Häufig gestellte Fragen

Die LibreKAT Foundation arbeitet an offener, kontrollierbarer und überprüfbarer Informationssicherheit. Die Stiftung unterstützt Projekte, Wissensaustausch und Zusammenarbeit rund um die digitale Sicherheit.

Dabei geht es nicht nur um Software. LibreKAT möchte außerdem zu besseren Arbeitsabläufen, mehr Transparenz und einer Community beitragen, in der Menschen gemeinsam die digitale Sicherheit verbessern können.

Lesen Sie mehr unter Über die LibreKAT Foundation.

Digitale Sicherheit ist zu wichtig, um vollständig von geschlossenen Systemen, unkontrollierbaren Prozessen oder losen Versprechen abhängig zu sein. Unternehmen müssen in der Lage sein, die Funktionsweise ihrer Sicherheit zu verstehen, zu kontrollieren und zu verbessern.

LibreKAT existiert, um dies zu fördern. Die Stiftung fördert offene Technologie, Wissensaustausch und Zusammenarbeit zwischen Menschen, die die digitale Widerstandsfähigkeit erhöhen wollen.

Lesen Sie auch Was sind die Ziele der LibreKAT Foundation? und Über die LibreKAT Foundation.

Nein. LibreKAT ist eine Stiftung und verfolgt kein Gewinnziel. Die Stiftung kann mit Unternehmen, Regierungen, Forschern, Freiwilligen und sozialen Organisationen zusammenarbeiten.

Oberstes Ziel der Zusammenarbeit ist es, zu einer offenen, nachhaltigen und überprüfbaren digitalen Sicherheit beizutragen.

Lesen Sie mehr unter Über die LibreKAT Foundation.

Libre bedeutet Freiheit. Nicht nur die kostenlose Nutzung, sondern vor allem die Freiheit, Technologie zu studieren, zu kontrollieren, anzupassen und zu teilen.

Dies ist wichtig für die Informationssicherheit. Wer sich auf ein System oder eine Methode verlassen will, muss nachvollziehen können, wie es funktioniert und wie Entscheidungen getroffen werden.

Das hängt mit dem Grundwerte der LibreKAT Foundation zusammen.

Die LibreKAT Foundation möchte die digitale Sicherheit verbessern, indem sie eine offene, kontrollierbare und überprüfbare Informationssicherheit fördert.

Konkret umfasst dies:

• Entwicklung und Nutzung von Open-Source-Software und -Hardware für sichere digitale Infrastrukturen;
• Transparenz und Reproduzierbarkeit in Sicherheitsprozessen;
• Forschung, Schulung und Aktivitäten zur digitalen Resilienz;
• Verbindung zwischen Bürgern, Unternehmen, Regierung und sozialen Organisationen.

Lesen Sie mehr auf Über die LibreKAT Foundation und auf Homepage der LibreKAT Foundation.

LibreKAT ist die Grundlage. OpenKAT ist ein Open-Source-Produkt zur Schwachstellenanalyse.

Die Namen sind ähnlich, bedeuten aber nicht dasselbe. Die Stiftung kann OpenKAT unterstützen und OpenKAT passt zur Mission von LibreKAT, aber OpenKAT ist nicht die Stiftung selbst.

Lesen Sie mehr über LibreKAT-Stiftung und OpenKAT.

Open Source macht Kontrolle möglich. Menschen können sehen, wie Software funktioniert, Fehler finden, Verbesserungen vorschlagen und die Abhängigkeit von einem einzigen Lieferanten verringern.

Open Source ist kein automatischer Garant für Sicherheit. Es ist eine wichtige Voraussetzung für Transparenz, Zusammenarbeit und Wiederherstellbarkeit.

Lesen Sie mehr über die Grundsätze auf Über die LibreKAT Foundation.

Wichtige Projekte auf dieser Seite sind OpenKAT, MIAUW und OciDeck.

OpenKAT hilft, Schwachstellen und digitale Risiken sichtbar zu machen. MIAUW trägt dazu bei, die Forschung zur Informationssicherheit überprüfbar und revisionssicher zu machen. OciDeck hilft bei strukturierten Präsentationen, Berichten und sicherem Informationsaustausch.

Lesen Sie mehr über OpenKAT, MIAUW und OciDeck.

LibreKAT ist für alle, die digitale Sicherheit offen, überprüfbar und erklärbarer machen wollen.

Denken Sie an Sicherheitsexperten, Entwickler, Administratoren, Prüfer, Forscher, Regierungen, Unternehmen, Bildungseinrichtungen, soziale Organisationen und beteiligte Bürger.

Lesen Sie mehr unter Über die LibreKAT Foundation.

Ja. Sie können auf verschiedene Arten teilnehmen: Code beisteuern, Dokumentation verbessern, testen, übersetzen, Fragen stellen, Erfahrungen austauschen oder bei Meetings und Community-Aktivitäten helfen.

Man muss nicht alles technisch wissen, um einen wertvollen Beitrag zu leisten. Wichtig sind auch gute Fragen, praktische Erfahrungen und klare Erklärungen.

Kontaktieren Sie uns unter Kontakt.

Dies ist möglich, wenn die Zusammenarbeit zu den Zielen der Stiftung passt. LibreKAT sucht nach einer Zusammenarbeit, die zu einer offenen, nachhaltigen und überprüfbaren digitalen Sicherheit beiträgt.

Beispiele sind Wissensaustausch, Forschung, Open-Source-Entwicklung, Dokumentation, Schulung oder praktische Anwendungen der Projekte.

Siehe auch Partner und Kontakt.

Wichtige Werte sind Sicherheit, Freiheit, Offenheit, Souveränität, Integrität, Wissensaustausch, Zusammenarbeit, Menschlichkeit und Kontinuität.

Im Klartext: LibreKAT möchte, dass digitale Sicherheit für die Menschen und Organisationen, die darauf angewiesen sind, überprüfbar, fair, nachhaltig und nutzbar ist.

Lesen Sie auch den Artikel Über unsere Grundwerte.

Verwenden Sie Kontaktseite, wenn Sie eine Frage haben, einen Beitrag leisten oder die Zusammenarbeit besprechen möchten.

Versuchen Sie kurz zu beschreiben, worum es in Ihrer Frage geht: Gründung, MIAUW, OpenKAT, OciDeck, Zusammenarbeit, Presse oder einen technischen Beitrag. Dann ist schneller klar, wer antworten kann.

Nein. Souveränität ist keine Autarkie und erfordert keine vollständige Unabhängigkeit. Organisationen und Staaten sind immer auf Wissen, Lieferanten, Rohstoffe und Zusammenarbeit angewiesen.

Ziel ist es, dass Abhängigkeiten sichtbar, beherrschbar und bei Bedarf ersetzbar sind. Sie können Arbeiten auslagern und trotzdem die Kontrolle behalten, solange Verantwortlichkeiten, Rechte, Zugriff, Kontinuität und Ausstiegsmöglichkeiten richtig geregelt sind.

Nein. Kein Produkt allein kann die digitale Souveränität garantieren. Souveränität entsteht aus der Kombination von Governance, Verträgen, Rechtsprechung, Architektur, Offenheit, Wissen, Management und realisierbaren Alternativen.

OpenKAT und OciDeck können konkrete Bausteine ​​liefern: mehr Einblick, Überprüfbarkeit, offene Formate, Selbstverwaltung und weniger unnötige Abhängigkeiten. Die Organisation muss diese Optionen bewusst gestalten und weiterhin testen.

Zeichnen Sie für jedes kritische System eine Basismessung und einen gewünschten Wert auf. Messen Sie dann konkrete Eigenschaften, wie den Anteil bekannter Kettenparteien, getesteten Datenexport, vom Kunden verwaltete Schlüssel, lieferantenfreie Wiederherstellung, offene Schnittstellen und die Zeit, die zum Wechsel benötigt wird.

Melden Sie auch verbleibende Abhängigkeiten und akzeptierte Risiken. Fortschritt bedeutet nicht, dass alle Abhängigkeiten verschwinden, sondern dass die Organisation mehr Einsicht, Entscheidungsfreiheit und nachweisbare Handlungsspielräume gewinnt.

Stellen Sie Forderungen vor Vertragsabschluss. Fragen Sie nach Zuständigkeit, Eigentum, Datenspeicherorten, Subunternehmern, Fernverwaltung, Schlüsselverwaltung, offenen Standards, Exportformaten, Prüfrechten, Kontinuität und Kündigung.

Halten Sie außerdem fest, wie Beweise erbracht und Änderungen gemeldet werden. Ein Gütezeichen oder eine allgemeine Marketingaussage ersetzen nicht eine nachweisbare Vereinbarung. Verwenden Sie gegebenenfalls die ECSF-Ziele und SEAL-Stufen als gemeinsame Sprache.

Nein. Die europäische Datenspeicherung ist relevant, sagt aber nicht alles über Zuständigkeit, Eigentum, Verwaltung, Schlüsselzugriff, Unterauftragnehmer und technische Abhängigkeit aus.

Bewerten Sie daher die gesamte Struktur: Welche Entitäten stellen den Dienst bereit, welche Rechte können geltend gemacht werden, wer kann Verwaltungsaktionen durchführen, wer verwaltet Verschlüsselungsschlüssel und welche Ausstiegsoptionen stehen zur Verfügung?

Ja. Abhängigkeit kann die Verfügbarkeit, Integrität und Vertraulichkeit von Informationen beeinträchtigen. Denken Sie an den Ausfall oder die Beendigung eines Dienstes, unerwünschten Zugriff unter einem anderen Rechtssystem oder Änderungen, die die Organisation nicht selbst kontrollieren kann.

Deshalb gehört Souveränität in die Bereiche Regulierung, Organisation und Technologie: die drei miteinander verbundenen Teile, die im Buch als ROT beschrieben werden. Es handelt sich nicht um ein eigenständiges politisches Thema neben der Informationssicherheit.

Nicht, wenn Anforderungen auf beherrschbare Risiken ausgerichtet sind und für alle Anbieter gleichermaßen und nachweisbar gelten. Protektionismus schützt in erster Linie die eigene Industrie; Die Souveränitätspolitik schützt Kontrolle, Kontinuität, Integrität und Vertraulichkeit.

Die Nationalität allein ist daher ein schwaches Kriterium. Inhaltlicher sind Zuständigkeit, durchsetzbare Vereinbarungen, technische Isolierung, Offenheit und Ausstiegsmöglichkeiten.

Nein. Ein europäischer Name oder Standort ist keine vollständige Garantie. Ein europäischer Lieferant kann auch übernommen werden, in Konkurs gehen, sich stark auf außereuropäische Technologie verlassen oder schlechte vertragliche Garantien bieten.

Schauen Sie sich kontrollierbare Strukturmerkmale an: Eigentum und Kontrolle, anwendbares Recht, Verwaltung und Schlüsselzugriff, Kettenabhängigkeiten, offene Standards und ein ausführbarer Ausstiegsplan.

