Eine freie Software wird durch vier grundlegende Freiheiten definiert: das Programm auszuführen, seinen Quellcode zu studieren, ihn weiterzugeben und modifizierte Versionen zu verteilen. Diese rechtliche und technische Grundlage, die von der Free Software Foundation formalisiert wurde, strukturiert heute ein Ökosystem, das weit über den Kreis der Entwickler hinausgeht. Die digitalen Nachrichten von 2026 zeigen, dass Open Source mittlerweile ein eigenständiges regulatorisches, industrielles und geopolitisches Thema ist.
Cyber Resilience Act: Was der CRA für Open Source-Projekte ändert
Seit dem 11. September 2026 sind die Meldepflichten des Cyber Resilience Act (CRA) der Europäischen Union in Kraft. Hersteller von Produkten, die digitale Elemente enthalten, müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, gemäß einem gestaffelten Zeitplan bis 2027.
Der strukturellste Punkt für die Welt der freien Software betrifft die Schaffung einer spezifischen rechtlichen Kategorie: die Open Source Software Stewards. Dieser Begriff bezeichnet die Entitäten, die ein Open Source-Projekt mit kommerziellem Ziel systematisch und nachhaltig unterstützen. Einzelne Entwickler und ehrenamtliche Mitwirkende fallen nicht unter den Geltungsbereich der Verpflichtungen.
Die Unterscheidung scheint auf dem Papier klar, wirft jedoch konkrete Fragen auf. Ein Akteur, der regelmäßig auf espacelibre.net Ressourcen rund um freie Software veröffentlicht und pflegt, hat nicht denselben Status wie ein Unternehmen, das eine Open Source-Komponente in ein verkauftes Produkt integriert. Im zweiten Fall kann der Integrator den Status eines “Herstellers” annehmen, mit vollem Konformitätsverpflichtungen, selbst wenn der ursprüngliche Code frei ist.
Diese Grenze zwischen nicht-kommerzieller Nutzung und kommerzieller Lieferkette ist 2026 zum eigentlichen Thema der Konformität geworden. Mehrere rechtliche Analysen, die in den letzten Monaten veröffentlicht wurden, heben hervor, dass die Integration einer freien Komponente in ein verkauftes Produkt den rechtlichen Status des Akteurs verändert.
Sicherheit der Software-Lieferkette: Ein vorrangiges Open Source-Projekt
Die Zunahme von Angriffen auf die Software-Lieferkette hat die Open Source-Community dazu gebracht, ihre Sicherheitspraktiken zu strukturieren.
Das zentrale Prinzip ist die Rückverfolgbarkeit: Jede Komponente, die in eine Software integriert ist, muss identifiziert, versioniert und auditiert werden können. SBOM (Software Bill of Materials) werden zum erwarteten Standard von Auftraggebern, sowohl öffentlichen als auch privaten.
- Die Erstellung und Aktualisierung eines SBOM für jede veröffentlichte Version ermöglicht es, eine verwundbare Komponente in der Abhängigkeitskette schnell zu identifizieren.
- Die Werkzeuge zur kryptografischen Signatur des Codes (wie Sigstore) werden allgemein verwendet, um die Integrität der verteilten Pakete zu gewährleisten.
Für Unternehmen, die Open Source-Bausteine verwenden, stellt sich nicht mehr die Frage, ob sie ihre Abhängigkeiten auditen müssen, sondern wie oft und mit welchen Werkzeugen. Die Sicherheit der Software-Lieferkette bestimmt mittlerweile den Zugang zum europäischen Markt.
Europäische digitale Souveränität und freie Software: Über den Diskurs hinaus
Die Europäische Union hat eine Konsultation initiiert, um ihr Ökosystem freier Software zu strukturieren, in einem Kontext, in dem die digitale Souveränität nach wie vor stark von amerikanischen Cloud-Infrastrukturen abhängt. Die Debatte geht über einfache technische Präferenzen hinaus: Es geht darum, wer den Code kritischer Infrastrukturen kontrolliert.
Auf der Seite der Kommunen setzt sich die Bewegung zur Migration auf freie Lösungen fort. Der französische Staat hält einen interministeriellen Kern empfohlener freier Software aufrecht, der über fünfhundert Referenzen umfasst. Dieses Katalog deckt Anwendungen von Bürosoftware bis hin zu Datenbankverwaltung, Messaging und kollaborativen Werkzeugen ab.
Das Haupthemmnis bleibt die Abhängigkeit von proprietären Formaten und dem Anwendungsökosystem großer Anbieter. Die Migration eines Arbeitsplatzes zu LibreOffice oder Thunderbird stellt keine größeren technischen Schwierigkeiten dar, aber die Interoperabilität mit externen Partnern, die proprietäre Suiten verwenden, verursacht erhebliche Reibungskosten.
KI und Open Source: Transparenz gegen “Open Washing”
Künstliche Intelligenz ist zum sichtbarsten Schlachtfeld zwischen offenen und geschlossenen Ansätzen geworden. Mehrere Organisationen, darunter die Open Source Initiative (OSI), haben auf die Praxis hingewiesen, KI-Modelle als Open Source zu präsentieren, während nur die Gewichte des Netzwerks veröffentlicht werden, ohne die Trainingsdaten oder den vollständigen Code der Pipeline.
Der Begriff “open weights” bedeutet nicht open source im Sinne der vier grundlegenden Freiheiten. Ein Modell, dessen Gewichte öffentlich sind, dessen Trainingsdaten jedoch geheim bleiben, ermöglicht weder Reproduzierbarkeit noch unabhängige Audits. Diese technische Unterscheidung hat direkte Auswirkungen auf das Vertrauen, das Benutzer und Regulierungsbehörden diesen Systemen entgegenbringen können.
- Der EU AI Act, dessen einige Fristen zur Einhaltung 2026 anstehen, stellt Anforderungen an die Transparenz, die über die bloße Veröffentlichung der Gewichte hinausgehen.
- Projekte wie die von der Linux Foundation arbeiten daran, offene Standards für die Zertifizierung von KI-Agenten zu definieren, mit einem Prinzip, das durch die Formel “Vertraue nicht, überprüfe” zusammengefasst wird.
Der Kampf um Open Source-KI dreht sich um die Definition des Begriffs “offen”. Solange dominante Akteure teilweise offene Modelle als Open Source qualifizieren können, bleibt der Markt für Benutzer und Regulierungsbehörden undurchsichtig. Die kommenden Monate werden entscheiden, ob die derzeit in Entwicklung befindlichen Standards eine überprüfbare Transparenz durchsetzen können oder ob das Label “open” ein Marketingargument ohne technische Garantie bleibt.
