Open Source für Enterprise-Lösungen: 5 entscheidende Faktoren

Key Takeaways

• Auch wenn Open-Source-Technologie oft als kostengünstiger oder sogar als „Gratis-Software“ wahrgenommen wird, müssen Sie Themen wie Sicherheit, Compliance, operative Resilienz und rechtlichen Schutz berücksichtigen, wenn Sie diese Technologie für Enterprise-Lösungen einsetzen.

• Die Entscheidung für oder gegen Open-Source-Technologie – ob mit oder ohne Enterprise-Services – hängt von Ihren individuellen Rahmenbedingungen ab. Egal, ob Ihr Unternehmen kleiner ist und ihm die Ressourcen fehlen, um Open-Source- und Community-Technologien selbst zu verwalten, oder ob Sie ein etabliertes Unternehmen sind, das Kosten sparen und mit Open Source skaliere möchten: Die Kombination der Technologie mit einem kommerziellen Service-Provider kann strategische Vorteile bieten. In diesem Blogbeitrag erläutern wir fünf Gründe dafür.

• Wenn Sie beispielsweise Liferay DXP mit den Liferay Enterprise Subscription Services nutzen, profitieren Sie von exklusivem Support, Sicherheit, Compliance und rechtlichem Schutz sowie von zusätzlichen Features im Vergleich zur unbegleiteten Nutzung des Liferay Portal-Codes aus unseren öffentlichen Content-Bibliotheken.

Open-Source-Technologie kann beim Aufbau von Enterprise-Lösungen enorm viele Vorteile bieten – darunter Kosteneinsparungen, mehr Agilität und Flexibilität sowie den Zugriff auf eine Entwickler-Community, die dieselbe Software nutzt.

Was ist Open Source?

Open-Source-Software ist Software, deren Quellcode öffentlich zugänglich ist und die unter einer Lizenz steht, die jedem das Recht einräumt, die Software zu untersuchen, zu ändern und für beliebige Zwecke zu verbreiten. Obwohl die Ursprünge von Open-Source-Software bis in die 1950er Jahre zurückreichen, nahm die Bewegung in den späten 1990er Jahren so richtig Fahrt auf und prägt die Softwareentwicklung für Enterprise-Lösungen bis heute.

Enterprise-Lösungen erfordern jedoch eine sorgfältige Planung und Umsetzung, insbesondere in den Bereichen Sicherheit, Compliance, operative Resilienz und Funktionalität. In diesem Beitrag gehen wir auf fünf wichtige Aspekte ein, die Sie berücksichtigen sollten, bevor Sie Open-Source-Software zur Einführung Ihrer Enterprise-Lösungen nutzen.

5 entscheidende Faktoren vor dem Einsatz von Open-Source-Technologie für Enterprise-Lösungen

Obwohl Open-Source-Software in der Regel kostenlos ohne einmalige oder wiederkehrende Lizenzgebühren heruntergeladen werden kann, gibt es einige Verpflichtungen, Risiken und damit verbundene Kosten, die Sie kennen sollten – besonders bei der Entwicklung von Enterprise-Lösungen.

1. Sicherheitslücken und Schwachstellen

Für geschäftskritische Lösungen ist Sicherheit das A und O – insbesondere, wenn Ihr Unternehmen Kundendaten oder andere sensible Informationen verarbeitet.

Da Open-Source-Technologie von Natur aus öffentlich zugänglich ist, kann eine breite Masse den Code überprüfen und zu Sicherheitsverbesserungen beitragen. Viele Augen bedeuten, dass potenzielle Sicherheitslücken schneller erkannt und behoben werden können.

Doch obwohl der öffentlich zugängliche Code die Überprüfung durch die Community ermöglicht, erlaubt dieselbe Transparenz auch Cyberkriminellen, Schwachstellen im Code aufzuspüren und auszunutzen. Im schlimmsten Fall könnten böswillige Akteure zu Open-Source-Projekten beitragen, um gezielt Sicherheitslücken oder schädlichen Code einzuschleusen.

