Ratgeber für Rechtsberater in Unternehmen zur Einführung von Richtlinien für Open-Source-Software

Transkript

1 Ratgeber für Rechtsberater in Unternehmen zur Einführung von Richtlinien für Open-Source-Software So können Sie Ihr Unternehmen vor Risiken schützen und gleichzeitig eine effizientere Anwendungsentwicklung und -verwaltung ermöglichen Black Duck-Ratgeberserie

2 Unternehmensinterne Rechtsberater sehen sich immer öfter einem weit verbreiteten Dilemma gegenüber: Auf der einen Seite muss den Softwareentwicklungsteams die effizientere Nutzung von Open-Source-Software (OSS) ermöglicht werden, auf der anderen Seite muss das Unternehmen vor Lizenzrisiken geschützt werden. Bei OSS wird der lesbare Quellcode unter einer Copyright-Lizenz verfügbar gemacht. Softwareentwicklungsteams können die Software verwenden, ändern und verbessern und sie in unveränderter oder geänderter Form weiterverteilen. Häufig wird diese Software öffentlich in Gemeinschaftsarbeit entwickelt und leicht zugänglich für Softwareentwickler über das Internet bereitgestellt. Aufgrund der schlechteren Wirtschaftslage sind Unternehmen gezwungen, ihre Budgets zu reduzieren. Gleichzeitig müssen sie aber weiterhin innovative Softwareanwendungen produzieren, mit denen Firmen ihre Produktivität steigern und auf einem Markt mit immer stärkerer Konkurrenz Wettbewerbsvorteile erlangen können. Deswegen verlassen sich so viele Unternehmen auf Open-Source-Software, um Softwareprojekte mit einer geringeren Anzahl von Programmierern umzusetzen. Die Verwendung von Open-Source-Komponenten ist in der Entwicklung inzwischen zum Normalfall geworden. Entwickler nutzen immer mehr Open-Source-Software. Damit können Richtlinien und Managementplattformen der Unternehmen nicht Schritt halten. OSS setzt sich immer mehr durch, und die Gartner Group schätzt, dass in 85 % der befragten Unternehmen Open- Source-Software verwendet wird. Niemand kann von Softwaremanagern erwarten, Experten für Lizenzfragen zu sein. Ebenso kann niemand von Rechtsanwälten erwarten, dass sie ihre wertvolle Zeit dafür aufbringen, Quellcode zu überprüfen und sich an der Suche, Analyse und Auswahl von OSS zur Unterstützung von Unternehmensanwendungen zu beteiligen. Die effizienteste Möglichkeit für Rechtsanwälte, Unternehmen von den Vorteilen einer OSS-Einführung profitieren zu lassen, besteht darin, abteilungsübergreifende Richtlinien zu fördern. Mit diesen können die Risiken der OSS-Implementierung ausgewertet sowie Richtlinien und Verfahrensweisen festgelegt werden. Dies bietet Schutz für das Unternehmen, während gleichzeitig die Entwicklungsteams ihre Unternehmensziele effektiver erreichen können. Die Rechtsabteilung ist dafür verantwortlich, das Unternehmen vor Risiken zu schützen ohne dabei Richtlinien festzulegen, die die Flexibilität des Unternehmens beeinträchtigen. Eine erfolgreiche OSS-Implementierung wirft Fragen auf, auf die unternehmensinterne Rechtsberater Antworten kennen müssen. Zum Beispiel: Wie kann ich Klagen aufgrund von OSS- Lizenzverletzungen vermeiden? Wie kann ich die Entwicklungsteams bei der Einhaltung von Lizenzen unterstützen, ohne unsere Rechtsabteilung unnötig zu beanspruchen oder unser Budget durch externe Beratungskosten zu belasten? Wie kann ich sicher sein, dass die von uns entwickelte Software keine Softwarekomponenten enthält, die gegen Lizenzen verstoßen? Wie lassen wir bei potenziellen Käufen die angemessene Sorgfalt walten, um die Rechtmäßigkeit des vom Unternehmen erworbenen Softwarecodes sicherzustellen? Wie können wir die Informationen zusammentragen, die Rechtsanwälte, Softwareentwickler und Exportmitarbeiter benötigen, um die Konformität sicherzustellen? Wie kann ich dem Softwareentwicklungsteam dabei helfen, die wirtschaftlichen Vorteile von OSS zu nutzen, ohne dass der Entwicklungsvorgang durch die Rechtsabteilung ausgebremst wird? 1

