James Bottomley von der IBM Research, der die SCSI- und PA-RISC-Subsysteme im Linux-Kernel betreut und früher den technischen Ausschuss der Linux Foundation geleitet hat, schlug eine Lösung für das Problem vor, die möglicherweise die Entwickler von Open-Source-Code für Fehler im Code oder unsachgemäßes Beheben von Sicherheitsanfälligkeiten zur Verantwortung ziehen könnte.
Die Idee besteht darin, die rechtliche Verantwortung für Fehler im Quellcode von den Entwicklern offener Projekte auf die Anbieter kommerzieller Endprodukte, die auf diesem Code basieren, zu übertragen, d.h. die Verantwortung von denen, die den Code entwickeln, auf die zu verschieben, die mit diesem Code Geld verdienen. Wenn ein Unternehmen beispielsweise externen Open-Source-Code in seinem Produkt verwendet und ein Fehler/Sicherheitsanfälligkeit in diesem Code zu einem Schaden für den Benutzer führt, sollte in dieser Situation der Hersteller des kommerziellen Softwareprodukts, das dem Benutzer übergeben wurde, haften und den Schaden ersetzen, nicht der Entwickler der offenen Bibliothek.
Die Übertragung der Verantwortung soll durch das Hinzufügen einer Klausel zur Lizenz realisiert werden, die die Zustimmung zur Schadensersatzpflicht und den Schutz der Teilnehmer an der Entwicklung vor jeglichen rechtlichen Ansprüchen im Falle der vollständigen oder teilweisen Nutzung des unter dieser Lizenz bereitgestellten Quellcodes als Komponente oder Produkt in Jurisdiktionen, die zusätzliche Verpflichtungen zur Wartung von Softwareprodukten auferlegen, angibt.
In der gegenwärtigen Praxis genügt es, um sich rechtlichen Risiken zu entziehen, dass die Lizenz einen Hinweis "AS IS" enthält, in dem erklärt wird, dass der Entwickler nicht für Fehler haftet, keine Garantien für die Funktionsfähigkeit des Codes gibt und keine Verpflichtungen zur Lösung von Problemen übernimmt, während der Verbraucher zustimmt, den Code auf eigenes Risiko zu verwenden. Das Fehlen von Garantien der Entwickler hat die Entwicklung eines Geschäftsmodells auf Basis kostenpflichtiger technischer Unterstützung gefördert, das in der frühen Phase der Entstehung des Open-Source-Ökosystems dominierte.
Mit dem Eindringen von Open Source in die Industrie und dem wachsenden Interesse der Unternehmen an seiner Nutzung entwickelte sich das Konzept des Einflusses auf die Entwicklung durch gemeinnützige Stiftungen - auf Basis eines großen Projekts wird eine Stiftung gegründet, die finanzielle Mittel für die Entwicklung von großen Unternehmen erhält, die im Gegenzug die Möglichkeit erhalten, in den technischen Aufsichtsrat einzutreten und an gemeinschaftlichen Entscheidungen über die weitere Entwicklung teilzunehmen. Das Auftreten von Stiftungen hat die Einstellung zu Open-Source-Projekten verändert, die nun als ein praktisches Instrument zur Entwicklung der Technologie-Industrie und nicht mehr als chaotisches Refugium für Freiwillige wahrgenommen werden. Auch das Verantwortungsbewusstsein für Probleme im Bereich Open Source hat sich geändert - anstelle des Schutzes einzelner Entwickler wird der Punkt über das Fehlen von Verpflichtungen als Möglichkeit wahrgenommen, dass große Unternehmen, die Open-Source-Produkte erstellen, sich ihrer Verantwortung entziehen können.
Die Situation in Bezug auf die Ablehnung von Verpflichtungen könnte sich ändern, wenn der Gesetzentwurf Cyber Resilience Act im Europäischen Parlament angenommen wird, der bestimmte Verantwortlichkeiten für Softwarehersteller auferlegt, die sich nicht angemessen um die Sicherheit kümmern und Schwachstellen während des Produktlebenszyklus nicht zeitgerecht beheben. Der Gesetzentwurf betrifft Hersteller kommerzieller Software und wird, judging based on the current work, eine spezielle Ausnahme für Software unter offenen Lizenzen bieten, allerdings gibt es keine Garantien, dass in Zukunft irgendwo ein ähnliches Gesetz ohne solche Ausnahmen verabschiedet wird.
Ein Beispiel für Risiken, die mit der Verantwortung von Entwicklern verbunden sind, ist auch ein in Großbritannien angestrengtes Gerichtsverfahren, in dem die Firma Tulip Trading, die durch einen Hack Bitcoins im Wert von rund 4 Milliarden Dollar verloren hat, von den Entwicklern des Bitcoin-Systems verlangt, Änderungen am Code der Blockchain vorzunehmen, um den verlorenen Betrag zurückzuerhalten. Die Klage wurde gegen die Entwickler des Tool-Codes und nicht gegen die Betreiber des Bitcoin-Netzwerks eingereicht. Das Erstgericht wies die Klage unter Hinweis auf einen Haftungsausschluss in der Lizenz ab, aber die Prüfung wurde im Berufungsgericht fortgesetzt, das anscheinend ebenfalls die Klage ablehnen wird, dieses Mal aufgrund der Unfähigkeit der Firma Tulip Trading, das Eigentum an den angegebenen Bitcoins nachzuweisen.
Quelle: opennet.ru
