Open Source in der Unternehmens-IT: Wer trägt die Verantwortung für den Betrieb?

Open-Source-Software spart Lizenzkosten und hält Sie unabhängig vom Hersteller, aber sie bringt keinen Vertrag mit, der nachts jemanden ans Telefon holt. Für IT-Leitungen ohne eigenes Entwicklungsteam ist deshalb nicht die Lizenz die Entscheidung, sondern die Frage, wer Updates, Sicherheitslücken und Ausfälle verbindlich übernimmt.

Was Open Source für Ihre Architektur bringt

Linux, PostgreSQL, Kubernetes, Keycloak: Große Teile der Unternehmens-IT laufen längst auf Open-Source-Bausteinen, oft ohne dass die Geschäftsführung davon weiß. Der Vorteil ist real. Keine Lizenzgebühr pro Kern oder Nutzer, kein Hersteller, der das Produkt abkündigt oder den Preis verdoppelt, und der Quellcode liegt offen, sodass ein zweiter Dienstleister ihn übernehmen kann. Für digitale Souveränität ist das die Grundlage: Wer seine Datenbank selbst betreiben kann, hängt nicht an der Preisliste eines US-Anbieters.

Der Vorteil hat einen Preis, und der steht nicht auf der Rechnung. Er steht im Dienstplan.

Sicherheitslücken: öffentlich bekannt, also schnell ausgenutzt

Wird in einer Open-Source-Bibliothek eine Schwachstelle gefunden, ist sie samt Beschreibung öffentlich. Das ist gut für alle, die sofort patchen, und schlecht für alle, die es in drei Monaten tun. Angreifer lesen dieselben Meldungen. Eine Webanwendung, deren Abhängigkeiten niemand regelmäßig prüft, sammelt bekannte Lücken an, bis eine davon reicht.

Was dagegen hilft, ist kein Werkzeug allein, sondern ein Ablauf: eine automatisierte Prüfung aller Abhängigkeiten, eine Liste der eingesetzten Komponenten (Software Bill of Materials) und eine Person, die verbindlich innerhalb einer festgelegten Frist reagiert.

Lizenzen: kostenlos heißt nicht bedingungslos

Lizenzen wie die GPL oder AGPL verpflichten unter bestimmten Bedingungen dazu, eigene Änderungen offenzulegen. Für Bausteine, die Sie unverändert betreiben, spielt das selten eine Rolle. Sobald ein Dienstleister Code in Ihre eigene Software einbaut, muss jemand prüfen, welche Lizenz das ist und was sie verlangt. Eine Lizenzrichtlinie und eine automatische Lizenzprüfung im Build gehören deshalb in jedes Projekt, das Open Source in eigenen Produkten verwendet.

Wartungsvertrag Webanwendung Reaktionszeit: die Frage, an der es scheitert

Kommerzielle Software bringt einen Hersteller mit, den Sie anrufen können. Open Source bringt eine Community mit, die niemandem etwas schuldet. Wenn eine Komponente nicht mehr gepflegt wird oder ein Update die Anwendung bricht, gibt es keinen, der haftet, solange Sie niemanden dafür beauftragt haben.

Genau hier entscheidet sich, ob Open Source für Sie funktioniert. Drei Wege stehen offen. Sie bauen eigene Kompetenz auf, was bei Betrieben ohne Entwicklungsteam selten realistisch ist. Sie schließen mit einem Dienstleister einen Wartungsvertrag mit definierter Reaktionszeit, der Sicherheitsupdates, Backups und Störungsbehebung abdeckt. Oder Sie geben den Betrieb komplett als Managed Hosting ab, inklusive Monitoring rund um die Uhr. Was nicht funktioniert: Open Source einführen und hoffen, dass sich jemand kümmert.

Unsere Haltung: Reaktionszeit lässt sich garantieren, die Lösung erfolgt nach bestem Bemühen. Ein Vertrag, der Ihnen mehr verspricht, verspricht zu viel. Was ein solcher Vertrag konkret regeln muss, steht im Artikel SLA-Reaktionszeiten verstehen.

Regulierte Branchen: Open Source ist erlaubt, aber nicht formlos

Auch in Finanz- und Versicherungsunternehmen läuft Open Source. Die Aufsicht verlangt keine bestimmte Lizenzform, sondern nachweisbare Sicherheits- und Resilienzmaßnahmen: Jede Komponente gehört ins Risikomanagement, mit Verantwortlichem, Prüfintervall und dokumentiertem Supportweg. Der Wartungsvertrag ist dann kein Komfort, sondern Teil des Nachweises.

Häufige Fragen

Ist Open Source wirklich günstiger? Die Lizenzkosten sind niedriger. Ob die Gesamtkosten sinken, hängt davon ab, was Sie für Betrieb, Updates und Wissen ausgeben. Ohne diese Kompetenz im Haus oder im Vertrag kann Open Source teurer werden als das Produkt mit Hersteller-Support.

Welche Bausteine haben sich bewährt? Für Betriebssystem, Datenbank, Container-Betrieb und Identitätsverwaltung gibt es etablierte Projekte mit großer Nutzerbasis und regelmäßigen Releases. Entscheidend ist weniger das Projekt als die Frage, ob es aktiv gepflegt wird und ob Ihr Dienstleister es beherrscht.

Wie prüfen wir unseren Stand? Mit einer Liste aller Open-Source-Komponenten in produktiven Systemen, jeweils mit Version, Lizenz, letztem Update und der Person, die dafür zuständig ist. Leere Felder in der letzten Spalte sind Ihr Risiko.

Erstellen Sie diese Liste für Ihre wichtigste Webanwendung, und zählen Sie die leeren Felder. Wenn Sie wissen wollen, welche davon ein Wartungsvertrag mit fester Reaktionszeit schließt und welche in ein Managed Hosting gehören, bringen Sie die Liste in den Potenzial-Check: eine halbe Stunde, kostenlos, mit ehrlicher Einschätzung. Potenzial-Check buchen