Ondrej Surý befand sich im Urlaub in Italien, als Sicherheitslücken in PHP, der Programmiersprache, die von rund 70 % der Websites verwendet wird, ein dringendes Sicherheitsproblem verursachten. Nachdem ein Patch für zwei von US-amerikanischen Sicherheitsunternehmen entdeckte Schwachstellen durchgesickert war, hätten Angreifer möglicherweise Websites verändern, Kundendaten stehlen oder auf andere Computer zugreifen können.

Surý, ein 49-jähriger tschechischer Ingenieur, paketierte den korrigierten Code, damit Entwickler ihn schnell installieren konnten. Er passte die Fehlerbehebung außerdem für ältere PHP-Versionen an, wodurch Tausende Entwickler die Arbeit nicht selbst durchführen mussten und der Schutz von Millionen von Websites verbessert wurde.

Obwohl er öffentlich Dank erhielt und in Medienberichten als anonymer Held bezeichnet wurde, betrachtet Surý die Arbeit als Routine. Er ist der wichtigste Maintainer von PHP und anderen Paketen für Debian, eine freiwillige Aufgabe, die auf Patreon von 490 Menschen unterstützt wird, die monatlich 1.539 Euro beitragen.

Der Vorfall machte deutlich, wie abhängig die Internetinfrastruktur von Open-Source-Software ist, die von Einzelpersonen gepflegt wird. Courtney Miller, Professorin an der George Washington University, sagte, viele Unternehmen profitierten von Open-Source-Projekten, obwohl diese häufig von einer einzigen Person geleitet würden. Maintainer könnten ihre Tätigkeit irgendwann wegen eines neuen Jobs, nachlassenden Interesses oder Zeitmangels aufgeben.

Der Druck nimmt zu, da künstliche Intelligenz die Suche nach Sicherheitslücken beschleunigt. Michael Schwartz, technischer Direktor beim Cybersicherheitsunternehmen Censys, sagte, KI-Tools könnten dazu führen, dass mehr Schwachstellen entdeckt würden, während sie zugleich die Abwehrmöglichkeiten verbesserten. Das Ergebnis sei ein zunehmend schneller Wettbewerb zwischen Angreifern und Verteidigern, der für kleine freiwillige Teams möglicherweise schwer zu bewältigen sei.

Daniel Stenberg, der Entwickler hinter dem Datenübertragungswerkzeug curl, argumentierte, dass Unternehmen, die von Open-Source-Software profitieren, zu den Projekten beitragen sollten, auf die sie sich verlassen. Surý sagte ebenfalls, kommerzielle Unternehmen sollten für die von ihnen verkauften Produkte zur Verantwortung gezogen werden und dabei helfen, die in ihren Systemen verwendete Open-Source-Software zu finanzieren.

Surý ist der Ansicht, dass die größte Herausforderung darin besteht, neue Maintainer zu finden. Er sagte, freie Software habe einst frisch und aufregend gewirkt, während heute die Geschwindigkeit des Internets und die Zahl der verfügbaren Technologien jüngere Menschen möglicherweise überforderten. Seiner Ansicht nach erfordert die Pflege essenzieller Software die Bereitschaft, etwas für andere zu tun.

Experten warnten, dass sich ähnliche Vorfälle erneut ereignen könnten. Jesús María González Barahona, Professor für Telematiktechnik an der Universität Rey Juan Carlos, sagte, weit verbreitete Komponenten könnten schnell ausnutzbaren Sicherheitslücken ausgesetzt sein, die möglicherweise kritische Infrastrukturen beeinträchtigten. Er forderte größere Investitionen sowohl von Unternehmen als auch von öffentlichen Einrichtungen.

Quellen: El País Sociedad.