Was sich ansammelt
Was sich in einem normalen Produkt tatsächlich ansammelt
Hunderte Drittanbieter-Komponenten, und die Momente, die Teams schließlich zwingen, zu dokumentieren, was sie ausliefern.
Zuletzt aktualisiert: 2. Juli 2026
Was sich in einem normalen Produkt ansammelt
Hunderte npm-, Go- oder Rust-Pakete, jedes mit einer eigenen Lizenzpflicht
UI-Schriftarten unter der Open Font License oder proprietären Bedingungen, die typische Abhängigkeits-Importe nie auflisten
Icon-Pakete und Stock-Assets mit Creative-Commons- oder individuellen Namensnennungsregeln
Karten-, Analytics-, Zahlungs- und native SDKs mit Bedingungen zur Weiterverbreitung von Binärdateien
Apache-Projekte, die Namensnennung innerhalb von Installern verlangen, nicht nur auf einer Webseite
- Komponenten in einem typischen Produkt
247
Jede einzelne eine eigene Lizenzpflicht.
- Schriftarten, Icons oder SDKs in Ihrem Lockfile
0
Die Assets, die Lizenzbedingungen tragen, tauchen selten in Abhängigkeitslisten auf.
- fehlende NOTICE-Datei
1
Genug, um die Bedingungen in jedem Release zu verletzen, das damit ausgeliefert wurde.
Niemand hat eine einzige Liste. Niemand hat den Lizenztext bestätigt. Niemand hat veröffentlicht, was tatsächlich ausgeliefert wurde.
Meist ist das der Moment, in dem Teams endlich hinsehen
Ein Enterprise-Kunde verlangt einen Nachweis, dass Drittanbieter-Lizenzpflichten aktuell bleiben
SOC-2-, ISO-27001- oder SOC-1-Bericht in der Hand. Dann fragt ein Käufer etwas, das Ihr Fragebogen nie abgedeckt hat
M&A- oder Investment-Due-Diligence zu IP- und OSS-Risiken
Großes Release mit vielen Abhängigkeitsänderungen; Recht markiert GPL/LGPL/AGPL
Neue Schriftarten oder Icon-Pakete ohne dokumentierte Lizenzen
Namensnennungsdatei im Repository seit Jahren veraltet