ByteburgIT-Wissen praxisnah erklärt

Open Source verstehen

Quelloffen heißt einsehbar, nicht automatisch kostenlos und nicht automatisch sicherer. Beides hängt davon ab, wer das Projekt tatsächlich pflegt.

DevOps und CI/CD-Pipelines

Warum Abhängigkeiten automatisch auf bekannte Schwachstellen geprüft werden sollten.

Der eigentliche Unterschied

Bei proprietärer Software erhält man ein Nutzungsrecht, nicht die Software selbst. Der Quellcode bleibt verschlossen, Anpassungen sind nur im vorgesehenen Rahmen möglich, und die Weiterentwicklung liegt allein beim Hersteller. Dafür gibt es einen klaren Ansprechpartner mit vertraglichen Zusagen.

Bei quelloffener Software ist der Quellcode einsehbar, veränderbar und weitergebbar. Das schafft Unabhängigkeit: Stellt ein Anbieter die Entwicklung ein, kann das Projekt von anderen fortgeführt werden. Es verschiebt aber auch die Verantwortung. Ohne Vertrag gibt es niemanden, der zur Fehlerbehebung verpflichtet wäre.

Lizenztypen und ihre Folgen

Freizügige Lizenzen erlauben nahezu jede Verwendung, auch in geschlossenen Produkten. Meist genügt die Nennung des Urhebers. Für Unternehmen sind sie am unkompliziertesten.

Copyleft-Lizenzen verlangen, dass abgeleitete Werke unter denselben Bedingungen weitergegeben werden. Wer solche Software in ein eigenes Produkt einbaut und dieses vertreibt, muss unter Umständen den eigenen Quellcode offenlegen. Für rein interne Nutzung greift diese Pflicht in der Regel nicht, bei Weitergabe sehr wohl.

Schwache Copyleft-Lizenzen stehen dazwischen: Änderungen an der Bibliothek selbst müssen offengelegt werden, das umgebende Programm nicht.

Praxisrelevant ist vor allem eine Frage: Wird die Software nur intern genutzt oder als Teil eines Produkts weitergegeben? Erst bei Weitergabe entfalten Copyleft-Pflichten ihre volle Wirkung. Eine Übersicht der eingesetzten Komponenten samt Lizenz gehört in jedes Projekt und lässt sich automatisiert erzeugen.

Ist quelloffene Software sicherer?

Die verbreitete Annahme, viele Augen fänden alle Fehler, stimmt nur, wenn tatsächlich jemand hinsieht. Bei großen, aktiv gepflegten Projekten mit vielen Beteiligten und regelmäßigen Prüfungen trifft das zu. Bei kleinen Projekten, die von einer einzelnen Person in der Freizeit betreut werden, trifft es nicht zu, auch wenn Millionen Systeme davon abhängen.

Die aussagekräftigen Fragen lauten deshalb nicht offen oder geschlossen, sondern: Wie viele aktive Betreuende hat das Projekt? Wie schnell wurden Sicherheitslücken in der Vergangenheit geschlossen? Gibt es eine Sicherheitsrichtlinie und einen Meldeweg? Wie oft erscheinen Aktualisierungen?

Ein realer Vorteil ist die Prüfbarkeit: Bei Sicherheitssoftware lässt sich unabhängig nachvollziehen, ob die Verschlüsselung so arbeitet wie beschrieben. Ein realer Nachteil ist die Angreifbarkeit der Lieferkette, denn übernommene Bibliotheken sind ein bekanntes Einfallstor. Automatische Prüfung der Abhängigkeiten ist deshalb Pflicht, nicht Kür.

Was Open Source im Unternehmen kostet

Die Lizenzkosten entfallen, die Betriebskosten nicht. Realistisch einzuplanen sind Einführung und Anpassung, Schulung, laufende Aktualisierung und eine Zuständigkeit für den Fall, dass etwas nicht funktioniert. Viele Unternehmen schließen deshalb Verträge mit Dienstleistern, die Unterstützung anbieten. Der Vorteil bleibt: Man ist an den Dienstleister gebunden, nicht an die Software.

Eine Einführung, die trägt

  1. Mit einem unkritischen Bereich beginnen und Erfahrung sammeln.
  2. Vor der Entscheidung die Aktivität des Projekts prüfen: Wie viele Beteiligte, wie alt die letzte Veröffentlichung, wie schnell werden Fehler bearbeitet?
  3. Datenübernahme und Ausstieg vorab testen, nicht erst im Ernstfall.
  4. Zuständigkeit benennen, auch ohne Herstellervertrag.
  5. Übersicht aller eingesetzten Komponenten samt Lizenz und Version führen.

Am Ende ist die Entscheidung selten grundsätzlich. In den meisten Unternehmen laufen quelloffene und proprietäre Systeme nebeneinander, und die sinnvolle Frage lautet für jede einzelne Anwendung: Welche Lösung passt hier, und wie komme ich wieder heraus?