Wissen
Der verständliche Leitfaden zu Lizenz-Compliance für Drittanbieter-Software
Was Open-Source-Lizenzen tatsächlich verlangen, wie sich die Regeln in echten Produkten zeigen, und wie Sie einen verteidigungsfähigen Nachweis erstellen. Geschrieben für Menschen, die unter Zeitdruck Due-Diligence-Anfragen beantworten, nicht für Anwälte.
Hier beginnen
„Open Source“ ist keine Erlaubnis zum Ausliefern. Es ist ein Vertrag.
Jede Bibliothek, Schriftart, jedes Icon und SDK, das Sie bündeln, kommt mit Bedingungen: Hinweis, Namensnennung, manchmal Copyleft. Sie sind standardisiert, öffentlich und durchsetzbar, oft ohne dass irgendjemand im Team sie gelesen hat. Hier sind die drei Annahmen, die Teams am meisten kosten.
„Es ist Open Source, wir können es ausliefern.“
Freizügige Lizenzen verlangen trotzdem Copyright- und Lizenzhinweise bei der Weitergabe. Copyleft kann Quellcode-Angebote verlangen. Niemals eine Fußnote in einem Wiki.
„Wir sind SaaS, Lizenzen gelten für uns nicht.“
Manche Pflichten sind bei reiner Netzwerknutzung leichter; viele nicht. Schriftarten, Installer und gebündelte Assets tragen weiterhin Pflichten, und Käufer fragen weiterhin danach.
„npm update ist doch nur ein Patch.“
Ein Versions-Update kann die geltende Lizenz ändern oder Copyleft hinzufügen. Routineupdates sind der häufigste Weg, wie Compliance unbemerkt bricht.
01Was die Regeln sind, und wo sie gelten
Alle Themen zu Lizenz-ComplianceGrundlagen
- Was sich in einem Produkt tatsächlich ansammeltHunderte Pakete, Schriftarten, Icons und SDKs, und die Auslöser, die Teams schließlich zum Hinsehen zwingen.
- Hinweis, Namensnennung & vollständiger TextDrei unterschiedliche Pflichten, die Prüfer kontrollieren, und die häufigste Lücke auf Compliance-Seiten.
- Copyleft, ohne den JuravortragWas GPL, LGPL und AGPL tatsächlich von Ihnen verlangen zu operationalisieren, bevor Sie ausliefern.
- Wer die Pflicht trägtEngineering, Recht und Produkt, und wann Lizenzpflichten für Ihre Organisation gelten.
- Wo Pflichten auftauchenWebsites, mobile Apps, Desktop-Installer und eingebettete Produkte tragen jeweils unterschiedliche Pflichten.
- Was es das Unternehmen kostetVerzögerte Deals, Überraschungen im Audit und trügerische Sicherheit, wenn niemand verantwortet, was ausgeliefert wird.
- Rechtliche Folgen in der PraxisUnterlassungsverfügungen, Schadensersatz und erzwungene Offenlegung aus realen Fällen der Lizenzdurchsetzung.
- Die Compliance-Seite erklärtWas eine käuferseitige Lizenzseite enthalten muss, und warum eine Tabelle dafür nicht ausreicht.
02Wo Compliance-Programme zu kurz greifen
Alle regulatorischen ThemenRegulatorik & SBOM
- Deckt SOC 2 oder ISO 27001 das ab?Nein. Hier ist die genaue Lücke zwischen einem Sicherheitszertifikat und Lizenz-Offenlegung.
- Die EU-Cyberresilienz-VerordnungWas die CRA-Dokumentation verlangt, im Vergleich zur Lizenzseite, die Due Diligence weiterhin erwartet.
- SBOM vs. LizenzseiteWarum eine maschinenlesbare Komponentenliste nicht dasselbe ist wie geprüfte Offenlegung.
- Lizenzfragen in FragebögenWie Sie aus einem geprüften, produktbezogenen Bestand antworten, ohne zu übertreiben.
03Schritt für Schritt, wenn Sie unter Zeitdruck stehen
Alle LeitfädenLeitfäden
- Lizenz-Compliance-ChecklisteWas Sie bei Bestand, Text und Namensnennung prüfen, bevor Sie eine URL teilen.
- Was die Beschaffung tatsächlich verlangtFortlaufender Nachweis, warum Exporte veralten, und wie Sie reagieren, wenn sich Abhängigkeiten schneller ändern als Unterlagen.
- Einen Bestand vor der Veröffentlichung prüfenEin praktischer Ablauf vom Import bis zur genehmigten Veröffentlichung, ohne Gates zu überspringen.
- Von SBOM zur Compliance-SeiteVerwandeln Sie CycloneDX oder Lockfiles, die Sie bereits erzeugen, in einen geprüften Nachweis.
- Lizenz-Compliance in M&ADiligence-tauglicher Nachweis: Attestationsseite, SPDX, CycloneDX und PDF aus einem Snapshot.
Lesen Sie sich ein, weil jemand nach einem Nachweis gefragt hat?
Überspringen Sie den Krisenmodus. Importieren Sie Ihren Bestand und sehen Sie in Minuten, kostenlos, wo Sie stehen.