Was steckt hinter der Open-Source-Strategie?

Als die Gematik kürzlich die Quellcodes für die E-Rezept-App veröffentlichte, hieß es in ihrer Pressemitteilung vom 5. August: „Damit folgt sie ihrem Weg der Transparenz gegenüber der breiten Öffentlichkeit und der Fachcommunity.“ Man wolle damit das Vertrauen in die Telematik­infrastruktur (TI) stärken und in den Austausch gehen. „Die Community ist kein stiller Leser – wir erwarten konstruktive Kritik von Experten, was unserer App letztendlich zugutekommt und die Nutzerfreundlichkeit erhöhen kann“, kommentierte Florian Hartge, Verantwortlicher für Produktionsprozesse innerhalb der Gematik. „Die Entwicklung, die Einführung und auch die sicherheitstechnische Bewertung der E-Rezept-App sollen mit größtmöglicher Offenheit geteilt werden“, so die Idee.

Doch die wenigsten Apotheker:innen dürften mit solchen Codes etwas anfangen können. Wie viel Transparenz steckt also wirklich in der Open-Source-Strategie der Gematik? Und lässt sich auf diesem Weg das Ziel erreichen, das Vertrauen in die TI zu stärken – also bringt dieses Vorgehen einen Gewinn in puncto Sicherheit?

Verglichen mit dem Bau eines Hauses seien die Spezifikationen so etwas wie der Bauplan, erläutert der IT-Experte. „Da steckt alles Wichtige drin“, sagt er. Die Quellcodes könne man mit dem Rohbau vergleichen. „Anhand der Quellcodes kann man also überprüfen, ob das, was im Bauplan steht, auch umgesetzt wurde und ob vorgeschlagene Änderungen eingeflossen sind.“ Immer vorausgesetzt, die publizierten Quellcodes würden auch eins zu eins umgesetzt.

Zudem ist es möglich, anhand der Quellcodes potenzielle Sicherheitslücken zu identifizieren. Das ist naturgemäß keine Spielwiese für die Apotheker, sondern für Fachleute wie Tschirsich. Es gibt nur ein Problem: Anders als auf Konzernebene inzwischen üblich, lobt die Gematik keine Prämien aus für das Auffinden solcher Schwachstellen. Die im Fachjargon als „Bug Bounties“ bezeichneten Boni sind meist gestaffelt, je nachdem, als wie gefährlich die auf­gespürte Sicherheitslücke einzustufen ist. „Damit sorgt man dafür, dass möglichst viele Menschen, die etwas davon verstehen, die Sicherheit des Systems prüfen“, erklärt der IT-Spezialist.