Warum Geschäftsführer Open Source für Sicherheitssoftware und Sicherheitshardware in Betracht ziehen sollten

Immer wieder stehen große Tech-Giganten in der Kritik. Die monopolartige Stellung von Google, Microsoft und co. wird häufig kritisch betrachtet. Auch wenn die Sicherheitslösungen von Microsoft in vielen Unternehmen immer noch gängig sind, wird der Ruf nach Unabhängigkeit immer lauter. Bei dieser können auch Open Source Lösungen helfen. Denn im Bereich Cybersicherheit gibt es mittlerweile einige Lösungen, die nicht proprietär sind, sondern Open Source. In unserem Blog-Beitrag beschäftigen wir uns heute damit, warum diese Software auch für Geschäftsführer:innen interessant sein kann.

Warum bietet Open Source mehr Transparenz?

Bei proprietären Sicherheitslösungen gibt es in der Regel keine Einsicht in den Quellcode. Das bedeutet, dem Hersteller muss blind vertraut werden. Welche Daten verarbeitet werden und ob eventuelle Hintertürchen für beispielsweise die US-Amerikanische Regierung offen gehalten werden, ist nicht ersichtlich. Die Sicherheitslösung ist eine so genannte „Black Box“. Sie funktioniert zwar meistens, aber es ist nicht ersichtlich, was genau in ihr vorgeht.
Bei Open-Source hingegen ist der Quellcode öffentlich einsehbar. Dadurch kann er gewissermaßen von jedem selbst geprüft werden. Natürlich übersteigt eine solche Prüfung oft die Mittel im Unternehmen, aber durch die öffentliche Einsicht gibt es auch unabhängige Experten, Forscher, die Open Source Community oder größere Unternehmen, deren Teams den Code prüfen und öffentlich teilen, sollte hier etwas auffällig sein. Diese Prüfungen erfolgen dadurch nicht nur von einer Partei und werden somit objektiver. Dadurch reduzieren sich Risiken wie ein ungewollter Datenabgang.

Wieso ist es besser nicht von einem Anbieter abhängig zu sein und auf Open Source zurückgreifen?

Auf eine proprietäre Lösung zurückzugreifen, kann auch Vorteile haben. Meist kann man alle Lösungen aus einer Hand haben und sie greifen ineinander. Der Einrichtungsaufwand ist oft etwas geringer, da vieles vorkonfiguriert ist. Aber diese Einfachheit kommt mit einem Preis. Wenn alle Sicherheitslösungen von einem Hersteller gekauft werden, entsteht häufig eine gewisse Abhängigkeit. Dadurch ist man Änderungen durch den Anbieter nahezu schutzlos ausgeliefert. Wird die Sicherheitslösung deutlich verteuert, eingestellt oder durch einen Unternehmensverkauf signifikant geändert, müssen Kunden dies mittragen oder sich dann nach Alternativen umschauen. Das bedeutet im Zweifel eine kostspielige Migration zu einem Nachfolgemodell oder einem anderen Anbieter.
Nutzt man Open-Source-Technologien erfordert die erste Einrichtung unter Umständen ein wenig mehr Zeit, jedoch ist das Ergebnis oft flexibler auf die Unternehmensbedürfnisse anpassbar. Hinzukommt, man ist nicht zwingend an einen Anbieter und dessen Preissegment gebunden. Hardware geht nicht so schnell end of life und auch Preissteigerungen bei Lizenzen sind deutlich seltener. Vor allem wenn man seine Sicherheitsinfrastruktur langfristig planen möchte, können diese Faktoren Einsparungen ermöglichen. Auch erhöht Open Source deutlich die Wahlmöglichkeiten an Produkten und man muss nicht jeden neuen Preis einfach schlucken. Zusätzlich hat man die Möglichkeit Open Source Produkte selbstständig weiterzuentwickeln oder oft auch mit den Erstellern direkt Kontakt aufzunehmen, um Dinge anzupassen oder Features zu erbitten.

Welche technische Vorteile bietet Open Source Security?

Während bei proprietären Lösungen meist ein einzelnes Unternehmen hinter dem Programm steht, um Sicherheitslücken zu finden, kann bei Open-Source-Programmen potentiell jeder im Quellcode nach Lücken suchen. Meist arbeiten Entwicklergemeinschaften und Unternehmen sowie Sicherheitsexperten aus verschiedenen Bereichen zusammen, um hier Schwachstellen zu identifizieren und zu beheben. Sicherheitsupdates werden dann zeitnah online gestellt und die etwaigen Lücken dadurch behoben. Damit sind Sie nicht auf den Release-Zyklus von Anbietern wie Microsoft angewiesen, sondern bekommen Updates dann, wenn sie notwendig sind.

Kann Open-Source-Sicherheit compliance und regulatorische Anforderungen erfüllen?

Mit Open-Source-Sicherheit lassen sich genauso wie mit proprietären Lösungen compliance und regulatorische Anforderungen erfüllen. Wichtig ist hierbei, wie bei jeder Lösung, die richtige Dokumentation der Konfiguration und eine Unterstützung durch unabhängige Auditoren. Wenn Sie dies beachten stehen Open-Source-Sicherheitslösungen anderen in nichts nach. Für NIS2 werden beispielsweise keine konkreten Hersteller verpflichtend, sondern lediglich Maßnahmen. Wie und mit welchem Hersteller sie diese umsetzen, bleibt schlussendlich Ihnen überlassen.

Gibt es im Bereich auch Open Source Security auch Hardware?

Für die Hardware muss darauf geachtet werden, Modelle zu kaufen, die software offen gebaut sind. Open Source bezieht sich in erster Linie auf die Software und nicht auf die Hardware. Dennoch gibt es auch im Bereich Open Source viele Produkte, die auf Security Hardware läuft. Beispielsweise OPNSense für Firewalls.
Was sind die Herausforderungen für Open-Source-Sicherheit?
Zwar bietet Open Source sehr viele Möglichkeiten, aber sie ist dennoch nicht mit einem Knopfdruck eingerichtet, sondern benötigt teilweise mehr Zeit als proprietäre Möglichkeiten. Dies kommt vor allem daher, dass die Konfiguration meist passgenauer auf das eigene Unternehmen zugeschnitten wird. Hinzukommt, dass teilweise, die Verbindung mit anderen Programmen nicht so reibungslos verläuft, wie wenn man alles aus einem Haus hat. Hinzu kommt, dass man auch hier erst einmal verschiedene Anbieter vergleichen und auswählen sollte. Bleibt man bei einem Produkt, das jeder kennt, benötigt man keinen weiteren Auswahlprozess. Man sollte auch ein Produkt finden, das aktuell und aktiv gepflegt wird, so dass man in einem entsprechenden Fall auch den notwendigen Support erhält.

Fazit: Open Source mit in die IT-Sicherheit einbeziehen

Natürlich ist es nicht notwendig alle Produkte und die ganze Firma auf Open Source umzustellen, aber im Bereich IT-Sicherheit gibt es viele Optionen auch Open Source auf der sicheren Seite zu sein. Sie erhöhen dadurch die Flexibilität für andere Produkte und sind nicht mit einem Hersteller verheiratet, der am Ende nicht das hält, was er verspricht. Dabei bleiben Sie mindestens auf Ihrem Sicherheitsniveau oder können dies sogar noch anheben.
Es lohnt sich also auch einmal einen Blick zur Seite zu wagen und die eigene Produktauswahl zu erweitern. Sie benötigen dabei Unterstützung? Dann kontaktieren Sie uns gern für ein unverbindliches Erstgespräch.