Hallo Erik,

Am 17.04.2013 17:19, schrieb Erik Albers:

Hi Christian,

On 17/04/13 17:09, Christian Kalkhoff wrote:

...

...

aus aktuellem Anlass suche ich wissenschaftliche Studien, die sich mit dem Thema Sicherheit und Freie Software beschäftigen. Konkret geht es darum öffentliche Behörden zu überzeugen. Immer wieder wird behauptet, dass eine Umstellung öffentlicher Verwaltung auf Freie Software erhebliche Sicherheitsrisiken darstellen würden. Um unsere Argumentation mit 'wissenschaftlicher Basis' zu untermauern wollte ich deshalb fragen ob jemand von euch dementsprechende wissenschaftliche Artikel zur Hand hat, die solche Sicherheitsbedenken wegwischen könnten.

Vielleicht hat ja jemand von euch da schon das ein oder andere gelesen...

Vielen Dank, Erik

Unsere Schweizer Nachbarn haben das hier hervorgebracht:

...

http://www.swissict.ch/publikationen/studien/

Vielen Dank für den schnellen Hinweis. Leider ist diese Studie aber im aktuellen Fall nur beschränkt hilfreich. So hebt sie zwar die Bedeutung und Verbreitung von Free Software hervor, allerdings:

"Dabei stehen insbesondere bei den Behörden ungeklärte Haftungsfragen und generell der Mangel an kommerziellen Dienstleistern im Vordergrund."

-> Das wäre genau der Punkt an dem wir Behörden zum Umdenken bewegen müssen. Die Argumentation, dass sie bei einem proprietären Produkt jemanden haben den sie anrufen und anschreien können, jemand der vielleicht sogar haftbar zu machen ist ist nunmal valide. Wenn ich Freie Software einsetze dann kann ich mich nur an jemanden wenden, wenn ich einen Dienstleister mit dem Support beauftrage. Dazu benötigt es aber natürlich auch kommerzielle Dienstleister ...

Möglicherweise gehen wir hier zu sehr von einer Asymmetrie zwischen Behörde und Projekt/Initiative aus. Wenn eine Behörde ausschreibt, dann bewerben sich nur kommerzielle Anbieter. Aus der Free Software-Ecke fallen mir da neben den Enterprise-Distributoren noch z.B. Univention oder Heinlein ein, die sich definitiv auch für Geld anschreien lassen.

Wenn es dir hingegen darum geht, dass Behörden internes Wissen aufbaut um Freie Software einzusetzen, stimmt die Aussage mit dem Anschreien allerdings, eigene Mitarbeiter darf man nämlich nur beschränkt zusammenstauchen oder verklagen. Das gilt aber im Übrigen auch für Windows-Admins.

In München wurde z.B. auch keine Distribution erstellt, sondern eine Basis eingekauft (basierend auf Debian, später auf Ubuntu) und dann auf dieser Plattform die Fachverfahrentools intern entwickelt. Das ist nach meinem Kenntnisstand schon eher unüblich, aber es hat ja zum Glück funktioniert. :)

Leider lässt AFAIK das kommunale Ausschreibungsrecht keine überkommunalen Ausschreibungen und auch keine Zusammenarbeit zu. Das Thema ist ziemlich komplex, aber läuft darauf hinaus, dass jeder Ort sein eigenes Süppchen kochen muss. Villa Riba und Villa Bacho müssen also ihr Spülmittel unabhängig voneinander kaufen, dürfen also auch nicht zusammenlegen und dann ggf. bessere Konditionen rausholen oder sogar ein eigenes Freies Mittelchen entwickeln.

Viele Grüße Christian

Am Mittwoch, 17. April 2013 17:57:24 schrieb Christian Kalkhoff:

Leider lässt AFAIK das kommunale Ausschreibungsrecht keine überkommunalen Ausschreibungen und auch keine Zusammenarbeit zu. Das Thema ist ziemlich komplex, aber läuft darauf hinaus, dass jeder Ort sein eigenes Süppchen kochen muss. Villa Riba und Villa Bacho müssen also ihr Spülmittel unabhängig voneinander kaufen, dürfen also auch nicht zusammenlegen und dann ggf. bessere Konditionen rausholen oder sogar ein eigenes Freies Mittelchen entwickeln.

Doch dürfen sie schon. Eine Möglichkeit zum Beispiel ist, einen gemeinsamen kommunalen Dienstleister zu gründen und dessen "Dienste" zu kaufen.

Beispiel: http://www.citkomm.de/ueber-uns/unternehmen.html "Die Muttergesellschaft KDVZ Citkomm ist eine Körperschaft des öffentlichen Rechts in der Rechtsform eines Zweckverbandes. Sie wird von den drei Kreisen Hochsauerlandkreis, Märkischer Kreis und Kreis Soest sowie von den 41 in diesen Kreisen liegenden Städten und Gemeinden getragen. "

Die citkomm bietet auch Freie Software-Lösungen an.

