Hamburg. Eine Website aufrufen, online einkaufen oder ein digitales Verwaltungsportal nutzen: Was im Alltag selbstverständlich erscheint, beruht im Hintergrund auf zahlreichen Softwarekomponenten. Viele davon sind Open Source, das bedeutet, dass ihr Quellcode offen zugänglich ist und die Software genutzt, verändert und weitergegeben werden darf. So können Entwicklerinnen und Entwickler auf vorhandenen Lösungen aufbauen, statt grundlegende Funktionen immer wieder neu zu entwickeln. Doch wer kümmert sich langfristig um diese gemeinsam genutzten Bausteine?
PHP-Sicherheitslücke macht digitale Abhängigkeiten sichtbar
Wie relevant diese Frage ist, zeigte sich erst vergangene Woche. In der weit verbreiteten Programmiersprache PHP waren zwei kritische Schwachstellen bekannt geworden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte eine Cybersicherheitswarnung und riet zu Sicherheitsupdates. Zahlreiche Online-Angebote, darunter Webseiten von Universitäten, Stadtverwaltungen und Kliniken, wurden vorsorglich vom Netz genommen.
Für Nutzerinnen und Nutzer bedeutete das zunächst vor allem: Manche Seiten waren vorübergehend nicht erreichbar. Der Vorfall legt jedoch eine tiefere Abhängigkeit offen. Wenn viele verschiedene Anwendungen auf denselben Softwarekomponenten aufbauen, kann eine Schwachstelle an einer Stelle weitreichende Folgen haben.
René Lührsen erforscht die Strukturen hinter Open-Source-Software
Was diese Abhängigkeiten organisatorisch bedeuten, untersucht René Lührsen. Er ist wissenschaftlicher Mitarbeiter bei Prof. Dr. Maximilian Heimstädt, Inhaber der Professur für Betriebswirtschaftslehre, insbesondere Digital Governance und Service Design, an der Helmut-Schmidt-Universität/Universität der Bundeswehr Hamburg (HSU/UniBw H) und promoviert an der Leuphana Universität Lüneburg am Institut für Management und Organisation bei Prof. Dr. Matthias Wenzel.
Sein Blick richtet sich dabei weniger auf einzelne technische Schwachstellen als auf die Strukturen dahinter:
„Digitale Infrastruktur baut häufig auf Open-Source-Software auf. Entwickler bauen somit auf diese offen verfügbaren Infrastrukturbausteine auf, statt jedes Mal bei null anzufangen. Das ist vorteilhaft für alle Beteiligten, und daher stecken viele dieser Bausteine in Webseiten, Apps und Behördenportalen, oft tief in anderer Software verbaut. Hat ein solcher Baustein eine Schwachstelle, sind deshalb viele Anwendungen betroffen.“
Dass solche weitreichenden Abhängigkeiten kein neues Phänomen sind, zeigen zwei frühere Sicherheitslücken, auf die René Lührsen verweist: Heartbleed im Jahr 2014 und Log4Shell 2021. Bei Heartbleed konnten durch eine Schwachstelle Informationen aus Systemen ausgelesen werden, die eigentlich geschützt sein sollten. Log4Shell betraf einen Softwarebaustein, den zahlreiche andere Programme verwendeten. Unter bestimmten Bedingungen konnten Angreifer darüber fremden Code ausführen.
Heartbleed, Log4Shell und aktuell PHP zeigen damit dasselbe strukturelle Problem: Eine wenig sichtbare Softwarekomponente kann für zahlreiche Anwendungen relevant sein. Doch solche Komponenten entstehen und pflegen sich nicht von selbst. Hinter ihnen stehen Menschen, die den Code weiterentwickeln, aktualisieren und Sicherheitslücken schließen.
Wer entwickelt und pflegt Open-Source-Software?
Diese Arbeit übernehmen sehr unterschiedlich organisierte Communities. Je nach Projekt arbeiten dort nur eine Handvoll Freiwilliger oder mehrere Hundert Menschen. Hinzu kommen Mitarbeitende von Unternehmen, für deren Produkte die jeweilige Infrastruktur unmittelbar relevant ist. Über Ländergrenzen hinweg arbeiten sie gemeinsam am Code, schlagen Verbesserungen vor und prüfen gegenseitig ihre Beiträge.
„Die Offenheit macht es leicht, Software zu nutzen und Wissen zu teilen, aber schwer, die Arbeit daran zu finanzieren. Am fehlenden Geld leidet vor allem die Wartung, etwa das Schließen von Sicherheitslücken oder das Aktualisieren des Codes. Firmen zahlen häufig nur für Komponenten, die direkt für ihre Produkte relevant sind“, erklärt René Lührsen.