3 Minimieren der Risiken von Open- Source-Software Im schwierigen wirtschaftlichen Klima von heute sind für ein Unternehmen nicht mehr nur die internen Entwicklungsressourcen wichtig, sondern es muss auch in der Lage sein, Open-Source-Software effizient zu suchen, zu integrieren und zu verwalten. Mehrere Hunderttausend Open-Source-Projekte und Milliarden von Open-Source-Softwarezeilen stehen heute zum Download bereit. Die meisten Rechtsabteilungen haben nicht die Personaldecke, um die Einhaltung von Lizenzanforderungen sicherzustellen und das Unternehmen vor Klagen zu schützen. Um die Konsequenzen einer nicht vorschriftsgemäßen Softwareverwendung zu vermeiden, müssen auf der Grundlage von Best Practices Richtlinien und Verfahrensweisen entwickelt werden. Außerdem muss die Verwaltung von OSS-Code automatisiert werden. Den Rechtsberatern müssen die Pflichten bekannt sein, die mit Open-Source-Softwarelizenzen verbunden sind. Darüber hinaus sollten sie die Entwicklung abteilungsübergreifender Richtlinien fördern, um die Organisation vor den Geschäftsrisiken zu schützen, die durch die Verletzung von Softwarelizenzen entstehen. Für Unternehmen können sich durch die OSS-Nutzung enorme Vorteile ergeben. Dies setzt aber voraus, dass die Rechtsberater die Entwicklung von Richtlinien und Verfahrensweisen fördern, um das Unternehmen zu schützen und die sichere und produktive Verwendung von Open-Source-Software zu ermöglichen. Führungskräfte in der Softwareentwicklung benötigen automatisierte Tools, um Risiken zu verwalten und die Vorteile von Open Source zu nutzen. 2

4 Discovery Service Report. 3 Freier Code bedeutet nicht frei von Pflichten. Open-Source-Komponenten bergen einzigartige und manchmal komplexe Lizenz- und Geschäftsrisiken in sich. Ohne angemessene Verwaltung können diese die Softwareentwicklung oder -auslieferung verzögern oder sogar verhindern. Ein kürzlich ergangenes Urteil des US-Bundesberufungsgerichts im Fall Jacobsen gegen Katzer stellte fest, dass Katzer Open-Source- Komponenten nicht vorschriftsgemäß verwendet und sich daher der Urheberrechtsverletzung sowie des Vertragsbruchs schuldig gemacht hatte. Dieser Fall hat der Durchsetzung von Open-Source-Lizenzen eine völlig neue Dimension verliehen. Mitarbeitern von Rechtsabteilungen wurde außerdem deutlich, wie wichtig es ist, eine scheinbar frei zugängliche und unbelastete Ressource explizit zu verwalten. Die Einhaltung der mit Open-Source-Lizenzen verbundenen Pflichten ist unerlässlich, um kosten- und zeitaufwändige Gerichtsverfahren zu vermeiden. Früher ging es lediglich um die richtige Zuschreibung von Open- Source-Komponenten zu Entwicklern und Unternehmen heute befassen sich Gerichte mit dieser Thematik. Darüber hinaus kann die öffentliche Aufmerksamkeit, die durch Open-Source-Lizenzprobleme erregt wird, den Ruf und die Beziehungen des Beschuldigten schädigen. Die unvorschriftsmäßige Verwaltung von Open-Source-Code kann negative Schlagzeilen, Urheberrechtsverletzungen und sogar einen Lieferstopp nach sich ziehen. Darunter leiden der Ruf des Unternehmens und die Umsätze. Es gibt beachtenswerte Beispiele für Unternehmen, die auf Beschuldigungen reagieren mussten, dass sie die Verwendung von Open-Source-Code nicht angemessen verwaltet hätten. Diebold musste sich einem Gerichtsverfahren wegen der Verletzung der GPL stellen, da das Unternehmen für seine Wahlcomputer Linux verwendete, ohne