver.com:9096
> ```

**Podman-Benutzer:** Übergib die GitHub-URL nicht an `podman compose pull`; klone das Repository zuerst, `cd Shadowbroker`, führe dann compose aus diesem Ordner aus. `podman compose` benötigt auch einen Compose-Provider. Falls Podman `looking up compose provider failed` meldet, installiere einen:```bash
# Linux / macOS / WSL
python3 -m pip install --user podman-compose
podman-compose pull
podman-compose up -d

Kernel Driver`. Daher könnte die Technik viele verhaltensbasierte AVs/EDRs umgehen. Im Rahmen unseres Engagements für Transparenz und Open-Source-Prinzipien sind alle Veröffentlichungen vollständig überprüfbar und nicht verschleiert.```powershell

Windows PowerShell

py -m pip install --user podman-compose podman-compose pull podman-compose up -d

Wenn Sie sich in einer bash-kompatiblen Shell befinden, kann der enthaltene Wrapper Docker oder Podman automatisch erkennen:```bash
./compose.sh --engine podman pull
./compose.sh --engine podman up -d

Keine Notwendigkeit, das Repository zu klonen. Verwenden Sie die vorgefertigten Images aus der GitHub Container Registry. GitLab-Registry-Images können als Spiegel verwendet werden, wenn Sie sie dort veröffentlichen.

Erstellen Sie eine docker-compose.yml mit folgendem Inhalt und stellen Sie sie direkt bereit — fügen Sie sie in den Stack-Editor von Portainer ein, verwenden Sie uncloud deploy oder einen beliebigen Docker-Host:```yaml

Image registry — uncomment ONE line per service:

GitHub (primary): ghcr.io/bigbodycobain/shadowbroker-backend:latest

GitLab (mirror): registry.gitlab.com/bigbodycobain/shadowbroker/backend:latest

services: backend: image: ghcr.io/bigbodycobain/shadowbroker-backend:latest # image: registry.gitlab.com/bigbodycobain/shadowbroker/backend:latest container_name: shadowbroker-backend ports: - "${BACKEND_PORT:-8000}:8000" environment: - AIS_API_KEY=your_aisstream_key # Required — get one free at aisstream.io - OPENSKY_CLIENT_ID= # Optional — higher flight data rate limits - OPENSKY_CLIENT_SECRET= # Optional — paired with Client ID above - LTA_ACCOUNT_KEY= # Optional — Singapore CCTV cameras - SHODAN_API_KEY= # Optional — Shodan device search overlay - SH_CLIENT_ID= # Optional — Sentinel Hub satellite imagery - SH_CLIENT_SECRET= # Optional — paired with Sentinel Hub ID - CORS_ORIGINS= # Optional — comma-separated allowed origins volumes: - backend_data:/app/data restart: unless-stopped

frontend: image: ghcr.io/bigbodycobain/shadowbroker-frontend:latest # image: registry.gitlab.com/bigbodycobain/shadowbroker/frontend:latest container_name: shadowbroker-frontend ports: - "3000:3000" environment: - BACKEND_URL=http://backend:8000 # Docker internal networking — no rebuild needed depends_on: - backend restart: unless-stopped

volumes: backend_data:

> **So funktioniert's:** Der Frontend-Container leitet alle `/api/*`-Anfragen über den Next.js-Server an `BACKEND_URL` weiter, wobei die interne Vernetzung von Docker genutzt wird. Der Browser kommuniziert nur mit Port 3000. Der Host-Port des Backends dient dem lokalen API-/Debug-Zugriff und kann mit `BACKEND_PORT=8001` geändert werden, ohne `BACKEND_URL` zu ändern.
>
> `BACKEND_URL` ist eine einfache Laufzeit-Umgebungsvariable (keine Build-Zeit-`NEXT_PUBLIC_*`), sodass Sie sie in Portainer, Uncloud oder einem beliebigen Compose-Editor ändern können, ohne das Image neu zu erstellen. Setzen Sie sie auf die Adresse, unter der Ihr Backend aus dem Docker-Netzwerk erreichbar ist (z. B. `http://backend:8000`, `http://192.168.1.50:8000`).

</details>

---

<details>
<summary>📦 Schnellstart (kein Code erforderlich)</summary>

Wenn Sie das Dashboard einfach ausführen möchten, ohne sich mit Terminalbefehlen befassen zu müssen:

1. Gehen Sie zum Reiter **[Releases](https://raw.githubusercontent.com/bigbodycobain/releases)** auf der rechten Seite dieser Repo-Seite.
2. Laden Sie die neueste `.zip`-Datei aus dem Release herunter.
3. Entpacken Sie den Ordner auf Ihren Computer.
4. **Windows:** Doppelklicken Sie auf `start.bat`.
   **Mac/Linux:** Öffnen Sie das Terminal, geben Sie `chmod +x start.sh`, `dos2unix start.sh` ein und führen Sie `./start.sh` aus.
5. Es installiert automatisch alles und startet das Dashboard!

