Was ist Open Source? De­fi­ni­ti­on, Lizenzen und Com­pli­ance-Regeln

Open Source be­zeich­net Software, deren Lizenz die zehn Kriterien der Open Source De­fi­ni­ti­on (OSD) der Open Source In­itia­ti­ve erfüllt. Dazu gehören der Zugang zum Quellcode, das Recht auf Än­de­run­gen und Wei­ter­ga­be sowie die dis­kri­mi­nie­rungs­freie Nutzung für jeden Zweck, ein­schließ­lich kom­mer­zi­el­ler Nutzung. Bloße Quellcode-Einsicht reicht nicht aus.

Was ist Open Source?

Bei Open-Source-Software ist der Quellcode frei einsehbar. Ent­schei­dend ist jedoch, welche Rechte die jeweilige Lizenz einräumt. Open-Source-Lizenzen müssen die Nutzung, Ver­än­de­rung und Wei­ter­ga­be erlauben. Ur­he­ber­rech­te können dabei al­ler­dings weiterhin bei Ein­zel­per­so­nen, Or­ga­ni­sa­tio­nen oder Un­ter­neh­men liegen.

Die Open Source De­fi­ni­ti­on der Open Source In­itia­ti­ve umfasst zehn Kriterien:

• Freie Wei­ter­ga­be: Die Lizenz darf den Verkauf oder die kos­ten­lo­se Wei­ter­ga­be nicht verbieten.
• Quell­code­zu­gang: Der Quellcode muss verfügbar und für Än­de­run­gen geeignet sein.
• Ab­ge­lei­te­te Werke: Än­de­run­gen und darauf ba­sie­ren­de Werke müssen erlaubt sein.
• In­te­gri­tät des ur­sprüng­li­chen Quell­codes: Ein­schrän­kun­gen für ver­än­der­ten Quellcode sind nur unter be­stimm­ten Vor­aus­set­zun­gen zulässig.
• Keine Dis­kri­mi­nie­rung von Personen oder Gruppen: Die Lizenz muss für alle glei­cher­ma­ßen gelten.
• Keine Dis­kri­mi­nie­rung von Tä­tig­keits­fel­dern: Die Nutzung darf bei­spiels­wei­se nicht für ge­schäft­li­che oder andere kom­mer­zi­el­le Zwecke aus­ge­schlos­sen werden.
• Wei­ter­ga­be der Li­zenz­rech­te: Die ein­ge­räum­ten Rechte müssen für alle gelten.
• Keine Bindung an ein be­stimm­tes Produkt: Die Rechte dürfen nicht davon abhängen, dass die Software Teil eines be­stimm­ten Produkts ist.
• Keine Ein­schrän­kung anderer Software: Die Lizenz darf keine Be­din­gun­gen für andere, gemeinsam ver­brei­te­te Software festlegen.
• Tech­no­lo­gie­neu­tra­li­tät: Die Lizenz darf nicht von einer be­stimm­ten Tech­no­lo­gie oder Be­nut­zer­ober­flä­che abhängen.

Was ist der Un­ter­schied zwischen freier, offener und ge­schlos­se­ner Software?

Die Begriffe „freie Software“ und „Open Source“ be­schrei­ben weit­ge­hend dieselben grund­le­gen­den Nut­zungs­frei­hei­ten, haben his­to­risch aber un­ter­schied­li­che Schwer­punk­te. Freie Software ist ins­be­son­de­re mit dem GNU-Projekt und der Free Software Foun­da­ti­on verbunden. Open Source stellt stärker die prak­ti­sche Zu­sam­men­ar­beit und offene Ent­wick­lungs­mo­del­le in den Mit­tel­punkt.

Ein weiterer ver­wand­ter, aber klar ab­zu­gren­zen­der Begriff ist „Source Available Software“. Dabei ist der Quellcode zwar öf­fent­lich einsehbar, die Lizenz gewährt jedoch nicht zwingend alle Frei­hei­ten der Open-Source-De­fi­ni­ti­on. Häufig gibt es Ein­schrän­kun­gen bei kom­mer­zi­el­ler Nutzung, Wei­ter­ga­be oder dem Betrieb in be­stimm­ten Szenarien. Source Available bedeutet daher Trans­pa­renz beim Code, aber keine ga­ran­tier­te Offenheit im Sinne von Open Source.

