Open Source

Chancen und Risiken von quelloffener Software

„Laut Koalitionsvertrag zwischen SPD, Grünen und FDP soll Open Source die Digitalisierung der Verwaltung voranbringen.“ So beginnt ein Artikel bei heise.de, dem Herausgeber hinter der Fachzeitschrift c’t. Konkret heißt es im Koalitionsvertrag: „Für öffentliche IT-Projekte schreiben wir offene Standards fest. Entwicklungsaufträge werden in der Regel als Open Source beauftragt, die entsprechende Software wird grundsätzlich öffentlich gemacht …“

Die genauen Inhalte werden den meisten Lesern vermutlich bekannt sein, aber was heißt das nun genau? Geht es hier nur um Schlagworte wie (Hybrid-)Cloud, EfA und Blockchain? Nein, bestimmt nicht, denn Open Source ist grundsätzlich mehr als diese drei Schlagworte, die mehr oder weniger positiv durch die Presse geistern.

Was ist Open Source und welchen Beitrag kann es leisten?

Zuerst möchte die ITEBO-Unternehmensgruppe mit einer Fehlannahme aufräumen, die viele Menschen in Bezug auf Open Source haben: Open Source ist nicht grundsätzlich kostenlos. Die einzige Eigenschaft, die Open Source immer besitzt, ist ihre Quelloffenheit. Die Entwicklerinnen und Entwickler legen also den Quellcode offen. Er kann von Dritten eingesehen, genutzt und sogar verändert werden. Doch zugegeben: Der Einsatz von quelloffener Software kann deutlich günstiger sein als der Einsatz proprietärer Software der aktuellen Platzhirsche.

Es gibt bereits für sehr viele Anwendungsfälle Lösungen aus dem Open-Source-Bereich. Ganz vorne dabei sind Monitoring und Logging: Auch die ITEBO-Unternehmensgruppe setzt auf eine erweiterte Monitoring-Lösung aus dem Open-Source-Bereich. Hierbei handelt es sich um ein Konglomerat aus verschiedenen Tools wie Icinga, Grafana und Prometheus sowie Lösungen aus dem Bereich End-to-End UserMonitoring.

Damit ist die ITEBO-Unternehmensgruppe in der Lage, Probleme in Anwendungen frühzeitig zu erkennen – idealerweise bevor Kundinnen und Kunden diese bemerken. Die Monitoring-Systeme sind zudem in der Lage, entsprechende Fehlermeldungen verständlich aufzubereiten.

Durch diese Lösungen wird es zudem für SREs (Site Reliability Engineer) und Developer einfacher, Probleme zu lokalisieren und vor allem zeitnah zu beheben. Die für Nutzerinnen und Nutzer von Systemen so wichtige Informationskette wird quasi direkt mit abgedeckt.

Dieses Software-Konglomerat für das Monitoring ist ein schönes Beispiel für IT- und auch Kosteneffizienz, denn die Software können Nutzerinnen und Nutzer zuerst wirklich kostenlos herunterladen. Aber das allein reicht nicht, um die zuvor definierten Ziele für ganzheitliches Monitoring abzudecken.

Monitoring Ecosystem

ein Beispiel

Eine schwierige Entscheidung: Open Source oder Kaufsoftware

In den Anforderungen des BSI und der ISO ist eine OPS-Anweisung (OPS = Operations, Betrieb) „Zentrale Protokollierung“ klar definiert. Sie bedeutet nichts anderes als die dringende Notwendigkeit eines zentralen Loggings.

Das Thema Logging ist heikel und notwendig zugleich, denn IT-Verantwortliche müssen auf der einen Seite die Anforderungen an ein Logging umsetzen. Auf der anderen Seite dürfen sie keinesfalls rechtliche Rahmenbedingungen außer Acht lassen. Hierunter fallen beispielsweise die maximale und minimale Vorhaltezeit der Logs. Spätestens bei diesen Überlegungen stellt sich obligatorisch die Frage: Proprietäre Kaufsoftware oder doch lieber Open Source einsetzen?

Wer sich bereits mit dem Thema Kauf einer Logging-Software wie Splunk beschäftigt hat, kennt die horrenden Kosten, die damit verbunden sind. Im Bereich der quelloffenen und freien Software gibt es genügend Alternativen, die teurer Kaufsoftware in nichts nachstehen. Sie sind teilweise sogar deutlich überlegen.

