Das Versprechen
GitHub-Sterne taugen nicht mehr als verlässlicher Indikator für die Reife eines Repositorys oder seine Verbreitung in der Community. Eine Schattenwirtschaft ist auf 6 Millionen gefälschte Sterne angewachsen. Sie zielt vor allem auf die Bereiche KI und LLM, um Investoren und Entwicklern soziale Bestätigung vorzugaukeln (AwesomeAgents.ai). Diese Manipulation ist kein Randphänomen mehr, sondern ein systemisches Problem, das fast 19.000 Repositorys betrifft (ICSE 2026).
Unter der Haube
Eine begutachtete Studie der CMU (ICSE 2026) identifizierte mit dem Tool StarScout 6 Millionen gefälschte Sterne in 18.617 Repositorys (AwesomeAgents.ai). Gehandelt werden diese Sterne auf offenen Plattformen wie Telegram und Fiverr, für 0,03 bis 0,85 US-Dollar pro Stück (AwesomeAgents.ai). Repositorys zu KI und LLMs bilden die größte nicht bösartige Kategorie der Manipulation, mit 177.000 mutmaßlich gefälschten Sternen (ICSE 2026 Research Track).
Messbare Unstimmigkeiten liefern die deutlichsten Belege für dieses künstliche Wachstum. Das Projekt „Free Domain“ etwa hat 157.000 Sterne, aber nur 168 Watcher (AwesomeAgents.ai). Bei organischem Wachstum ist dieses Verhältnis mathematisch unmöglich. Selbst bekannte Projekte sind betroffen: Union Labs, im 2. Quartal 2025 Spitzenreiter im Runa Capital Ross Index, wurde mit einer Betrugsquote von 47,4 % markiert (AwesomeAgents Podcast).
Die Risiken dieser Schattenwirtschaft reichen über Eitelkeitskennzahlen hinaus bis in rechtliche und sicherheitsrelevante Bereiche. Die Consumer Review Rule der FTC von 2024 erlaubt nun Strafen von 53.088 US-Dollar pro Verstoß für den Kauf gefälschten Einflusses (FTC Rule 2024). Zudem wertet die SEC Sterne-Manipulation während einer Finanzierungsrunde als möglichen Überweisungsbetrug (Wire Fraud), wenn sie zur Täuschung von Investoren dient (SEC Precedent 2025).
Aus Sicherheitssicht ist das eine kritische Schwachstelle in der Lieferkette. Angreifer können Glaubwürdigkeit kaufen, um Social-Engineering-Versuche zu tarnen, ähnlich wie beim Vorfall mit der XZ-Hintertür (dev.to). Die vollständige Liste aller 18.617 markierten Repositorys kennen wir noch nicht, da ein Großteil der StarScout-Daten teilweise vertraulich bleibt. Ebenso wenig wissen wir, wie GitHub intern plant, von reaktiver zu proaktiver Erkennung überzugehen.
Unsere Einschätzung
Verwenden Sie die Anzahl der Sterne nicht mehr als Filter für Abhängigkeiten in der Produktion. Als CTO oder Lead Dev müssen Sie das Verhältnis von Sternen zu Watchern und die Historie der Beitragenden prüfen, bevor Sie eine „angesagte“ KI-Bibliothek integrieren. Für die technische Due Diligence ist die Sterne-Kennzahl praktisch tot. Sie ist nur noch ein Marketingposten für Gründer, die Risikokapitalgebern hinterherlaufen, deren Auswahlkriterien seit 2022 nicht aktualisiert wurden. Hat ein Projekt 50.000 Sterne, aber einen stillen Issue-Tracker, ist es keine Community, sondern eine Quittung.