Mit vergleichsweise wenig Aufwand lässt sich Propaganda einschleusen oder fehlerhafter Code erzeugen, wenn KI in der Softwareentwicklung eingesetzt wird.

Damit wird künstliche Intelligenz zur größten Blackbox der IT.

Es stellt sich daher die Frage, wie viele solcher Unterwanderungen in Firmen und FLOSS-Projekten bereits erfolgreich waren und wie viele Schwachstellen dadurch eingebaut wurden und ausnutzbar sind. Insofern sollte dieser Vorfall ein Anlass für alle sein, die an Softwareentwicklungsprojekten beteiligt sind, über solche Möglichkeiten zu reflektieren und Maßnahmen umzusetzen, solche Risiken zu minimieren. Dazu gehören sowohl eine erhöhte Sensibilität gegenüber Social Engineering als auch technische Maßnahmen.

Die Aussage trifft den Nagel auf den Kopf. Bei politischen Debatten um die Sicherheit von OSS bleibt eine Frage ungefragt: Wie wahrscheinlich ist ein Angriff? Wie einfach ist es, eine Firma zu infiltrieren? Unsere Zeit ist geprägt durch Outsourcing in Softwareentwicklung. Hier wird meist nur die Feature-Liste abgeprüft. Zudem ist Fluktuation bei Personal durch Fachkräftemangel omnipräsent.

Nachfolgend möchte ich einige Punkte näher beleuchten und richtigstellen:

1. Zur Bezeichnung des Angriffs als “SSH-Hack”: Der Titel “Pressemitteilung SSH-Hack” erweckt den Eindruck eines klassischen Hacks, jedoch handelt es sich in diesem Fall um einen Supply-Chain-Angriff. Im Gegensatz zu einem direkten Hack erfolgt ein Supply-Chain-Angriff mittelbar über Drittanbieter, in diesem Fall die Bibliothek XZ Utils¹. Die korrekte Terminologie ist wichtig, um die Herkunft oder Ziele des Angriffs korrekt zu beschreiben.

2. Zur Zuweisung der Täterrolle: Die Behauptung, dass chinesische Angreifer involviert waren, basierte auf frühen Annahmen, die sich später als unzutreffend erwiesen.² Aktuelle Erkenntnisse deuten darauf hin, dass die Unterwanderung von Russland ausging. Hier besteht offensichtlich ein Mangel an gründlicher Recherche seitens des DATABUNDs.

3. Zur Verantwortlichkeit für den Quellcode: Die Aussage, dass Community-Entwickler keine Verantwortung für ihren Code übernehmen und keine Konsequenzen für Fahrlässigkeit oder Fehlverhalten zu befürchten haben, ist nicht korrekt. Tatsächlich ist es möglich, Zusicherungen von Open-Source-Herstellern³ zu erhalten, ähnlich wie bei proprietärer Software. Update: Tim hat ergänzt, dass Entwicklerinnen und Entwickler bei grober Fahrlässigkeit oder sogar vorsätzlichem Fehlverhalten persönlich für ihre Handlungen haftbar gemacht werden können. ⁴

4. Zur Beschaffung von Software ohne Garantien: Die Annahme, dass öffentliche Verwaltungen nur Software mit Garantien beschaffen, ist nicht zutreffend. Produkte wie Firefox, KeePass oder VLC Player werden ohne explizite Garantien in Verwaltungen eingesetzt. Die Entscheidung, welche Software beschafft wird, hängt von verschiedenen Faktoren ab, und nicht immer ist eine umfassende Gewährleistung möglich oder erforderlich.

5. Zur Bedeutung von Open Source und digitaler Souveränität: Die Aussage des DATABUNDs, dass digitale Souveränität nicht nur auf ein Lizenzmodell beschränkt sein sollte, ist zwar grundsätzlich richtig, vernachlässigt jedoch die essenzielle Rolle offener Standards und Datenformate, die oft mit Open Source einhergehen. Diese ermöglichen echte Wahlfreiheit und Teilhabe, indem sie Interoperabilität und Unabhängigkeit von einzelnen Anbietern fördern.

Aus fachlicher Perspektive betrachtet erscheint die Pressemeldung als wenig fundiert und unseriös. Sie scheint die Beibehaltung bestehender Geschäftspraktiken zu fordern, um jegliche Veränderungen zu vermeiden und den Status quo beizubehalten.

(Disclaimer: Ich beziehe mich auf die Pressemeldung die am 20. April 2024 um circa 10 Uhr veröffentlicht war. Ich arbeite für einen IT-Dienstleister der öffentlichen Verwaltung und bin in einer Position ähnlich der eines Open-Source-Beauftragten tätig.)

Grundlegende Komponenten werden von sehr vielen Unternehmen und Organisationen eingebaut und genutzt, ohne dass diese deren Pflege sicherstellen. Wir sehen hierin eine Aufgabe von öffentlichem Interesse, weswegen diese langfristig nicht alleine in der Verantwortung von Ehrenamtlichen und auch nicht alleine in der des privatwirtschaftlichen Sektors liegen sollte. Die Relevanz dieser Aufgabe muss in der Breite der Gesellschaft anerkannt und ihr die dementsprechende Priorität eingeräumt werden.