Bei pro­prie­tä­rer oder „ge­schlos­se­ner“ Software legt der Rech­te­inha­ber fest, welche Nut­zungs­rech­te An­wen­de­rin­nen und Anwender erhalten. Der Quellcode ist nor­ma­ler­wei­se nicht öf­fent­lich zu­gäng­lich und darf in der Regel nicht ei­gen­stän­dig verändert oder wei­ter­ge­ge­ben werden.

Was muss man bei Open Source beachten?

Vor dem Einsatz von Open-Source-Software sollte immer die konkrete Lizenz der ver­wen­de­ten Version geprüft werden. Lizenzen un­ter­schei­den sich stark bei Pflichten zu Nutzung, Änderung und Wei­ter­ga­be und können sich zwischen Versionen ändern.

Copyleft vs. per­mis­si­ve Lizenzen

Per­mis­si­ve Lizenzen (z. B. MIT, BSD, Apache) erlauben eine sehr freie Nutzung, auch in pro­prie­tä­rer Software. Meist müssen nur Copyright- und Li­zenz­hin­wei­se erhalten bleiben.

Copyleft-Lizenzen (z. B. GPL) erlauben ebenfalls Nutzung und Änderung, verlangen aber unter be­stimm­ten Be­din­gun­gen, dass ab­ge­lei­te­te Werke wieder unter derselben Lizenz ver­öf­fent­licht werden.

Source Available und Fair Source

Bei Source-Available-Lizenzen ist der Quellcode zwar sichtbar, aber oft stärker ein­ge­schränkt nutzbar und nicht au­to­ma­tisch Open Source.

Beispiele:

• HashiCorp (Terraform): Wechsel zur Business Source License (BSL), ein­ge­schränkt ist nur das Einbetten/Hosten in kon­kur­rie­ren­de, kom­mer­zi­ell ver­trie­be­ne Angebote, nicht die all­ge­mei­ne kom­mer­zi­el­le Nutzung
• Redis: Teilweise nicht-OSI-Lizenzen (RSAL/SSPL), ab Version 8 zu­sätz­lich AGPLv3 als echte Open-Source-Option
• Fair Source: Quellcode sichtbar, aber zeitlich oder funk­tio­nal ein­ge­schränkt, spätere Open-Source-Freigabe möglich

Warum OSS-Ma­nage­ment wichtig ist

Un­ter­neh­men sollten Open-Source-Kom­po­nen­ten, Versionen und Ab­hän­gig­kei­ten sauber do­ku­men­tie­ren, da sonst Li­zenz­kon­flik­te oder ver­steck­te Ab­hän­gig­kei­ten übersehen werden können. Tools wie GitHub, zentrale Re­po­si­to­ries, Li­zenz­scan­ner und eine Software Bill of Materials (SBOM) helfen bei der Nach­ver­fol­gung.

Was ist Open Source AI?

Bei KI-Platt­for­men reicht die Ver­öf­fent­li­chung von Mo­dell­ge­wich­ten allein nicht aus, um ein System als Open Source ein­zu­stu­fen. Die Open Source AI De­fi­ni­ti­on 1.0 (OSAID) vom 28. Oktober 2024 der Open Source In­itia­ti­ve definiert dafür vier Frei­hei­ten, die Nut­ze­rin­nen und Nutzern ein­ge­räumt werden müssen:

• Nut­zungs­recht: Das System darf ohne Erlaubnis für jeden Zweck verwendet werden.
• Un­ter­su­chungs­recht: Die Funk­ti­ons­wei­se des Systems und seine Kom­po­nen­ten dürfen geprüft werden.
• Än­de­rungs­recht: Das System darf für beliebige Zwecke angepasst werden, auch mit Aus­wir­kung auf die Ausgaben.
• Wei­ter­ga­be­recht: Das System darf mit oder ohne Än­de­run­gen wei­ter­ge­ge­ben werden.