Nein. Open Source gewährt wichtige Rechte, Software zu studieren, zu modifizieren und von anderen pflegen zu lassen. Es kann daher Transparenz, Ersetzbarkeit und Wissensaufbau unterstützen.

Diese Rechte haben jedoch nur dann einen praktischen Wert, wenn es Dokumentation, Personen, Verwaltung, Finanzierung, sichere Updates und Zugriff auf die eigenen Daten gibt. Open Source kann auch von einem einzigen Betreuer, einem geschlossenen Cloud-Dienst oder einer Infrastruktur abhängen, die schwer zu ersetzen ist.

Nein. Souveränität ist kontextabhängig. Das gewünschte Niveau ergibt sich aus der Kritikalität des Prozesses, der Sensibilität der Daten, den gesetzlichen Anforderungen, der Risikobereitschaft und den verfügbaren Alternativen.

Die höchste Stufe für alle Systeme kann unnötig teuer oder nicht realisierbar sein. Eine motivierte Wahl pro System ist stärker als ein allgemeines Ziel ohne Prioritäten.

Nicht notwendig. Anforderungen an Interoperabilität, Transparenz, Sicherheit und Ersetzbarkeit können tatsächlich Innovationen anregen, da sich neue Lieferanten einfacher verbinden können und Kunden weniger gebunden sind.

Es gibt echte Kompromisse hinsichtlich Kosten, Geschwindigkeit und Funktionalität. Diese müssen explizit gemacht werden. Der Kontrast zwischen „Innovation oder Souveränität“ ist zu einfach; es geht um verantwortungsvolle Innovation innerhalb eines gewählten Risikoprofils.

Beginnen Sie mit Einsicht. Erstellen Sie einen Überblick über kritische Prozesse, Daten, Systeme, Lieferanten, Subunternehmer, Managementzugriff, geltende Gerichtsbarkeit und bestehende Ausstiegsmöglichkeiten.

Anschließend verknüpfen Sie die wichtigsten Abhängigkeiten mit Verfügbarkeit, Integrität und Vertraulichkeit. Erst wenn klar ist, was entscheidend ist und worauf es ankommt, können Sie ein geeignetes Ziel und Maßnahmen auswählen.

Das Buch Souveränität! Wie? diskutiert die historische Entwicklung, den Zusammenhang mit Informationssicherheit, dem ECSF, die Argumente aus der Debatte und einen praktischen Wachstumspfad für Organisationen.

Die Kernbotschaft ist bodenständig: Souveränität ist kein Alles-oder-Nichts-Konzept und kein einmaliges Projekt. Es ist die permanente Organisation von Einsicht, Orientierung und Handlungsspielraum.

Das Konzept nahm im Europa des Spätmittelalters und der Frühen Neuzeit Gestalt an. Im 16. Jahrhundert beschrieb Jean Bodin eine höchste, dauerhafte Staatsmacht. Der Westfälische Frieden von 1648 knüpfte dann die Souveränität stark an Territorialstaaten und das Prinzip der Nichteinmischung.

Später verlagerte sich die Legitimität von den Monarchen auf das Volk und die Staaten begannen, Machtbefugnisse gemeinsam auszuüben, beispielsweise innerhalb der Europäischen Union. Die Geschichte zeigt, dass sich Souveränität immer um die gleiche Kernfrage dreht: Wer hat letztendlich das letzte Wort?

Denn bei Souveränität geht es nicht nur um Wahrscheinlichkeit, sondern auch um Wirkung und Handlungsfähigkeit. Ein Ereignis kann unwahrscheinlich sein und dennoch inakzeptable Folgen für einen kritischen Prozess haben.

Darüber hinaus kann Abhängigkeit bereits einen Einfluss haben, ohne den Zugriff tatsächlich zu blockieren. Die Möglichkeit von Sanktionen, gerichtlichen Anordnungen oder einer Kündigung kann den Entscheidungs- und Verhandlungsspielraum verändern.

Regierungen, Unternehmen und soziale Organisationen sind in hohem Maße von einer kleinen Anzahl von Anbietern für Cloud, Bürosoftware, Kommunikation und KI abhängig. Gleichzeitig können sich Eigentumsverhältnisse, Gesetzgebung, Sanktionen, Übernahmen und geopolitische Beziehungen ändern.

Dadurch kann formale Kontrolle mit tatsächlicher Abhängigkeit in Konflikt geraten. Die dringende Frage ist nicht nur, ob ein Lieferant heute zuverlässig ist, sondern auch, ob die Organisation auch morgen noch handeln kann, wenn sich Regeln, Zugriffe oder Interessen ändern.

Unterscheiden Sie zwischen wirklich unverzichtbaren Funktionen und Abhängigkeiten, die durch Gewohnheit, fehlendes Wissen oder alte Entscheidungen entstanden sind. Zusammenhänge, Datenformate, Lizenzen, Prozesse und Kompetenzen konkret abbilden.

Dann üben Sie Export, Erholung und Alternativen, bevor es zur Krise kommt. Ein noch nie erprobter Ausstiegsplan bietet wenig Sicherheit. Manchmal ist eine vollständige Migration nicht sofort machbar, aber offene Formate, modulare Architektur und ein zweiter Implementierungsweg können die Situation bereits verbessern.

Dann ist ein schrittweises Vorgehen sinnvoll. Ermitteln Sie zunächst, bei welchen Prozessen die Abhängigkeit das größte Risiko darstellt und welche Funktionen wirklich benötigt werden. Verbessern Sie dann Verträge, Architektur und Portabilität und migrieren Sie dort, wo eine geeignete Alternative verfügbar ist.

Die Tatsache, dass eine Alternative heute weniger ausgereift ist, ist ein Argument für Tempo und Umsetzung und nicht automatisch ein Grund, das Risiko zu ignorieren. Das Buch diskutiert daher einen Wachstumspfad anstelle eines großen Übergangs.

Unter digitaler Souveränität versteht man das Ausmaß, in dem eine Regierung oder Organisation tatsächlich die Kontrolle über ihre digitalen Funktionen, Daten und Abhängigkeiten behält. Es zählen formale Rechte und tatsächliche Handlungsmöglichkeiten.

Konkrete Fragen sind: Wo liegen die Daten, wer kann darauf zugreifen, welches Recht gilt, wer verwaltet die Schlüssel, kann der Dienst im Konfliktfall weitergeführt werden und ist ein Wechsel realistischerweise möglich?

Das ECSF ist ein europäischer Bewertungsrahmen für Cloud-Souveränität. Es hilft öffentlichen Organisationen dabei, Souveränitätsrisiken zu beschreiben, Anforderungen an den Einkauf festzulegen und die Ist-Situation mit der Soll-Situation zu vergleichen.

Der Rahmen verlagert die Diskussion von allgemeinen Ansprüchen wie „europäisch“ oder „souverän“ auf überprüfbare Eigenschaften. Dabei geht es unter anderem um Gerichtsbarkeit, Daten, Betrieb, Ketten, Technologie, Sicherheit und Nachhaltigkeit.

Bei Souveränität geht es um Autorität und Führung: Wer hat das letzte Wort und trägt die Verantwortung? Bei Autonomie geht es um die praktische Fähigkeit, unabhängig zu handeln und Alternativen zu nutzen.

Eine Organisation mag formell autorisiert sein, aber wenig Autonomie haben, wenn sie technisch nicht umstellen kann oder wenn nur ein Lieferant das System verwalten kann. Souveränität ohne ausreichenden Handlungsspielraum bleibt dann weitgehend auf dem Papier.

Souveränität ist die Autorität, verbindliche Entscheidungen zu treffen und dafür die Verantwortung zu tragen. In digitalen Umgebungen stellt sich vor allem die Frage, wer letztlich über Daten, Infrastruktur, Technologie und Zugang entscheidet.

Das bedeutet nicht, dass eine Organisation alles selbst aufbauen oder verwalten muss. Sie muss jedoch in der Lage sein, bewusste Entscheidungen zu treffen, Vereinbarungen durchzusetzen und zu handeln, wenn sich die Umstände ändern. Das Buch Souveränität! Wie? Dies ist eine praktische Verwaltungsfrage.

SEAL-Stufen beschreiben zunehmende Grade der Cloud-Souveränität. Level 0 ist eine Standard Public Cloud ohne zusätzliche Souveränitätsmaßnahmen; Level 4 steht für ein äußerst souveränes Umfeld mit nachweisbarer Autonomie.

Die Stufen stellen keine Bewertung für einen Lieferanten dar. Sie helfen einer Organisation dabei, für jede Anwendung ein geeignetes aktuelles Niveau (IST) und ein gewünschtes Niveau (SOLL) zu bestimmen. Einem kritischen System kann daher ein höherer Zweck zugewiesen werden als einem öffentlichen oder leicht austauschbaren Dienst.

Das ECSF unterscheidet acht miteinander verbundene Ziele: strategische Souveränität; Rechts- und Gerichtssouveränität; Daten- und KI-Souveränität; operative Souveränität; Kettensouveränität; technologische Souveränität; Sicherheit und Compliance-Souveränität; und Nachhaltigkeitssouveränität.

Diese Klassifizierung verhindert, dass ein Merkmal, wie zum Beispiel der Standort eines Rechenzentrums, fälschlicherweise als Beweis für die volle Souveränität verwendet wird. Ein Aufschlag kann bei einem Tor stark und bei einem anderen schwach punkten.

Open Source kann hilfreich sein, da eine Organisation Software studieren, sie von einer anderen Partei überprüfen, anpassen und warten lassen kann. Offene Rechte unterstützen daher Transparenz, Ersetzbarkeit und die Entwicklung des eigenen Wissens.

Open Source ist kein automatischer Garant für Souveränität. Der praktische Nutzen hängt auch von Dokumentation, Personen, Management, Finanzierung, sicheren Updates, offenen Datenformaten und der Infrastruktur ab, auf der die Software läuft.

OciDeck unterstützt die Informations- und Technologiesouveränität, indem es ermöglicht, dass Präsentationsinhalte im lesbaren Markdown verbleiben. Offene Formate machen Inhalte besser kontrollierbar, wiederverwendbar und portierbar, als wenn sie ausschließlich in einem geschlossenen Anwendungsformat enthalten wären.

Lokale Verarbeitung, Offline-HTML-Export sowie gezielte Freigabe- und Datenschutzfunktionen können die Abhängigkeit von Präsentationsdiensten Dritter und die versehentliche Verbreitung verringern. Die letztendliche Souveränität hängt auch von der Speicherung, der Verwaltung und den Benutzerentscheidungen ab. Lesen Sie mehr unter OciDeck.

OpenKAT hilft vor allem bei der betrieblichen, technologischen und sicherheitstechnischen Souveränität. Es führt digitale Objekte, Beziehungen, Beobachtungen und Erkenntnisse zusammen, damit eine Organisation ihr eigenes Umfeld und ihre Risiken besser verstehen und überwachen kann.

Da OpenKAT Open Source ist und selbst ausgeführt werden kann, kann eine Organisation ihren Betrieb überwachen und auswählen, wer das System verwaltet. OpenKAT bietet keine vollständige Souveränität: Sorgfältige Verwaltung, Umfang, Datenschutz, Wissen und Nachverfolgung bleiben erforderlich. Lesen Sie mehr unter OpenKAT.

