Studie: Open-Source-Software weniger fehlerhaft als proprietäre

Eine neue Studie kommt zu dem Schluss, dass freie, quelloffene Software erstmals höhere Qualität als viele proprietäre Projekte aufweist. Dies war zuletzt anlässlich des Heartbleed-Bugs in OpenSSL wieder einmal in Zweifel gezogen worden. Grundlage des Coverity Scan Open Source Report sind 750 Millionen in C und C++ geschrieben Codezeilen aus mehr als 700 Projekten.

Beispiel für einen Scan von Coverity (Screenshot: Coverity)

Das auf Qualitätssicherung und Tests spezialisierte Unternehmen Coverity stellte fest, dass die „Defekt-Dichte“ öffentlich erstellter und einsehbarer Software je 1000 Zeilen Code mit 0,59 geringer war als bei von Entwicklern in großen Unternehmen geschriebener Code, der 0,72 Defekte je 1000 Zeilen aufweist. Insbesondere Linux führt es als Beispiel für hochwertigen Code an. Für Java-Projekte könne die nicht relationale verteilte Datenbank HBase (die auf Hadoop aufbaut) als Musterbeispiel gelten, heißt es.

Seit sechs Jahren misst Coverity für solche Reports die Qualität von Open-Source-Software und zieht dafür unter anderem führende Projekte wie FreeBSD, LibreOffice, Apache Hadoop und Cassandra heran. Es hat den Entwicklern mit seinen Untersuchungen auch dabei geholfen, mindestens 94.000 Fehler zu beseitigen – davon die Hälfte im Jahr 2013.

Die von Linux-Entwicklern für die Behebung eines Fehlers benötigte Zeit ist zudem von 122 Tagen im Jahr 2008 auf 6 Tage 2013 geschrumpft. Die Defekt-Dichte des freien Betriebssystems beträgt 0,61 je 1000 Zeilen.

Infolge von Heartbleed war in den letzten Tagen wieder Kritik an der Sicherheit quelloffener Software laut geworden. Der für den Fehler verantwortliche Programmierer Robin Seggelmann hat gegenüber der britischen Tageszeitung Guardian eingeräumt, „die nötige Validierung versehentlich unterlassen“ zu haben, als er den fehlerhaften Code an Silvester 2011 einführte.

Seggelmann kann nicht allein für Heartbleed verantwortlich gemacht werden – schließlich durchlief der OpenSSL-Code die üblichen Prüfungen durch andere Community-Mitglieder. Obwohl dabei nichts gefunden wurde, betont Seggelmann, dass das Problem überhaupt je entdeckt wurde, zeige schon den Wert von im Quellcode zugänglichen Programmen.

[mit Material von Max Smolaks, TechWeekEurope.co.uk]

Tipp: Wie gut kennen Sie sich mit Open Source aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de