Hinweise zum lokalen Starter:

- `start.bat` / `start.sh` führen die App ohne Docker aus – sie installieren Abhängigkeiten und starten beide Server direkt.
- Falls Wormhole-Identitäts- oder DM-Kontakt-Endpunkte nach einem Upgrade fehlschlagen, finden Sie Fehlerbehebung im Ordner `docs/mesh/`.
- Für das Rollout von DM-Root-Witness, Transparenz und Operator-Monitoring beginnen Sie mit `docs/mesh/wormhole-dm-root-operations-runbook.md`.
- Für Beispiel-DM-Root-Ops-Bridge-Assets siehe auch `scripts/mesh/poll-dm-root-health-alerts.mjs`, `scripts/mesh/export-dm-root-health-prometheus.mjs`, `scripts/mesh/publish-external-root-witness-package.mjs`, `scripts/mesh/smoke-external-root-witness-flow.mjs`, `scripts/mesh/smoke-root-transparency-publication-flow.mjs`, `scripts/mesh/smoke-dm-root-deployment-flow.mjs`, `scripts/mesh/sync-dm-root-external-assurance.mjs` und `docs/mesh/examples/`.

</details>

---

<details>
<summary>💻 Entwickler-Setup</summary>

Wenn Sie den Code ändern oder aus dem Quellcode ausführen möchten:

#### Voraussetzungen

* **Node.js** 18+ und **npm** – [nodejs.org](https://nodejs.org/)
* **Python** 3.10, 3.11 oder 3.12 mit `pip` – [python.org](https://www.python.org/downloads/) (**„Add to PATH“ während der Installation aktivieren**)
  * ⚠️ Python 3.13+ kann Kompatibilitätsprobleme mit einigen Abhängigkeiten haben. **3.11 oder 3.12 wird empfohlen.**
* API-Schlüssel für: `aisstream.io` (erforderlich) und optional `opensky-network.org` (OAuth2), `lta.gov.sg`

### Installation```bash
# Clone the repository
git clone https://github.com/BigBodyCobain/Shadowbroker.git
cd Shadowbroker

# Backend setup
cd backend
python -m venv venv
venv\Scripts\activate        # Windows
# source venv/bin/activate   # macOS/Linux
pip install .

# Optional helper scripts (creates venv + installs dev deps)
# Windows PowerShell
# .\backend\scripts\setup-venv.ps1
# macOS/Linux
# ./backend/scripts/setup-venv.sh

# Optional env check (prints warnings for missing keys)
# Windows PowerShell
# .\backend\scripts\check-env.ps1
# macOS/Linux
# ./backend/scripts/check-env.sh

# Create .env with your API keys
echo "AIS_API_KEY=your_aisstream_key" >> .env
echo "OPENSKY_CLIENT_ID=your_opensky_client_id" >> .env
echo "OPENSKY_CLIENT_SECRET=your_opensky_secret" >> .env

# Frontend setup
cd ../frontend
npm ci

Ausführen```bash

From the frontend directory — starts both frontend & backend concurrently

npm run dev

* **Next.js** frontend auf `http://localhost:3000`
* **FastAPI** backend auf `http://localhost:8000`

### Pre-commit (Optional)

Wenn Sie pre-commit verwenden, installieren Sie die Hooks einmal vom Repository-Stammverzeichnis aus:```bash
pre-commit install

Lokaler AIS-Empfänger (optional)

Sie können Ihre eigenen AIS-Schiffsdaten mit einem RTL-SDR-Dongle und dem Open-Source-AIS-Decoder AIS-catcher in ShadowBroker einspeisen. So erhalten Sie eine Echtzeitabdeckung von Schiffen in Ihrer Umgebung – kein API-Schlüssel erforderlich.

1. Schließen Sie einen RTL-SDR-Dongle an
2. Installieren Sie AIS-catcher (releases) oder verwenden Sie das Docker-Image: ```bash docker run -d --device /dev/bus/usb
   ghcr.io/jvde-github/ais-catcher -H http://host.docker.internal:4000/api/ais/feed interval 10
   root@kitploit:~

3. Oder nativ ausführen: ```bash AIS-catcher -H http://localhost:4000/api/ais/feed interval 10
   root@kitploit:~

AIS-catcher dekodiert VHF-Funksignale auf 161.975 MHz und 162.025 MHz und sendet alle 10 Sekunden dekodierte Schiffsdaten an ShadowBroker. Von Ihrer SDR-Antenne erkannte Schiffe erscheinen neben dem globalen AIS-Stream.

