Zum ersten Mal waren wir dieses Jahr auf der FrOSCon an der Hochschule Bonn-Rhein-Sieg dabei. Zwei Tage lang drehte sich dort alles um Open Source, Softwareentwicklung, IT-Sicherheit und digitale Souveränität. Neben zahlreichen Vorträgen und Workshops bot die Konferenz vor allem viel Raum für Austausch – und einige Themen, die uns auch in unserer täglichen Arbeit beschäftigen.

Unser erster Besuch auf der FrOSCon 2026

Die FrOSCon – kurz für „Free and Open Source Software Conference“ – bringt jedes Jahr Entwicklerinnen und Entwickler, Open-Source-Communities, Unternehmen sowie Menschen aus Verwaltung und Wissenschaft zusammen. Für uns war es der erste Besuch – und mit Blick auf das Programm sicher nicht der letzte. Besonders interessant waren für uns in diesem Jahr die Beiträge rund um IT-Sicherheit und Software Supply Chains. Der sichere Umgang mit Softwareabhängigkeiten, Schwachstellen und Updates wird in Entwicklung und Betrieb immer wichtiger. Entsprechend spannend waren unter anderem Vorträge zum Cyber Resilience Act (CRA), zu Supply Chain Security sowie zum Patch- und Vulnerability Management.

Container Security und Software Supply Chains: Public Money, Public Containers

Ein besonderes Highlight war für uns der Vortrag „Public Money, Public Containers“. Im Mittelpunkt standen gehärtete Open-Source-Container-Images für die öffentliche Verwaltung und die Frage, wie sich eine sichere, transparente und langfristig nachvollziehbare Container-Lieferkette aufbauen lässt.

Das Thema betrifft uns unmittelbar: Wir sind Teil der Secure Government Container Initiative (SGCI). Über container.gov.de stellt die Initiative minimale und gehärtete Container Images für den produktiven Einsatz bereit. Im Auftrag des Zentrums für Digitale Souveränität der Öffentlichen Verwaltung (ZenDiS) arbeiten wir an genau solchen Images und übernehmen dabei auch Aufgaben rund um deren kontinuierliches Schwachstellenmanagement.

Ein wesentlicher Bestandteil dieses Prozesses ist die Software Bill of Materials (SBOM). Sie macht transparent, welche Pakete und Abhängigkeiten in einer Software beziehungsweise einem Container Image tatsächlich enthalten sind. Genau diese Transparenz bildet die Grundlage dafür, bekannte Schwachstellen systematisch zu erkennen und zu bewerten.

Zum Einsatz kommt dabei DevGuard, eine Open-Source-Plattform für Software Supply Chain Security. Sofern die paketierte Software bereits eine SBOM bereitstellt, wird diese übernommen. Ist keine vorhanden, erzeugt DevGuard selbst eine SBOM. Auf dieser Grundlage werden enthaltene Komponenten kontinuierlich auf bekannte Sicherheitslücken geprüft. Dabei geht es nicht nur darum, möglichst viele CVEs aufzulisten. Entscheidend ist die Frage, welches Risiko eine Schwachstelle im konkreten Image tatsächlich darstellt.

Wir prüfen deshalb die tatsächliche Ausnutzbarkeit und bewerten mindestens jede Schwachstelle mit einem CVSS-Score ab 7 explizit. Diese Bewertungen und die dazugehörigen Sicherheitsinformationen werden ebenfalls öffentlich bereitgestellt. Die Anforderungen an die veröffentlichten Images sind ebenfalls transparent dokumentiert. Die technischen Zugangsvoraussetzungen der SGCI definieren unter anderem Anforderungen an den Umgang mit bekannten Schwachstellen und die dazugehörigen Sicherheitsinformationen.

Damit ist das Thema des Vortrags für uns weit mehr als Theorie: Es beschreibt einen Ansatz, den wir in unserer täglichen Arbeit bereits praktisch umsetzen. Und es zeigt einen für uns wichtigen Aspekt von Open Source: Öffentlich finanzierte Arbeit an der Sicherheit von Software kann selbst wieder öffentlich nutzbar werden. Gehärtete Images, Build-Prozesse und nachvollziehbare Sicherheitsinformationen stehen der Allgemeinheit zur Verfügung, anstatt hinter einem proprietären Subscription-Modell zu verschwinden.

