Die Ver­läss­lich­keit von Open-Source-Soft­ware als Thema eines For­schungs­pro­jekts der Uni­ver­sity of Applied Sci­en­ces St. Pöl­ten. Wis­sen­schaft­ler ent­wi­ckeln Platt­form für mehr Sicher­heit und Trans­pa­renz. CroSSD2 umfasst aktu­ell 2.400 Open-Source-Pro­jekte mit rund 688.000 ana­ly­sier­ten Dokumenten.

Open-Source-Soft­ware steckt heute in zahl­rei­chen digi­ta­len Anwen­dun­gen und Infra­struk­tu­ren. Gleich­zei­tig fehlt oft ein kla­rer Über­blick dar­über, wie sta­bil, sicher und nach­hal­tig ein­zelne Pro­jekte tat­säch­lich sind. Hier setzt nun ein For­schungs­pro­jekt der Uni­ver­sity of Applied Sci­en­ces St. Pöl­ten (USTP) an.

Im Rah­men des von net­idee geför­der­ten Pro­jekts CroSSD2 (Exten­ding the Cri­ti­cal Open-Source Soft­ware Data­base) wurde die bestehende Platt­form CroSSD (Towards a Cri­ti­cal Open-Source Soft­ware Data­base) tech­nisch und inhalt­lich umfas­send wei­ter­ent­wi­ckelt. Ziel ist es, die „Gesund­heit“ von Open-Source-Pro­jek­ten nicht nur anhand tech­ni­scher Kenn­zah­len, son­dern auch anhand qua­li­ta­ti­ver Fak­to­ren bewer­ten zu können.

Doku­men­tier­ten Ände­run­gen am Pro­gramm­code und Erweiterungen

Bis­her basier­ten viele Bewer­tun­gen von Open-Source-Pro­jek­ten vor allem auf quan­ti­ta­ti­ven Daten wie Anzahl der Ent­wick­ler, Com­mits (also doku­men­tier­ten Ände­run­gen am Pro­gramm­code) oder Releases. Die For­schungs­er­geb­nisse von CrOSSD2 zei­gen jedoch : Diese Kenn­zah­len allein rei­chen nicht aus. „Die Qua­li­tät von Kom­mu­ni­ka­tion, Doku­men­ta­tion und Zusam­men­ar­beit spielt eine zen­trale Rolle für die lang­fris­tige Sta­bi­li­tät von Open-Source-Pro­jek­ten“, erklärt Sebas­tian Neu­maier, Pro­jekt­lei­ter und Senior Rese­ar­cher an der USTP.

Neu­maier und die Team­kol­le­gen Lukas Daniel Klaus­ner und Tobias Dam ent­wi­ckel­ten neue KI-gestützte Ana­ly­se­ver­fah­ren, die qua­li­ta­tive Aspekte auto­ma­ti­siert bewer­ten kön­nen. Dazu zäh­len etwa Freund­lich­keit und Umgangs­ton inner­halb der Com­mu­nity, Qua­li­tät der Doku­men­ta­tion, Effi­zi­enz von Ent­wick­lungs­pro­zes­sen und Rei­fe­grad eines Pro­jekts. Die Platt­form ana­ly­siert dafür große Men­gen öffent­lich ver­füg­ba­rer Repo­si­tory-Daten (Anm. Infor­ma­tio­nen und Akti­vi­tä­ten aus Open-Source-Pro­jekt­ar­chi­ven auf Platt­for­men wie Git­Hub) mit­tels Natu­ral Lan­guage Pro­ces­sing (NLP) und Large Lan­guage Model­len (LLM).

Ein­bli­cke in die Open-Source-Community

Ein wei­te­rer Schwer­punkt von CrOSSD2 lag auf der Zusam­men­ar­beit mit der inter­na­tio­na­len Open-Source-Com­mu­nity. Die Gesprä­che mit Ent­wick­lern, Main­tai­ner und Com­mu­nity-Mana­ger zei­gen ein dif­fe­ren­zier­tes Bild, wie Men­schen Qua­li­tät und Kri­ti­k­ali­tät von Open-Source-Soft­ware ein­schät­zen. Beson­ders häu­fig wur­den Fak­to­ren wie aktive Com­mu­ni­ties, gute Doku­men­ta­tion, breite Nut­zung, ver­läss­li­che War­tung und trans­pa­rente Kom­mu­ni­ka­tion genannt. 