die öffentliche GNU-Lizenz einzuhalten. Schlechte Presse bekam auch Google bei der Einführung der mobilen Plattform Android Grund waren bekannte Sicherheitsprobleme. Skype wurde verklagt, weil die Firma gegen die GPL-Lizenz für ein VoIP-Telefon verstoßen hatte, und Verizon musste sich mit einer Klage auseinandersetzen, die die Softwarelizenzen von Open- Source-Software in drahtlosen Routern betraf. Es ist entscheidend, dass die Open-Source- Lizenzanforderungen nicht nur verstanden, sondern auch verwaltet werden, damit ein Unternehmen schlechte Presse sowie potenzielle Klagen vermeiden kann. Manuelle Methoden zum Suchen, Auswählen, Überwachen und Validieren von Open-Source-Code stellen für Rechtsabteilungen eine nicht zu bewältigende Belastung dar. Hier ist eine Automatisierung gefordert, damit Ihr Unternehmen OSS effizient in den Entwicklungsprozess integrieren kann, um Kosten zu senken und Anwendungen während ihres Lebenszyklus effektiv zu verwalten. Automatisierung als Grundlage für Produktivitätssteigerungen Black Duck Software ist weltweit der führende Anbieter von Produkten und Dienstleistungen zum Beschleunigen der Softwareentwicklung durch die verwaltete Verwendung von Open-Sourceund Drittanbietercode. Mit Black Duck können Unternehmen die Markteinführung beschleunigen sowie Entwicklungs- und Verwaltungskosten senken. Gleichzeitig können die Risiken und Probleme, die die Open-Source-Verwendung nach sich zieht, minimiert werden. Dies betrifft auch Lizenzpflichten, Sicherheitsrisiken und Versionsvielfalt. Die Open-Source-Verwendung bietet enorme Möglichkeiten zur Produktivitätssteigerung. Hierfür ist es aber wesentlich, dass die besten Open-Source- Komponenten leicht aufgefunden und bewertet werden können. Die Black Duck KnowledgeBase die über hundert tausende Projekte verfolgt ist die in der Branche umfangreichste Datenbank mit Open- Source-Software, zugehörigen Lizenzen und weiteren Informationen. Programmierer werden dafür bezahlt, Code zu

5 schreiben, zu testen und zu erweitern sowie Support zu leisten. Sie sind keine Rechtsexperten. Daher sollten Sie sie nicht als die betriebsinterne Autorität betrachten, die geschäftliche Entscheidungen über die Verwendung von Open-Source-Code fällt. Die Herausforderung liegt also darin, die Zusammenarbeit innerhalb der Organisation zu fördern, ohne das Entwicklungsteam mit unnötiger Bürokratie zu belasten. Oft fällt die Kommunikation schwer, weil die Rechtsanwälte und Entwickler aneinander vorbeireden. Die dynamische Natur der Softwareentwicklung erfordert ein automatisiertes Grundgerüst, das gegenseitige Kontrollen ermöglicht und Handlungsvorgaben für Rechtsanwälte und Programmierer enthält. Damit Open- Source-Komponenten erfolgreich genutzt werden können, muss die Verwaltung von Open-Source-Software als integrierter, abteilungsübergreifender Geschäftsvorgang und nicht einfach als Entwicklungsprozess behandelt werden. Die Automatisierungstechnologie kann Prozesse optimieren, die erforderlich sind, um die ordnungsgemäße Integration von Code aus verschiedenen Quellen erfolgreich zu verwalten. Zudem wird es den Softwareentwicklungsteams ermöglicht, die Risiken anhand der von den Rechtsberatern aufgestellten Richtlinien zu analysieren. Rechtsanwälte können Lösungen von Black Duck auch zur Einhaltung von Exportgesetzen nutzen, zum Beispiel den US-Gesetzen, die den Export von Software mit Verschlüsselung regeln. Black Duck bietet weltweit die erste und einzige Lösung, die speziell darauf zugeschnitten ist, die Einhaltung von Exportvorschriften für Verschlüsselungstechnologien in Software und elektronischen Geräten, die Software