James Bottomley von IBM Research, der die SCSI- und PA-RISC-Subsysteme im Linux-Kernel betreut und zuvor den technischen Ausschuss der Linux Foundation geleitet hat, schlug eine Lösung für das Problem vor, die möglicherweise die Verantwortung für Fehler im Code oder mangelhafte Behebung von Sicherheitslücken von den Entwicklern von Open-Source-Software auf die Lieferanten von kompakten kommerziellen Produkten verlagert.
Die Idee besteht darin, die rechtliche Verantwortung für Fehler im Quellcode von den Entwicklern offener Projekte auf die Anbieter endlicher kommerzieller Produkte, die auf diesem Code basieren, zu verlagern; das heißt, die Verantwortung von denjenigen, die den Code erstellen, zu denjenigen zu verschieben, die mit diesem Code profitieren. Wenn beispielsweise ein Unternehmen Open-Source-Code in seinem Produkt verwendet und ein Fehler oder eine Sicherheitslücke in diesem Code zu Schäden beim Benutzer führt, sollte in einem solchen Fall der Hersteller des übergebenen kommerziellen Softwareprodukts und nicht der Entwickler der offenen Bibliothek für die Verantwortung und Schadensersatzpflicht eintreten.
Die Übertragung der Verantwortung wird durch die Hinzufügung eines Punktes zur Lizenz vorgeschlagen, der auf die Zustimmung hinweist, Schäden zu erstatten und die Entwicklungsteilnehmer vor jeglichen rechtlichen Ansprüchen zu schützen, die sich aus der vollständigen oder teilweisen Nutzung des unter dieser Lizenz bereitgestellten Quellcodes als Komponente oder Produkt in Jurisdiktionen ergeben, die zusätzliche Verpflichtungen zur Pflege von Softwareprodukten auferlegen.
In der aktuellen Praxis reicht es aus, in der Lizenz einen Hinweis auf „AS IS“ aufzunehmen, in dem erklärt wird, dass der Entwickler nicht für Fehler haftet, keine Garantien für die Funktionsfähigkeit des Codes gibt und keine Verpflichtungen zur Problemlösung übernimmt, während der Verbraucher sich verpflichtet, den Code auf eigenes Risiko zu nutzen. Das Fehlen von Garantien durch die Entwickler hat die Entwicklung eines Geschäftsmodells auf der Grundlage kostenpflichtiger technischer Unterstützung gefördert, das in der frühen Phase der Entstehung des OSS-Ökosystems dominierte.
Mit dem zunehmenden Einfluss von Open Source in der Industrie und dem wachsenden Interesse der Unternehmen an dessen Nutzung entwickelte sich das Konzept des Einflusses auf die Entwicklung durch gemeinnützige Stiftungen. Basierend auf großen Projekten wird eine Stiftung gegründet, die Finanzierung für die Entwicklung von großen Unternehmen erhält, die im Gegenzug die Möglichkeit haben, in den Aufsichtsrat einzutreten und an kollektiven Entscheidungen über die weitere Entwicklung teilzunehmen. Das Auftreten dieser Stiftungen hat die Wahrnehmung von Open-Source-Projekten verändert, die nun als ein Instrument zur Entwicklung der Technologielandschaft angesehen werden, anstatt als chaotische Zufluchtsorte für Freiwillige. Auch das Bewusstsein für die Verantwortung für Probleme im Open Source hat sich gewandelt – anstelle des Schutzes einzelner Entwickler wird der Punkt über die Abwesenheit von Verpflichtungen inzwischen als Möglichkeit angesehen, dass große Unternehmen, die Open-Source-Produkte erstellen, sich von ihrer Verantwortung zurückziehen.
Die Situation hinsichtlich der Haftungsfreistellung könnte sich ändern, falls die EU den Vorschlag für das Cyber Resilience Act annimmt, der bestimmte Verantwortlichkeiten für Softwarehersteller festlegt, die nicht angemessen für die Sicherheit sorgen und Schwachstellen nicht zeitnah während des Produktlebenszyklus beheben. Das Gesetz zielt auf Hersteller kommerzieller Software ab und wird offenbar spezielle Ausnahmen für Software unter offenen Lizenzen bieten, jedoch gibt es keine Garantien, dass in Zukunft irgendwo ein ähnliches Gesetz ohne solche Ausnahmen verabschiedet wird.
Ein Beispiel für Risiken im Zusammenhang mit der Verantwortung von Entwicklern ist ein in Großbritannien eingeleitetes Gerichtsverfahren, in dem die Firma Tulip Trading, die durch einen Hack Bitcoins im Wert von etwa 4 Milliarden Dollar verloren hat, von den Entwicklern des Bitcoin-Systems verlangt, Änderungen am Code der Blockchain vorzunehmen, um den verlorenen Betrag zurückzuerhalten. Die Klage wurde gegen die Code-Entwickler und nicht gegen die Betreiber des Bitcoin-Netzwerks eingereicht. Das Gericht erster Instanz wies die Klage auf der Grundlage einer Klausel im Haftungsausschluss der Lizenz zurück, das Verfahren wurde jedoch im Berufungsgericht fortgesetzt, das offenbar ebenfalls die Klage abweisen wird, diesmal jedoch wegen der Unfähigkeit von Tulip Trading, das Eigentum an den Bitcoins in der beanspruchten Höhe zu beweisen.
Quelle: opennet.ru