Ein sinnvoller Ansatz ist: 1. Inventarisierungsprozesse, Daten und Abhängigkeiten; 2. das gewünschte Maß an Souveränität pro System bestimmen; 3. Einkauf, Verträge, Architektur, Wissen und Alternativen verbessern; 4. Überprüfen Sie regelmäßig, ob die Maßnahmen noch funktionieren, und nehmen Sie Anpassungen vor.

Behandeln Sie dies als einen Zyklus. Lieferanten, Eigentümer, Gesetzgebung und Technologie ändern sich. Eine einmalige Beurteilung wird daher schnell überholt.

Der Vorstand ist letztendlich für die Richtung, die Risikobereitschaft und die Akzeptanz des Restrisikos verantwortlich. Einkauf, Rechtsangelegenheiten, Informationssicherheit, Architektur, Datenschutz, Management und der Prozessverantwortliche bilden jeweils einen notwendigen Teil des Gesamtbildes ab.

Da Entscheidungen oft langfristige Konsequenzen haben, nennt das Buch Souveränität „Chefsache“. Das Thema kann nicht nur auf Technologie oder Vertragsmanagement beschränkt werden.

Open Source ist eine Form der Lizenzierung. Der Urheber oder Rechteinhaber erteilt anderen im Voraus die Erlaubnis, das Werk zu nutzen, zu studieren, zu kopieren, zu verbreiten und anzupassen.

Das Recht auf Anpassungen ist unerlässlich. Wenn Änderungen nicht zulässig sind, handelt es sich nicht um Open Source.

Der Kern ist legal. Bei Open Source geht es um die Art und Weise, wie das Urheberrecht ausgeübt wird: über eine Lizenz, die weitreichende Nutzungsrechte gewährt.

Dahinter stecken zwar technische und soziale Ideen, aber ohne entsprechende Lizenz ist etwas nicht Open Source.

Das bedeutet, dass der Rechteinhaber durch eine Open-Source-Lizenz die Erlaubnis erteilt, den Quellcode zu nutzen, zu studieren, zu kopieren, zu verbreiten und zu ändern.

Die Software bleibt urheberrechtlich geschützt. Die Lizenz legt fest, welche Rechte und Bedingungen gelten.

Bei Open Source und freier Software geht es um Rechte: Nutzen, Studieren, Teilen und Anpassen. Freeware bedeutet normalerweise nur, dass die Nutzung einer Sache kostenlos ist.

Public Domain bedeutet, dass keine urheberrechtliche Einschränkung mehr besteht oder der Rechteinhaber im rechtlich möglichen Umfang darauf verzichtet hat. Das ist anders als bei Open Source.

Nein. Open Source gewährt viele Rechte, jedoch immer im Rahmen der Lizenzbedingungen.

Diese Bedingungen können beispielsweise die Namensnennung, die Beibehaltung von Lizenztexten oder die Weitergabe von Änderungen unter derselben Lizenz betreffen.

Der Urheber bzw. Rechteinhaber bleibt Inhaber des Urheberrechts, sofern dieses nicht nicht übertragen wurde.

Open Source bedeutet nicht, dass es keinen Eigentümer gibt. Das bedeutet, dass der Eigentümer anderen durch eine Lizenz weitreichende Rechte einräumt.

Ja. Open Source schließt eine kommerzielle Nutzung nicht aus. Ein Unternehmen kann Open Source nutzen, Open-Source-Dienste verkaufen oder selbst Open-Source-Software anbieten.

Das Preis- und Erlösmodell ist von den Open-Source-Rechten getrennt.

Bei Open Source handelt es sich um Rechte an einem Werk, in der Regel Software. Bei offenen Standards geht es um Vereinbarungen, Spezifikationen oder Protokolle, die von mehreren Parteien genutzt werden können.

Sie können sich gegenseitig verstärken, aber es sind verschiedene Dinge.

Eine Open-Source-Lizenz ist eine vorherige Genehmigung des Rechteinhabers. Darin wird dargelegt, was andere mit der Arbeit machen dürfen und welche Bedingungen dafür gelten.

Ohne eine solche Lizenz gilt weiterhin das normale Urheberrecht und eine Weiterverwendung ist in der Regel nicht gestattet.

Denn Urheberrecht entsteht automatisch. Grundsätzlich hat jeder, der einen Text, ein Design oder eine Software erstellt, Rechte daran.

Eine Lizenz macht deutlich, welche Erlaubnis andere erhalten. Bei Open Source ist diese Erlaubnis weit gefasst und im Voraus vereinbart.

Der Code ist dann sichtbar, aber nicht automatisch frei nutzbar. Sichtbarkeit ist keine Zustimmung.

Ohne eine Lizenz darf eine andere Person den Code im Allgemeinen nicht kopieren, verbreiten oder ändern, außer in begrenzten rechtlichen Ausnahmefällen.

Permissive Lizenzen bieten viel Freiheit und legen in der Regel begrenzte Bedingungen fest, wie etwa die Zuweisung und Aufbewahrung des Lizenztextes.

Copyleft-Lizenzen gewähren ebenfalls umfassende Rechte, erfordern jedoch möglicherweise die Verbreitung abgeleiteter Werke unter derselben oder einer ähnlichen Lizenz.

Copyleft ist ein Lizenzprinzip, bei dem Freiheit weitergegeben werden muss. Wer das Werk, oft in angepasster Form, verbreitet, muss anderen die gleichen Rechte einräumen.

Es handelt sich also nicht um einen Verzicht auf Rechte, sondern vielmehr um eine aktive Art und Weise, Rechte zur Wahrung der Offenheit zu nutzen.

Das hängt von der Lizenz und Ihrer Tätigkeit ab. Bei manchen Copyleft-Lizenzen kann eine Offenlegung erforderlich sein, wenn Sie veränderte Software vertreiben.

Lediglich die interne Nutzung führt in der Regel nicht automatisch zu einer solchen Verpflichtung, der genaue Ausgang hängt jedoch von der Situation und der Lizenz ab.

Ja, viele Open-Source-Lizenzen erlauben eine kommerzielle Nutzung. Genau das ist ein Merkmal von Open Source.

Sie müssen jedoch die Lizenzbedingungen einhalten. Erwägen Sie die Nennung Ihres Namens, der Lizenztexte oder der Vertriebsbedingungen.

Ja, Open Source sollte eine individuelle Anpassung ermöglichen. Auch ein Verkauf ist möglich, sofern die Lizenzbedingungen eingehalten werden.

Bei einigen Lizenzen ist es erforderlich, dass Sie den geänderten Quellcode bereitstellen oder verfügbar machen, wenn Sie das geänderte Werk verbreiten.

Dies sind Möglichkeiten, den ursprünglichen Ersteller und die Lizenz sichtbar zu halten. Namensnennung bedeutet in der Regel Namensnennung. Eine Bekanntmachungsdatei enthält rechtliche Hinweise. Ein Lizenzheader befindet sich oft am Anfang einer Datei.

Durch diese Pflichten wird sichergestellt, dass Rechte und Herkunft erkennbar bleiben.

Eine Patentklausel stellt sicher, dass Nutzer unter bestimmten Voraussetzungen auch die Erlaubnis für entsprechende Patente von Mitwirkenden erhalten.

Dies kann wichtig sein, da Software nicht nur vom Urheberrecht, sondern manchmal auch von Patentrechten betroffen sein kann.

Das Hauptrisiko besteht darin, dass Lizenzbedingungen nicht eingehalten werden. Dann nutzen Sie das Werk möglicherweise ohne gültige Genehmigung.

Dies kann zu Reparaturpflichten, Rechtsansprüchen, Reputationsschäden oder Problemen bei Vertrieb, Ausschreibung oder Prüfung führen.

Open-Source-Compliance bedeutet, dass eine Organisation weiß, welche Open-Source-Software sie nutzt, welche Lizenzen damit verbunden sind und welche Verpflichtungen gelten.

Es handelt sich im Wesentlichen um die normale rechtliche und organisatorische Verwaltung: Registrieren, Prüfen, Einhalten und Erläutern können, was verwendet wurde.

Nein, nicht wegen der Open-Source-Natur. Sicherheit hängt von Design, Wartung, Kontrolle, Nutzung und Überwachung von Schwachstellen ab.

Offenheit ermöglicht Kontrolle, ist aber kein automatischer Garant für Sicherheit.

Nein. Jeder kann oft Vorschläge machen, aber das bedeutet nicht, dass jeder einfach Änderungen vornehmen kann.

Bei seriösen Projekten beurteilen die Administratoren, welche Beiträge enthalten sind. Die Zuverlässigkeit hängt von der Governance und Wartung ab, nicht nur vom Lizenztyp.

Nein. Die Unterstützung kann freiwillig, gemeinschaftsorientiert oder kommerziell sein. Viele Unternehmen bieten kostenpflichtigen Support für Open Source an.

Die Lizenz bestimmt die Rechte am Werk; Support ist ein separater Service.

Nein. Bei Open Source geht es um Nutzungsrechte, nicht um den Preis.

Der Download eines Open-Source-Produkts kann kostenlos sein, Support, Hosting, Zertifizierung, Schulung oder Anpassung können jedoch kostenpflichtig sein.

Nein. Bei Free geht es um den Preis. Bei Free geht es um Rechte.

Ein kostenloses Produkt kann strikt geschlossen werden. Ein Open-Source-Produkt gewährt Rechte zur Nutzung, zum Studium, zur Weitergabe und zur Änderung.

Nein. Open Source kann von Freiwilligen, aber auch von Unternehmen, Regierungen, Universitäten und Stiftungen erstellt werden.

Die Lizenz sagt nichts über Professionalität aus. Sie müssen dies anhand von Qualität, Management und Kontext beurteilen.

Nein. Open Source kann sehr professionell sein und kommerzielle Software kann schlecht gewartet werden. Auch das Umgekehrte ist möglich.

Professionalität zeigt sich in Wartung, Dokumentation, Governance, Qualität und Vereinbarungen, nicht allein in offenen oder geschlossenen Lizenzen.

Offenheit bedeutet, dass jeder zuschauen kann, auch böswillige Parteien. Es bedeutet aber auch, dass eine Kontrolle durch Nutzer, Forscher und Anbieter möglich ist.

Sicherheit entsteht nicht allein durch Geheimhaltung. Es erfordert Wartung, Reaktion und sorgfältigen Gebrauch.

Nein. Die gesetzlichen Rechte gelten für alle: Benutzer, Administratoren, Käufer, Anwälte, Prüfer und politische Entscheidungsträger.

Entwickler arbeiten oft mit dem Code, aber auch Organisationen profitieren von Transparenz, Wahlfreiheit und Überprüfbarkeit.

Das mag ein Kompromiss sein, ist aber nicht automatisch ein Nachteil. Bei Open Source geht es darum, bewusst zu bestimmen, welche Teile Sie unter welchen Bedingungen teilen möchten.