enthalten, zu vereinfachen. Rund um den Globus verlassen sich Rechtsberater bei der Analyse von Quellcode und der Identifizierung von Verschlüsselungstechnologien in Code auf Lösungen von Black Duck, um eine rasche und unkomplizierte Einhaltung der behördlichen Genehmigungs- und Dokumentationsanforderungen für Umsetzen von Best Practices Lösungen von Black Duck Software ermöglichen Rechtsanwälten die enge Zusammenarbeit mit Führungskräften aus der Softwareentwicklung, um sowohl Best Practices umzusetzen als auch die Entwicklung zu optimieren und Unternehmensressourcen effizient zu nutzen. Im Folgenden finden Sie nur einige der Best Practices, mit denen Sie Richtlinien zum Schutz des Unternehmens festlegen können: Vorhandene Komponenten sollten möglichst oft wiederverwendet werden. Verfolgen und kontrollieren Sie Änderungen an internen Komponenten. Kontrollieren Sie die Überprüfung sensibler oder externer Komponenten. Überprüfen Sie jeden Build und jede Version. Überprüfen Sie die Konformität bei jedem Übergang in die nächste Projektphase. Legen Sie ein Prüfprotokoll für die OSS- Nutzung an. Kontrollieren Sie die Nutzung von Komponenten. Bewerten Sie Softwarekomponenten vor dem Kauf. die internationale Softwarebereitstellung sicherzustellen. Unternehmen können jetzt mit automatisierten Systemen arbeiten, die Rechtsanwälte von der Aufgabe befreien, aufwändige rechtliche Überprüfungen für die Verwendung von Open-Source-Code durchzuführen. Sie können die Zusammenarbeit Ihrer Rechtsmitarbeiter, der Sicherheits- und der Softwareentwicklungsteams sowie weiterer Abteilungen, die Richtlinien aufstellen, straffen, um die OSS-Nutzung gemäß definierter Richtlinien und Verfahren zu optimieren. Auf diese Weise können die Rechtsanwälte die Transparenz steigern und 4

6 Unternehmen können jetzt automatisierte Tools bereitstellen, die den Lebenszyklus der Softwareanwendungen unterstützen. 5 Manager der Entwicklungsabteilung die Open-Source- Software sicher nutzen. Es kann eine echte Herausforderung sein, das Labyrinth von OSS-Komponenten mit den zugehörigen Lizenzen zu durchschauen. Manuelle Methoden stellen eine erhebliche Belastung der juristischen Mitarbeiter dar. Jetzt können Sie diesen ehemals mühsamen und zeitaufwändigen Prozess vereinfachen, indem Sie die Suche, Auswahl und Genehmigung von Komponenten automatisieren. Profitieren Sie von den zuverlässigen, bewährten Tools zur Ermittlung von potenziellen Lizenzkonflikten, decken Sie Diskrepanzen zwischen Unternehmensrichtlinien und der Verwendung geistigen Eigentums auf, und stellen Sie ein etabliertes Grundgerüst für die Nachverfolgung von Problembehebungen auf. Sie können jetzt eng mit Ihren Kollegen in der Softwareentwicklung und im Sicherheitsteam zusammenarbeiten, um durchsetzbare Richtlinien festzulegen. Mit diesen werden Softwareinhalte validiert, die Einhaltung von Lizenzen überprüft und potenzielle Probleme früh im Entwicklungszyklus erkannt bevor sich Ihr Unternehmen geschäftlichen Risiken aussetzt. Die Automatisierung reduziert die manuellen Vorgänge beim Entwerfen, Erstellen und Warten von Software auf ein Minimum. Rechtsberater können das Unternehmen vor Lizenzrisiken schützen und dabei eine effizientere und produktive Softwareentwicklung ermöglichen. Black Duck ist zuverlässig Für Entwicklungsteams in Unternehmen ist es nicht praktikabel, den enormen Pool an verfügbarem Quellcode mit den zugehörigen Metadaten zu verfolgen und zu aktualisieren. Ie Black Duck KnowledgeBase umfasst Hunderttausende von Projekten von mehreren tausend Webseiten und wird regelmäßig mit Tausenden von neuen Produkten auf den neuesten Stand gebracht.