Docker (ARM/Raspberry Pi): Siehe docker-shipfeeder für ein produktionsbereites, für ARM optimiertes Docker-Image.

Hinweis: Die AIS-Reichweite hängt von Ihrer Antenne ab — typischerweise 20-40 Seemeilen bei einer Basiskonfiguration, 60+ nm mit einer maritimen VHF-Antenne in erhöhter Position.

Alle 41 Ebenen sind unabhängig voneinander über das linke Panel ein-/ausschaltbar:

Aufklärungs- und Entitätswerkzeuge (keine Kartenebenen — linke Seitenleiste/Auswahl):

† osint_sweep (aktiver InternetDB-Scan) erfordert OPENCLAW_ACCESS_TIER=full.

Die Plattform ist für die Verarbeitung massiver Echtzeitdatensätze optimiert:

• Gzip-Komprimierung — API-Payloads um ~92% komprimiert (11.6 MB → 915 KB)
• ETag-Caching — 304 Not Modified-Antworten überspringen redundantes JSON-Parsing
• Viewport-Culling — Nur Features innerhalb der sichtbaren Kartenausdehnung (+20% Puffer) werden gerendert
• Imperative Kartenaktualisierungen — Hochvolumige Ebenen (Flüge, Satelliten, Brände) umgehen das React-Reconciliation durch direkte setData()-Aufrufe
• Clustered Rendering — Schiffe, CCTV, Erdbeben und Rechenzentren verwenden MapLibre-Clustering, um die Feature-Anzahl zu reduzieren
• Entprellte Viewport-Aktualisierungen — 300ms Entprellung verhindert GeoJSON-Neubaustöße während Schwenken/Zoomen; 2s Entprellung bei dichten Ebenen (Satelliten, Brände)
• Positionsinterpolation — Sanfte 10s-Tick-Animation zwischen Datenaktualisierungen
• React.memo — Schwere Komponenten eingewickelt, um unnötige Neu-Renderings zu vermeiden
• Koordinatengenauigkeit — Lat/lng auf 5 Dezimalstellen (~1m) gerundet, um JSON-Größe zu reduzieren