Darunter fallen beispielsweise Tools wie Greylog, der sogenannte ELK-Stack (ElasticSearch – Logstash – Kibana) oder auch OpenSearch. Das Letztgenannte wurde von Amazon S3 zentral entwickelt und in die Community überführt. Gerade die Tools ELK und OpenSearch sind Eier legende Wollmilchsäue und können im Bereich des Loggings nahezu alles – inkl. Anomalienerkennung und SIEM.

Die ITEBO-Unternehmensgruppe nutzt ein OpenSearch-Cluster, welches das ganzheitliche Logging inkl. Anomalienerkennung und SIEM ermöglicht. Die ITEBO-Mitarbeiterinnen und -Mitarbeiter prüfen derzeit einen weiteren Leistungsschein in genau diesem Bereich. Demnächst können ITEBO-Kundinnen und -Kunden also von einem zentralisierten und ganzheitlichen Logging nach BSI-Standard profitieren.

Cloud und Open Source revolutionieren die IT-Landschaft

Ein weiteres Hype-Thema ist die Cloud. Aber was ist Cloud überhaupt? Cloud ist nicht nur Microsoft 365, Office 365 oder Azure. Auch bedeuten Cloud und Kollaboration nicht automatisch, dass es von Microsoft sein muss. Stattdessen beschreibt Cloud Computing ein Modell, bei dem Computerressourcen über das Internet geräteunabhängig angeboten und nach Nutzung abgerechnet werden.

Es gibt für vieles mehr oder weniger gute Alternativen: Angefangen bei Open-Source-Speicherlösungen, sogenannten Collaboration-Platforms, die eine echte Alternative zu MS-Produkten darstellen, bis hin zu Tools wie Echtzeit-Kommunikation inklusive Videotelefonie. Zum Leistungsumfang gehören auch Kalender und E-Mail, aber auch ganze Office-Suites. Tools zum Mindmapping oder Projektmanagement runden das Angebot ab. Themen wie managed Kubernetes und Projekte wie Blockchain und GAIA-X haben durchaus Potenzial, die fortschreitende Digitalisierung mit entsprechender größtmöglicher Herstellerunabhängigkeit voranzutreiben.

Auch die OSB Alliance (Bundesverband für digitale Souveränität e. V.) sowie govdigital sind dem Open-Source-Gedanken verbunden. Sie versuchen, diesen auch in die digitale Verwaltung einzubringen. Sogar die Anzahl an großen Herstellern wächst, die sich im Bereich quelloffener Software positionieren wollen. Unternehmen wie Red Hat und SUSE sind mit diesem Geschäftsmodell erfolgreich und ziehen Nachahmer an.

Open Source: Viele Möglichkeiten, aber nicht alle sind empfehlenswert

Wer auf den einleitenden Satz dieses Artikels, Open Source solle die Digitalisierung der Verwaltung voranbringen, zurückschaut, kann erkennen, dass es bereits eine ganze Reihe an Open-SourceLösungen gibt, die Unternehmen einsetzen können. Beachten sollten Verantwortliche jedoch, dass der Betrieb dieser Tools ein fundiertes SkillLevel oder einen kompetenten Partner benötigt.

Obwohl es Tools für nahezu jeden Anwendungsbereich gibt, sollten Unternehmen Open Source in bestimmten Anwendungsgebieten nicht nutzen. Besonders sensible Bereiche wie Netzwerkfirewalls oder gar Web-Application-Firewalls (WAF) sollten nicht unbedingt quelloffen sein. Denn dann kann ein Angreifer vorhandene Sicherheitslücken schon im Code erkennen. Hier ist der Einsatz von Closed-Source-Software die bessere Wahl.

Zudem ist ein Hersteller in der Produktentwicklung mit einer festen Entwicklergruppe vermutlich schneller als eine Community, die das Produkt nur „nebenbei“ entwickelt oder eine seitens des Arbeitgebers begrenzte Zeit für die Weiterentwicklung zur Verfügung hat.

Letzteres ist auch zugleich ein allgemeines Problem von Open Source: Quelloffene und freie Software lebt von den Freiwilligen, doch purer Idealismus reicht auf Dauer nicht aus, um eine langlebige Software zu entwickeln. Das ist auch der Grund, warum Open Source zwar erst mal kostenlos, aber auf Dauer nicht umsonst ist! Know-how und Support generieren auch hier einen Kostenfaktor – dieser ist aber im Normalfall deutlich geringer als bei lizenzpflichtiger Software. Zudem ist jeder Nutzer aufgerufen, sich aktiv an der Software zu beteiligen, Entwicklungen in die Community zurückzugeben und so zum Erfolg und Nutzen von Open Source beizutragen.

Phishing, Malware-Dateianhänge und Ransomware

Wie Sie sich effektiv davor schützen können

Lesen