Die Bundes-Arbeitsgemeinschaft der Kommunalen IT-Dienstleister hat sogar ein Positionspapier zur Freien Software von dder Citkomm: http://www.vitako.de/Publikationen/Seiten/Positionen.aspx Ich habe es noch nicht detailliert gelesen, beim Thema "Sicherheit" gibt es eine differenzierte Sicht, läßt aber im Fazit einen wesentlichen Unterschied aus: Bei Freier Software kann ich jederzeit jemand anderen beauftragen, insofern ist die Chance jemanden für Geld zu finden der eine bestimmte Änderung oder Pflege vornimmt höher als bei proprietärer Software. Es mag bei nicht so reifen Produkten oder Initiativen im Einzelfall mal teurer sein, aber es ist immer möglich.

Zitat: "Das alles führt dazu, dass bei einem gut unterstützten freien Softwarepro- dukt Sicherheitsprobleme in aller Regel schnell beseitigt werden. Das Quali- tätsniveau ist häufig sehr hoch, teilweise besser als bei vielen Großunter- nehmen. Positiv ist auch, dass freie Softwareentwickler Fehler offen zuge- ben können, da sie keine Qualitätsversprechen gegeben haben. Gerade großen Firmen fällt ein Fehlereingeständnis oft sehr schwer. Entsprechend lang kann dann auch die Beseitigung dauern. Kritisch sind solche Projekte, die nur wenige Entwickler betreuen oder der Nutzerkreis selbst wenig Unterstützung leistet. In diesem Fall gibt es oft keine Unterschiede zu den kommerziellen Angeboten. Im Gegenteil, wäh- rend viele Unternehmen zumindest gegen eine finanzielle Beteiligung mit der Fehlerbeseitigung beginnen, ist das bei freien Entwicklern schwieriger. Zum einen gibt es Entwickler, die Geldzahlungen aus ethischen Gründen ablehnen, zum anderen haben sie ggf. keine Zeit oder Lust, sich mit diesen Problemen zu beschäftigen."

Sprich, sie schreiben: Wer ein gutes Freie Software-Produkt auswählt, der bekommt ein sehr hohes Qualitätsniveau im Bereich Sicherheit.

<offenes-Visier> Mein Unternehmen Intevation ist ein solcher Dienstleister der für jedes Freie Software Produkt Dienstleistung anbietet - wir sind im Zweifelsfall nicht billig, aber wir können immer gegen Geld eine Freie Software-Lösung anbieten. Intevation hat auch schon bei der citkomm bestimmte CA-Dienstleistungen für unsere Kunden eingekauft. </offenes-Visier>

Mehr Studien gibt es übrigens bei David A. Wheeler: http://www.dwheeler.com/oss_fs_why.html#security Aus den Conclusions: "OSS/FS has significant market share in many markets, is often the most reliable software, and in many cases has the best performance. OSS/FS scales, both in problem size and project size. OSS/FS software often has far better security, perhaps due to the possibility of worldwide review. Total cost of ownership for OSS/FS is often far less than proprietary software, especially as the number of platforms increases. These statements are not merely opinions; these effects can be shown quantitatively, using a wide variety of measures. This doesn’t even consider other issues that are hard to measure, such as freedom from control by a single source, freedom from licensing management (with its accompanying risk of audit and litigation),[..]"

Gruß, Bernhard

Hallo Christian,

Am Mittwoch, 24. April 2013 12:44:38 schrieb Christian Kalkhoff:

Was passiert aber, wenn der Dienstleister bei einer Ausschreibung verliert? So wie ich es verstanden habe, müssen ja alle Vorhaben (ab einem bestimmten Volumen?) ausgeschrieben werden, der "eigene" Dienstleister steht also immer in Konkurrenz zu anderen (unfreien) Anbietern?

meiner Kenntniss nach muss ausgeschrieben werden, sofern die Leistung nicht intern oder über einen Rahmenvertrag erbracht werden kann. Bei der Ausschreibung dürfen aber durchaus offene Standards, Übertragung der exklusiven Nutzungsrechte oder auch ausschließliche Verwendung Freie Software-Komponenten gefordert werden. Solche Ausschreibungen habe ich schon gesehen.

Dann konkurriert der "eigene" Dienstleister nur mit anderen Freie Software-Dienstleistern. Sofern der eigene Dienstleister aber das Produkt und die Verhältnisse sehr gut kennt, hat er auch immer sehr gute Karten.

Gruß, Bernhard

Am Mittwoch, 24. April 2013 16:23:32 schrieb Daniel G:

Meines Erachtens ist sind zentrale Problem die Rechtslage und die Frage, was passiert wenn das Projekt aufhört.

Wie Du schon schreibst ist Lage bei einem "bezahlten" Projekt gleich, egal ob der Dienstleister für das Projekt proprietäre oder Freie Software-Komponenten hergenommen hat.

Zur rechtlichen Sache noch ein Abschnitt aus einer (nicht öffentlichen) Studie an der ich mal mitgearbeitet habe. Ich bin kein jurist, aber ich denke das kann in gewissen Kontexten ein Problem darstellen.