Damit verschiebt sich der Blick von der einzelnen Sicherheitslücke auf die Bedingungen, unter denen Open-Source-Software langfristig gepflegt wird.
Sovereign Tech Agency: Wie staatliche Open-Source-Förderung funktioniert
Die Finanzierungslücke bildet den Ausgangspunkt für Lührsens Dissertation. Im Mittelpunkt seiner Untersuchung steht die Sovereign Tech Agency. Sie ist aus einer Initiative von Menschen aus Open-Source-Communities und digitalpolitischen Akteuren entstanden, wird seit 2022 vom Bund finanziert und ist heute eine Tochtergesellschaft der Bundesagentur für Sprunginnovationen (SPRIND). Sie unterstützt Wartung und Sicherheit grundlegender Open-Source-Technologien. Auch PHP wird seit 2023 gefördert.
René Lührsen interessierte dabei vor allem, was passiert, wenn öffentliche Förderung auf weltweit verteilte und weitgehend selbstorganisierte Communities trifft:
„Hier treffen zwei sehr unterschiedliche Welten aufeinander. Eine staatliche Einrichtung, die an administrative Regeln und die sorgfältige Verwendung von Steuergeld gebunden ist und weltweit verteilte Communities, die sich weitgehend selbst organisieren. In meiner Forschung hat mich dabei vor allem interessiert, wie die Zusammenarbeit zwischen der Agentur und den geförderten Projekten funktioniert.“
Um diese Zusammenarbeit zu untersuchen, begleitete er die Sovereign Tech Agency anderthalb Jahre lang. Er führte 38 Interviews mit Mitarbeitenden der Agentur, geförderten Projekten und Fachleuten, nahm an Veranstaltungen teil und war für seine Untersuchung im Berliner Büro vor Ort. Wissenschaftlich unterstützt wurde er dabei von Prof. Dr. Maximilian Heimstädt.
Wie staatliche Förderung und Open-Source-Communities zusammenfinden
Aus dieser Untersuchung ergibt sich für René Lührsen ein zentraler Befund: Entscheidend ist nicht allein, dass öffentliche Mittel zur Verfügung stehen. Ebenso wichtig ist, wie die Förderung organisiert wird.
„Die Sovereign Tech Agency fungiert als Brücke zwischen Staat und Communities, und das gelingt ihr, weil sie beide Seiten versteht. Ihre Gründungsmitglieder kennen die Communities aus eigener Erfahrung, und das Team weiß dank seiner technischen Expertise, was es fördert und wie die Communities arbeiten. Zugleich kennt die Agentur die bürokratischen Rahmenbedingungen, die an Steuergeld geknüpft sind, und filtert sie so, dass die ohnehin schon stark belasteten Projekte nur liefern müssen, was wirklich nötig ist“, erklärt Lührsen.
Diese Übersetzungsleistung funktioniert auch in die andere Richtung. Gegenüber Politik und Öffentlichkeit vermittelt die Agentur, warum wenig sichtbare Technologien wie PHP für die digitale Infrastruktur relevant sind.
Wie diese Arbeitsweise bei den geförderten Projekten ankommt, zeigt eine Aussage aus einem der Interviews: „Die verstehen, was wir tun. Man merkt, dass sie Erfahrung mit Technologien haben.“
Open Source und digitale Souveränität
Die Frage nach Wartung und Finanzierung reicht für Lührsen über einzelne Softwareprojekte hinaus. Sie berührt auch die digitale Souveränität Deutschlands.
Digitale Souveränität versteht er dabei als die Fähigkeit, selbstbestimmt über die Technologie entscheiden zu können, die man nutzt. Der offene Quellcode von Open-Source-Software schafft dafür Möglichkeiten: Er kann überprüft und verändert werden, Schwachstellen können unabhängig gefunden und behoben werden und man ist nicht auf einen einzelnen Hersteller angewiesen.
Vollständige Unabhängigkeit entsteht dadurch allerdings nicht:
„Der große Vorteil von Open-Source-Software ist also die Möglichkeit zur Selbstbestimmung. Damit diese Möglichkeit Wirklichkeit wird, müssen die Communities befähigt und mit Ressourcen unterstützt werden, um die Infrastruktur so gut und resilient wie möglich zu machen. Denn sie ist nur so stark wie ihr schwächstes Glied. Auch Open-Source-Software schafft also Abhängigkeiten, oft von einigen wenigen, unterfinanzierten Projekten.“
Für René Lührsen folgt daraus ein Verständnis digitaler Souveränität, das nicht darauf zielt, Abhängigkeiten vollständig zu vermeiden. Vielmehr geht es darum, sie bewusst mitzugestalten und Verantwortung für gemeinsam genutzte Technologien zu übernehmen.