Kom­plex erwies sich die Frage, wann Soft­ware als „kri­tisch“ gilt. Das wurde pri­mär mit Abhän­gig­kei­ten inner­halb digi­ta­ler Infra­struk­tu­ren und Aus­fall-Fol­gen ver­bun­den. „Die Inter­views mach­ten deut­lich, dass ein Werk­zeug wie CrOSSD in der Pra­xis stark nach­ge­fragt wird. Ins­be­son­dere ange­sichts immer kom­ple­xe­rer Soft­ware-Lie­fer­ket­ten und wach­sen­der Sicher­heits­an­for­de­run­gen“, so Neumaier.

Nut­zen für Unter­neh­men und Entwickler

Die Platt­form rich­tet sich gezielt an Men­schen, die mit Open-Source-Soft­ware arbei­ten oder Ent­schei­dun­gen dar­über tref­fen müs­sen. Ent­wick­ler und Unter­neh­men kön­nen unter­schied­li­che Frame­works oder Biblio­the­ken anhand nach­voll­zieh­ba­rer Gesund­heits­me­tri­ken ver­glei­chen. Betrei­ber kri­ti­scher Infra­struk­tu­ren erhal­ten zusätz­li­che Infor­ma­tio­nen zu poten­zi­el­len Sicher­heits­ri­si­ken und Abhän­gig­kei­ten in ihren Software-Stacks. 

Auch För­der­ge­ber und öffent­li­che Ein­rich­tun­gen sol­len von den agg­re­gier­ten Ana­ly­sen und Grup­pen­ver­glei­chen pro­fi­tie­ren. Die Platt­form ermög­licht bei­spiels­weise einen Über­blick über die Gesund­heit net­idee-geför­der­ter Open-Source-Pro­jekte. Aktu­ell umfasst CrOSSD Anga­ben zufolge mehr als 2.400 Open-Source-Pro­jekte, rund 688.000 ana­ly­sierte Doku­mente und ver­wal­tet rund 72 GB an Daten.

Inter­na­tio­nale Ver­net­zung und Folgeprojekte

Das For­schungs­pro­jekt der USTP erhielt auch inter­na­tio­nale Auf­merk­sam­keit. Bei der Ver­an­stal­tung CHA­OSS­con EU 2026 in Brüs­sel prä­sen­tierte das For­schungs­team die Ergeb­nisse vor Ver­tre­tern der inter­na­tio­na­len Open-Source-Com­mu­nity, For­schen­den und Unter­neh­men. „Die dort geknüpf­ten Kon­takte und Dis­kus­sio­nen flie­ßen bereits in die nächs­ten Ent­wick­lungs­schritte ein“, so die USTP. Gene­rell bil­den die Ergeb­nisse aus CrOSSD2 die Basis für wei­tere For­schungs­pro­jekte an der USTP. 

Das For­schungs­team hat bereits das Fol­ge­pro­jekt „DigiSov-CrOSSD“ ein­ge­reicht, das die Platt­form gezielt in Rich­tung digi­tale Sou­ve­rä­ni­tät und Sicher­heits­be­wer­tung wei­ter­ent­wi­ckeln soll. Gemein­sam mit Part­nern aus Wirt­schaft und Ver­wal­tung soll unter­sucht wer­den, wie sich Risi­ken in Soft­ware-Lie­fer­ket­ten noch bes­ser erken­nen und bewer­ten las­sen. Die For­schungs­er­geb­nisse aus CrOSSD2 wer­den zudem aktu­ell in wis­sen­schaft­li­chen Publi­ka­tio­nen auf­ge­ar­bei­tet und wei­ter­ent­wi­ckelt. Alle ent­wi­ckel­ten Soft­ware-Kom­po­nen­ten, Doku­men­ta­tio­nen und For­schungs­er­geb­nisse ste­hen öffent­lich unter offe­nen Lizen­zen zur Ver­fü­gung. (red/​laucz)