Open Source: Illusion oder Pfeiler der europäischen digitalen Souveränität?

Lange nahm Open Source im europäischen Diskurs eine zwiespältige Stellung ein: gefeiert in den Erklärungen, marginal in den Budgets. Das Souveränitätspaket vom 3. Juni 2026 ändert zumindest den Status: Die Open-Source-Strategie der Union figuriert dort als einer von vier Pfeilern, gleichrangig mit Halbleitern, Cloud und KI. Die Logik ist stichhaltig: Digitale Gemeingüter bieten vollständige Transparenz über den Technologie-Stack, verringern die proprietäre Abhängigkeit und erlauben es, den Innovationsaufwand zu bündeln. Gegenüber geschlossenen Plattformen, die fremdem Recht unterliegen, ist offener Code die einzige Abhängigkeit, die man auditieren, forken und selbst hosten kann. Sind die Quellen oder die Gewichte einmal beschafft, kann keine ausländische Entscheidung sie wieder entziehen.

Was der Juli gezeigt hat: Offenheit als Stärke …

Der Vorfall vom Juli sprach paradoxerweise ebenso für die Offenheit wie gegen sie. Es waren Open-Weights-Modelle, die es den Teams des Opfers erlaubten, die Payloads des Angreifers zu entschlüsseln und die Chronologie zu rekonstruieren — eine forensische Fähigkeit, die keine geschlossene API, Quoten und Nutzungsbedingungen unterworfen, im schlimmsten Moment garantiert hätte. Und es war die Offenlegungskultur des offenen Ökosystems, die binnen weniger Wochen das detaillierteste technische Post-mortem hervorbrachte, das je zu einem Vorfall dieser Art veröffentlicht wurde: Chronologie mit Zeitstempeln, rekonstruierte Aktionen, dokumentierte Methoden. Die gesamte Community hat aus dem Angriff gelernt. Ein geschlossener Akteur hätte vier Absätze veröffentlicht.

… und als Angriffsfläche

Doch die Ehrlichkeit gebietet, auch die andere Seite zu betrachten. Eine offene Plattform, gebaut, um externe Beiträge zu beschleunigen, exponiert strukturell mehr Fläche als ein geschlossener Garten: öffentliche Repositories, Evaluations-Pipelines, Drittkomponenten — es war im Übrigen eine exponierte, verwundbare Infrastrukturkomponente eines Dritten, die als Einfallstor diente. Der Vorfall ist zu einem zentralen Beweisstück in der Debatte über die Politik der Open-Source-KI geworden: Die Befürworter der Kontrolle sehen darin den Beleg, dass die Verbreitung mächtiger Fähigkeiten beschränkt werden muss; die Befürworter der Offenheit den Beleg, dass kollektive Verteidigung nur durch Transparenz funktioniert. Beide Lager haben in einem Punkt recht: Offenheit ohne Investitionen in die Absicherung ist ein ungedecktes Versprechen.

Die europäische Bedingung: die Gemeingüter finanzieren

Hier wird sich die europäische Strategie entscheiden. Open Source wird nur unter drei Bedingungen zum Pfeiler der Souveränität. Erstens: die Wartung und Sicherheit kritischer Komponenten finanzieren — nicht nur die Innovation, sondern die Rohrleitungen. Ausfälle kommen fast immer von obskuren Bausteinen, die von drei Freiwilligen gepflegt werden. Zweitens: eine europäische Audit- und Reaktionsfähigkeit für die Gemeingüter aufbauen (Code-Review, systematische SBOMs, CVEs, die in der vom Cyber Resilience Act geforderten Geschwindigkeit behandelt werden). Drittens: dass die öffentlichen Beschaffer zu einer Präferenz für offene Lösungen stehen, wo sie existieren — und den Diskurs so in ein Auftragsbuch verwandeln.

Die Antwort auf die Frage im Titel ist also an Bedingungen geknüpft. Pfeiler, ja — wenn Europa Open Source wie eine Infrastruktur behandelt, die man instand hält. Illusion, ganz sicher — wenn es sie weiter wie eine kostenlose Ressource behandelt, die man konsumiert.