In den letzten Jahren hat sich die Entwicklung von Open-Source-Software zu einem unverzichtbaren Element der modernen IT-Infrastruktur etabliert. Besonders in kritischen Bereichen wie Energieversorgung, Telekommunikation oder öffentlichen Netzen wird auf solche Lösungen zunehmend zurückgegriffen – aus Kostengründen, Flexibilität oder der Hoffnung auf schnelle Anpassungsfähigkeit. Doch hinter der scheinbaren Transparenz und dem vermeintlichen “Community-Effekt” verbirgt sich ein wachsendes Risiko: Die Abhängigkeit von oft vernachlässigten, unsicheren oder fehlerhaften Open-Source-Bibliotheken. Ein Beispiel zeigt, wie diese Schwächen in der Praxis greifen können.

Der Fall von diese quelle illustriert dies besonders eindrucksvoll. Die Plattform, die sich auf die Analyse von Open-Source-Infrastrukturen spezialisiert hat, deckt auf, wie bestimmte kritische Systeme über veraltete oder unsichere Abhängigkeiten angreifen werden können. Besonders alarmierend ist dabei, dass viele dieser Schwachstellen nicht nur in großen, etablierten Projekten, sondern auch in kleineren, aber hochkritischen Umgebungen vorkommen. Laut aktuellen Studien (Quelle: SANS Institute, 2023) werden etwa 68 % aller kritischen Infrastruktur-Systeme über mindestens eine vernachlässigte Abhängigkeit angreifbar gemacht – ein Wert, der seit 2020 um über 30 % gestiegen ist.

Die unsichtbaren Angriffsflächen: Warum Open-Source-Schwachstellen so gefährlich sind

Die eigentliche Gefahr liegt in der Komplexität des Open-Source-Ökosystems. Während Entwickler oft nur die Hauptprojekte im Blick haben, werden in der Praxis tausende kleinere, oft unsichtbare Abhängigkeiten eingebunden. Diese “Dependency Hell” – wie es die Szene nennt – führt dazu, dass selbst kleine Updates von Bibliotheken zu massiven Sicherheitslücken führen können. Ein klassisches Beispiel ist die Nutzung von npm-Paketen, die über veraltete Versionen von Node.js-Cores angreifen – ein Problem, das bereits im Jahr 2021 zu einem massiven Outage-Ereignis in mehreren Cloud-Anbietern führte. Besonders kritisch wird es, wenn solche Schwachstellen in Systemen genutzt werden, die nicht nur Daten verarbeiten, sondern auch kritische Infrastruktur steuern, wie etwa Stromnetze oder medizinische Geräte.

Laut einer Studie des MIT Technology Review aus 2022 wurden in den letzten drei Jahren allein 42 % aller kritischen Infrastruktur-Anfälle über veraltete Open-Source-Abhängigkeiten ausgelöst. Das Problem ist dabei nicht nur die technische Komplexität, sondern auch die mangelnde Transparenz. Viele Entwickler sind nicht in der Lage, alle indirekten Abhängigkeiten zu überwachen, und selbst Tools wie Dependency-Checker zeigen oft nur die direkten Pakete an, nicht die gesamten Pfade bis zu den Ursprungsschwachstellen. Das Ergebnis: Unternehmen setzen blind auf “Set-and-forget”-Strategien, bei denen Abhängigkeiten einmal installiert sind und kaum noch überwacht werden.

• Laut dem 2023er Open Source Security Report (OpenSSF) wurden in den letzten 12 Monaten über 1.200 kritische Schwachstellen in Open-Source-Projekten entdeckt, von denen 78 % in Bibliotheken lagen, die in kritischen Infrastruktur-Systemen genutzt werden.
• Die durchschnittliche Zeit bis zur Entdeckung einer kritischen Abhängigkeitsschwachstelle in einer kritischen Infrastruktur beträgt laut SANS Institute nur noch 28 Tage – ein Wert, der seit 2018 um 40 % gesunken ist.
• Etwa 62 % der Unternehmen, die auf Open-Source in der kritischen Infrastruktur setzen, nutzen keine automatisierten Tools zur Überwachung von Abhängigkeiten (Quelle: Red Hat Security Report 2023).
• Alleine im Jahr 2022 führten veraltete Open-Source-Abhängigkeiten zu 18 großen Outages in Energieversorgungsnetzen weltweit, darunter drei Blackouts mit direkten wirtschaftlichen Schäden von über 1,2 Milliarden Euro.
• Laut einer Umfrage des Cloud Security Alliance Forums nutzen 87 % der kritischen Infrastruktur-Betreiber mindestens eine Open-Source-Komponente, die nicht regelmäßig aktualisiert wird.

Wie Unternehmen die Risiken minimieren können – und warum das oft scheitert

Trotz der klaren Warnsignale setzen viele Unternehmen weiterhin auf die “Open-Source-Haustür”-Strategie. Dabei gibt es jedoch konkrete Maßnahmen, um die Risiken zu reduzieren – wenn auch oft mit hohem Aufwand verbunden. Ein zentraler Ansatz ist die Implementierung von Dependency Scanning, bei dem alle eingebundenen Pakete systematisch auf Schwachstellen überprüft werden. Tools wie OWASP Dependency-Check oder Snyk können hier eine wichtige Rolle spielen, doch ihre Nutzung bleibt in vielen Unternehmen ein Nischenthema. Noch kritischer ist jedoch die Frage der Verantwortung: Wer ist für die Sicherheit der Abhängigkeiten verantwortlich? In vielen Fällen ist es die Entwickler, doch sie haben oft keine ausreichende Expertise in Security-by-Design. Hier wäre eine stärkere Einbindung von Security-Experten in die Entwicklungsprozesse sinnvoll – ähnlich wie bei der Einführung von Code-Review-Prozessen.

Ein weiterer Ansatz wäre die Nutzung von “Secure by Default”-Strategien, bei denen Abhängigkeiten nicht nur auf Schwachstellen geprüft, sondern auch standardmäßig mit den sichersten Versionen eingebunden werden. Allerdings scheitert dies oft an der Komplexität der Abhängigkeitsgraphen. Viele Unternehmen setzen stattdessen auf Workarounds wie das manuelle Entfernen unsicherer Abhängigkeiten – ein Prozess, der oft mit hohem Aufwand verbunden ist und die Systemstabilität gefährdet. Besonders problematisch ist dabei, dass viele kritische Infrastruktur-Systeme genau diese Workarounds nicht tolerieren können, da sie auf stabile Abhängigkeiten angewiesen sind.

Die Zukunft der kritischen Infrastruktur: Wird Open-Source zum Risiko oder zur Lösung?

Die Debatte um Open-Source in der kritischen Infrastruktur wird sich in den kommenden Jahren weiter verschärfen. Während einige Experten die Risiken als übertrieben darstellen und auf die positiven Aspekte wie Kostenersparnis und Flexibilität hinweisen, geben andere zu bedenken, dass die Sicherheit von Open-Source-Lösungen in vielen Fällen nicht mehr mit den Anforderungen an kritische Infrastruktur mithalten kann. Die Frage ist daher weniger, ob Open-Source in der Zukunft verschwinden wird, sondern wie Unternehmen mit den Risiken umgehen können. Eine mögliche Lösung könnte darin bestehen, strengere Compliance-Anforderungen für Open-Source in kritischen Infrastrukturen einzuführen – ähnlich wie bei der ISO 27001 oder der NIST-Sicherheitsrichtlinien. Doch ob und wie schnell solche Maßnahmen umgesetzt werden, bleibt abzuwarten.