Der IT-Planungsrat hat auf seiner 48. Sitzung am 26. November 2025 überarbeitete Musterverträge für die IT-Beschaffung der öffentlichen Hand beschlossen. Jetzt wurden acht der sogenannten Ergänzenden Vertragsbedingungen für IT-Dienstleistungen (EVB-IT) so angepasst, dass Bund, Länder und Kommunen Open-Source-Software künftig rechtssicher beschaffen können. Bislang waren die Vertragsvorlagen ausschließlich auf proprietäre Software ausgelegt.

Wie die Open Source Business Alliance (OSBA) mitteilt, betreffen die Änderungen die Vorlagen EVB-IT Erstellung, Überlassung Typ A, Pflege S, Dienstleistung, System, Systemlieferung, Service sowie die Rahmenvereinbarung. Noch nicht angepasst wurden die EVB-IT Cloud und die Überlassung Typ B – die OSBA steht der zuständigen Arbeitsgruppe nach eigener Aussage aber auch bei diesen ausstehenden Überarbeitungen beratend zur Seite. Der IT-Planungsrat empfiehlt seinen Mitgliedern die Nutzung der neuen Vorlagen.

Open Source wird bei neuer Software zum Standard

Die gewichtigste Neuerung findet sich im EVB-IT Erstellung: Bei neuen Softwareprojekten wird die Entwicklung und Bereitstellung als Open-Source-Software zum Standard. Vorgesehen ist dabei die Veröffentlichung auf der Plattform OpenCoDE, dem zentralen Repository der öffentlichen Verwaltung für quelloffene Software. Darüber hinaus sollen Auftragnehmer künftig eine SBOM (Software Bill of Materials) übergeben – ein maschinenlesbares Verzeichnis aller verwendeten Softwarekomponenten und Abhängigkeiten. Das verbessert die Transparenz über eingesetzte Bibliotheken und erleichtert das Schwachstellenmanagement erheblich.

In Vorlagen, bei denen sowohl Open-Source- als auch proprietäre Software infrage kommt – etwa EVB-IT Überlassung Typ A und EVB-IT Dienstleistung –, wurden Ankreuzmöglichkeiten geschaffen. Beschaffungsstellen können darüber gezielt Open-Source-Software auswählen oder bei Bedarf bestehende Open-Source-Regelungen in den AGB aktivieren.

Ende einer langen Rechtsunsicherheit

Die Überarbeitung beendet eine Phase erheblicher Unsicherheit. Viele Behörden interpretierten die bisherigen EVB-IT so, dass ein rechtssicherer Einkauf von Open Source nicht möglich sei. Open-Source-Anbieter waren dadurch faktisch von zahlreichen Vergabeverfahren ausgeschlossen. Die OSBA hatte bereits 2015 eine Handreichung veröffentlicht, um Beschaffungsstellen bei der Nutzung von Open Source mit den alten EVB-IT zu unterstützen – das genügte offenbar nicht, um die Bedenken flächendeckend auszuräumen.

Birgit Becker, Sprecherin der Working Group Beschaffung bei der OSBA, betont: „Die Anpassung der Vertragsmuster war für Open-Source-Unternehmen bisher mit großem Aufwand verbunden. Viele Anbieter konnten oder wollten diesen Mehraufwand nicht leisten.“ In der Folge hätten Beschaffungsstellen deutlich weniger Angebote erhalten. Die neuen EVB-IT schafften „endlich Klarheit und Rechtssicherheit“.

Digitale Souveränität und Nachnutzung

Die Anpassungen fügen sich in eine breitere politische Strategie ein. Mit § 16a des E-Government-Gesetzes sollen Bundesbehörden bei Neuanschaffungen Open-Source-Software vorrangig beschaffen. Die neuen EVB-IT setzen diese Vorgabe nun praktisch um. Der Leitgedanke „Public Money, Public Code“ – öffentlich finanzierter Code soll öffentlich verfügbar sein – wird damit auf Vertragsebene verankert.

OpenCoDE spielt dabei eine zentrale Rolle: Die Plattform ermöglicht es Verwaltungen, bereits entwickelte Software nachzunutzen, Konfigurationen auszutauschen und voneinander zu lernen. Behörden können sehen, welche Software in vergleichbaren Verwaltungen bereits im Einsatz ist, und Kollegen bei Fragen kontaktieren. Aufgaben wie Lizenzverifizierung und Sicherheitsaudits lassen sich zentral durchführen. Das fördert nicht nur die Interoperabilität zwischen Behördensystemen, sondern reduziert auch redundante Entwicklung.