Zudem kommt es häufig vor, dass Teams Open-Source-Software oder -Komponenten in ihre Anwendungen integrieren und den Code danach nie wieder aktualisieren. Werden diese Updates nicht eingespielt, sobald sie verfügbar sind, bleiben Sicherheitslücken unbehoben.

Laut dem Open Source Security and Risk Analysis Report 2024 von Synopsys, der Erkenntnisse aus mehr als 1.000 kommerziellen Codebasen aus 17 Branchen im Jahr 2023 zusammenfasst, enthielten 96 % aller Codebasen Open Source – und 84 % der auf Risiken geprüften Codebasen wiesen Sicherheitslücken auf.

Eine weitere Studie von Veracode ergab, dass Entwickler in 79 % der Fälle den Code nach der Integration in eine Anwendung nicht mehr aktualisiert hatten. Zudem wurde in der Mehrheit der untersuchten Repositories mindestens eine Sicherheitslücke gefunden. Unternehmen versäumen es häufig nachzuhalten, wo Open-Source-Code verwendet wurde, und wissen oft gar nicht, welche Komponenten aktualisiert werden müssen.

Im obigen Beispiel müssen die Teams, die sich für den Einsatz der Open-Source-Software entscheiden, selbst dafür sorgen, dass sie regelmäßig aktualisiert wird, um die Codesicherheit zu gewährleisten. Auch wenn der ursprüngliche Anbieter regelmäßige Scans und Tests durchführt, liegt die Verantwortung für die Pflege und Aktualisierung des genutzten Codes letztlich bei den einzelnen Teams und Nutzern.

2. Einhaltung von Compliance-Anforderungen

Wenn Ihr Unternehmen in bestimmten Regionen oder in einer stark regulierten Branche tätig ist, muss die von Ihnen genutzte Software zwingend den Gesetzen und Richtlinien der zuständigen Aufsichtsbehörden entsprechen.

Externe Compliance bezieht sich auf Vorschriften und Standards, die Organisationen von außen auferlegt werden, um die Sicherheit und den Schutz der Daten von Nutzerinnen und Nutzer zu gewährleisten. Dazu gehören unter anderem:

• SOC 2: Bewertet die Sicherheitskriterien Verfügbarkeit, Verarbeitungsintegrität und Vertraulichkeit der Systeme und Prozesse eines Service-Providers.

• ISO/IEC 27001: Der internationale Standard für Informationssicherheits-Managementsysteme.

• DSGVO: Konzentriert sich auf den Schutz personenbezogener Daten von Personen in der EU. Ähnliche regionale Datenschutzgesetze sind die LGPD in Brasilien oder der CCPA in Kalifornien.

• Digital Operational Resilience Act (DORA): Konzentriert sich auf die digitale operative Resilienz von Finanzunternehmen in der EU.

• Cyber Resilience Act (CRA): Fokussiert sich auf die Cybersicherheit durch einheitliche Sicherheitsstandards für Produkte mit digitalen Elementen in der EU – wie etwa verpflichtende Vorfallmeldungen und automatische Sicherheitsupdates.

Am Ende liegt die Nachweispflicht zur Einhaltung dieser Vorschriften jedoch nicht beim Softwareanbieter, sondern bei den nutzenden Unternehmen selbst. Wenn Sie Open-Source-Technologie für Ihre Anwendungen nutzen, müssen Sie daher regelmäßige Audits Ihrer Praktiken und Richtlinien durchführen – etwa in den Bereichen IT-Sicherheit, Open-Source-Compliance, Datenschutz und Datensicherheit.

3. Open-Source-Verpflichtungen

Die Einhaltung von FOSS-Compliance (Free and Open Source Software) verlangt von Nutzern, alle Urheberrechtshinweise zu beachten und sämtliche Lizenzpflichten der verwendeten Open-Source-Software in kommerziellen Produkten zu erfüllen. Das erfordert Arbeit, die weit über das bloße Schreiben von Codezeilen hinausgeht, und kann Folgendes umfassen:

• Dokumentation der verwendeten Open-Source-Komponenten für Audits oder Kundenanfragen.