Open Source in der öffentlichen Verwaltung

Ein weiteres Thema, das uns auf der FrOSCon begleitet hat, war der Einsatz von Open Source in der öffentlichen Verwaltung. Gerade hier gibt es viele Anforderungen, die nicht nur eine einzelne Behörde oder Kommune betreffen. Umso interessanter ist die Frage, an welchen Stellen gemeinsam entwickelte und nachnutzbare Lösungen sinnvoller sind, als vergleichbare Probleme immer wieder unabhängig voneinander zu lösen. Dazu konnten wir auf der FrOSCon spannende Gespräche mit Menschen aus dem öffentlichen Dienst führen, die bereits eigene Erfahrungen mit Digitalisierungsprojekten – unter anderem in Gesundheitsämtern – gesammelt haben.

Dabei ging es weniger um abstrakte Digitalisierungsstrategien als um ganz praktische Fragen: Wo stoßen Digitalisierungsprojekte im Verwaltungsalltag an Grenzen? Welche fachlichen und organisatorischen Anforderungen müssen Softwarelösungen tatsächlich erfüllen? Und an welchen Stellen lohnt es sich, bestehende Lösungen gemeinsam weiterzuentwickeln, anstatt erneut bei null anzufangen? Diese Fragen kennen wir auch aus unserer eigenen Arbeit. Ein Beispiel dafür ist der Open City Manager, den wir gemeinsam mit der Stadt Wolfsburg für die kommunale Verwaltung entwickelt haben. Mit ihm lassen sich kommunale Geo-Objekte wie Spielplätze, Bäume, Grünflächen oder Verkehrszeichen digital erfassen, verwalten und kontrollieren.

Entscheidend ist für uns dabei nicht nur die konkrete Software. Der Open City Manager ist als Open Source verfügbar und von Beginn an so konzipiert, dass auch andere Kommunen darauf aufbauen können. Anforderungen, die mehrere Städte und Gemeinden gleichermaßen betreffen, müssen so nicht an vielen Stellen parallel neu entwickelt werden. Der Quellcode des OCM wurde dafür auch auf openCode veröffentlicht, der Plattform für Open-Source-Software der öffentlichen Verwaltung.

Mehr über die Veröffentlichung und die Möglichkeiten zur Nachnutzung haben wir in unserem Beitrag „Open City Manager auf openCode“ beschrieben.

Auch die Rahmenbedingungen für Open Source in der öffentlichen Verwaltung verändern sich. In unserem Beitrag „Open Source wird zum Standard: Neue EVB-IT-Vorlagen“ haben wir uns bereits damit beschäftigt, welche Rolle Open Source, SBOMs und offene Softwareplattformen bei öffentlichen IT-Projekten spielen.

Genau dieser Gedanke – gemeinsam entwickeln, offen bereitstellen und vorhandene Lösungen nachnutzen – begegnete uns auf der FrOSCon an vielen Stellen wieder.

Zwei Tage Open Source und viele neue Eindrücke

Neben den fachlichen Vorträgen war für uns vor allem der Austausch ein wichtiger Teil der FrOSCon. Open Source lebt schließlich nicht allein davon, dass Quellcode öffentlich verfügbar ist. Mindestens genauso wichtig sind die Menschen, Organisationen und Communities, die Wissen teilen, Software gemeinsam weiterentwickeln und ihre Erfahrungen offen weitergeben.

Die Mischung aus tief technischen Vorträgen, aktuellen Themen rund um IT-Sicherheit und vielen Gesprächen mit Menschen aus unterschiedlichen Bereichen hat die zwei Tage für uns entsprechend kurzweilig gemacht. Unser Fazit nach dem ersten Besuch: Die FrOSCon passt ziemlich gut zu den Themen, mit denen wir uns täglich beschäftigen – Open Source, sichere Softwareentwicklung, digitale Souveränität und der professionelle Betrieb offener Software.

Vorträge zum Nachschauen

Bei der großen Anzahl an parallelen Vorträgen war es natürlich unmöglich, alles Interessante vor Ort mitzunehmen. Glücklicherweise wurden viele Beiträge aufgezeichnet und stehen auch nach der Konferenz kostenlos zur Verfügung. Wer selbst einen Blick in das Programm werfen möchte, findet die Vorträge im FrOSCon-Programm 2026 sowie als Aufzeichnungen auf media.ccc.de.

Besonders empfehlen können wir natürlich einen Blick auf „Public Money, Public Containers“ – gerade für alle, die sich mit Container Security, Software Supply Chains oder dem Einsatz von Open Source in der öffentlichen Verwaltung beschäftigen.