Dass sich mit Open Source erhebliche Kosten einsparen lassen, zeigt das Beispiel Schleswig-Holstein: Das Land spart nach eigenen Angaben jährlich rund 15 Millionen Euro an Lizenzkosten – bei neun Millionen Euro einmaligen Investitionen für Migration und Weiterentwicklung. Rund 80 Prozent der Arbeitsplätze außerhalb der Steuerverwaltung arbeiten bereits ohne Microsoft Office, die E-Mail-Infrastruktur wurde auf Open-Xchange umgestellt.

Auch auf europäischer Ebene bewegt sich einiges: Die European Alliance for Industrial Data, Edge and Cloud hat im Juli 2025 eine Roadmap veröffentlicht, die Open Source als zentralen Pfeiler der europäischen Digitalstrategie positionieren soll. Dazu gehört unter anderem die Empfehlung, „Public Money, Public Code, Open Source First, European Preference“ in öffentlichen Beschaffungen zu mandatieren. Die deutschen EVB-IT-Anpassungen dürften damit als Blaupause für ähnliche Initiativen dienen.

(fo)

Ein Offizier der französischen Marine hat offenbar unabsichtlich in Echtzeit die genaue Position des Flugzeugträgers Charles de Gaulle ins Internet übertragen, als er mit einer Smartwatch trainiert hat, die mit dem Fitnessdienst Strava gekoppelt war. Das hat die französische Tageszeitung Le Monde herausgefunden, die demnach den Namen der Person kennt. Eine Karte in dem Artikel zeigt die Laufroute des Offiziers mitten im Mittelmeer, westlich von Zypern. Das ist eine enorme Sicherheitslücke, die aber nicht überraschend sein sollte. In der Vergangenheit gab es immer wieder Fälle, in denen Militärangehörige über Fitnesstracker Standorte militärischer Einrichtungen öffentlich gemacht haben.

Nichts gelernt?

Der nukleargetriebene Flugzeugträger kann pro Tag 1000 km zurücklegen und hat eine Besatzung von etwa 2000 Personen. Wenige Tage nach Beginn der US-amerikanischen und israelischen Luftangriffe auf den Iran wurde das Flaggschiff der französischen Marine ins Mittelmeer verlegt. Der Flugzeugträger ist dabei mit mehreren Begleitschiffen unterwegs. Die genaue Position der Flotte sollte auch angesichts iranischer Angriffe, die sogar Zypern erreicht haben, möglichst nicht in Echtzeit nachverfolgt werden können. Genau das hat der Offizier aber über Strava ermöglicht, schreibt Le Monde. Die Marine hat der Zeitung bestätigt, dass die derartige Nutzung von Strava den Vorschriften widersprochen hat und „geeignete Maßnahmen“ ergriffen würden.

Dass sportliche Nutzer und Nutzerinnen über Strava sensible Standortinformationen publik machen, ist nicht neu. Diesbezügliche Enthüllungen gehen vor allem auf eine Entdeckung aus dem Jahr 2018 zurück. Damals hat der australische Student und Konfliktforscher Nathan Ruser anhand der öffentlich zugänglichen Weltkarte von Strava vertrauliche Informationen über Militärbasen in aller Welt entdeckt. Es folgten weitere derartige Entdeckungen zu Militärs in aller Welt. 2024 hat Le Monde dann öffentlich gemacht, dass für den Schutz von hochrangigen Politikern zuständige Bodyguards und Geheimdienstleute über Strava deren Aufenthaltsorte preisgeben.

Zum jüngsten Fall schreibt die Tageszeitung nun noch, dass die bei Strava entdeckten Standortdaten sehr gut zu Satellitenaufnahmen passen, die die Ankunft der Charles de Gaulle im östlichen Mittelmeer zeigen. Diese Satellitenbilder wurden aber mit deutlicher Verzögerung öffentlich. Dort soll Frankreichs Marine vor allem Zypern schützen, nachdem eine dortige britische Militärbasis von einer Drohne iranischer Bauart getroffen wurde. Die Charles de Gaulle ist Frankreichs einziger Flugzeugträger. Der Nachfolger soll 2038 in Betrieb gehen und 10 Milliarden Euro kosten, hat France24 vor wenigen Tagen berichtet. Da hat Frankreichs Staatspräsident Emmanuel Macron angekündigt, dass das Schiff „France libre“ heißen soll.

(mho)

Die mit Abstand größte Plattform für VR-Piraterie hat den Betrieb eingestellt. Die unter dem Namen „VRPirates“ firmierende Gruppe hat auf ihrem Discord-Server das Ende ihrer Aktivitäten angekündigt.

