Open-Source-Software steckt heute fast überall: im Router, in der Website, in Smartphones und in kommerziellen Programmen. Für Betriebe klingt sie nach dem perfekten Deal – gratis, transparent, unabhängig. Die Wahrheit ist differenzierter. Hier sind die häufigsten Mythen und die echten Tücken.
Was ist Open-Source-Software?
Open-Source-Software ist Software, deren Quellcode öffentlich einsehbar ist und unter einer Lizenz steht, die Nutzung, Veränderung und Weitergabe erlaubt. Bekannte Beispiele sind Linux, Firefox, LibreOffice, WordPress, Nextcloud oder der Passwort-Manager KeePass. Wichtig: Open Source beschreibt die Lizenz, nicht den Preis oder die Qualität.
Mythos 1: „Open Source ist kostenlos.“
Die Lizenz ist meist kostenlos, der Betrieb nicht. Jemand muss die Software installieren, aktualisieren, sichern und bei Problemen helfen. Ein selbst betriebener Dateiserver mit Nextcloud ist kein Kostenvorteil, wenn er unbetreut im Keller läuft und niemand die Updates einspielt. Rechne deshalb immer die Gesamtkosten: Einrichtung, Wartung, Support, Hosting.
Mythos 2: „Offener Code ist automatisch sicherer.“
Theoretisch kann jeder den Code prüfen. Praktisch tun es oft nur wenige. Zwei Beispiele zeigen das:
- Log4Shell (Dezember 2021): Eine kritische Lücke in der weit verbreiteten Java-Bibliothek Log4j steckte jahrelang unbemerkt in unzähligen Programmen, auch in kommerziellen.
- xz-Hintertür (März 2024): In ein kleines, aber zentrales Linux-Werkzeug wurde über lange Zeit gezielt eine Hintertür eingeschleust. Entdeckt wurde sie zufällig, kurz bevor sie in große Linux-Versionen gelangte.
Offener Code ermöglicht schnelle Entdeckung und Korrektur – er garantiert sie aber nicht. Viele wichtige Projekte werden von wenigen Freiwilligen in ihrer Freizeit gepflegt.
Mythos 3: „Für Open Source gibt es keinen Support.“
Falsch. Für viele Projekte gibt es Unternehmen, die professionellen Support, Wartungsverträge und gehostete Versionen anbieten – etwa Nextcloud oder Red Hat und SUSE für Linux. Die Frage ist nur, ob du dafür bezahlst oder auf Foren hoffst.
Die echten Tücken
- Verwaiste Projekte: Wird ein Projekt nicht mehr gepflegt, kommen keine Sicherheitsupdates. Prüfe, wann die letzte Version erschienen ist und wer dahintersteht.
- Lizenzpflichten: Lizenzen wie die GPL oder AGPL verpflichten unter Umständen dazu, eigene Änderungen offenzulegen. Das betrifft vor allem Betriebe, die selbst Software entwickeln oder weitergeben.
- Versteckte Abhängigkeiten: Eine Website oder App besteht oft aus hunderten Open-Source-Bausteinen. Eine Lücke in einem davon betrifft das Ganze. Eine Softwarestückliste (SBOM) schafft Überblick.
- Downloads aus falschen Quellen: Gefälschte Download-Seiten bieten bekannte Open-Source-Programme mit eingebauter Schadsoftware an. Nur von der offiziellen Projektseite herunterladen.
- Plugins und Erweiterungen: Bei WordPress und ähnlichen Systemen sind schlecht gepflegte Plugins eine häufige Einfallstür.
Wann ist Open Source die beste Wahl?
Open Source spielt seine Stärken aus, wenn Unabhängigkeit zählt, Daten in Europa bleiben sollen und jemand den Betrieb professionell übernimmt. Viele europäische Alternativen zu US-Diensten basieren auf Open Source. Auch Sicherheitswerkzeuge wie der Schwachstellen-Scanner OpenVAS sind quelloffen.
Checkliste vor dem Einsatz: Wer pflegt das Projekt? Wann kam das letzte Update? Wer spielt bei uns Updates ein? Wie wird gesichert? Welche Lizenz gilt? Wenn du nicht alle fünf Fragen beantworten kannst, ist die Software noch nicht bereit für den Betrieb.
Häufige Fragen
Ist KeePass als Passwort-Manager für den Betrieb geeignet?
Für Einzelpersonen ja. Für Teams fehlen ohne Zusatzaufwand Funktionen wie zentrale Rechteverwaltung, Protokolle und einfaches Teilen. Dafür gibt es Team-Lösungen, siehe Passwortmanagement.
Bringt der Cyber Resilience Act Verbesserungen?
Ja. Er verpflichtet Hersteller, die Open-Source-Komponenten in ihren Produkten einsetzen, sich um deren Sicherheit zu kümmern. Für reine Freiwilligenprojekte gelten erleichterte Regeln.
