Open-Source-Sicherheit

Open-Source-Software wird in vielen Unternehmen eingesetzt und schafft durch offenen Quellcode Transparenz. Eine wirksame Open-Source-Sicherheit ist entscheidend, um mögliche Risiken zu minimieren.

Wir erklären, was Open-Source-Sicherheit bedeutet, welche Vorteile und Gefahren der Einsatz quelloffener Software mit sich bringt.

Was bedeutet Open-Source-Sicherheit genau?

Open-Source-Sicherheit umfasst alle technischen und organisatorischen Maßnahmen, mit denen Unternehmen quelloffene Software sicher auswählen, einsetzen, aktualisieren und überwachen. Dabei geht es nicht nur um fertige Programme wie Betriebssysteme oder Office-Anwendungen.

Auch Bibliotheken, Programmierschnittstellen, Frameworks, Plug-ins und einzelne Softwarepakete gehören dazu. Viele dieser Komponenten werden von Entwicklerteams in eigene Anwendungen eingebaut, ohne dass spätere Nutzer sie direkt sehen.

Der offene Quellcode ermöglicht es Fachleuten grundsätzlich, die Funktionsweise einer Anwendung zu prüfen und Sicherheitslücken unabhängig vom ursprünglichen Hersteller zu beheben. Das BSI weist darauf hin, dass die Schließung von Schwachstellen bei freier Software auch unabhängig von einem einzelnen Anbieter möglich ist.

Warum Open-Source-Sicherheit wichtiger wird

Open-Source-Komponenten bilden heute einen wichtigen Bestandteil moderner Softwareentwicklung. Unternehmen verwenden fertige Bibliotheken und Frameworks, um Anwendungen schneller zu entwickeln und bewährte Funktionen nicht jedes Mal neu programmieren zu müssen.

Dadurch entstehen allerdings komplexe Abhängigkeiten. Das BSI und das Zentrum für Digitale Souveränität der Öffentlichen Verwaltung betonen deshalb die Bedeutung sicherer und nachvollziehbarer Softwarelieferketten. In einem 2025 veröffentlichten Strategiepapier beschreiben sie Maßnahmen, mit denen das Sicherheitsniveau von Softwareprodukten erhöht und stärker vereinheitlicht werden soll.

Auch die europäische Regulierung verschärft die Anforderungen. Das Cyberresilienzgesetz der Europäischen Union gilt für Hardware- und Softwareprodukte mit digitalen Elementen, die auf dem europäischen Markt bereitgestellt werden. Die zentralen Pflichten gelten grundsätzlich ab dem 11. Dezember 2027. Bestimmte Meldepflichten greifen bereits ab dem 11. September 2026.

Vorteile von Open-Source-Software für Unternehmen

Für Unternehmen kann Open-Source-Software verschiedene Vorteile bieten. Der einsehbare Quellcode erleichtert unabhängige Prüfungen und ermöglicht es, Anwendungen an eigene Anforderungen anzupassen. Unternehmen sind außerdem nicht immer vollständig von einem einzelnen Softwarehersteller abhängig.

Bei geeigneten Lizenzen können interne Entwickler, externe Dienstleister oder die Community Fehler analysieren, Funktionen erweitern und Sicherheitsprobleme beheben. Aktive Open-Source-Projekte profitieren häufig von einer großen Gemeinschaft aus Entwicklern, Unternehmen und Sicherheitsexperten.

Sicherheitslücken können dadurch früh entdeckt, öffentlich dokumentiert und gemeinsam geschlossen werden. Ob dieser Vorteil tatsächlich entsteht, hängt jedoch von der Aktivität und Organisation des jeweiligen Projekts ab.

Der größte Nachteil einer unkontrollierten Open-Source-Nutzung liegt in fehlender Übersicht. Unternehmen wissen teilweise nicht genau, welche Komponenten in ihren Anwendungen, Servern oder Cloud-Systemen eingesetzt werden. Besonders problematisch sind veraltete Bibliotheken, aufgegebene Projekte und Softwarepakete ohne regelmäßige Sicherheitsupdates.

Weitere Risiken entstehen durch manipulierte Entwicklerkonten, unsichere Build-Prozesse oder gefälschte Pakete mit ähnlich geschriebenen Namen. Angreifer versuchen dabei, schädlichen Code über Paketverwaltungen oder Entwicklungsplattformen in reguläre Anwendungen einzuschleusen.

Die europäische Cybersicherheitsagentur ENISA betrachtet die Absicherung von ICT- und OT-Lieferketten deshalb als festen Bestandteil des Cyberrisikomanagements. Zu den empfohlenen Maßnahmen gehören unter anderem Risikobewertungen, definierte Verantwortlichkeiten und Sicherheitsanforderungen an Lieferanten.

