Open-Source sicher einsetzen

Dass auf GitHub eine Lizenz steht, heißt noch lange nicht, dass man den Code einfach nutzen darf – und schon gar nicht, dass die Metadaten stimmen. Während sich Software Testing oft auf Funktionalität und Performance konzentriert, schlummern in den Dependency-Graphen moderner Systeme hunderte ungeklärte Abhängigkeiten, unbekannte Sicherheitslücken und rechtliche Zeitbomben. Ohne Software-Stückliste wird es künftig nicht nur riskant, sondern auch teuer: Der Cyber Resilience Act macht Ernst, und die erste Abmahnwelle ist absehbar.

Podcast Episode: Open-Source sicher einsetzen

In dieser Episode spreche ich mit Dirk Riehle über Open Source. Er erklärt, wie entscheidend es ist, Open Source Software sicher und korrekt in Produkte zu integrieren. Wir sprechen über die Herausforderungen, etwa Lizenzen und Sicherheitslücken. Dirk gibt Einblicke in die Bedeutung von kommerziellen Open-Source-Strategien. Denn manche Unternehmen gehen zu leichtfertig mit den Risiken um und unterschätzen den Aufwand hinter der Nutzung von Open Source.

„Nur weil etwas auf GitHub steht, heißt nicht, dass es Open Source Software ist.” - Prof. Dirk Riehle

Prof. Dirk Riehle ist Professor für Open-Source-Software an der Universität Erlangen in Deutschland. Bevor er in die Wissenschaft ging, arbeitete Prof. Riehle in Zürich, Schweiz, und in den USA, sowohl in Boston, Massachusetts, als auch im Silicon Valley, Kalifornien.

Highlights der Episode

Open Source Software ist oft 80-95% eines Produkts – ohne Lizenzprüfung drohen rechtliche Probleme.
Software-Stücklisten (S-BOMs) sind mittlerweile Pflicht: Kunden fordern Transparenz über verbaute Open-Source-Komponenten.
Dependencies sind Eisberge: Auf zehn direkte Abhängigkeiten kommen hundert weitere darunter – unsichtbar, aber riskant.
Copyleft-Lizenzen wie GPL zwingen zur Offenlegung eigener Modifikationen – permissive Lizenzen wie MIT nicht.
Sicherheitslücken müssen Anwender selbst monitoren – auf Hersteller-Updates zu warten ist fahrlässig.

Open Source Software sicher einsetzen

Einführung in die sichere Nutzung von Open Source Software

Open Source Software (OSS) ist heute ein zentraler Baustein im modernen Software-Ökosystem. Zahlreiche Produkte und Projekte basieren auf frei verfügbaren Komponenten, die von einer weltweiten Entwicklergemeinschaft gepflegt werden. Diese Offenheit fördert Innovation, spart Entwicklungskosten und beschleunigt die Markteinführung.

Wichtig bei der Nutzung von Open Source Software ist die sichere Integration dieser Komponenten. Die Verwendung von Open Source bringt nicht nur Vorteile, sondern auch Herausforderungen mit sich:

Sicherheitsrisiken: können durch unentdeckte Schwachstellen in Abhängigkeiten entstehen.
Lizenzprüfung: ist essenziell, um rechtliche Fallstricke zu vermeiden und Lizenzbedingungen korrekt einzuhalten.
Die Transparenz über eingesetzte OSS-Komponenten durch eine Software Bill of Materials (S-BOM) hilft, den Überblick zu bewahren und bei bekannten Problemen die betroffenen Komponenten schnell zu identifizieren.

Die Sicherheit der gesamten Softwarelösung hängt stark davon ab, wie sorgfältig Open Source Komponente geprüft und verwaltet werden. Unternehmen müssen daher nicht nur die technische Qualität der OSS sicherstellen, sondern auch verstehen, welche gesetzlichen Verpflichtungen mit der Nutzung verbunden sind.

Open Source Software sicher einsetzen heißt: Risiken erkennen, Lizenzen verstehen und kontinuierlich überwachen – ein integraler Bestandteil moderner Softwareentwicklung.

Rechtliche Rahmenbedingungen bei der Verwendung von Open Source

Open Source Software unterliegt verschiedenen Lizenzverpflichtungen, die unbedingt verstanden und eingehalten werden müssen, um rechtliche Risiken zu vermeiden. Grundlegend unterscheidet man zwischen zwei Lizenztypen:

Permissive Lizenzen (z.B. MIT-Lizenz) erlauben eine weitgehende Nutzung und Integration des Codes, meist nur mit der Auflage, den ursprünglichen Urheber zu nennen.
Copyleft-Lizenzen (wie die GPL) verlangen, dass abgeleitete Werke unter derselben Lizenz veröffentlicht werden. Dies bedeutet, dass der Quellcode offengelegt werden muss, wenn Sie Software weiterverbreiten oder verändern.

Die Nutzung von Software aus GitHub-Repositories ohne gültige Lizenz ist rechtlich problematisch. Viele Projekte auf GitHub sind nicht automatisch Open Source; dies hängt von der expliziten Lizenzierung ab. Fehlt diese oder wird sie ignoriert, drohen urheberrechtliche Konsequenzen – darunter mögliche Schadensersatzforderungen oder Unterlassungsklagen.

Als Nutzer oder Entwickler sollten Sie stets prüfen, ob die Lizenz zur beabsichtigten Nutzung passt und welche Pflichten sich daraus ergeben. Die Unterscheidung zwischen Endanwender und Distributor ist dabei entscheidend: Letzteren treffen oft zusätzliche Offenlegungs- und Veröffentlichungspflichten.

Das Urheberrecht bleibt grundlegend geschützt, auch bei Open Source. Es definiert den rechtlichen Rahmen für Lizenzen und deren Verpflichtungen sowie für die Rechte der Autoren. Ein sicheres Verständnis dieser Grundlagen schützt vor unerwarteten rechtlichen Problemen im Umgang mit Open Source Komponenten.

Praktische Empfehlungen für Unternehmen beim Umgang mit Open Source Komponenten

Die Notwendigkeit des Verständnisses von Lizenzbedingungen und Sicherheitsverpflichtungen im Team ist entscheidend für den sicheren Einsatz von Open Source Software in Unternehmen.

Unternehmen sollten sicherstellen, dass ihr Team über folgende Punkte informiert ist:

1. Lizenzverständnis:

Gründliche Kenntnisse der verschiedenen Arten von Open Source Lizenzen (permissive und copyleft).
Verständnis der rechtlichen Anforderungen und Verpflichtungen bei der Nutzung von Open Source Komponenten.

2. Sicherheitspflichten:

Sensibilisierung für Sicherheitsaspekte beim Umgang mit Open Source Software.
Einhaltung von Sicherheitsstandards und Offenlegung von Sicherheitslücken im Rahmen der Security-Bestimmungen.

3. Sicherer Einsatz von Open Source Software:

Regelmäßige Schulungen und Updates zum Thema Lizenzierung und Sicherheit.
Implementierung von Prozessen zur Überprüfung von Lizenzbedingungen und Sicherheitsverpflichtungen vor der Integration neuer Open Source Komponenten.

Ein fundiertes Lizenzverständnis und die klare Kommunikation von Sicherheitspflichten innerhalb des Teams tragen maßgeblich dazu bei, das Risiko von rechtlichen Konsequenzen und Sicherheitslücken beim Einsatz von Open Source Software zu minimieren.