Transparenz und Open Source sind keine Garantie für Sicherheit, aber sie schaffen die Voraussetzungen dafür – durch Überprüfbarkeit, Vertrauen und eine aktive Community. Geschlossene Systeme hingegen bergen unkalkulierbare Risiken.
Geheimhaltung schützt die eigene IT nicht vor Angriffen, denn das Konzept „Security by Obscurity“ („Sicherheit durch Verdunkelung“) ist längst überholt. Angreifer verfügen oft über immense Ressourcen, um Sicherheitslücken zu finden oder im Darknet zu kaufen. Aber für die Sicherheitsforschungscommunity ist es dann schwerer, Schwachstellen zu identifizieren und verantwortungsvoll zu melden, damit sie schnell geschlossen werden können.
Bei geschlossener Software weiß man außerdem nie, ob unerwünscht Daten abfließen, ob sie heimlich KI-Systeme trainiert oder ob die Versprechen der Hersteller der Wahrheit entsprechen. Offene Software schafft Transparenz – und damit Vertrauen. Dies zeigte die hohe Akzeptanz der Corona-Warn-App, deren offener Quellcode von vielen Expertinnen und Experten geprüft und ständig verbessert wurde. Auch die eID nutzt Open Source und offene Standards, was gerade beim sensiblen Thema digitale Identität Vertrauen schafft, weil sie jederzeit überprüfbar ist.
Allerdings ist Open Source nicht automatisch sicherer. Schlechter Code bleibt schlecht, selbst wenn er einsehbar ist. Entscheidend ist, dass kompetente Menschen mit Zeit, Wissen und den richtigen Werkzeugen den Code prüfen. Eine aktive Community erhöht das Sicherheitsniveau. Fehlt diese – etwa wenn einzelne Ehrenamtliche in ihrer Freizeit kritische Open-Source-Module pflegen –, bleiben Sicherheitslücken länger unentdeckt und gefährden ganze digitale Ökosysteme. Diese Risiken steigen, denn mit bestimmten KI-Systemen können nicht nur Sicherheitsforschende, sondern auch Angreifer Sicherheitslücken in offenem Code noch schneller finden. Es braucht eine bessere Governance für Pflege und Finanzierung von Open Source. Dafür ist auch der Sovereign Tech Fonds (STF) wichtig: Er gleicht die chronische Unterfinanzierung vieler Open-Source-Projekte aus.
Je mehr unsere Gesellschaft auf digitale Souveränität setzt, desto besser muss auch der STF ausgestattet sein, denn jeder durch den Fonds investierte Euro härtet unsere digitalen Ökosysteme. Auch Bug-Bounty-Programme, bei denen Prämien für das Aufdecken von Schwachstellen gezahlt werden, sind effektiver als die Kosten einer Ransomware-Attacke.
Sicherheitslücken entstehen im Übrigen nicht nur durch Programmierfehler, sondern auch durch absichtlich eingebaute Backdoors etwa wenn US-Geheimdienste US-Unternehmen dazu verpflichten. Nur in Open Source können solche Hintertüren gut entdeckt werden. Das unterscheidet etwa Signal von WhatsApp: Beide sind US-Messenger, doch nur Signal ist Open Source. Eine weltweite Community würde Backdoors schnell aufdecken, was Signal für Geheimdienste unattraktiv macht.
Geheimdienste nutzen Sicherheitslücken auch für Überwachungzwecke. Ein bekanntes Beispiel ist die „EternalBlue“-Schwachstelle, die der US-Geheimdienst NSA jahrelang geheim hielt, bis Angreifer sie 2017 mit dem WannaCry-Trojaner ausgenutzten, Hunderttausende Rechner in 150 Ländern infizierten, darunter Kritische Infrastrukturen wie die Deutsche Bahn, auch lange nachdem es Updates dafür gab. Das zeigt auch, dass das beste Update nutzlos ist, wenn man es nicht verwendet. Es braucht also auch eine flächendeckende IT-Sicherheitskultur.
Auch für die Sicherheit der Software-Lieferkette bei Open-Source-Anwendungen gibt es inzwischen Lösungen. Das Zentrum für Digitale Souveränität (ZenDiS) stellt auf seiner Plattform OpenCode-OSSProdukte für die öffentliche Verwaltung bereit, darunter den souveränen Arbeitsplatz OpenDesk. In einer Sicherheitspartnerschaft mit dem BSI entwickelt das ZenDiS Zertifikate, die die Integrität der Lieferkette für eine bestimmte Open-Source-Software bestätigen. Verwendet man außerdem offene Standards und Schnittstellen, reduziert das nicht nur Angriffsvektoren, sondern fördert auch Interoperabilität und Wechselfähigkeit. Ein Vorbild sind die offenen Schnittstellen der estnischen digitalen Verwaltung (X-Road): Seit fast 20 Jahren wurde kein Sicherheitsvorfall bekannt, während ein reiches Ökosystem digitaler Anwendungen entstand. Proprietäre Standards führen dagegen schnell zu einem Lock-in und damit zu neuen Sicherheitsrisiken, wenn z.B. Updates einfach abgestellt werden. Es ist an der Zeit für mehr Sicherheit durch mehr Open Source.