Manchmal ist offenes Teilen strategisch sinnvoll, etwa um Zusammenarbeit, Vertrauen oder Standardisierung zu fördern.

Das variiert je nach Projekt. Die Kontrolle kann von Betreuern, Benutzern, Sicherheitsforschern, Audits, automatischen Scans und Organisationen ausgehen, die die Software bereitstellen.

Open Source ermöglicht eine solche Kontrolle, organisiert sie aber nicht selbst.

Das kommt auf die Situation an. Die Projektadministratoren können ein Update erstellen, aber der Benutzer oder die Organisation muss dieses Update auch anwenden.

Open Source ändert nichts daran, dass jeder, der Software nutzt, für einen sorgfältigen Umgang verantwortlich bleibt.

Das ist sehr unterschiedlich. Aktive Projekte können schnell reagieren; Geben Sie Projekte nicht auf. Gleiches gilt auch für geschlossene Software.

Schauen Sie daher nicht nur auf die Lizenz, sondern auch auf Wartung, Reporting-Prozess und Release-Praxis.

Risiken in der Lieferkette entstehen, wenn Sie auf Teile anderer angewiesen sind. Wenn ein solches Teil anfällig, böswillig oder schlecht gewartet ist, kann dies Folgen für Ihr eigenes Produkt haben.

Dieses Risiko besteht nicht nur bei Open Source, aber Open Source macht Abhängigkeiten oft sichtbarer.

Abhängigkeiten sind Teile, auf denen ein Produkt basiert. Bei Software handelt es sich häufig um Bibliotheken oder Pakete anderer.

Sie sind wichtig, da Rechte, Schwachstellen und Wartung dieser Teile auch Ihre eigene Nutzung beeinflussen.

Sehen Sie sich die Lizenz, Wartung, Dokumentation an, wie Änderungen überprüft werden und wie mit Sicherheitswarnungen umgegangen wird.

Zuverlässigkeit ist eine Kombination aus rechtlicher Klarheit, Qualität und Management.

Gesunde Signale sind klare Lizenzinformationen, aktuelle Updates, verständliche Dokumentation, ein aktiver Meldeprozess und sichtbare Entscheidungsfindung.

Es hilft auch, wenn mehrere Personen oder Organisationen mitwirken, damit das Projekt nicht vollständig von einer Person abhängig ist.

Suchen Sie nach alten Versionen, unbeantworteten Benachrichtigungen, fehlenden Lizenzinformationen, unklaren Betreuern oder keiner Reaktion auf Sicherheitsprobleme.

Es handelt sich hierbei um Projektrisiken. Sie kommen in offener und geschlossener Software vor, in Open Source sind sie jedoch oft deutlicher sichtbar.

Bei einem Sicherheitsaudit prüft jemand konkret, ob Schwachstellen oder Schwachstellen vorliegen. Bei Open Source kann der Quellcode direkt untersucht werden.

Ein Audit ist eine Momentaufnahme. Wartung und Nachsorge sind dann weiterhin erforderlich.

Eine SBOM ist eine Software-Stückliste: eine Übersicht über verwendete Softwarekomponenten.

Eine solche Übersicht hilft bei der Verwaltung von Lizenzen, Schwachstellen und Abhängigkeiten. Dies ist besonders nützlich für Organisationen, die erklären müssen, was sie verwenden.

Ein Open-Source-Projekt entsteht, wenn ein Rechteinhaber ein Werk unter einer Open-Source-Lizenz veröffentlicht. Dazu gehören häufig eine Dokumentation, ein Ort für Beiträge und eine Möglichkeit zur Entscheidungsfindung.

Die Lizenz ist die rechtliche Grundlage; Die Gemeinschaft und die Arbeitsweise bestimmen, wie das Projekt weiter wächst.

Dies wird normalerweise von den Betreuern oder Administratoren des Projekts durchgeführt. Sie beurteilen, ob ein Beitrag mit der Qualität, Ausrichtung und Vereinbarungen des Projekts übereinstimmt.

Open Source bedeutet nicht, dass jede Änderung automatisch Teil des offiziellen Projekts wird.

Ein Betreuer ist jemand, der ein Projekt verwaltet. Diese Person oder Gruppe prüft Beiträge, gibt Freigaben, überwacht die Richtung und pflegt Dokumentation oder Prozesse.

Bei Open Source ist diese Rolle wichtig, da die Rechte weitreichend sind, die Zusammenarbeit jedoch dennoch Organisation erfordert.

Ein Mitwirkender ist jemand, der zu einem Projekt beiträgt. Dabei kann es sich um Code, aber auch um Dokumentations-, Übersetzungs-, Test-, Design-, Erklärungs- oder Reporting-Probleme handeln.

Open-Source-Beiträge sind daher umfassender als die Programmierung.

Ein Fork ist eine eigene Kopie eines Projekts, an der jemand selbstständig weiterarbeiten kann. Das ist möglich, weil Open Source Änderungen und Verbreitung ermöglicht.

Manchmal spiegelt sich eine Verbesserung später im ursprünglichen Projekt wider. Manchmal wächst eine Gabel in ihre eigene Richtung.

Das ist ein Vorschlag, eine Änderung in ein Projekt aufzunehmen. Der Administrator kann die Änderung prüfen, besprechen, anpassen oder ablehnen.

Es ist eine praktische Möglichkeit, die Zusammenarbeit rund um Open Source zu organisieren.

Bei der Community Governance geht es um die Vereinbarungen, mit denen ein Projekt Entscheidungen trifft. Überlegen Sie, wer an der Entscheidungsfindung beteiligt werden kann, wie Konflikte gelöst werden und wie neue Administratoren ernannt werden.

Die Lizenz verleiht Rechte; Governance regelt die Zusammenarbeit.

Bei von der Gemeinschaft geleiteten Projekten liegt die Kontrolle hauptsächlich bei einer Gemeinschaft von Teilnehmern. Bei unternehmensgeführten Projekten kommt einem Unternehmen oft eine tragende oder entscheidende Rolle zu.

Beide Formen können gut funktionieren, solange klar ist, wer unter welchen Bedingungen entscheidet.

Das hängt von der Governance ab. Für manche Projekte gibt es klare Entscheidungsregeln, Verhaltenskodizes oder Grundlagen. Andere Projekte sind informeller.

Gute Vereinbarungen sind wichtig, denn offene Rechte bedeuten nicht automatisch, dass alle einverstanden sind.

Projekte werden gestoppt, wenn den Betreuern die Zeit ausgeht, die Finanzierung fehlt, der Bedarf verschwindet oder eine bessere Lösung entsteht.

Das gibt es nicht nur bei Open Source. Der Unterschied besteht darin, dass andere bei Open Source manchmal mit einem Fork weitermachen können.

Unternehmen verdienen Geld nicht unbedingt mit dem ausschließlichen Verkauf des Codes, sondern mit Dienstleistungen rund um den Code. Erwägen Sie Hosting, Support, Implementierung, Management, Schulung, Zertifizierung oder Anpassung.

Die offene Lizenz und das Geschäftsmodell sind zwei verschiedene Ebenen.

Zu den gängigen Modellen gehören kostenpflichtiger Support, Managed Hosting, Beratung, Zertifizierung, Schulung, Doppellizenzierung und Open Core.

Der Ausgangspunkt ist oft: Die Grundrechte sind offen, Komfort, Sicherheit oder Zusatzleistungen dürfen aber bezahlt werden.

Open Core bedeutet, dass der Kern eines Produkts Open Source ist, während einige zusätzliche Funktionen geschlossen oder kostenpflichtig sind.

Das kann funktionieren, erfordert aber eine klare Kommunikation. Benutzer müssen wissen, welcher Teil geöffnet ist und welcher nicht.

Doppelte Lizenzierung bedeutet, dass dasselbe Werk unter zwei verschiedenen Lizenzen verfügbar ist. Zum Beispiel eine Open-Source-Lizenz und eine kommerzielle Lizenz.

Dies kann Organisationen eine Wahl lassen, ist jedoch nur möglich, wenn der Rechteinhaber das Recht hat, beide Lizenzen anzubieten.

Managed Hosting oder SaaS bedeutet, dass jemand Open-Source-Software als Service anbietet. Der Nutzer muss die Software dann nicht selbst installieren und verwalten.

Die Software kann Open Source sein, während der Service rund um sie kostenpflichtig ist.

Unternehmen können dies tun, um das Vertrauen zu stärken, die Zusammenarbeit anzuregen, einen Standard zu setzen oder die Einführung zu beschleunigen.

Open Source kann auch dazu beitragen, die Abhängigkeit von einem einzelnen Lieferanten zu verringern und ein Ökosystem aufzubauen.

Denn andere dürfen auf bestehenden Arbeiten aufbauen. Sie müssen nicht noch einmal von vorne beginnen und können Verbesserungen mitteilen.

Die Lizenz macht diese Zusammenarbeit rechtlich möglich.

Open Source kann die Abhängigkeit von einem Anbieter verringern, da Benutzer das Recht haben, die Software zu studieren, zu ändern und an anderer Stelle verwalten zu lassen.

Das bedeutet nicht, dass ein Wechsel immer einfach ist, aber die rechtlichen Grundlagen sind weniger geschlossen.

Open Source ist dann interessant, wenn Zusammenarbeit, Transparenz, Überprüfbarkeit, Wiederverwendung oder Unabhängigkeit wichtig sind.

Besonders stark ist es bei gemeinsamer Infrastruktur, öffentlichen Werten und Situationen, in denen Vertrauen mehr erfordert als ein Lieferantenversprechen.

Open Source ist weniger geeignet, wenn der Rechteinhaber die Verbreitung, den Zugriff oder die Änderung einschränken möchte. Das ist eine strategische Entscheidung zur Kontrolle.

Es ist auch weniger geeignet, wenn eine Organisation Rechte vergeben möchte, ohne bereit zu sein, Lizenzbedingungen und -verwaltung klar zu dokumentieren.

Startups können schneller auf bestehende Bausteine ​​aufbauen und gewinnen durch Offenheit leichter Vertrauen. Sie können auch eine Community oder einen Markt rund um ein offenes Projekt aufbauen.

Sie müssen sich der Lizenzierung, Positionierung und ihres Umsatzmodells bewusst sein.

Für Regierungen kann Open Source zu Transparenz, Überprüfbarkeit, Wiederverwendung und einer geringeren Abhängigkeit von einem Lieferanten beitragen.

Dies passt gut zur öffentlichen Rechenschaftspflicht, sofern Management, Sicherheit und Einhaltung von Gesetzen ordnungsgemäß geregelt sind.

Die Bildung kann Open Source nutzen, um aus realen Beispielen zu lernen, Materialien auszutauschen und Schülern die Möglichkeit zu geben, zu bestehenden Projekten beizutragen.

Da Anpassungen möglich sind, können Lehrmaterialien oder Software besser an die pädagogische Praxis angepasst werden.

Open Source kann hilfreich sein, da Unternehmen nicht vollständig auf geschlossenes Wissen oder einen Lieferanten angewiesen sind. Sie können überprüfen lassen, wie etwas funktioniert, und es anpassen lassen.