Um diese Frei­hei­ten tat­säch­lich nutzen zu können, verlangt die OSAID zu­sätz­lich, dass Anbieter die „be­vor­zug­te Form für Än­de­run­gen“ of­fen­le­gen. Dazu zählen drei Be­stand­tei­le:

• In­for­ma­tio­nen zu Trai­nings­da­ten: aus­rei­chend de­tail­lier­te Angaben, damit ein ver­gleich­ba­res System nach­voll­zieh­bar erstellt werden kann.
• Voll­stän­di­ger Code: der gesamte Quellcode, der zum Trai­nie­ren und Betreiben des Systems verwendet wird.
• Mo­dell­pa­ra­me­ter: die Gewichte und weiteren Kon­fi­gu­ra­ti­ons­ein­stel­lun­gen des Modells.

Die Trai­nings­da­ten selbst müssen dabei nicht voll­stän­dig of­fen­ge­legt werden — es genügt eine Do­ku­men­ta­ti­on, die es einer fach­kun­di­gen Person er­mög­licht, ein im We­sent­li­chen gleich­wer­ti­ges System nach­zu­bau­en. Die Mo­dell­archi­tek­tur wird in der OSAID zwar im Rahmen der De­fi­ni­ti­on eines KI-Modells erwähnt, ist aber keine ei­gen­stän­dig ge­for­der­te Of­fen­le­gungs­ka­te­go­rie neben Trai­nings­da­ten, Code und Pa­ra­me­tern.

Was bedeutet der EU Cyber Re­si­li­ence Act für Open Source?

Der EU Cyber Re­si­li­ence Act führt ab 2026 schritt­wei­se Pflichten für Produkte mit digitalen Elementen ein. Ab dem 11. September 2026 gelten Mel­de­pflich­ten für aktiv aus­ge­nutz­te Schwach­stel­len (innerhalb von 24 Stunden). Ab dem 11. Dezember 2027 kommen weitere An­for­de­run­gen hinzu, darunter Do­ku­men­ta­ti­on von Kom­po­nen­ten und eine Software Bill of Materials (SBOM).

Un­ter­neh­men, die Open-Source-Kom­po­nen­ten in kom­mer­zi­el­le Produkte in­te­grie­ren, müssen diese daher trans­pa­rent verwalten. Für nicht kom­mer­zia­li­sier­te Open-Source-Software gelten im CRA ge­son­der­te Re­ge­lun­gen.

Beispiele für Open-Source-Software

Ohne es viel­leicht zu wissen, verwenden viele In­ter­net­nut­ze­rin­nen und In­ter­net­nut­zer re­gel­mä­ßig Software, die unter einem Open-Source-Li­zenz­mo­dell ver­brei­tet wird. Im Folgenden sind einige quell­of­fe­ne Projekte auf­ge­lis­tet, die die Open-Source-Bewegung maß­geb­lich be­ein­flusst haben.

• PHP: Die Skript­spra­che wurde für dy­na­mi­sche Websites ent­wi­ckelt, ist Open Source und wird häufig für ser­ver­sei­ti­ge Web­an­wen­dun­gen genutzt.
• Mozilla Firefox: Der Open-Source-Browser ist er­wei­ter­bar und sein Quellcode ist öf­fent­lich einsehbar, was An­pas­sun­gen und Wei­ter­ent­wick­lung er­mög­licht.
• WordPress: Das CMS existiert seit 2003, basiert auf PHP und wird für Websites und Blogs genutzt. Es lässt sich durch Plug-ins stark erweitern.
• Linux (Kernel & Dis­tri­bu­tio­nen): Grundlage vieler Server- und Cloud-Systeme, ver­brei­tet in Dis­tri­bu­tio­nen wie Ubuntu, Debian oder Fedora.
• Apache HTTP Server: Einer der ältesten und meist­ge­nutz­ten Webserver für das Hosting von Websites.
• Nginx: Leis­tungs­star­ker Webserver und Reverse Proxy für ska­lier­ba­re Web­an­wen­dun­gen.
• MySQL: Weit ver­brei­te­tes Open-Source-Da­ten­bank­sys­tem für Web­an­wen­dun­gen.
• Post­greS­QL: Leis­tungs­fä­hi­ge re­la­tio­na­le Datenbank mit Fokus auf Da­ten­in­te­gri­tät und komplexe Abfragen.
• Libre­Of­fice: Freie Office-Suite für Text­ver­ar­bei­tung, Tabellen und Prä­sen­ta­tio­nen.
• GIMP: Open-Source-Programm zur Bild­be­ar­bei­tung als Al­ter­na­ti­ve zu kom­mer­zi­el­ler Software.
• Blender: Open-Source-Software für 3D-Mo­del­lie­rung, Animation und Rendering.