"Die Haftungsausschluss-Erklärungen die in den Open-Source Lizenzen erklärt werden sind nach deutschem Recht nicht völlig zulässig. Folge ist, dass aufgrund der Unwirksamkeit der Klauseln der gesetzliche Gewährleistungs- und Haftungsmaßstab Anwendung findet. Hierauf weisen sowohl Wündisch (2005: 71) als auch NOW (2005) hin. Soweit entgeltliche Verträge zugrunde liegen, bestehen somit keine wesentlichen Unterschiede zwischen Open-Source Software und proprietären Programmen (ebd.: 66).

Eben.

Die GPL wurde bisher von Gerichten schon als AGB interpretiert. Durch das kostenlose Angebot der Software findet das Schenkungsrecht Anwendung. Wenn Schenkungsrecht angewendet wird, betrifft die Haftung nur Vorsatz und grobe Fahrlässigkeit. Bei Copyleft Lizenzen besteht derzeit noch Uneinigkeit, ob diese Pflichten in einem Gegenseitigkeitsverhältnis stehen. Dann würden sich Gewährleistungs- und Haftungsmaßstab verschärfen, was konkret bedeutet, dass der Lizenzgeber auch schon bei Fahrlässigkeit haftet. Dadurch wird der Kreis der möglichen „freiwilligen“ [...] Entwickler massiv eingeschränkt; auch für juristische Personen sind die entsprechenden Haftungsrisiken unkalkulierbar (ebd.: 72).

Diese Haftungsrisiken halte ich für stark übertrieben, da die Absicht der Lizenzgeber klar ist und der Nutzer einer IT-Software eine entsprechende Sorgfaltspflicht hat. Ich denke hier geht es darum, um einen juristischen Druck aufzubauen noch mehr Rechtssicherheit zu erreichen, aber nichts wirklich praktisch Relevantes.

Wirklich unkalkulierbar sind die Haftungsrisiken bei Software-Patenten und hier trifft es die proprietären Hersteller genauso.

Eine andere Frage ist, wer für ein Open-Source Projekt, welches ja das Werk mehrerer unabhängiger Entwickler ist, überhaupt haftbar gemacht werden kann.

Meinst Du ein Produkt oder eine Initiative? (Siehe http://blogs.fsfe.org/bernhard/2012/03/lets-end-all-free-software-projects-q...)

Praktisch habe ich noch nicht oft davon gehört, dass ein Hersteller von Standardkomponenten überhaupt haftbar gemacht worden ist. Als Nutzer habe ich da also praktisch keine Qualitätsdurchsetzungsrechte. Begrenzte Garantien gibt es nur gegen Geld, aber die genauso bei proprietärer, wie Freier Software. Vielleicht bei Freier Software sogar noch mehr, schließlich leben diese Anbieter davon, dass sie dem Kunden Wert bringen und haben deshalb eine höhere Motivation.

Gruß, Bernhard Reiter

Am Mittwoch, 24. April 2013 23:56:37 schrieb Daniel G:

...

Wirklich unkalkulierbar sind die Haftungsrisiken bei Software-Patenten und hier trifft es die proprietären Hersteller genauso.

Inwiefern haben Patente eine besondere Haftungsregelung?

Software-Patente sind ein Risiko auf anderer Ebene. Sie sind in Europa halb-legal, spricht es gibt welche, ob wohl es sie dem Wortlaut und dem Geist des Europäischem Patentübereinkommens nach, nicht geben sollte.

Also können Patentinhaber Unternehmen erstmal mit Klage drohen und dann auch klagen. Der Schaden entsteht hier schon vor einem möglichen Urteil, durch den Zeit und Geldverlust der Abwehr. Das ist bei Patenten viel schlimmer als bei anderen Anwürfen.

Ich finde die Haftungs-Argumentation auch etwas überzogen. Ich habe aber schon von Leuten gehört, die auch um Desktop Bereich einen Produktverantwortlichen haben wollen.

Der läßt sich ja beauftragen. Redhat oder Canocial übernehmen gern Verantwortung für ihre (Kern) GNU-Distribution. Kostet halt Geld, je nach Grad der Verantwortung.

Dass mir allerdings jemand bei Microsoft dafür aufkommt, wenn mir eine Mail oder ein Dokument hops geht wegen Fehlern im Programm halte ich für fragwürdig.

Da in die Verträge zu schauen ist erhellend. Meist wird nur die Absicherung bis zu einer gängigen IT-Praxis versprochen, wenn überhaupt. Das bedeutet, wenn Du es aus dem Backup ziehen könntest, entstünden höchstens diese Schäden. Da lohnt es sich nicht was einzufordern, zudem sich das schwer belegen läßt, dass die Software schlecht war, nicht der Bediener.

In sicherheitskritischen Bereichen sieht es sicher anders aus, aber da gibt es auch Qualitätssicherungsmaßnahmen wie Zertifizierung etc.

Die sind aber auch keine Garantie, oft geht es da um viel Papier und einiges an Sicherheitstheater.

Bernhard