Souveränität erfordert mehr als nur Open Source, aber offene Rechte sind ein wichtiger Baustein.

Open Source macht sichtbar, unter welchen Bedingungen ein Werk genutzt werden darf und bei Software, wie der Quellcode aussieht.

Dies erleichtert die Kontrolle und Erklärung. Transparenz entsteht erst dann wirklich, wenn auch Dokumentation und Governance klar sind.

Da andere bestehende Arbeiten nutzen und anpassen dürfen, muss nicht jeder das Gleiche neu erstellen.

Dies kann Verschwendung reduzieren und die Wartung gemeinsam nutzen, insbesondere wenn mehrere Parteien das gleiche Problem haben.

Open Source zeigt, wie eine Organisation funktioniert, welche Qualität sie anstrebt und wofür sie steht. Die Leute können leicht einen Beitrag leisten oder erfahren, was passiert.

Dies kann für Berufstätige attraktiv sein, die Wert auf Offenheit und handwerkliches Können legen.

Wettbewerber können an Teilen zusammenarbeiten, die von allen benötigt werden, ohne dass diese Teile das Alleinstellungsmerkmal darstellen müssen.

Die Lizenz sorgt im Vorfeld für Klarheit über Rechte, so dass die Zusammenarbeit weniger von gesonderten Vereinbarungen abhängig ist.

Öffentliche Infrastruktur erfordert Vertrauen, Kontinuität und Überprüfbarkeit. Open Source kann helfen, da die Basis nicht vollständig hinter verschlossenen Türen liegt.

Dies ermöglicht eine unabhängige Steuerung und gemeinsame Wartung.

In diesen Bereichen kann Open Source zur Überprüfbarkeit, Wiederverwendung und unabhängigen Forschung beitragen.

Gleichzeitig bleiben gute Governance, Datenmanagement, Sicherheit und rechtliche Beurteilung notwendig. Open Source ist eine Grundvoraussetzung für bestimmte Formen der Kontrolle, keine Komplettlösung.

Beginnen Sie mit der Lizenz: Ist die von Ihnen geplante Nutzung zulässig? Dann schauen Sie sich Wartung, Dokumentation, Qualität und Abhängigkeiten an.

Ein beliebtes Paket ist nicht automatisch passend. Die Wahl muss zum Zweck, Risiko und Management passen.

Überprüfen Sie Lizenz, Herkunft, Wartungsstatus, Schwachstellen und Notwendigkeit. Fragen Sie auch, ob das Teil wirklich notwendig ist.

Jede Abhängigkeit fügt Rechte, Pflichten und Verwaltung hinzu.

Erfassen Sie, welche Komponenten verwendet werden, welche Version, welche Lizenz und in was die Komponente enthalten ist.

Stellen Sie außerdem sicher, dass klar ist, wer für Aktualisierungen und die Einhaltung der Bedingungen verantwortlich ist.

Verwenden Sie eine Kombination aus Registrierungs-, regelmäßigen Überprüfungs- und Abhängigkeitsscan-Tools.

Am wichtigsten: Vereinbaren Sie, wer Meldungen prüft und wer über Aktualisierungen oder Ersetzungen entscheidet.

Es gibt viele Tools, die Abhängigkeiten, Lizenzen und Schwachstellen abbilden. Beispiele hierfür sind Scanner in Entwicklungsplattformen, Paketmanager und spezielle Compliance-Tools.

Das Werkzeug ist nur ein Werkzeug. Die Organisation muss noch Entscheidungen treffen und Folgemaßnahmen veranlassen.

Bitte lesen Sie zuerst die Beitragsanleitung und die Lizenz. Beschreiben Sie klar und deutlich, was Sie verbessern möchten und warum.

Ein guter Beitrag kann Code sein, aber auch Dokumentation, Tests, Übersetzung oder ein klar beschriebenes Problem.

Dies ist sinnvoll, wenn Sie möchten, dass andere die Arbeit nutzen, überwachen, teilen und ändern können.

Treffen Sie diese Wahl bewusst: Bestimmen Sie Zweck, Lizenz, Wartung, Governance und was Sie von den Beiträgen erwarten oder nicht erwarten.

Entscheiden Sie zunächst, was Sie zulassen und schützen möchten. Wenn Sie eine umfassende Wiederverwendbarkeit wünschen, schauen Sie sich permissive Lizenzen an. Wenn Sie möchten, dass Freiheit weitergegeben wird, schauen Sie sich Copyleft an.

Nutzen Sie vorzugsweise vorhandene, bekannte Lizenzen, anstatt selbst Texte zu schreiben.

Sorgen Sie für eine klare Dokumentation, eine freundliche Art, Fragen zu stellen, klare Entscheidungen und realistische Erwartungen.

Eine Community entsteht nicht einfach dadurch, dass Code online gestellt wird. Es erfordert Aufmerksamkeit, Vertrauen und Wartung.

Teilen Sie Rechte und Pflichten auf. Dokumentieren Sie Prozesse, machen Sie Releases portierbar und gewähren Sie mehreren vertrauenswürdigen Personen Verwaltungsrechte.

Dies erhöht die Kontinuität und macht das Projekt weniger anfällig.

Ein Open-Source-Programmbüro, oft auch OSPO genannt, ist ein Team oder eine Funktion, die die Nutzung und Beiträge von Open-Source innerhalb einer Organisation organisiert.

Es hilft bei Richtlinien, Lizenzierung, Zusammenarbeit, Communities und verantwortungsvollem Publizieren.

Es sind mindestens Richtlinien für Nutzung, Beitrag, Veröffentlichung, Lizenzkontrolle und Sicherheitsverfolgung erforderlich.

Die Politik muss praktisch sein: Die Menschen müssen wissen, was erlaubt ist, wann sie um Rat fragen müssen und wer entscheidet.

Erklären Sie im Klartext, was Urheberrechte, Lizenzen und Pflichten bedeuten. Verwenden Sie Beispiele aus Ihrer eigenen Arbeit.

Die Schulung sollte nicht nur rechtlich, sondern auch praktisch sein: Was meldet man an, was überprüft man und wo bittet man um Hilfe?

Alles je nach Wahl. Im juristischen Bereich geht es um Rechte und Pflichten. Sicherheit befasst sich mit Schwachstellen und Management. Beim Ingenieurwesen geht es um Qualität und Anwendung. Die Beschaffung befasst sich mit Verträgen und Lieferanten.

Open Source betrifft oft mehrere Verantwortlichkeiten gleichzeitig.

Stellen Sie sicher, dass klar ist, welche Teile verwendet wurden, welche Lizenzen gelten, welche Kontrollen durchgeführt wurden und welche Entscheidungen getroffen wurden.

Überprüfbar bedeutet vor allem: im Nachhinein erklären können, was passiert ist und warum.

Beziehen Sie Open Source bewusst in Anforderungen, Bewertungskriterien und Vertragsbedingungen ein. Fragen Sie nicht nur nach einem Produkt, sondern auch nach Rechten, Portabilität und Verwaltung.

So verhindern Sie, dass Offenheit nur ein Wunsch bleibt und nicht in der Aufgabe landet.

Sehen Sie Support als Ergänzung zu Open-Source-Rechten. Der Vertrag kann Vereinbarungen über Reaktionszeiten, Updates, Haftung, Hosting oder Management enthalten.

Die Software kann offen sein, während der Support professionell und kostenpflichtig ist.

Schauen Sie nicht nur auf die Lizenzkosten. Dazu gehören auch Management, Support, Schulung, Integration, Migration, Compliance und Wartung.

Open Source kann zwar günstiger sein, aber der wahre Wert liegt oft in Kontrolle, Flexibilität und geringerer Abhängigkeit.

Behandeln Sie Open Source als Teil des normalen Risikomanagements. Schauen Sie sich Lizenzierung, Wartung, Sicherheit, Abhängigkeiten und Kontinuität an.

Das Risiko besteht nicht darin, dass etwas Open Source ist, sondern darin, dass die Nutzung unbewusst oder unbeaufsichtigt erfolgt.

Messen Sie nicht nur eingesparte Kosten. Achten Sie auch auf Wiederverwendung, Geschwindigkeit, Transparenz, vermiedene Abhängigkeiten, Zusammenarbeit und Kontrollqualität.

Ein Teil des Wertes ist finanzieller Natur, ein anderer Wert liegt in Autonomie und Vertrauen.

Nein. Open Source bietet wichtige Freiheiten, sagt aber nicht automatisch etwas über alle ethischen Entscheidungen hinsichtlich Nutzung, Auswirkungen oder Governance aus.

Offenheit kann dazu beitragen, Diskussion, Kontrolle und Verantwortlichkeit zu ermöglichen.

Nicht ganz. Open-Source-Lizenzen erlauben eine breite Nutzung und schränken in der Regel nicht ein, wofür jemand das Werk nutzt.

Wer Missbrauch begrenzen will, landet schnell beim Sprung über klassisches Open Source und muss über andere rechtliche oder organisatorische Mittel nachdenken.

Klassische Open-Source-Lizenzen schränken die Nutzungszwecke nicht ein. Sie gewähren jedem Rechte, auch wenn der Ersteller einige Anwendungen für unerwünscht hält.

Es gibt Lizenzen mit ethischen Nutzungsbeschränkungen, diese gelten jedoch in der Regel nicht als Open Source im engeren Sinne.

Open Source gibt anderen die Kontrolle über ihre eigene Nutzung: Sie können studieren, anpassen und teilen. Der ursprüngliche Ersteller verzichtet daher auf einen Teil der ausschließlichen Kontrolle über die Verbreitung und Änderung.

Das ist kein Fehler, sondern genau die Wahl, die Open Source so besonders macht.

Open Source kann öffentliche Werte wie Transparenz, Überprüfbarkeit, Wiederverwendung und Unabhängigkeit unterstützen.

Aber öffentliche Werte erfordern auch gute Regierungsführung, Zugänglichkeit, Sicherheit, Finanzierung und Verantwortung.

Dies ist je nach Projekt sehr unterschiedlich. Manche Communities sind offen und hilfsbereit, andere sind schwer zugänglich oder auf informelle Netzwerke angewiesen.

Inklusion erfordert aktive Aufmerksamkeit für Sprache, Verhalten, Dokumentation, Entscheidungsfindung und sichere Teilnahme.

Das ist ein wichtiges Thema. Ein Großteil der digitalen Infrastruktur ist weit verbreitet, aber nicht immer umfassend finanziert.

Open Source macht die Nutzung möglich, aber die Wartung erfordert Zeit, Geld und Verantwortung von den Parteien, die darauf angewiesen sind.

Open Source kann Macht verbreiten, weil Benutzer mehr Rechte haben, als nur das zu kaufen, was ein Anbieter anbietet. Sie können es überprüfen, einstellen oder austauschen lassen.

Dies stärkt die Autonomie, aber nur, wenn auch Wissen, Kapazität und Governance vorhanden sind, um diese Rechte zu nutzen.

