Hintergrund

Wegen der zunehmenden geopolitischen Spannungen und der wachsenden Abhängigkeit von US-amerikanischen Softwarediensten wird es immer schwieriger digitale Souveränität herzustellen. Die Verwendung von Open-Source-Software (OSS) ist ein oft beschrittener Weg, solche Abhängigkeiten zu verringern und die Kontrolle über die eingesetzte Software zu behalten. Viele digitale Services der öffentlichen Verwaltung und kritischer Infrastrukturen beruhen daher auf OSS. Eine große Anzahl von IT-Systemen – von Betriebssystemen über Laufzeitumgebungen bis hin zu Kryptografiebibliotheken – enthalten OSS-Komponenten.

Die Vorteile, die OSS verspricht, wurden allerdings durch sicherheitskritische Vorfälle wie Log4Shell konterkariert. Diese Ereignisse machten deutlich, dass OSS-basierte Ökosysteme trotz ihrer Stärken auch strukturelle Verwundbarkeiten aufweisen. Ein Hauptproblem besteht darin, dass kritische OSS-Komponenten häufig von wenigen Personen gepflegt werden, die nur über begrenzte Ressourcen verfügen. Zudem werden nicht immer die notwendigen Sicherheitsprüfungen durchgeführt. OSS systematisch bewerten zu können, hätte daher einen hohen Nutzen und könnte dazu beitragen, potenzielle Sicherheitslücken zu minimieren und neue Anwendungsbereiche zu erschließen.

Projektinhalt und Ziele

Derzeit gibt es nur wenige Orientierungshilfen für einen souveränen und sicheren Einsatz von Open-Source-Software (OSS) in Verwaltung und kritischer Infrastruktur. Ebenso sind zentrale Annahmen wie, dass OSS sicherer ist als proprietäre Software oder dass Sicherheitslücken schneller geschlossen werden, empirisch unzureichend untermauert. Hier kommt unser Projekt DigiSov-CrOSSD ins Spiel, in dem wir die an der USTP entwickelte Plattform CrOSSD (Critical Open-Source Software Database) weiterentwickeln. Der Fokus liegt dabei speziell auf einer integrierten Bewertungsinfrastruktur für Sicherheit und digitale Souveränität von OSS.

Das Projekt verfolgt vier aufeinander aufbauende Ziele:

1. Die technische Weiterentwicklung der CrOSSD Plattform vor allem in Bezug auf Schnittstellen und die Verarbeitung von Datenquellen.
2. Die Festlegung von Souveränitätskriterien und -metriken auf Basis von Erkenntnissen, die in qualitativen Stakeholder-Interviews gewonnen werden.
3. Integration von CVE-Datenbanken (enthalten Informationen über bekannte Sicherheitslücken), OpenSSF-Scorecard-Indikatoren (geben Auskunft, ob Sicherheitspraktiken ausreichend gut umgesetzt werden) und wissenschaftlich fundierten Vulnerability-Metriken (messbare Größen zur Bewertung von Sicherheitslücken).
4. Validierung des Gesamtmodells durch Anwendung auf reale Sicherheitsvorfälle und die Erkennung von Qualitätsrisiken durch KI-generierten Code (Vibe-Coding).

Ergebnis

In diesem Projekt verbinden wir die normative mit der operativen Ebene. Konkret wollen wir die begriffliche Unschärfe von „digitaler Souveränität“ verringern, indem wir sie und weitere Qualitätsaspekte von Open-Source-Software (OSS) mithilfe datengestützter und reproduzierbarer Messverfahren erfassen.

Unsere CrOSSD-Plattform führt Wissen aus verschiedenen Datenbanken zu bekannten Sicherheitslücken (Vulnerability-Datenbanken) zusammen und analysiert Sicherheits- und Abhängigkeitsstrukturen automatisiert und reproduzierbar. Darüber hinaus erproben wir neue Ansätze, um Risiken durch KI-generierten Code zu erkennen. Die entwickelten Metriken werden validiert und frei zugänglich über die CrOSSD-Plattform bereitgestellt. Damit erhalten öffentliche Einrichtungen und Betreiber kritischer Infrastrukturen ein Instrument, um OSS-Lösungen systematisch zu bewerten und besser einzuschätzen, welche OSS-Komponenten ihren Anforderungen an Sicherheit und Qualität genügen.