Vor- und Nachteile von Open Source-Software

Es gibt zahl­rei­che Argumente, die für die Ver­wen­dung von Open-Source-Software sprechen. Al­ler­dings sind mit ihrem Gebrauch auch einige Risiken verbunden, mit denen Sie sich vor einem Einsatz aus­ein­an­der­set­zen sollten. Wägen Sie die folgenden Vor- und Nachteile von Open Source ab, um fest­zu­stel­len, ob diese Art von Software-Modell für Sie infrage kommt.

Vorteile:

• Geringe An­schaf­fungs­kos­ten: Viele Open-Source-Projekte lassen sich ohne Li­zenz­ge­büh­ren nutzen. Kosten können jedoch für Ein­füh­rung, Anpassung, Betrieb, Wartung oder pro­fes­sio­nel­len Support entstehen.
• Prüf­bar­keit: Der zu­gäng­li­che Quellcode er­mög­licht eigene und un­ab­hän­gi­ge Code-Reviews sowie Si­cher­heits­au­dits.
• Un­ab­hän­gig­keit: Offene Lizenzen er­leich­tern es, Software wei­ter­zu­ent­wi­ckeln oder einen eigenen Fork zu erstellen, wenn sich die ur­sprüng­li­chen Anbieter oder Main­tai­ner zu­rück­zie­hen.
• Si­cher­heit: Öf­fent­lich ein­seh­ba­rer Code er­mög­licht es Ent­wick­le­rin­nen und Ent­wick­lern, Schwach­stel­len zu erkennen und Kor­rek­tu­ren bei­zu­tra­gen. Wie schnell dies geschieht, hängt jedoch vom je­wei­li­gen Projekt und dessen Pfle­ge­zu­stand ab.
• Fle­xi­bi­li­tät: Open-Source-Lizenzen erlauben Än­de­run­gen am Quellcode und damit eine weit­rei­chen­de Anpassung an eigene An­for­de­run­gen.

Nachteile:

• Lang­zeit­kos­ten: Fol­ge­kos­ten entstehen bei­spiels­wei­se durch Ein­füh­rung, Schu­lun­gen, In­te­gra­ti­on, Wartung oder externe Un­ter­stüt­zung.
• Support: Community-Support un­ter­schei­det sich je nach Projekt erheblich und ist nicht immer gegeben. Ga­ran­tier­te Re­ak­ti­ons­zei­ten und Service Levels setzen nor­ma­ler­wei­se einen ent­spre­chen­den Sup­port­ver­trag voraus.
• Be­nut­zer­freund­lich­keit: Do­ku­men­ta­ti­on, In­stal­la­ti­on und Bedienung un­ter­schei­den sich stark zwischen einzelnen Projekten. Manche Lösungen richten sich vor­wie­gend an technisch versierte Nut­ze­rin­nen und Nutzer.
• Still­le­gung: Auch ein Open-Source-Projekt kann nicht mehr aktiv gepflegt werden. Vor dem Einsatz sollten Un­ter­neh­men deshalb War­tungs­sta­tus, Release-Zyklen und ver­füg­ba­re Al­ter­na­ti­ven prüfen.
• Si­cher­heit und Com­pli­ance: Veraltete oder kom­pro­mit­tier­te Ab­hän­gig­kei­ten sowie über­se­he­ne Li­zenz­be­din­gun­gen können Risiken ver­ur­sa­chen. Eigenes Schwach­stel­len-, Patch- und Li­zenz­ma­nage­ment bleibt daher auch beim Einsatz von Open Source er­for­der­lich.