Eine vollständige Prävention ist im klassischen Open Source meist nicht möglich. Projekte können sich jedoch für entsprechende Lizenzen, Governance, kommerzielle Vereinbarungen und eine Kultur entscheiden, in der Beiträge normal sind.

Benutzer können auch Verantwortung übernehmen, indem sie Wartung, Geld oder Wissen zurückgeben.

Open Source bleibt wichtig für digitale Infrastruktur, Regierung, Bildung, Cloud, KI und Sicherheit. Der Kern bleibt legal: die Gewährung von Rechten zur Nutzung, zum Studium, zum Teilen und zur Anpassung.

Die große Herausforderung liegt im nachhaltigen Management: Sicherstellen, dass offene Projekte nicht nur genutzt, sondern auch verantwortungsvoll gepflegt und verwaltet werden.

MIAUW steht für Methodology for Information Security Research with Audit Value. Es handelt sich um eine Möglichkeit, Sicherheitsrecherchen, beispielsweise einen Pentest, strukturiert und überprüfbar durchzuführen.

Ziel ist, dass eine Organisation nicht nur einen Bericht erhält, sondern auch besser darlegen kann, was recherchiert wurde, wie es gemacht wurde und welche Schlussfolgerungen sich daraus ergeben.

Lesen Sie mehr unter MIAUW.

Viele Sicherheitsuntersuchungen liefern nützliche Erkenntnisse, sind aber im Nachhinein nur schwer zu beurteilen. Manchmal ist unklar, was genau in den Geltungsbereich fiel, welche Schritte durchgeführt wurden oder welche Beweise eine Schlussfolgerung stützen.

MIAUW hilft, diese Komponenten vor und während der Forschung besser zu erfassen. Dies macht die Forschung nützlicher für Wiederherstellung, Rechenschaftspflicht und Prüfungen.

Lesen Sie mehr auf MIAUW und in Was bedeutet Auditwert?.

Nein. Ein Pentest ist eine Form der Sicherheitsforschung. MIAUW ist eine Methodik, um solche Forschung besser zu strukturieren, aufzuzeichnen und kontrollierbarer zu machen.

Ein Pentest kann also nach MIAUW durchgeführt werden, MIAUW ist jedoch umfassender als nur die Durchführung technischer Tests.

Lesen Sie auch Was ist ein Pentest? und MIAUW.

Prüfungswert bedeutet, dass eine Untersuchung im Nachhinein ordnungsgemäß beurteilt werden kann. Ein Prüfer oder ein anderer Gutachter muss sehen können, was vereinbart wurde, was geprüft wurde, welche Beweise vorhanden sind und wie Schlussfolgerungen gezogen wurden.

Dies macht eine Untersuchung nicht nur für die Technologie nützlich, sondern auch für Governance, Compliance und Rechenschaftspflicht.

Lesen Sie mehr unter MIAUW und Was ist ein Wirtschaftsprüferbericht bei MIAUW?.

MIAUW richtet sich an Kunden, Penetrationstester, Prüfer, Compliance-Spezialisten und Direktoren.

Der Kunde erhält mehr Kontrolle über die Forschung. Der Forscher erhält eine klare Struktur. Der Prüfer erhält mehr überprüfbare Informationen. Direktoren gewinnen mehr Gewissheit darüber, was ein Bericht sagt und was nicht.

Lesen Sie mehr unter MIAUW.

Nein. Keine Methode kann garantieren, dass ein System sicher ist.

MIAUW trägt dazu bei, Sicherheitsforschung besser durchzuführen, besser zu dokumentieren und besser für Verbesserungen zu nutzen. Es erhöht also die Qualität und den Nutzen der Forschung, ersetzt aber kein gutes Sicherheitsmanagement.

Lesen Sie auch Was ist zentral bei einer MIAUW-Studie?.

Im Vordergrund stehen klare Vereinbarungen, ein klarer Geltungsbereich, nachahmbare Nachweise, reproduzierbare Erkenntnisse und eine für unterschiedliche Zielgruppen sinnvolle Berichterstattung.

Ein technisches Team benötigt Details, um Probleme zu lösen. Das Management möchte wissen, was das Risiko bedeutet. Ein Prüfer möchte beurteilen können, ob die Untersuchung sorgfältig durchgeführt wurde.

Lesen Sie mehr unter MIAUW.

Umfang bedeutet: was Teil der Forschung ist und was nicht. Denken Sie an Systeme, Domänen, Anwendungen, Konten, Netzwerke, Zeiträume und Forschungsfragen.

Ein klarer Geltungsbereich verhindert Missverständnisse. Ohne Scope lässt sich im Nachhinein nur schwer sagen, ob etwas bewusst aus dem Blickfeld gelassen wurde oder versehentlich nicht untersucht wurde.

Siehe auch Wie geht OpenKAT mit Umfang und Berechtigungen um?.

Beweise machen Erkenntnisse überprüfbar. Ein Bericht sollte nicht nur sagen, dass etwas nicht stimmt, sondern auch zeigen, worauf diese Schlussfolgerung beruht.

Zu den Beweisen können Protokolle, Screenshots, Befehlsausgaben, Konfigurationsdaten oder andere Aufzeichnungen gehören. Selbstverständlich muss mit sensiblen Informationen sorgfältig umgegangen werden.

Lesen Sie auch Was bedeutet evidenzbasierte Sicherheit?.

Ein Befund ist ein identifiziertes Problem, Risiko oder ein Schwerpunkt der Forschung.

Ein guter Befund beschreibt, was gefunden wurde, warum es wichtig ist, um welche Beweise es sich handelt, welche Auswirkungen dies haben könnte und welche Maßnahme zur Reduzierung oder Lösung des Problems beiträgt.

Lesen Sie auch Was ist der Unterschied zwischen einem Risiko und einer Schwachstelle?.

Eine Schwachstelle ist eine Schwachstelle. Bei einem Risiko geht es darum, was diese Schwäche für die Organisation bedeuten kann.

Eine Schwachstelle in einem Testsystem ohne sensible Daten birgt oft ein anderes Risiko als die gleiche Schwachstelle in einem öffentlichen System mit personenbezogenen Daten. Der Kontext ist also wichtig.

Lesen Sie auch Was ist ein Befund?.

Nein. Große Organisationen haben oft formellere Audit- und Compliance-Anforderungen, aber auch kleinere Organisationen profitieren von klaren Vereinbarungen, besseren Nachweisen und nützlichen Berichten.

MIAUW kann tatsächlich dazu beitragen, Sicherheitsforschung verständlicher und übertragbarer zu machen.

Lesen Sie mehr unter MIAUW.

Die Stellungnahme eines Wirtschaftsprüfers kann dabei helfen, nachzuweisen, dass eine Untersuchung vereinbarungsgemäß durchgeführt wurde, ohne dass alle technischen Details allgemein bekannt gegeben werden müssen.

Dies ist nützlich, wenn ein vollständiger Bericht zu sensibel für eine weite Verbreitung ist, eine Organisation jedoch nachweisen muss, dass ernsthafte und überprüfbare Untersuchungen durchgeführt wurden.

Lesen Sie auch Wenn ich einen Pentest mit MIAUW durchführe, muss ich ihn dann öffentlich machen?.

Ein Pentest bzw. Penetrationstest ist eine kontrollierte Sicherheitsuntersuchung. Forscher versuchen, Schwachstellen zu finden, bevor es böswillige Parteien tun.

Ein Pentest ist kein zufälliger Angriff. Es bestehen Vereinbarungen über Umfang, Erlaubnis, Vorgehensweise, Berichterstattung und Sorgfalt. Die Forscher nutzen Techniken, die auch Angreifer nutzen können, allerdings mit dem Ziel, die Sicherheit zu verbessern.

In der Methodology for Information Security Research with Audit Value (MIAUW) haben wir ausführlich eine Definition unter der Leitung von Herrn V.A. diskutiert. der Pous. Daraus ergab sich diese Definition:

„Eine offensive Sicherheitsuntersuchung durch unser eigenes Personal oder Dritte, die eine kontrollierte Suche nach Schwachstellen in einem oder mehreren gesicherten Netzwerk- und Informationssystemen oder Teilen davon beinhaltet, die zum Einbruch in diese Systeme genutzt werden können und/oder die unbeabsichtigt oder eigenständig die Datenverarbeitung der untersuchten Organisation stören oder auf andere Weise nachteilige Folgen haben können.“

Lesen Sie auch Was ist MIAUW?.

Nein, das ist nicht nötig. Das Ziel von MIAUW ist es, den Kunden in den Mittelpunkt zu stellen. Wenn Sie für einen Bericht bezahlen, ist es sinnvoll, dass Sie die Kontrolle über das Produkt haben, das Sie kaufen. Deshalb sagt MIAUW etwas über den Lieferanten: Er darf dem Kunden keine Vertriebsbeschränkungen auferlegen. Es wird so beschrieben:

Für den Auftraggeber bestehen keine Beschränkungen hinsichtlich der Verbreitung, Veröffentlichung oder Speicherung des Berichts und der zugrunde liegenden Unterlagen. Ausgenommen hiervon sind Finanzdaten im Zusammenhang mit der Durchführung der Recherche, wie beispielsweise Stundensätze, Preise und Rechnungen.

Das übergeordnete Ziel ist, dass Sie mit einem Pentest auch nachweisen können, dass die wichtigen Dinge richtig geregelt sind. Das ist schwierig, wenn es Ihnen nicht gestattet ist, die Forschungsergebnisse anderen zu zeigen oder zur Verfügung zu stellen. Finanzielle Informationen über die Forschung müssen nicht weitergegeben werden, da sie nichts über den Sicherheitsstatus aussagen.

Enthält der Bericht zu viele vertrauliche Informationen, um ihn allgemein zu verbreiten? Dann kann ein Wirtschaftsprüferbericht weiterhelfen. Dadurch können Sie nachweisen, dass die Studie durchgeführt wurde und was das Hauptergebnis war, ohne alle technischen Details preiszugeben.

Kurz gesagt: Der Kunde bestimmt, welches Maß an Informationen er mit Partnern, Regulierungsbehörden oder anderen teilt, ohne vom Lieferanten daran gehindert zu werden.

Lesen Sie auch Was ist ein Wirtschaftsprüferbericht bei MIAUW?.

OpenKAT ist das Open Vulnerability Analysis Tool. Dabei handelt es sich um Open-Source-Software, die Organisationen dabei hilft, ihre digitale Landschaft abzubilden und Schwachstellen, Fehlkonfigurationen und Risiken sichtbar zu machen.

Bei OpenKAT dreht sich alles um Einsicht: Was haben wir, was ist sichtbar, was verändert sich und womit müssen wir etwas tun?

Lesen Sie mehr unter OpenKAT.

OpenKAT hilft, Ihr digitales Äußeres und Inneres besser zu verstehen. Es sammelt Informationen über Systeme, Domänen, Software und Einstellungen und wandelt sie in umsetzbare Erkenntnisse um.

Im Klartext: OpenKAT hilft zu erkennen, wo sich digitale Türen, Fenster und Schlösser befinden und welche davon Aufmerksamkeit erfordern.