Open-Source-Software sicher auswählen

Bevor Unternehmen eine Open-Source-Lösung einsetzen, sollten sie das jeweilige Projekt strukturiert bewerten. Die reine Anzahl der Downloads oder Sterne auf einer Entwicklungsplattform reicht dafür nicht aus.

Wichtig sind beispielsweise regelmäßige Aktualisierungen, nachvollziehbare Verantwortlichkeiten und eine aktive Entwicklergemeinschaft. Ebenso sollte geprüft werden, ob es einen dokumentierten Prozess für Sicherheitsmeldungen gibt und wie schnell bekannte Schwachstellen bisher geschlossen wurden.

Die Open Source Security Foundation stellt mit der Open Source Project Security Baseline einen Katalog grundlegender Sicherheitsanforderungen bereit. Dieser umfasst unter anderem Zugriffsschutz, sichere Entwicklungsabläufe, Projektdokumentation und den Umgang mit Schwachstellen. Die Anforderungen sind nach dem Reifegrad eines Projekts gegliedert.

Updates und Schwachstellen richtig verwalten

Open-Source-Sicherheit endet nicht mit der Installation einer Anwendung. Unternehmen müssen kontinuierlich prüfen, ob neue Versionen, Sicherheitswarnungen oder bekannte Schwachstellen verfügbar sind.

Dafür brauchen sie ein geregeltes Patch- und Schwachstellenmanagement. Automatisierte Werkzeuge können dabei unterstützen, Abhängigkeiten zu analysieren und bekannte Schwachstellen in verwendeten Bibliotheken zu erkennen. Ergebnisse solcher Scanner müssen jedoch fachlich bewertet werden. Nicht jede Warnung betrifft die tatsächlich genutzten Funktionen einer Anwendung, während andere Schwachstellen sofortiges Handeln erfordern.

Ebenso wichtig sind Tests vor der Installation. Ein ungeprüftes Update kann Funktionen verändern oder bestehende Anwendungen beeinträchtigen. Unternehmen benötigen deshalb Testumgebungen, dokumentierte Freigaben und Möglichkeiten, fehlerhafte Änderungen zurückzunehmen.

Softwarelieferketten transparent dokumentieren

Damit Unternehmen bei einer Sicherheitslücke schnell reagieren können, müssen sie ihre eingesetzten Softwarekomponenten kennen. Eine wichtige Grundlage dafür ist eine Software Bill of Materials, kurz SBOM.

Eine SBOM ist eine strukturierte Liste der Bestandteile einer Anwendung. Sie kann beispielsweise verwendete Bibliotheken, Versionen, Herstellerinformationen und Abhängigkeiten enthalten. Dadurch lässt sich schneller feststellen, welche Systeme von einer neu veröffentlichten Schwachstelle betroffen sind.

Auch der Cyber Resilience Act erhöht die Bedeutung transparenter Softwarekomponenten und geregelter Sicherheitsprozesse. Die Verordnung verpflichtet betroffene Hersteller dazu, Cybersicherheit über den Lebenszyklus ihrer Produkte zu berücksichtigen und Schwachstellen angemessen zu behandeln. Für freie und quelloffene Software enthält das Gesetz besondere Regelungen, die unter anderem zwischen nicht-kommerzieller Entwicklung und kommerzieller Bereitstellung unterscheiden.

IT-Dienstleister unterstützen bei Open-Source-Sicherheit

Open-Source-Sicherheit funktioniert nur, wenn Softwareauswahl, IT-Betrieb und Sicherheitsmanagement sinnvoll zusammenspielen. Einzelne Programme oder Bibliotheken können technisch sicher entwickelt sein und trotzdem zum Risiko werden, wenn sie veraltet, falsch konfiguriert oder unbemerkt eingesetzt werden.

Deshalb sollten Unternehmen zunächst erfassen, welche Open-Source-Komponenten in ihrer IT vorhanden sind. Anschließend müssen Zuständigkeiten, Updateprozesse, Sicherheitsprüfungen und Freigaberegeln festgelegt werden. Besonders kleine und mittelständische Unternehmen verfügen jedoch nicht immer über eigene Spezialisten für Softwarelieferketten, Schwachstellenmanagement und sichere Entwicklungsprozesse.

Die Experten aus dem IT-SERVICE.NETWORK unterstützen Unternehmen dabei, welche Open-Source-Anwendungen, Bibliotheken und Betriebssysteme verwendet werden. Sie helfen beispielsweise bei der Einrichtung eines zentralen Patchmanagements, bewertet Sicherheitsmeldungen und hilft beim Aufbau einer nachvollziehbaren Softwareinventarisierung.

---

Weiterführende Informationen:
bigdata-insider, Europäische Kommission, BSI, BSI, borncity, enisa, baseline
Zur besseren Lesbarkeit verwenden wir im Text die männliche Form. Gemeint sind jedoch immer alle Geschlechter und Geschlechtsidentitäten.