Publiziert:

Public Code und SBOM

Öffentliches Geld finanziert öffentlichen Code, kein fremdes Eigentum

Das Prinzip "Public Money, Public Code" besagt, dass mit Steuergeldern finanzierte Software der Allgemeinheit als Open Source zur Verfügung gestellt werden sollte. Dies fördert die Wiederverwendung, reduziert redundante Entwicklungen und stärkt die digitale Souveränität des Staates.

Ergänzend dazu ist die Software-Stückliste (Software Bill of Materials, SBOM) der notwendige Sicherheits-Standard, um Transparenz über die genutzten Komponenten und deren Sicherheitszustand zu erhalten.

Anti-Patterns: Die Blackbox-Verwaltung

Viele Behörden nutzen proprietäre Software, deren Funktionsweise nicht überprüfbar ist. Dies führt zu Abhängigkeiten von einzelnen Dienstleistern, erschwert die Interoperabilität zwischen verschiedenen Ämtern und birgt unerkannte Sicherheitsrisiken in der Software-Lieferkette (Software Supply Chain). Ohne SBOM ist es im Falle einer neu entdeckten Sicherheitslücke (wie Log4j) fast unmöglich, schnell festzustellen, welche Systeme betroffen sind.

Transparenz per Standard

  1. Open Source als Standard: Für die Bundesverwaltung schreibt das EMBAG vor, selbst oder im Auftrag entwickelte Software grundsätzlich quelloffen zu veröffentlichen (Ausnahmen bei Rechten Dritter oder Sicherheitsgründen). Kantone und Gemeinden sind nicht automatisch erfasst, übernehmen das Prinzip aber zunehmend freiwillig. Neue Projekte sollten unter einer freien Lizenz (zum Beispiel AGPL oder Apache 2.0) entwickelt werden.
  2. SBOMs in der Beschaffung: Wo Vertrag oder Regulierung es verlangen, gehört von Software-Lieferanten eine maschinenlesbare Liste aller enthaltenen Bibliotheken und Lizenzen gefordert (zum Beispiel im CycloneDX- oder SPDX-Format). Als gute Praxis sollte diese Anforderung standardmässig in Ausschreibungen aufgenommen werden.
  3. Zentrale Repositorys: Aufbau von föderalen Code-Plattformen (wie opencode.de), um den Austausch zwischen Kantonen und Gemeinden zu erleichtern.
  4. Security Audits: Öffentlicher Code ermöglicht unabhängige Sicherheitsüberprüfungen durch die Community und Fachspezialisten.
  5. EMBAG-Anforderungen: Für die Bundesverwaltung und EMBAG-nahe Beschaffungen gilt die gesetzliche Offenlegungspflicht; für Kantone und Gemeinden gilt sie nicht automatisch, lässt sich aber als Open-Government-Anspruch übernehmen.

Der Vorteil: Föderale Effizienz

Ein Kanton entwickelt eine Lösung für das Baugesuch-Management. Andere Kantone können diesen Code übernehmen, anpassen und verbessern, anstatt das Rad jedes Mal neu zu erfinden.

FAQ

Verschenken wir nicht wertvolles geistiges Eigentum, wenn wir den Code öffnen?

Nein. Die Investition fliesst in eine gemeinsame Infrastruktur. Der Wert liegt im funktionierenden Prozess und den Daten, nicht in den Code-Zeilen selbst. Durch das Teilen sinken die Wartungskosten für alle.

Erhöht die Veröffentlichung des Codes nicht das Risiko von Hackerangriffen?

Nein. Wahre Sicherheit basiert auf robuster Architektur, nicht auf Geheimhaltung. Security through Obscurity schützt nicht vor professionellen Angreifern. Transparenz hingegen ermöglicht schnellere Patches.

Referenzen