• Verwaltung eines Repositories, über das der Quellcode heruntergeladen werden kann.

• Pflege aller relevanten Urheberrechts- und Lizenzinformationen.

• Erstellung einer Benutzeroberfläche, die die verwendeten Open-Source-Komponenten anzeigt.

• Bewertung der Lizenzkompatibilität von Komponenten, die unter verschiedenen Lizenzen stehen.

Dies erfordert in der Regel klare Open-Source-Richtlinien und Schulungen für Entwickler sowie den Einsatz von Software-Scanning-Tools, die Code identifizieren können, der möglicherweise nicht Ihren Vorgaben entspricht.

Eine unvollständige oder fehlerhafte Umsetzung sowie Verstöße gegen Open-Source-Lizenzbedingungen können rechtliche Konsequenzen, finanzielle Verluste, Wartungsprobleme und einen Imageschaden nach sich ziehen.

Darüber hinaus wird von Unternehmen zunehmend die Erstellung einer Software-Stückliste (Software Bill of Materials, SBOM) erwartet. Sie bildet das Fundament der globalen Software-Lieferkette, da sie wie ein Inventarverzeichnis funktioniert und alle Komponenten und Abhängigkeiten dokumentiert, die zur Erstellung einer Endnutzer-Anwendung verwendet werden.

Angesichts gestiegener Risiken und Sicherheitsanforderungen werden SBOMs immer mehr zum Standard. Dieser Trend wird durch aktuelle Regulierungen wie den Cyber Resilience Act in der EU oder die US-amerikanische Executive Order 14028 verstärkt.

Die Erstellung von SBOMs erfordert jedoch Investitionen in entsprechende Scanning-Tools oder -Services. Zudem ist der Prozess äußerst arbeitsintensiv, da sämtliche Stammdaten der Softwarekomponenten sowie alle Abhängigkeiten, Patches und Updates erfasst werden müssen.

4. Rechtliche Prüfungen und Absicherung

Die Durchführung rechtlicher Prüfungen und Risikobewertungen bei der Einführung neuer Open-Source-Technologien oder bei Lizenzänderungen liegt in der Verantwortung der Teams und Nutzer, die die Software einsetzen.

Im Falle einer Lizenzverletzung oder einer angeblichen Schutzrechtsverletzung Dritter ist das Team, das die Open-Source-Technologie implementiert hat, letztlich selbst für die Abwicklung von Rechtsansprüchen oder Lizenzgebühren verantwortlich. Open-Source-Lizenzen enthalten in der Regel keine Freistellungs- oder Regressansprüche für solche Fälle. Unternehmen benötigen daher juristischen Beistand, um sich abzusichern und etwaige Ansprüche auf eigene Kosten abzuwickeln.

5. Operative Resilienz

Die Verfügbarkeit einer geschäftskritischen Lösung ist genau das: kritisch. Jede Sekunde Ausfallzeit einer Enterprise-Lösung kann zu Umsatzeinbußen, Datenverlusten und Reputationsschäden führen – bis hin zum Verlust des Kundenvertrauens.

Für die Verfügbarkeit und Performance einer Lösung zu sorgen – beispielsweise durch Skalierung und Backups – liegt in der Verantwortung des implementierenden Teams. Dies intern umzusetzen, kann jedoch sehr kosten- und ressourcenintensiv sein.

Wenn Sie Open-Source-Software ohne kommerziellen Support nutzen, sind Sie meist auf Community-Support angewiesen. Dieser bietet weder dedizierten Support noch Service Level Agreements (SLAs), was bei Ausfällen oder Problemen deutlich mehr internes Know-how und eigene Ressourcen erfordert.

Open-Source-Software: Mit oder ohne kommerzielles Angebot?

In Anbetracht dieser fünf Punkte fragen Sie sich vielleicht, ob der Einsatz von Open-Source-Software Ihre Gesamtkosten (Total Cost of Ownership, TCO) tatsächlich senken kann, wenn Sie Sicherheit, Compliance, operative Resilienz und weitere Faktoren einkalkulieren müssen.