7 Rechtfertigung für eine Unternehmensübernahme Die Voxeo Corporation ermöglicht die einfache Erstellung und Bereitstellung von Sprachanwendungen und plante eine geschäftliche Erweiterung durch die Übernahme einer innovativen Entwicklungsfirma aus dem asiatischen Raum. Im Rahmen dieser Planungen hat das Management eine Kurzbewertung der Codebasis des betreffenden Unternehmens durchgeführt. Dazu Daniel Polfer, Vice President of Engineering bei Voxeo: Uns ist bewusst, dass die Urheberrechtsgesetze in jedem Land anders ausfallen. Daher war es unser Ziel, den Code der von uns übernommenen Firma fair auszuwerten, um sowohl unsere Investition zu schützen als auch den Wert des Codes zu ermitteln und zu dokumentieren. Da die manuelle Auswertung des Codes nicht praktikabel war, setzte Voxeo das Analysesystem Black Duck Protex ein. Ein abteilungsübergreifendes Team aus Rechtsberatern und leitenden Programmieren analysierte den Code und danach konnte die Übernahme unbesorgt abgeschlossen werden. Bevor wir den Scheck für die Übernahme ausstellten, mussten wir herausfinden, welche Open-Source-Komponenten in der Firma für welche Zwecke verwendet wurden, sagte Polfer. Vor Vertragsabschluss konnten wir unser Geschäftsrisiko reduzieren, indem wir die Software objektiv auswerteten, Lizenzfragen klärten und sicherstellten, dass wir den Code unbesorgt für unsere Produktlinie nutzen konnten. Wir kamen zu dem Ergebnis, dass die zum Verkauf stehende Firma die Integrität ihres Codes angemessen präsentiert hatte. Dank Protex konnten wir uns vor potenziellen zukünftigen Problemen mit nicht dokumentierten Abhängigkeiten schützen. Die Auswertung unterstützte die Übernahme und untermauerte die Beweggründe dafür. Black Duck erfasst umfangreiche Metadaten zu Open-Source-Code, und die KnowledgeBase wird stetig erweitert. Black Duck half bereits Hunderten von Firmen dabei, die Verwendung von Open-Source- Software zu automatisieren. Einige der größten Softwareunternehmen der Welt haben Black Duck- Lösungen übernommen, um Unternehmensrichtlinien festzulegen, ohne dabei die Entwicklungsprozesse zu behindern. Über das von Black Duck bereitgestellte Grundgerüst erhalten Rechtsanwälte Zugriff auf zeitnahe und relevante Informationen zu den vom Unternehmen verwendeten OSS-Komponenten. So können sie Geschäftsrisiken effektiv verwalten. Automatisieren Sie die Open-Source-Verwendung, um die Einhaltung von Lizenzen gemäß den Richtlinien und Verfahren des Unternehmens effizient zu verwalten. Black Duck Software ist der führende Anbieter von Produkten und Dienstleistungen zum Beschleunigen der Softwareentwicklung durch die verwaltete Verwendung von Open-Sourceund Drittanbietercode. Mit Black Duck können Unternehmen die Markteinführung beschleunigen sowie Entwicklungs- und Verwaltungskosten senken. Gleichzeitig können die Risiken und Probleme, die die Open-Source-Verwendung nach sich zieht, minimiert