Open Source

Die Open Source Initiative entscheidet das über ihren Prüfprozess; maßgeblich ist die Open Source Definition, die zehn Kriterien nennt – unter anderem freie Weitergabe, verfügbaren Quellcode, erlaubte abgeleitete Werke und das Verbot, einzelne Personengruppen oder Einsatzgebiete auszuschließen. Über hundert Lizenzen sind auf diesem Weg anerkannt. Wer eine eigene Lizenz formuliert, steht außerhalb dieser Liste – und damit außerhalb dessen, was Prüfwerkzeuge und Einkaufsabteilungen als Open Source erkennen.

Für künftige Fassungen ja, für bereits veröffentlichte nein. HashiCorp stellte Terraform im August 2023 von der Mozilla Public License auf eine Quellcode-Lizenz mit Nutzungsbeschränkung um, ausdrücklich nur für alle künftigen Veröffentlichungen. Der bis dahin freigegebene Stand blieb unter der alten Lizenz und wurde im September 2023 als OpenTofu bei der Linux Foundation weitergeführt. Der Abzweig bleibt also möglich, verlangt aber eine eigene Pflegemannschaft.

Einsehbarkeit allein erzeugt keine Sicherheit, weil das Lesen freiwillig bleibt. Die Hintertür in zwei Versionen des Kompressionswerkzeugs xz stammte vom Betreuer des Projekts selbst, lag damit offen im Quellcode und fiel im März 2024 nur auf, weil einem Entwickler ein Zeitverhalten seltsam vorkam. Der belastbare Vorteil offener Quellen ist ein anderer: Eine gemeldete Lücke lässt sich unabhängig vom Hersteller nachprüfen und im Notfall selbst schließen.

Entscheidend ist, ob mit der Software Geld verdient wird. Die Verordnung nimmt nach ihren Erwägungsgründen freie und Open-Source-Software aus, die ihre Entwickler nicht zu Geld machen; Stiftungen und Vereine, die solche Software dauerhaft tragen, fallen als Verwalter unter ein vereinfachtes Regime ohne CE-Kennzeichnung. Wer solche Bausteine in ein verkauftes Produkt einbaut, trägt die Herstellerpflichten voll – mit Meldepflichten ab September 2026 und den übrigen ab Dezember 2027.

Bei der MIT-Lizenz ja. Ihr Text bindet die Erlaubnis an die Bedingung, dass Urheberrechtshinweis und Lizenztext in allen Kopien und wesentlichen Teilen der Software enthalten bleiben. Das trifft auch die zusammengepackte JavaScript-Datei, aus der Bündelwerkzeuge Kommentare standardmäßig entfernen. Praktische Regel: Für jede ausgelieferte Fremdbibliothek eine Hinweisdatei erzeugen und verlinken. Fehlt der Hinweis, fehlt die Bedingung, an die die Lizenz ihre Erlaubnis knüpft.