Tausende Unternehmen weltweit profitieren bei der Entwicklung digitaler Erlebnisse wie Websites, Intranets oder Kundenportalen von den Stärken und der Flexibilität der Open-Source-Technologie von Liferay (Liferay Portal).

Dennoch greifen alle fünf genannten Aspekte: Nutzer müssen Ressourcen bereitstellen, um ihre Lösungen zu betreiben, abzusichern und zu unterstützen. Wenn ein Unternehmen beispielsweise seine Website auf Basis von Liferay Technologie ohne eine Liferay Enterprise Subscription baut, ist sein internes Team oder ein externer Dienstleister allein dafür verantwortlich, die Lösung zu hosten, Performance-Probleme zu beheben, die Seite zu warten, ihre operative Resilienz und Skalierbarkeit sicherzustellen, sie abzusichern sowie bei Ausfällen Backups wiederherzustellen.

Wenn Sie nach Möglichkeiten suchen, diese Aufgaben abzugeben, können unsere kommerziellen Subscriptions Ihre Gesamtkosten senken. Sie erhalten Experten-Support, um Ihren Business Value schneller zu realisieren – inklusive eines dedizierten Support-Teams und Produktexperten.

Die Enterprise Subscriptions von Liferay bieten Ihnen das Beste aus beiden Welten: Mit einer Subscription behalten Sie die Kernvorteile von Open-Source-Software, während gleichzeitig die damit verbundenen Risiken minimiert werden. 

So nutzen Sie Open-Source-Technologie für Ihre geschäftskritischen Anwendungsfälle auf eine enterprise-ready und kosteneffiziente Weise. Darüber hinaus bietet Ihnen eine Liferay Enterprise Subscription exklusive Features in den Bereichen Performance, Commerce, Analytics und Sicherheit. Als Anbieter unterstützen wir Sie dabei, die Einhaltung regulatorischer Vorgaben gemäß Best Practises und Industriestandards sicherzustellen.

Durch die Wahlmöglichkeit zwischen On-Premise-, PaaS- und SaaS-Deployment-Modellen bietet Liferay die Flexibilität, die genaue Balance für Ihre Anforderungen zu finden: Auf der einen Seite die volle Kontrolle über Ihre Daten und maximale Anpassbarkeit, auf der anderen Seite die Möglichkeit, den Aufwand für Wartung, Sicherheit und Support der zugrundeliegenden Infrastruktur oder der gesamten Lösung auszulagern. Diese Entscheidung treffen Sie ganz individuell auf Basis Ihres Risikoprofils, Ihrer Geschäftsanforderungen und Präferenzen – bei Bedarf auch projektspezifisch.

Was ist die beste Wahl für die Einführung Ihrer Enterprise-Lösungen?

Obwohl Open-Source-Technologie viele Vorteile bietet, sind Lizenzgebühren und Preise nicht die einzigen Faktoren, die Sie berücksichtigen sollten. Es ist entscheidend, den langfristigen Aufwand an Kosten und Ressourcen für die Verwaltung und den Support der Lösung zu bewerten.

Für viele Unternehmen bietet die Nutzung von Open-Source-Technologie in Kombination mit Enterprise-Services – wie den Enterprise Subscriptions von Liferay – die Gewissheit, dass ein Expertenteam bei Themen wie Sicherheit, Compliance oder Open-Source-Verpflichtungen unterstützt. Diese Absicherung sorgt zudem für niedrigere Gesamtkosten, höhere operative Sicherheit, mehr Kontinuität im Geschäftsbetrieb, vergrößerte Agilität und eine schnellere Markteinführung im Vergleich zur reinen Open-Source-Nutzung ohne kommerzielles Angebot.

Möchten Sie mehr darüber erfahren, wie Liferay Sie bei der Einhaltung von Compliance-Vorgaben unterstützen und Ihre Abläufe schützen kann?

Laden Sie unsere Infografik herunter, um mehr zu erfahren.