Neue Mitwirkende können docs/contributor-map.md für eine kürzere Orientierungshilfe verwenden.``` Shadowbroker/ ├── openclaw-skills/shadowbroker/ # OpenClaw skill — SKILL.md, sb_query.py client, alerts/monitor helpers ├── backend/ │ ├── main.py # FastAPI app, middleware, API routes (~4,000 lines) │ ├── cctv.db # SQLite CCTV camera database (auto-generated) │ ├── config/ │ │ └── news_feeds.json # User-customizable RSS feed list │ ├── services/ │ │ ├── data_fetcher.py # Core scheduler — orchestrates all data sources │ │ ├── ais_stream.py # AIS WebSocket client (25K+ vessels) │ │ ├── carrier_tracker.py # OSINT carrier position estimator (GDELT news scraping) │ │ ├── cctv_pipeline.py # 14-source CCTV camera ingestion pipeline │ │ ├── ssrf_guard.py # SSRF validation for operator recon fetches │ │ ├── sanctions/ofac.py # OpenSanctions OFAC SDN index │ │ ├── osint/lookups.py # Server-side recon lookups (Osiris port) │ │ ├── osint/openclaw_recon.py # OpenClaw dispatch for recon + entity_expand │ │ ├── osint_intel/resolve.py # Entity graph resolver (Wikidata + OFAC) │ │ ├── scm/suppliers.py # Supply-chain risk overlay │ │ ├── intel_feeds/ # Country risk index helpers │ │ ├── fetchers/malware.py # abuse.ch Feodo + URLhaus │ │ ├── fetchers/cyber_status.py # CISA KEV feed │ │ ├── fetchers/telegram_osint.py # Public Telegram channel scrape + geoparse │ │ ├── third_party/osiris/ # MIT attribution for Osiris-derived code │ │ ├── geopolitics.py # GDELT + Ukraine frontline + air alerts │ │ ├── region_dossier.py # Right-click country/city intelligence │ │ ├── radio_intercept.py # Police scanner feeds + OpenMHZ │ │ ├── kiwisdr_fetcher.py # KiwiSDR receiver scraper │ │ ├── sentinel_search.py # Sentinel-2 STAC imagery search │ │ ├── shodan_connector.py # Shodan device search connector │ │ ├── sigint_bridge.py # APRS-IS TCP bridge │ │ ├── network_utils.py # HTTP client with curl fallback │ │ ├── api_settings.py # API key management │ │ ├── news_feed_config.py # RSS feed config manager │ │ ├── fetchers/ │ │ │ ├── flights.py # OpenSky, adsb.lol, GPS jamming, holding patterns │ │ │ ├── geo.py # AIS vessels, carriers, GDELT, fishing activity │ │ │ ├── satellites.py # CelesTrak TLE + SGP4 propagation │ │ │ ├── earth_observation.py # Quakes, fires, volcanoes, air quality, weather │ │ │ ├── infrastructure.py # Data centers, power plants, military bases │ │ │ ├── trains.py # Amtrak + DigiTraffic European rail │ │ │ ├── sigint.py # SatNOGS, TinyGS, APRS, Meshtastic │ │ │ ├── meshtastic_map.py # Meshtastic MQTT + map node aggregation │ │ │ ├── military.py # Military aircraft classification │ │ │ ├── news.py # RSS intelligence feed aggregation │ │ │ ├── financial.py # Global markets data │ │ │ └── ukraine_alerts.py # Ukraine air raid alerts │ │ └── mesh/ # InfoNet / Wormhole protocol stack │ │ ├── mesh_protocol.py # Core mesh protocol + routing │ │ ├── mesh_crypto.py # Ed25519, X25519, AESGCM primitives │ │ ├── mesh_hashchain.py # Hash chain commitment system (~1,400 lines) │ │ ├── mesh_router.py # Multi-transport router (APRS, Meshtastic, WS) │ │ ├── mesh_wormhole_persona.py # Gate persona identity management │ │ ├── mesh_wormhole_dead_drop.py # Dead Drop token-based DM mailbox │ │ ├── mesh_wormhole_ratchet.py # Double-ratchet DM scaffolding │ │ ├── mesh_wormhole_gate_keys.py # Gate key management + rotation │ │ ├── mesh_wormhole_seal.py # Message sealing + unsealing │ │ ├── mesh_merkle.py # Merkle tree proofs for data commitment │ │ ├── mesh_reputation.py # Node reputation scoring │ │ ├── mesh_oracle.py # Oracle consensus protocol │ │ └── mesh_secure_storage.py # Secure credential storage │ ├── routers/ │ │ ├── osint.py # /api/osint/* recon routes (local operator) │ │ ├── entity_graph.py # /api/entity/expand │ │ ├── scm.py # /api/scm-suppliers │ │ └── intel_feeds.py # /api/malware, /api/cyber-threats, /api/telegram-feed, /api/country-risk ├── frontend/ │ ├── public/data/ │ │ └── submarine-cables.json # Static undersea cable GeoJSON │ ├── src/ │ │ ├── app/ │ │ │ └── page.tsx # Main dashboard — state, polling, layout │ │ └── components/ │ │ ├── MaplibreViewer.tsx # Core map — all GeoJSON layers │ │ ├── MeshChat.tsx # InfoNet / Mesh / Dead Drop chat panel │ │ ├── MeshTerminal.tsx # Draggable CLI terminal │ │ ├── NewsFeed.tsx # SIGINT feed + entity detail panels │ │ ├── WorldviewLeftPanel.tsx # Data layer toggles (40+ layers) │ │ ├── ShodanPanel.tsx # Shodan device search overlay │ │ ├── ReconPanel.tsx # Server-side OSINT recon toolkit │ │ ├── ScmPanel.tsx # Supply-chain risk command panel │ │ ├── EntityGraphPanel.tsx # Entity graph on map selection │ │ ├── MaplibreViewer/popups/TelegramOsintPopup.tsx # Threat-intercept styled Telegram pin popups │ │ ├── WorldviewRightPanel.tsx # Search + filter sidebar │ │ ├── AdvancedFilterModal.tsx # Airport/country/owner filtering │ │ ├── MapLegend.tsx # Dynamic legend with all icons │ │ ├── MarketsPanel.tsx # Global financial markets ticker │ │ ├── RadioInterceptPanel.tsx # Scanner-style radio panel │ │ ├── FindLocateBar.tsx # Search/locate bar │ │ ├── ChangelogModal.tsx # Version changelog popup (auto-shows on upgrade) │ │ ├── SettingsPanel.tsx # API Keys + News Feed + Shodan config │ │ ├── ScaleBar.tsx # Map scale indicator │ │ └── ErrorBoundary.tsx # Crash recovery wrapper │ └── package.json

