Chancen und Risiken von Open Source

Bei einer großen Mehrheit der Unternehmen steigt der Einsatz von Open-Source-Technologien im Unternehmen, laut einer aktuellen Studie geben 60 Prozent der Unternehmen an, immer mehr quelloffene Technologien zu verwenden. Die Motivation dafür sind Kostenersparnis, einfacher Zugang und der Wegfall des Vendor-Lock-In (84 Prozent), die Möglichkeit zur Anpassung des Codes und direkten Fehlerbehebung (67 Prozent), bessere Funktionen und technische Fähigkeiten (55 Prozent) sowie das Tempo bei Open-Source-Evolution und Innovation (55 Prozent). Qualitätsverbesserung ist für 44 Prozent der Anwender ein Thema.

Laut der Studie “Open Source 360-Grad 2017“, die das Black Duck Center für Open Source Research & Innovation veröffentlicht hat, sehen Anwender aber auch deutliche Risiken durch den Einsatz von Open Source.

Für 66 Prozent sind es Lizenzierungsrisiken beziehungsweise der Verlust von geistigem Eigentum. 64 Prozent befürchten eine Gefährdung interner Anwendungen durch die Ausnutzung von Open-Source-Schwachstellen, 71 Prozent die Ausnutzung von Open-Source-Schwachstellen in externen Anwendungen, zudem in Bezug auf die unbekannte Qualität der Komponenten (74 Prozent) sowie in Bezug auf das Versagen der Entwicklungsteams bei der Einhaltung der internen Richtlinien (61 Prozent).

Trotz dieser Bedenken gibt etwa die Hälfte der Befragten an, keine formalen Richtlinien zur Auswahl und Genehmigung von Open Source zu haben.

15 Prozent haben automatisierte Prozesse etabliert, um den Einsatz von Open Source zu managen. Auch die Verwaltung und Sicherung von Open Source stufen die Befragten im eigenen Unternehmen als verbesserungswürdig ein.

“Ein Weg, Open-Source-Risiken signifikant zu reduzieren ist, aktiv an wichtigen Projekten mitzuwirken”, erklärt Tim Mackey, Technology Evangelist bei Black Duck in einem Blog. Immerhin würden 66 Prozent der befragten Unternehmen aktiv an Projekten mitarbeiten, jedoch nur 24 Prozent investieren Vollzeitmitarbeiter in bestimmte Projekte. Immerhin würden 53 Prozent der Unternehmen ihre Mitarbeiter ermutigen, kleinere Feature-Enhancements und Bug Fixes umzusetzen, so Mackey weiter.

Die Open Source 360-Grad-Studie zeige darüber hinaus, dass das Tracken und Beheben von Open Source-Schwachstellen in erster Linie durch manuelle Prozesse geschieht, die von internen Ressourcen (53 Prozent) durchgeführt werden. Nur 27 Prozent der Befragten berichteten von automatisierter Identifikation und Beseitigung von bekannten Open-Source-Schwachstellen.

“Die Ergebnisse der Open Source 360-Grad-Studie 2017 passen zu den Erfahrungen, wie wir sie mit Unternehmen jeder Größe über alle Branchen hinweg weltweit sammeln. Unternehmen setzen aus ökonomischen und produktionstechnischen Gründen eine enorme Menge an Open-Source-Code ein, doch bisher sind die meisten nicht effektiv, wenn es um dessen Sicherung und Verwaltung geht”, erklärt Lou Shipley, CEO bei Black Duck. Da heute Open Source 80 bis 90 Prozent einer modernen Anwendung ausmache, und die Anwendungsschicht ein primäres Ziel für Hacker sei, käme das für ihn sehr überraschend.

Die On-Demand-Business-Unit von Black Duck führt eigenen Aussagen zufolge jährlich Hunderte von Open-Source-Code-Audits durch, insbesondere bei Fusionen und Übernahmen. Im kürzlich veröffentlichten Open Source Security and Risk Analysis (OSSRA)-Report, bei dem 1071 Anwendungen im Jahr 2016 untersucht wurden, fanden sich laut Black Duck sowohl ein hohes Level von Open-Source-Nutzung – 96 Prozent der Anwendungen enthielten Open-Source-Code – als auch ein hochgradiges Risiko für Open-Source-Schwachstellen – mehr als 60 Prozent der Anwendungen enthielten Open-Source-Sicherheitslücken. Weit verbreitet sind demnach auch Konflikte mit Open-Source-Lizenzen.

Laut der Studie seien vor allem in Finanzbranche Schwachstellen verbreitet. Im Schnitt weisen entsprechende Anwendungen in dieser Branche 52 bekannte Schwachstellen auf. 60 Prozent der Apps leiden sogar an hochkritischen Schwachstellen. Die Einzelhandels- und E-Commerce-Branche verzeichnete mit 83 Prozent den höchsten Anteil von Anwendungen mit hochriskanten Open-Source-Schwachstellen auf.

[mit Material von Anja Schmoll-Trautmann, ZDNet.de]

Tipp: Wie gut kennen Sie sich mit Open Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.