Code-Signing-Richtlinie

Die Installationspakete des 3MF Katalog Managers sind derzeit nicht mit einem Code-Signing-Zertifikat signiert. Diese Seite erklärt, was das bedeutet und wie du trotzdem prüfen kannst, dass eine Datei echt ist.

Was das bedeutet

Windows zeigt deshalb beim ersten Start eine SmartScreen-Warnung, macOS eine Gatekeeper-Meldung. Manche Virenscanner stufen neue, unsignierte Programme vorsorglich als verdächtig ein. Was dann hilft, steht in der FAQ auf der Startseite und im Wiki.

Warum nicht signiert?

Zertifikate für die Signierung kosten Geld. Eine kostenlose Signierung für Open-Source-Projekte wurde für dieses junge Projekt bisher nicht erteilt; eine erneute Bewerbung ist geplant, sobald das Projekt bekannter ist.

So prüfst du eine Datei

• Lade Pakete nur von der Releases-Seite des Projekts oder über die Download-Knöpfe auf dieser Webseite.
• Vergleiche die SHA256-Prüfsumme der Datei mit SHA256SUMS.txt im selben Release. Windows: certutil -hashfile Dateiname SHA256. macOS und Linux: shasum -a 256 Dateiname.
• Die Pakete werden aus dem öffentlichen Quellcode in GitHub Actions gebaut. Der Quellcode steht unter der MIT-Lizenz.
• Wer vor der Installation sichergehen möchte, lädt die Datei bei VirusTotal hoch.

Updates in der App

Updates, die die App selbst herunterlädt, sind mit einem eigenen Schlüssel des Projekts signiert (Dateien mit der Endung .sig im Release). Die App installiert ein Update nur, wenn diese Signatur passt. Das gilt unabhängig vom Code-Signing-Zertifikat.

Datenschutz

Die App enthält keine Telemetrie. Netzwerkzugriffe gibt es nur für die Suche nach Updates (Abfrage auf GitHub) sowie für Verbindungen, die man selbst einrichtet, etwa zu Druckern im lokalen Netz. Mehr dazu in der Datenschutzerklärung.

Fragen und Meldungen

Bei Fragen oder Hinweisen zur Echtheit einer Datei: maintainer@3mfkatalog.de.

Stand: Oktober 2026