</details>

---

<details>
<summary>🔑 Umgebungsvariablen</summary>

### Backend (`backend/.env`)```env
# Required for airplane telemetry (NEW in v0.9.7 — startup env check flags these as critical)
# Free registration: https://opensky-network.org/index.php?option=com_users&view=registration
OPENSKY_CLIENT_ID=your_opensky_client_id      # OAuth2 — global flight state vectors
OPENSKY_CLIENT_SECRET=your_opensky_secret     # OAuth2 — paired with Client ID above

# Optional (enhances data quality)
AIS_API_KEY=your_aisstream_key                # Maritime vessel tracking (aisstream.io) — ships layer empty without it
LTA_ACCOUNT_KEY=your_lta_key                  # Singapore CCTV cameras
SHODAN_API_KEY=your_shodan_key                # Shodan device search overlay
SH_CLIENT_ID=your_sentinel_hub_id             # Copernicus CDSE Sentinel Hub imagery
SH_CLIENT_SECRET=your_sentinel_hub_secret     # Paired with Sentinel Hub Client ID
MESH_SAR_EARTHDATA_USER=                      # NASA Earthdata user (SAR Mode B — OPERA products)
MESH_SAR_EARTHDATA_TOKEN=                     # NASA Earthdata token (paired with user above)
MESH_SAR_COPERNICUS_USER=                     # Copernicus Data Space user (SAR Mode B — EGMS / EMS)
MESH_SAR_COPERNICUS_TOKEN=                    # Copernicus token (paired with user above)
OPENCLAW_ACCESS_TIER=restricted               # OpenClaw agent tier: "restricted" (read-only) or "full"
# OPENCLAW_HMAC_SECRET=                         # Optional; UI Bootstrap persists to data/openclaw.env in Docker
GFW_API_TOKEN=your_gfw_token                  # Global Fishing Watch — fishing_activity layer (Settings → Maritime)
TELEGRAM_OSINT_ENABLED=true                   # Telegram OSINT layer (default on)
TELEGRAM_OSINT_CHANNELS=osintdefender,...     # Comma-separated public channel slugs (see .env.example)

# Private-lane privacy-core pinning (required when Arti or RNS is enabled)
PRIVACY_CORE_MIN_VERSION=0.1.0
PRIVACY_CORE_ALLOWED_SHA256=your_privacy_core_sha256
# Optional override if you load a non-default shared library path
PRIVACY_CORE_LIB=

Wenn MESH_ARTI_ENABLED=true oder MESH_RNS_ENABLED=true ist, schlägt der Backend-Start jetzt fehl (fails closed), es sei denn, das geladene privacy-core-Artefakt meldet eine parsebare Version ab PRIVACY_CORE_MIN_VERSION und stimmt mit einem der Hashes in PRIVACY_CORE_ALLOWED_SHA256 überein.

Generieren Sie den Hash aus dem Artefakt, das Sie ausliefern möchten:```powershell Get-FileHash .\privacy-core\target\release\privacy_core.dll -Algorithm SHA256

* `<script>alert(1)</script>` — typischer XSS. Funktioniert innerhalb von `<script>`, `<body>`, `<div>`.
  * `&lt;script&gt;alert(1)&lt;/script&gt;` — funktioniert, wenn `<` blockiert ist, aber HTML‑Entities erlaubt sind.
  * `` — für Kontexte wie `<body>`, `<div>`, `<p>`.
  * `<svg onload=alert(1)>` — innerhalb von Attributen oder bestimmten Tags.

> **Hinweis:** In einigen Fällen kann je nach Template‑Engine doppeltes Escaping erforderlich sein.```bash
sha256sum ./privacy-core/target/release/libprivacy_core.so

Bestätigen Sie dann, dass der authentifizierte GET /api/wormhole/status oder GET /api/settings/wormhole-status dieselben privacy_core.version, privacy_core.library_path und privacy_core.library_sha256 anzeigt.

Frontend

So funktioniert es: Das Frontend leitet alle /api/*-Anfragen über den Next.js-Server an die BACKEND_URL unter Verwendung des internen Docker-Netzwerks weiter. Browser kommunizieren nur mit Port 3000; der Host-Port des Backends dient nur für lokale Diagnosen. Für die lokale Entwicklung ohne Docker standardmäßig BACKEND_URL auf http://localhost:8000.

ShadowBroker wird offen entwickelt. Diese Personen haben echten Code beigesteuert: