Europa: ein Plan für Open Source, oder das späte Eingeständnis eines strategischen Schiffbruchs

Die Europäische Union hat Anfang 2026 eine öffentliche Konsultation eröffnet, um eine gemeinsame Strategie rund um offene digitale Ökosysteme und Open Source aufzubauen. Das erklärte Ziel wird nun offen eingestanden: die technologische Abhängigkeit von außereuropäischen Akteuren zu verringern, die Wettbewerbsfähigkeit europäischer Unternehmen zu stärken, die Cybersicherheit zu verbessern und einen tragfähigen industriellen Rahmen rund um Open Source zu strukturieren (Europäische Kommission, Call for Evidence on Open Source Digital Ecosystems, Januar 2026).

Die Feststellung ist richtig. Sie ist auch furchtbar spät. Open Source bildet heute die faktische Softwareinfrastruktur der Weltwirtschaft. Zwischen 70 und 90 % des in kritischen Systemen (Cloud, Telekommunikation, Finanzen, Industrie, Gesundheit) verwendeten Codes stützen sich auf offene Bausteine.
Europa nutzt sie massiv, beherrscht aber weder die Wertabschöpfung noch die industrielle Governance noch die strategische Richtung.
Die Kommission formalisiert hier nur einen Abhängigkeitszustand, den ernsthafte IT-Leitungen seit über fünfzehn Jahren täglich erleben.

Das muss klar gesagt werden: Diese Strategie entsteht aus der Not, unter Zwang und nicht aus Vision.

Die Kommission ist dabei nicht bei ihrem ersten Text. Sie verfügte bereits über eine interne Open-Source-Strategie (2020-2023), die auf die Nutzung und den Beitrag zu freier Software innerhalb ihrer eigenen Dienste ausgerichtet war. Open-Source-Büro, Förderung von Inner Source, Veröffentlichung von Code, Sicherheitsempfehlungen: Auf technischer Ebene war das Dokument kohärent.
Auf systemischer Ebene war es bedeutungslos.
Nichts, was die Marktstruktur wirklich verändert hätte, nichts, was einen industriellen Schock ausgelöst hätte, nichts, was die Dominanz der großen proprietären Anbieter bei öffentlichen und privaten Ausschreibungen infrage gestellt hätte.

Die Konsultation von 2026 markiert daher einen Maßstabswechsel, zumindest in der Absicht. Sie will ausdrücklich den gesamten Lebenszyklus von Open Source abdecken: Entwicklung, Wartung, Sicherheit, industrielle Integration, Geschäftsmodelle und Verzahnung mit den übrigen europäischen Texten zu Cloud und KI.
Das Problem ist nicht, was geschrieben steht.
Das Problem ist, was jahrzehntelang toleriert wurde, bevor es dazu kam.

Denn diese Lage ist kein Zufall. Sie ist das Ergebnis einer strukturellen Bösgläubigkeit der öffentlichen Entscheidungsträger und einer dauerhaften Nachsicht gegenüber dominierenden, im Wesentlichen amerikanischen Anbietern. Microsoft, Broadcom, Oracle, Amazon und Konsorten gediehen auf einem Doppeldiskurs, der von Europa vollkommen akzeptiert wurde: einerseits die massive Ausbeutung von Open Source als technisches Fundament; andererseits eine totale Abschöpfung des wirtschaftlichen Werts, der Governance und der Standards durch proprietäre Plattformen.

An Warnungen hat es nie gefehlt. Sie wurden einfach ignoriert. Projekte souveräner Systeme, staatliche Linux-Initiativen, Versuche, europäische Clouds oder industrielle Open-Source-Stacks zu strukturieren, wurden als ideologische Marotten abgetan, nie als strategische Investitionen.
Zu komplex, zu riskant, nicht ausreichend an kurzfristigen Interessen ausgerichtet.
Ergebnis: eine tiefe, hingenommene und nun offiziell anerkannte Abhängigkeit... als es keine wirklich operative Alternative mehr gibt.

Was den aktuellen Diskurs besonders irritierend macht, ist, dass das Problem kein Kompetenzdefizit ist. Europa strotzt vor Entwicklern, Architekten, Maintainern, Forschern und Ingenieuren höchster Qualifikation. Die Frage ist heute nicht einmal mehr, was ein Entwickler ist: Er ist ein Schlüsselakteur der digitalen Wertschöpfungskette, ein Infrastrukturproduzent, ein Garant der Betriebssicherheit.
Der Mythos des Fachkräftemangels dient vor allem dazu, eine andere Realität zu verdecken: das Fehlen eines strukturierten wirtschaftlichen Sogs.

