Einsatz von Open-Source-Software: Kennen Sie die Chancen und Risiken?

Vieles spricht dafür: OSS ist kostenlos, was für Einsparungen bei Lizenzgebühren und Entwicklungskosten sorgt. Zudem ist der Quellcode öffentlich zugänglich, wovon Unternehmen in zweierlei Hinsicht profitieren: Sowohl Sicherheitslücken als auch Programmierfehler werden meist schnell identifiziert und behoben. Oft pflegt eine große und engagierte Community den Quellcode. Unternehmen können die Software außerdem selbst anpassen und sind damit flexibler als beim Einsatz proprietärer Produkte. Denn OSS darf nicht nur beliebig genutzt, kopiert und weitergegeben, sondern auch verändert und in der resultierenden neuen Form ebenfalls weiterverbreitet werden.

Besonders kritisch wird es bei Carve-outs oder Zukäufen von Unternehmensteilen: Wie steht es um die Lizenzen, wie um die Sicherheit und die Qualität der Software? Bereits während der Verhandlungsphase sollte deshalb eine Dokumentation in Form einer Software Bill of Materials (SBOM) vorgelegt werden. Fehlt sie, könnte ein kostspieliger Code-Review nötig werden. Besteht das Risiko, dass ein Produkt aufgrund von vorhandener GPL-lizenzierter Software öffentlich gemacht werden muss, werden potenzielle Interessenten im Zweifelsfall den Kaufpreis reduzieren oder sehen darin gar einen Dealbreaker, sodass sie sich komplett aus den Verhandlungen zurückziehen.
 

Hausaufgaben für die Unternehmen
 

OSS ist überall, und sie ist deutlich häufiger in Softwareprojekten enthalten, als den meisten Unternehmen bewusst ist. Die damit verbundenen Risiken sind jedoch beherrschbar, sofern Unternehmen die folgenden Aspekte beachten:

• Inventarisierung und Bewertung:
  Unternehmen sollten eine Bestandsaufnahme aller OSS-Komponenten in ihren Softwareprodukten durchführen. Dies kann mithilfe von Tools zur automatischen Identifizierung von OSS im Quellcode erfolgen. Auf dieser Basis sollte eine vollständige Liste der eingesetzten OSS erstellt werden. Alle Lizenztypen, Lizenzbestimmungen und Sicherheitslücken sollten identifiziert und Prozesse zur Behebung der hieraus abgeleiteten Risiken etabliert werden.
  
  
• Implementierung einer Governance für OSS:
  Eine OSS-Governance bezieht sich auf Prozesse und Richtlinien, die Unternehmen bei der Verwendung, Verwaltung und beim Beitrag zu OSS befolgen. Eine klare Governance-Struktur hilft, die Verantwortlichkeiten im Zusammenhang mit der Nutzung von OSS festzulegen und die Einhaltung von Lizenzbestimmungen sicherzustellen. Die OpenChain ISO/IEC 5230 bildet hierfür den internationalen Standard.
  
  
• Interne Richtlinien und Schulungen:
  Unternehmen sollten klare Richtlinien für die Verwendung von OSS festlegen und sicherstellen, dass ihre Entwicklerteams über bewährte Verfahren im Umgang mit OSS informiert sind. Schulungen und Schulungsprogramme können dazu beitragen, das Bewusstsein für die Risiken und Best Practices im Umgang mit OSS zu schärfen.

In der aktuellen Praxis vieler Unternehmen fällt OSS durch das Prüfungsraster. Angesichts ihrer bereits enormen und weiter zunehmenden Verbreitung sollten Unternehmen ihre Prozesse entsprechend anpassen. Wer Lizenzen, Abhängigkeiten und Sicherheitsaspekte effizient managen will, muss beim Software- und IT-Asset-Management den Blick über die kommerzielle Software hinaus erweitern. Nur dann werden die Vorteile von OSS auch in Zukunft die Risiken überwiegen.