Welche Verantwortung trägt der Staat für Open-Source-Software?
Eine solche Mitverantwortung sieht Lührsen auch beim Staat. Staatliche Einrichtungen, Unternehmen sowie Bürgerinnen und Bürger nutzen Open-Source-Software direkt oder indirekt. Öffentliche Unterstützung kann deshalb einen Beitrag zu deren Erhalt leisten.
Sie bringt allerdings einen Zielkonflikt mit sich. Wer Geld bereitstellt, nimmt bereits durch die Entscheidung Einfluss, welche Projekte und welche Arbeiten finanziert werden. Bei der Sovereign Tech Agency werden die zu fördernden Arbeiten gemeinsam mit den Projekten festgelegt. Wie sie umgesetzt werden, bleibt anschließend den Fachleuten überlassen.
Die Möglichkeiten staatlicher Förderung sind nach Lührsens Einschätzung dennoch begrenzt:
„Mit Geld im Rahmen öffentlicher Förderung kann man zwar Anreize für Arbeit setzen, aber es braucht mehr als das. Es braucht kollektives Handeln vieler Akteure, um die Organisationen hinter den Open-Source-Technologien mit Fähigkeiten, Ressourcen und gemeinschaftlicher Governance auszustatten. Zweitens kann und soll ein Staat die Kosten nicht allein tragen.“
Bis November 2025 hatte die Sovereign Tech Agency nach seinen Angaben rund 33,6 Millionen Euro in 96 Technologien investiert. PHP erhielt für 2025 und 2026 rund 223.000 Euro. Die Förderung schafft damit zusätzliche Ressourcen, bleibt aber zeitlich begrenzt und ersetzt keine langfristig tragfähige Organisations- und Finanzierungsstruktur.
Gerade die zeitliche Begrenzung zeigt das Spannungsverhältnis zwischen öffentlicher Unterstützung und der Autonomie der Communities besonders deutlich. Diese Autonomie ist für Lührsen eine Kerneigenschaft digitaler Gemeingüter: Sie trägt dazu bei, dass Entscheidungen gemeinschaftlich getroffen werden, Beitragende motiviert bleiben und die Software langfristig offenbleibt.
Wie schwierig diese Balance ist, zeigt die Dauer der Förderung: „Bei der Sovereign Tech Agency läuft eine Förderung meist sechs Monate bis zwei Jahre. Das hält die Projekte zwar langfristig unabhängiger von der Sovereign Tech Agency, dafür müssen sie aber bald wieder neues Geld suchen. Eine längere Förderung brächte mehr Stabilität, aber auch mehr Abhängigkeit vom Staat und damit von politischen Entscheidungsstrukturen im Hintergrund. Auflösen lässt sich dieser Konflikt nicht, nur ausbalancieren.“
Die Sovereign Tech Agency hat für Lührsen dabei einen umsichtigen Ansatz gewählt. Er sieht darin eine mögliche Blaupause dafür, öffentliche Unterstützung mit unterschiedlichen Wirkungsmechanismen zu erproben und aus diesen fortlaufend zu lernen.
Wie Open-Source-Infrastruktur langfristig finanziert werden kann
Wie aber lässt sich verhindern, dass grundlegende Software immer erst dann Aufmerksamkeit bekommt, wenn eine Sicherheitslücke bekannt wird?
René Lührsen sieht dafür erste Entwicklungen auf europäischer Ebene. Seit 2025 gibt es das Digital Commons EDIC, ein Konsortium mehrerer EU-Staaten, das offene Alternativen gemeinsam koordinieren und ihren Einsatz, etwa in Verwaltungen, voranbringen soll. Unter seinem Dach wird zudem ein europäischer Sovereign Tech Fund nach dem Vorbild der deutschen Sovereign Tech Agency erprobt.
Langfristig setzt er jedoch gerade nicht auf einen einzigen Geldgeber: „Im Idealfall entstehen zukünftig viele unterschiedliche Programme nebeneinander, öffentliche wie private. Dann hängt die Pflege nicht an einem einzigen Geldgeber, und wenn einer wegfällt oder seine Prioritäten ändert, bricht nicht gleich alles zusammen. Erst dann wird Wartung zum festen Bestandteil der öffentlichen digitalen Daseinsvorsorge und nicht zur Reaktion auf die nächste Krise.“
Damit wird aus der Frage nach der Finanzierung eine Frage geteilter Verantwortung. Wie resilient digitale Infrastruktur ist, entscheidet sich nicht nur am Code, sondern auch daran, wie die Software dahinter organisiert, finanziert und dauerhaft gepflegt wird.