Die Talente sind da, aber sie sind im europäischen industriellen Maßstab nicht einsetzbar, weil die dominierenden Geschäftsmodelle weiterhin die Integration proprietärer Lösungen, die Untervergabe an ausländische Hyperscaler und die langfristige vertragliche Abhängigkeit begünstigen. Weiter „wie immer“ zu machen, ist genau das, was in die aktuelle Sackgasse geführt hat.
Zu glauben, dass europäisches Open Source ohne kulturellen Bruch, ohne aggressive öffentliche Beschaffungspolitik, ohne massive Finanzierung und ohne Forderung nach industrieller Gegenseitigkeit entstehen wird, ist magisches Denken.
Im besten Fall, wenn jetzt ein Schock eintritt, werden die strukturellen Effekte erst in einem Jahrzehnt sichtbar.

Zu dieser wirtschaftlichen Inkohärenz kommt ein großer politischer Widerspruch. Die Europäische Union behauptet, Open Source, Transparenz und Softwaresicherheit fördern zu wollen, treibt parallel aber Projekte wie die sogenannte „Chat-Control“-Verordnung voran. Dieser Text führt unter dem Deckmantel der Bekämpfung schwerer Straftaten Mechanismen der automatisierten Kommunikationsüberwachung ein, die die Ende-zu-Ende-Verschlüsselung und genau jene Prinzipien der Softwaresicherheit frontal infrage stellen, die Open Source verteidigt. Man kann nicht in derselben Bewegung überprüfbare Systeme befürworten, auditierte, sichere Systeme, und Kontrollarchitekturen aufzwingen, die die kryptografischen Grundlagen bewusst schwächen.

Für eine IT-Leitung oder ein COMEX ist die Botschaft glasklar und unbequem.
Man darf nicht darauf warten, dass Europa das Problem an Ihrer Stelle löst.
Die angekündigte Strategie kann als Rahmen dienen, eventuell als Hebel, doch sie wird nur Wirkung entfalten, wenn die Unternehmen ihre Verantwortung übernehmen. Das bedeutet, kritische Kompetenzen zu internalisieren, wirklich zu strukturierenden Open-Source-Projekten beizutragen, Beschaffungspolitiken zu überarbeiten und anzuerkennen, dass Open Source kein Mittel zur Senkung von Lizenzkosten ist, sondern ein strategisches Gut, das gelenkt werden muss.

Europa hat schließlich eingestanden, sich selbst in eine Situation gefährlicher technologischer Abhängigkeit gebracht zu haben. Der Plan existiert nun auf dem Papier. Er ist spät, unvollkommen und politisch widersprüchlich. Aber er markiert zumindest das Ende einer Verleugnung.
Was folgt, hängt von einer einzigen Sache ab: der Fähigkeit der wirtschaftlichen und technischen Entscheidungsträger, aufzuhören, auf institutionelle Lösungen zu warten, und schon jetzt eine echte industrielle Open-Source-Souveränität aufzubauen.

Ohne das wird diese Strategie in die lange Liste kluger und folgenloser Texte eingehen.

Quellen

[1] Europäische Kommission, Commission opens a Call for Evidence on Open Source Digital Ecosystems, Januar 2026 https://digital-strategy.ec.europa.eu/en/news/commission-opens-call-evidence-open-source-digital-ecosystems

[2] Europäische Kommission, Open Source Software Strategy 2020–2023 https://commission.europa.eu/system/files/2023-02/fr_ec_open_source_strategy_2020-2023.pdf

[3] Open Source Observatory (OSOR), Europe seeking input for its open source strategy https://interoperable-europe.ec.europa.eu/collection/open-source-observatory-osor/news/europe-seeking-input-its-open-source-strategy

[4] Help Net Security, EU call for evidence on open source ecosystems, Januar 2026 https://www.helpnetsecurity.com/2026/01/09/eu-call-for-evidence-open-source/

[5] ItsFOSS, EU Open Source Strategy Call 2026 https://itsfoss.com/news/eu-open-source-strategy-call-2026/

[6] Linux Foundation, Research on open source software supply chain and usage https://www.linuxfoundation.org/research

[7] Synopsys, Open Source Security and Risk Analysis (OSSRA) https://www.synopsys.com/software-integrity/resources/analyst-reports/open-source-security-risk-analysis.html

[8] OpenForum Europe, EU Open Source Policy Summit https://openforumeurope.org

[9] EU Open Source Policy Summit 2026, offizielle Website https://summit.openforumeurope.org

[10] Electronic Frontier Foundation, After Years of Controversy, the EU's "Chat Control" Nears Its Final Hurdle https://www.eff.org/deeplinks/2025/12/after-years-controversy-eus-chat-control-nears-its-final-hurdle-what-know

[11] European Data Protection Board, Guidance and opinions on encryption and privacy https://www.edpb.europa.eu

[12] ENISA, Cybersecurity, open source and software supply chain risk https://www.enisa.europa.eu

[13] Europäische Kommission, Europe's Digital Decade: digital sovereignty policies https://digital-strategy.ec.europa.eu/en/policies/europes-digital-decade

[14] Europäische Kommission, Cloud and AI policy framework https://digital-strategy.ec.europa.eu