„VRP stellt wegen einer aktuellen DMCA-Löschanfrage seitens Meta den Betrieb ein. Infolgedessen nehmen wir keine Spenden mehr an, stellen keine gesponserten Download-Server mehr bereit und hosten keine Inhalte mehr öffentlich. Sämtliche damit verbundenen Aktivitäten werden mit sofortiger Wirkung eingestellt“, heißt es wörtlich.

Meta hat die DMCA-Löschanfrage bislang nicht offiziell bestätigt, weshalb heise online Meta um eine Stellungnahme gebeten hat.

„Beat Saber“ soll Grund für Maßnahme gewesen sein

Das Kernprojekt der Gruppe war „Rookie Sideloader“, ein PC-Programm, das es Nutzern ermöglichte, Tausende VR-Spiele mit nur einem Mausklick auf Quest-Headsets herunterzuladen. Die gut organisierte Gruppe war unter anderem für das Cracken, Aktualisieren und Bereitstellen der Spiele auf Servern verantwortlich.

Der Code hinter „Rookie Sideloader“ ist nach wie vor auf Github verfügbar, aber weitgehend nutzlos ohne Server-Infrastruktur und ein Team, das Inhalte regelmäßig hochlädt und pflegt. Das Wiki der Gruppe, das Nutzer an die Verwendung von „Rookie Sideloader“ heranführte, ist nicht mehr im Netz abrufbar. Weiterhin aktiv ist der Discord-Server, der in Zukunft als reiner „Community-Server“ dienen soll. Ein Torrent-Projekt der Gruppe wurde schon im Februar wegen geringer Nutzung eingestellt.

In einer Ankündigung im Reddit-Subforum r/QuestPiracy nennt ein Vertreter der Gruppe weitere Einzelheiten zur DMCA-Forderung. Demnach soll das illegale Hosting des VR-Spiels „Beat Saber“ Auslöser der Löschanfrage gewesen sein. „Beat Saber“ gehört zu den erfolgreichsten VR-Spielen und wird von einem Studio entwickelt, das seit 2019 Meta gehört.

Durch die Ereignisse aufgeschreckt, warnt ein Moderator des Piraterie-Subreddits die mehr als 100.000 Mitglieder umfassende Gemeinschaft davor, Links zu alternativen Raubkopierplattformen zu posten und weist darauf hin, dass es derzeit keinen echten Ersatz für „Rookie Sideloader“ gebe. Offenbar erwägen auch die Moderatoren, ihre Aktivitäten einzustellen und das Subreddit zu schließen. „Wir haben noch keine endgültige Entscheidung getroffen, ob wir langfristig weitermachen oder VRP folgen. Vorerst bleiben wir mindestens bis zum 1. April bestehen“, schreibt der Moderator.

Metas Maßnahme folgt auf strategischen Kurswechsel

Das Ausmaß der Piraterie auf Meta Quest war erheblich: Einige VR-Entwickler, mit denen heise online im Januar gesprochen hat, schätzen, dass auf jede verkaufte Kopie bis zu vier illegale Downloads kommen. Die Schätzungen basieren auf Zahlen, die Meta selbst versehentlich veröffentlicht haben soll.

VR-Studios war „Rookie Sideloader“ schon seit Jahren ein Dorn im Auge, weil sich das Programm großer Beliebtheit erfreute und das Raubkopieren sehr einfach machte. Was die Frage aufwirft, warum Meta erst jetzt reagiert hat.

Der Grund könnte in Metas radikalem Strategiewechsel der vergangenen Monate liegen. Der Konzern hatte über Jahre hinweg mit unabhängigen VR-Studios konkurriert: zum einen über seine First-Party-Studios, die groß budgetierte Titel veröffentlichten, zum anderen über die eigene Metaverse-Plattform „Horizon Worlds“, die Spielen unabhängiger Entwickler durch aggressive Vermarktung und kostenlose Inhalte Aufmerksamkeit entzog.

Beides ist inzwischen Geschichte: Meta schloss im Januar den Großteil seiner VR-Studios, während Horizon Worlds schon bald von der Quest-Plattform getrennt und künftig nur noch für Smartphones weiterentwickelt werden soll. Meta selbst äußerte mehrmals, dass der Fokus wieder auf der Stärkung des Entwickler-Ökosystems liege. Was einschließen dürfte, auch deren Inhalte konsequenter vor Piraterie zu schützen.

Meta setzt damit offenbar um, was die krisengebeutelte Entwicklergemeinschaft seit Langem fordert: sich von den Metaverse-Fantasien zu verabschieden und Meta Quest wieder stärker als Gaming-Konsole mit starkem Entwickler-Rückgrat zu positionieren.

(tobe)