Lesen Sie mehr unter OpenKAT.

Die Angriffsfläche ist alles, was ein Angreifer nutzen könnte, um sich Zugang zu verschaffen oder Schaden anzurichten.

Denken Sie an Websites, Mailserver, Cloud-Umgebungen, APIs, VPNs, alte Domänen, vergessene Testumgebungen und falsch konfigurierte Dienste. Je besser Sie den Untergrund kennen, desto gezielter können Sie ihn schützen.

Lesen Sie auch Warum ist kontinuierliche Einsicht wichtig?.

Digitale Umgebungen verändern sich ständig. Systeme werden hinzugefügt, Software aktualisiert, Einstellungen geändert und neue Schwachstellen entdeckt.

Ein einmaliger Scan ist daher eine Momentaufnahme. Kontinuierlicher Einblick hilft, Veränderungen zu erkennen und schneller zu reagieren, wenn sich etwas verschlechtert oder wieder anfällig wird.

Lesen Sie auch Kann OpenKAT Änderungen im Laufe der Zeit anzeigen?.

Nein. OpenKAT und Pen-Tests ergänzen sich.

OpenKAT bietet kontinuierliche technische Einblicke und kann viele Signale sammeln. Ein Pentest ist eine gezielte Untersuchung durch Menschen mit Kontext, Kreativität und Tiefe. OpenKAT kann dabei helfen, Pen-Tests gezielter durchzuführen und Ergebnisse besser zu verfolgen.

Lesen Sie auch Was ist ein Pentest? und OpenKAT.

Nein. Kein Sicherheitsprodukt findet alles automatisch.

OpenKAT hilft dabei, viele Informationen strukturiert zu sammeln und auszuwerten. Aber ein guter Umfang, eine gute Interpretation, ein gutes Management und eine gute Nachbereitung sind weiterhin erforderlich. Der menschliche Kontext bleibt wichtig.

Lesen Sie auch Wie hilft OpenKAT bei der Priorisierung?.

In OpenKAT ist ein Rogue eine kleine Forschungsaufgabe oder ein Scanner, der bestimmte Informationen sammelt. Es kann beispielsweise etwas über DNS, TLS, Softwareversionen oder andere technische Eigenschaften prüfen.

Die Idee ist modular: Viele kleine Aufgaben ergeben zusammen ein umfassenderes Bild der digitalen Umgebung.

Lesen Sie auch Was ist Normalisierung in OpenKAT?.

Ein Befund ist ein Signal, das Aufmerksamkeit erfordert. Dabei kann es sich um eine Schwachstelle handeln, aber auch um eine falsche Einstellung, fehlende Sicherheitsmaßnahmen oder eine Abweichung von der Richtlinie.

Ein Befund ist nicht immer sofort ein Vorfall. Dies ist in erster Linie ein Anlass zu beurteilen, was es bedeutet und welche Folgemaßnahmen erforderlich sind.

Lesen Sie auch Wie hilft OpenKAT bei der Priorisierung?.

Evidenzbasierte Sicherheit bedeutet, dass Schlussfolgerungen auf aufgezeichneten Daten basieren und nicht nur auf Gefühlen oder losen Annahmen.

OpenKAT hilft, indem es Beobachtungen speichert und mit Erkenntnissen verknüpft. Dadurch lässt sich leichter erkennen, worauf eine Schlussfolgerung basiert und wie sich die Situation im Laufe der Zeit verändert.

Lesen Sie auch Warum sind Beweise bei MIAUW wichtig?.

Bei Compliance geht es darum, nachzuweisen, dass Sie Regeln, Standards oder Vereinbarungen einhalten. OpenKAT kann technische Beobachtungen mit Richtlinien oder Standards verknüpfen.

Dadurch wird deutlicher, welche technischen Erkenntnisse auch verwaltungstechnisch oder rechtlich relevant sind. Dies hilft bei Audits, Reporting und Priorisierung.

Lesen Sie auch Kann OpenKAT bei NIS2 helfen?.

Nein. Sicherheitsspezialisten benötigen die technischen Details, aber OpenKAT ist auch für Administratoren, Prüfer, Compliance-Teams und Direktoren nützlich.

Jede Rolle betrachtet dieselbe Realität anders: technische Details zur Lösung, Übersichten zur Steuerung und Nachweise zur Verantwortlichkeit.

Lesen Sie mehr unter OpenKAT.

Ja. OpenKAT ist Open Source und kann selbst genutzt werden. Dies erfordert technisches Wissen, Management und sorgfältiges Design.

Einige Organisationen entscheiden sich daher für die Selbstverwaltung. Andere Organisationen bevorzugen die Zusammenarbeit mit einem Partner für Hosting, Design, Management oder Support.

Siehe auch Partner und OpenKAT.

OpenKAT ist ein Sicherheitstool und sollte mit Vorsicht verwendet werden. Das Scannen erfolgt nur im vereinbarten Umfang und mit Genehmigung.

Die Ergebnisse können sensibel sein, weil sie etwas über Schwachstellen und Institutionen aussagen. Schützen Sie diese Informationen also gut und gewähren Sie nur Personen Zugriff, die diese Informationen benötigen.

Lesen Sie auch Wie geht OpenKAT mit Datenschutz um?.

OpenKAT arbeitet mit Objekten, die untersucht werden können. Dies kann beispielsweise ein Domainname, eine IP-Adresse, eine Website, ein Server, ein Zertifikat oder eine andere technische Komponente sein.

Durch die separate Aufzeichnung solcher Objekte kann OpenKAT Beziehungen herstellen: Welche Website gehört zu welcher Domäne, welches Zertifikat gehört zu welchem ​​Dienst und welches Ergebnis gehört zu welcher Komponente.

Lesen Sie mehr unter OpenKAT.

Scanner erzeugen oft eine grobe Ausgabe. Normalisieren bedeutet, diese Ausgabe in Daten umzuwandeln, die OpenKAT auf feste Weise verstehen und vergleichen kann.

Dies ist wichtig, da OpenKAT Informationen aus verschiedenen Quellen kombinieren möchte. Nur wenn Daten sauber strukturiert sind, können Sie sie mit Objekten, Erkenntnissen, Standards und Zeitplänen verknüpfen.

Lesen Sie auch Was bedeutet evidenzbasierte Sicherheit?.

Ein Schwachstellenscanner sucht in der Regel nach bestimmten technischen Schwachstellen. OpenKAT ist umfassender: Es kann Daten aus mehreren Quellen kombinieren, Beziehungen herstellen, Änderungen im Zeitverlauf anzeigen und Ergebnisse mit Richtlinien oder Standards verknüpfen.

OpenKAT kann daher Scanner verwenden, ist aber selbst in erster Linie eine Plattform, um Beobachtungen, Kontext und Nachverfolgung zusammenzuführen.

Lesen Sie mehr unter OpenKAT.

OpenKAT ist für die Forschung in einem vereinbarten Umfang gedacht. Sie scannen also nur Systeme, für die Sie eine Genehmigung haben und bei denen klar ist, was untersucht werden kann.

Dies ist aus rechtlichen, technischen und organisatorischen Gründen wichtig. Sicherheitsforschung ohne klaren Umfang kann Risiken bergen und das Vertrauen schädigen.

Siehe auch Welchen Umfang hat eine MIAUW-Untersuchung?.

Ja. Eine wichtige Idee hinter OpenKAT ist, dass Sie nicht nur einen Schnappschuss wollen, sondern auch sehen möchten, wie sich die Situation verändert.

Dies hilft bei Fragen wie: Wurde ein Problem gelöst, ist es wieder aufgetreten, ist etwas Neues entstanden und wird die Sicherheitslage besser oder schlechter?

Lesen Sie auch Warum ist kontinuierliche Einsicht wichtig?.

Nicht jeder Befund hat die gleiche Dringlichkeit. Ein technisches Problem auf einem unwichtigen Testsystem ist oft weniger schwerwiegend als das gleiche Problem auf einem öffentlichen System mit sensiblen Daten.

OpenKAT hilft, indem es technische Signale mit Kontext, Richtlinien und Standards verknüpft. Dadurch kann eine Organisation besser bestimmen, was zuerst angegangen werden muss.

Lesen Sie auch Wie hilft OpenKAT bei der Compliance?.

OpenKAT kann bei der praktischen Seite nachweisbarer digitaler Widerstandsfähigkeit helfen: Einblicke in Systeme, Schwachstellen, Fehlkonfigurationen und Änderungen im Laufe der Zeit gewinnen.

Bei NIS2 geht es nicht nur um Technologie, sondern auch um Governance, Risiken und Nachweisbarkeit. OpenKAT kann hierfür technische Unterstützung leisten, ersetzt jedoch kein komplettes NIS2-Programm.

Lesen Sie auch Wie hilft OpenKAT bei der Compliance?.

OpenKAT untersucht hauptsächlich technische Daten, die Ergebnisse können jedoch sensibel sein. Ein Schwachstellen- oder Konfigurationsfehlerbericht kann missbraucht werden, wenn er an der falschen Stelle landet.

Deshalb ist es wichtig, den Zugriff einzuschränken, die Ergebnisse gut zu schützen und nur innerhalb eines klaren Bereichs zu scannen.

Lesen Sie auch Datenschutzbestimmungen dieser Website und Ist OpenKAT sicher zu verwenden?.

Einzelne Scanergebnisse sind oft schwer zu interpretieren. Durch Beziehungen wird deutlich, wie Komponenten zusammenhängen: Welche Domain gehört zu welcher Website, welcher Dienst läuft auf welchem ​​System und welches Ergebnis gehört zu welchem ​​Objekt.

Diese Beziehungen machen OpenKAT zu mehr als einer Liste von Benachrichtigungen. Es wird zu einem Modell der digitalen Umgebung, das hilft, Ursachen, Auswirkungen und Folgemaßnahmen besser zu verstehen.

Lesen Sie mehr unter OpenKAT.

Ja. OpenKAT ist interessant, weil es Informationen aus verschiedenen Quellen kombinieren kann. Berücksichtigen Sie Scanner, externe Datenquellen, Konfigurationsprüfungen und eigene Rechercheaufgaben.

Das Ziel besteht nicht darin, jedes Tool zu ersetzen, sondern darin, die Ergebnisse besser zusammenzuführen und sie für die Analyse, Überwachung und Verantwortlichkeit nutzbar zu machen.

Lesen Sie mehr unter OpenKAT.

OciDeck ist ein Präsentationsprogramm, das sich auf Inhalte konzentriert. Sie erstellen Folien aus klaren Folienformen, Daten und Text, anstatt Objekte manuell über eine Leinwand zu verschieben.

Lesen Sie mehr unter OciDeck.

OciDeck richtet sich an Personen, die Präsentationen als Wissensträger betrachten. Denken Sie an Trainer, Forscher, Sicherheitsexperten, Entwickler, Prüfer, politische Entscheidungsträger und Organisationen, die die Kontrolle über ihre Informationen behalten möchten.