werden. Dies betrifft auch verborgene Lizenzpflichten, Sicherheitsrisiken, nicht unterstützte Open-Source-Komponenten und Versionsvielfalt. Mit den Lösungen von Black Duck können Rechtsberater die potenziellen Fallstricke der Entwicklung mit einer gemischten Codebasis umgehen, und sie können dem Unternehmen bei der effizienten Entwicklung und Durchsetzung eines Open-Source-Genehmigungsprozesses helfen, damit Geschäftsrisiken effektiv verwaltet werden. Wenn Sie mehr darüber erfahren möchten, wie OSS-Implementierungen auf der Grundlage von Best Practices in Ihrem Unternehmen automatisiert werden können, besuchen Sie 6

8 Weitere Informationen Wir laden Sie zu einer kostenlosen Beratung durch einen unserer Experten für Open-Source- Software ein. Viele Interessenten haben diese kostenlose Beratung bereits in Anspruch genommen, um zu erfahren, wie die Black Duck Suite zum Schutz des Unternehmens vor Risiken beitragen und gleichzeitig eine effizientere Anwendungsentwicklung und -wartung ermöglichen kann. Besuchen Sie um einen Termin für die kostenlose Beratung zu vereinbaren. Einer unserer OSS-Experten wird Kontakt mit Ihnen aufnehmen, um Ihren Beratungstermin nach Ihren Wünschen zu vereinbaren. Wenn Sie sofort ein Gespräch führen möchten, rufen Sie bitte unsere Kunden-Hotline unter folgender Nummer an: +49 (69) Über Black Duck Software Black Duck Software ist der führende Anbieter von Produkten und Dienstleistungen zur Automatisierung der Verwaltung, Steuerung und sicheren Verwendung von freier und Open- Source-Software auf Unternehmensebene und in einem Entwicklungsprozess mit mehreren Quellen. Mit Black Duck können Unternehmen ihre Time-to-Solution verkürzen, die Entwicklungskosten reduzieren und gleichzeitig die Herausforderungen von Verwaltung, Konformität und Sicherheit von freier und Open-Source-Software meistern. Black Duck Software ist die Grundlage von Koders.com, der führenden Codesuchmaschine der Branche für Open-Source-Code, Ohloh.net, der größten Community und dem größten kostenlosen öffentlichen Verzeichnis für Open-Source-Code, sowie The Olliance Group, dem führenden Beratungsunternehmen für Business und Strategie im Open-Source-Bereich. Das Unternehmen gehört laut Softwaremag zu den 500 größten Softwareunternehmen der Welt und hat seinen Sitz in der Nähe von Boston. Zweigstellen befinden sich in San Mateo, Kalifornien, London, Paris, Frankfurt, Hong Kong, Tokio und Peking. Weitere Informationen finden Sie unter Black Duck, Know Your Code, Ohloh, SpikeSource, Spike und das Black Duck-Logo sind eingetragene Marken von Black Duck Software, Inc., in den USA und/oder anderen Ländern. Koders ist eine Marke von Black Duck Software, Inc. Alle anderen Marken sind Eigentum der jeweiligen Inhaber. Kontakt Um mehr zu erfahren, wenden Sie sich bitte an oder rufen Sie uns an: +49 (69) Weitere Informationen finden Sie auf der Black Duck-Website: GD-CC-0902-A4-AA