Volksverschlüsselung: Das seltsame Open-Source-Verständnis des Fraunhofer SIT

Die vom Fraunhofer SIT initiierte sogenannte Volksverschlüsselung soll Open Source werden, sagt das Institut. Wir haben nach Details zur Offenlegung des Codes gefragt und verblüffende Antworten erhalten.

Artikel von Sebastian Grüner veröffentlicht am 24. März 2016, 13:32 Uhr

Das Open-Source-Verständnis zur Volksverschlüsselung entspricht nicht den Erwartungen. (Bild: Fraunhofer SIT)

Mit dem Projekt Volksverschlüsselung plant das Fraunhofer-Institut für Sichere Informationstechnologie (SIT) gemeinsam mit der Deutschen Telekom einen Dienst, der die Verschlüsselung von E-Mails sowie den Schlüsselaustausch möglichst einfach nutzbar machen soll. Laut den FAQ soll der Code des Dienstes explizit "Open Source" werden, doch die wenig aussagekräftige Erklärung lässt viel Raum für Bedenken. Deshalb haben wir beim SIT nachgefragt - und sind über die Antworten sehr überrascht.

Lizenz noch vollständig unbekannt

Inhalt:

1. Volksverschlüsselung: Das seltsame Open-Source-Verständnis des Fraunhofer SIT
2. Ein Repo ohne Beiträge von außen

Auf der Seite zur Volksverschlüsselung heißt es: "Wir wollen allen Interessierten freie Einsicht in den Source Code ermöglichen. So können sich auch Experten selbst davon überzeugen, dass keine Hintertüren (Backdoors) in der Software existieren." Diese Beschreibung erinnert mehr an den von Microsoft geprägten Begriff Shared Source als an die tatsächliche Open-Source-Definition durch die Open Source Initiative (OSI), die auf eine weitreichende Verfügbarkeit des Quellcodes abzielt.

In einer E-Mail erklärt das SIT darüber hinaus: "Es gibt noch keine Entscheidung zur genauen Lizenzart." Da die Volksverschlüsselung bereits seit mehr als einem Jahr in Entwicklung ist und damit beworben wird, künftig als Open Source zur Verfügung zu stehen, wirkt dies eher irritierend.

Zwar sind derartige, langfristige Ankündigungen vor allem von Unternehmen durchaus üblich. Doch wird recht schnell klar, warum sich das SIT noch nicht für eine konkrete Lizenz entschieden hat. Offenbar will das Institut eine sehr weitgehende Kontrolle über den Code behalten, was dem Open-Source-Verständnis des OSI, wenn überhaupt, nur sehr bedingt entsprechen dürfte.

Denn das SIT schreibt: "Als Institut, das den Mechanismen des Marktes unterliegt, können wir nicht Ergebnisse, deren Finanzierung eine beträchtliche Zahl von Personenmonaten erforderte, in Form einer sehr freizügigen Lizenz zur Verfügung stellen. Es ist uns wichtig, dass die Rechte an der Volksverschlüsselungs-Software allein bei uns liegen." Ob damit überhaupt eine Weiterverbreitung des Codes - eines der Grundprinzipien von Open Source - erlaubt sein wird, bleibt also noch völlig offen.