Besonders interessant ist es, wenn Inhalte, Wiederverwendung, Überprüfbarkeit und sicheres Teilen wichtig sind.

Lesen Sie mehr unter OciDeck und Funktionen von OciDeck.

Viele Präsentationssoftware beginnt mit einer leeren Leinwand. Sie ziehen Textfelder, Bilder und Formen an die richtige Stelle.

OciDeck beginnt mit dem Inhalt. Sie wählen den Folientyp aus, tragen den Inhalt ein und lassen daraus die Präsentation entstehen. Dadurch können Folien einfacher überprüft, wiederverwendet und exportiert werden.

Lesen Sie auch Warum Marp für OciDeck wichtig ist.

Marp ist eine Möglichkeit, Präsentationen mit Markdown zu erstellen. Markdown ist eine einfache Textnotation.

Marp ist für OciDeck wichtig, weil es bedeutet, dass die Präsentation Klartext bleibt. Dies macht Änderungen kontrollierbar und stellt sicher, dass der Inhalt nicht in einem geschlossenen Dateiformat gesperrt wird.

Lesen Sie mehr unter Warum Marp für OciDeck wichtig ist.

Nicht unbedingt. OciDeck bietet strukturierte Editoren pro Folientyp. So können Sie arbeiten, ohne ständig Markdown schreiben zu müssen.

Markdown ist in erster Linie die offene Basis für die Präsentation. Davon kann jeder profitieren, der sich mit Markdown auskennt, allerdings ist es nicht für jede Nutzung eine zwingende Voraussetzung.

Lesen Sie auch Was ist Marp?.

Präsentationen enthalten oft sensiblere Informationen, als man denkt: Namen, E-Mail-Adressen, Kundendaten, Token, Screenshots, Sprechernotizen oder technische Details.

OciDeck hilft dabei, solche Informationen früher sichtbar zu machen, bevor eine Präsentation geteilt oder exportiert wird.

Lesen Sie mehr unter Datenschutzfunktionen in OciDeck.

OciWacht sucht lokal nach potenziell sensiblen Daten in einer Präsentation. Denken Sie an Identifikationsnummern, E-Mail-Adressen, Telefonnummern, Token, Schlüssel oder andere sensible Muster.

Für jedes Ergebnis kann der Ersteller entscheiden, was damit geschehen soll: Akzeptieren, Markieren oder Auslassen aus der Präsentation und dem Export.

Lesen Sie mehr unter Datenschutzfunktionen in OciDeck.

Nein, nicht für die normale Verarbeitung Ihrer Präsentation. OciDeck web läuft in Ihrem Browser: Die Flutter-Web-App wird vom Server geladen, danach laufen Bearbeitung, Live-Vorschau, OciWacht, Export nach PDF/PPTX/HTML und der CVSS-Builder clientseitig. Deckinhalte werden nicht zur Verarbeitung an ein Backend gesendet.

Es gibt auch keine eingebaute Telemetrie oder Analytics. Der OciDeck-Hostingserver bekommt daher keinen Einblick auf Anwendungsebene in Ihr Deck, Ihre Änderungen, Datenschutzbefunde oder Exporte.

Es gibt aber Nuancen. Wie jeder Webhost kann der Server gewöhnliche Access-Logs haben, zum Beispiel IP-Adresse, Zeitpunkt, angeforderte Dateien und User-Agent. Das zeigt, dass jemand die App geladen hat, aber nicht, was diese Person in OciDeck tut.

Außerdem gibt es einen optionalen Fetch-Proxy für URL-Importe, wenn eine Quelle keinen CORS-Zugriff erlaubt. Nur wenn Sie eine solche Non-CORS-URL über diesen Proxy öffnen, sieht der Server die eingegebene URL und leitet die Bytes weiter.

Andere ausgehende Verbindungen werden vom Benutzer ausgelöst und gehen an Ziele, die Sie selbst auswählen oder konfigurieren, etwa optionale KI-Unterstützung, WebDAV/Nextcloud, eine CVE-Datenbank, secmodule-Provisioning oder eine URL, die Sie selbst importieren.

Wenn Sie OciDeck im Browser nutzen möchten, gehen Sie zu ocideck.nl.

Lesen Sie mehr unter Datenschutzfunktionen in OciDeck.

Nein. Kein Scan findet alles.

OciWacht ist ein Tool, um Risiken früher zu erkennen und bewusster zu teilen. Der Ersteller bleibt für den Inhalt verantwortlich und muss bei sensiblen Präsentationen stets selbst mitdenken.

Lesen Sie auch Warum sind Datenschutzfunktionen in OciDeck wichtig?.

Nicht jede Folie ist für jedes Publikum gedacht. OciDeck kann dabei helfen, pro Präsentation und pro Folie zu bestimmen, wie weit verbreitet Informationen geteilt werden dürfen.

OciDeck kann somit dazu beitragen, dass eine interne Folie nicht versehentlich in einer umfassenderen Präsentation oder einem Export landet.

Lesen Sie mehr unter Teilen Sie auf der richtigen Ebene.

TLP steht für Traffic Light Protocol. Es handelt sich um ein Farbsystem, das anzeigt, wie vertraulich Informationen sind und mit wem diese Informationen geteilt werden dürfen.

Sie müssen die Abkürzung nicht kennen, um das Prinzip zu verstehen. Die praktische Frage ist: Wer darf diese Informationen sehen?

Lesen Sie mehr unter Teilen Sie auf der richtigen Ebene.

Ja. Diagramme in OciDeck bleiben mit den Daten verbunden. Dadurch sind sie besser kontrollierbar und weniger abhängig von Screenshots oder manuell erstellten Bildern.

Dies ist nützlich für Recherchen, Berichte, Dashboards und Präsentationen, bei denen Zahlen korrekt bleiben müssen.

Lesen Sie mehr unter Funktionen von OciDeck.

Ja. Checklisten können während der Präsentation abgehakt werden.

Dies ist nützlich für Schulungen, Workshops, Demonstrationen, Sicherheitsüberprüfungen und Berichte, in denen Fortschritte sichtbar sein müssen. Die Checkliste wird dann Teil der Geschichte und nicht etwas Zusätzliches zur Präsentation.

Lesen Sie mehr unter Funktionen von OciDeck.

Ja. OciDeck konzentriert sich auf die Arbeit aus einer einzigen Quelle und den Export in verwendbare Formate wie PDF, PPTX und eigenständiges Offline-HTML.

Der Vorteil besteht darin, dass derselbe Inhalt für verschiedene Zwecke verwendet werden kann, ohne jedes Mal manuell neue Kopien erstellen zu müssen.

Lesen Sie mehr unter Funktionen von OciDeck.

Ja. OciDeck ist Open Source. Der Quellcode ist in Forgejo:

https://pawprint.vigilis.online/LibreKAT/OciDeck

Lesen Sie auch OciDeck.

Folienformen sind feste Folientypen, z. B. Titel, Liste, Tabelle, Diagramm, Codebeispiel, Frage, Zeitleiste oder Dashboard.

Durch die Arbeit mit Folienformen muss der Ersteller weniger manuell scrollen. Der Inhalt steht im Mittelpunkt und OciDeck kann diesen Inhalt konsistenter anzeigen, steuern und exportieren.

Lesen Sie mehr unter Funktionen von OciDeck.

Ja. OciDeck unterstützt Folien mit Quellcode und Syntaxhervorhebung. Der Code bleibt echter Text statt eines Screenshots.

Dies ist nützlich für technische Präsentationen, Schulungen und Sicherheitsberichte, bei denen der Code lesbar und überprüfbar bleiben muss.

Lesen Sie mehr unter Funktionen von OciDeck.

Ja. OciDeck kann kostenlose Markdown-Folien einschließlich Mermaid-Diagrammen und LaTeX-Mathematik verwenden.

Dies bedeutet, dass Diagramme und Formeln als Quellinhalt gespeichert werden können und nicht als separates Bild, das sich später nur schwer ändern lässt.

Lesen Sie mehr über was Marp Markdown ermöglicht.

Der Markdown-Modus ist für Benutzer gedacht, die direkt in der Textquelle eines Decks arbeiten möchten. Dies kann für Suchen und Ersetzen, schnelle Textänderungen oder technische Überprüfungen nützlich sein.

Sie müssen nicht immer den Markdown-Modus verwenden. Für diejenigen, die lieber pro Folie arbeiten, bleiben die strukturierten Editoren bestehen.

Lesen Sie auch Was ist Marp?.

OciDeck enthält ein optionales MIAUW-Stifttestmodul. Dieses Modul ist für Berichte gemäß der Methodologie für Informationssicherheitsforschung mit Prüfwert gedacht.

Denken Sie an die Suche nach Folien, Zusammenfassungen, Checklisten, Umfangsübersichten und Unterstützung bei der Berichterstattung. Das Modul ist standardmäßig deaktiviert und für Situationen gedacht, in denen MIAUW wirklich relevant ist.

Lesen Sie mehr unter Funktionen von OciDeck und Was ist MIAUW?.

Offline-HTML-Export bedeutet, dass eine Präsentation als eigenständige HTML-Version übertragen oder geteilt werden kann, ohne dass während der Anzeige ein Netzwerkzugriff erforderlich ist.

Dies ist nützlich für Schulungen, Demonstrationen und Umgebungen, in denen Sie nicht auf Cloud-Präsentationen oder externe Dienste angewiesen sein möchten.

Lesen Sie mehr unter Funktionen von OciDeck.

Ja. OciDeck unterstützt Präsentationen unter anderem mit Vollbildanzeige, Tastaturnavigation, Timer, Notizen, Probemodus und Dual-Screen-Präsentation.

Damit ist OciDeck nicht nur ein Editor, sondern auch ein Werkzeug für die eigentliche Durchführung von Präsentationen.

Lesen Sie mehr unter Funktionen von OciDeck.

Ja. OciDeck kann mit Sprechernotizen und separaten Notizen für Teilnehmer arbeiten.

Dies ist nützlich, da nicht alle Informationen auf der Folie selbst enthalten sein müssen. Ein Redner benötigt möglicherweise zusätzlichen Kontext, während Teilnehmer eine übersichtliche Zusammenfassung oder Referenz benötigen.

Lesen Sie mehr unter Funktionen von OciDeck.

Ja. OciDeck kann Nextcloud/WebDAV als Quelle für OciDeck-Pakete und Marp-Markdown-Decks verwenden.

Dies eignet sich für Organisationen, die ihre Dokumente lieber selbst verwalten oder in ihrer eigenen kollaborativen Umgebung verwalten möchten.

Lesen Sie mehr unter Funktionen von OciDeck.

OciDeck konzentriert sich auf eine barrierefreie Benutzeroberfläche, einschließlich Tastatursteuerung, Beschriftungen für Bildschirmlesegeräte, Textskalierung und Ankündigungen zum Folienwechsel.

Bei der Zugänglichkeit geht es auch um Struktur. Da Folien aus echtem Inhalt bestehen, ist es einfacher, diesen Inhalt verständlich und überprüfbar zu halten.

Lesen Sie mehr unter Funktionen von OciDeck.