Open-Source-Firmware war lange ein Thema für Spezialisten, Hacker und große Rechenzentrumsbetreiber. Inzwischen rückt sie auch in den Fokus von IT-Leitungen und Herstellern.
Der Grund: Firmware ist die Software, die als Erstes startet und die tiefsten Rechte im System hat. Wer sie kontrolliert, kontrolliert die gesamte Hardware.
Gleichzeitig ist klassische Firmware meist ein geschlossenes System. Unternehmen müssen darauf vertrauen, dass Hersteller und Zulieferer sauber arbeiten, Lücken schnell schließen und Geräte lange mit Updates versorgen. Mehrere bekannt gewordene Schwachstellen in verbreiteten Firmware-Komponenten haben gezeigt, wie riskant dieses Vertrauen sein kann.
In diesem Beitrag erfährst du, was hinter offener Firmware steckt, welche Projekte relevant sind, welche Vorteile und Grenzen es gibt und wie du das Thema in deiner IT-Strategie verankerst.
Inhaltsverzeichnis
Was ist Open-Source-Firmware?
Open-Source-Firmware ist Low-Level-Software, deren Quellcode offen einsehbar, prüfbar und veränderbar ist. Sie initialisiert beim Start die Hardware, also Prozessor, Arbeitsspeicher und Schnittstellen, und übergibt dann an das Betriebssystem. Anders als proprietäre BIOS- oder UEFI-Implementierungen können Unternehmen, Forschende und Behörden den Code selbst prüfen und anpassen.
Firmware steckt nicht nur im Laptop oder Server. Auch Netzwerkkarten, Festplatten, Controller, Router und Industriesteuerungen enthalten eigene Firmware. Wenn in diesem Beitrag von offener Firmware die Rede ist, geht es vor allem um die Systemfirmware von PCs und Servern sowie um Management-Controller in Rechenzentren.
Warum Firmware zum Sicherheitsrisiko geworden ist
Firmware ist für Angreifer besonders attraktiv. Schadcode auf dieser Ebene startet vor dem Betriebssystem, kann Sicherheitsmechanismen aushebeln und übersteht oft sogar eine Neuinstallation. Klassische Virenscanner sehen ihn in der Regel nicht.
Komplexe Lieferketten
Die Firmware eines typischen Business-Laptops stammt selten von einem einzigen Unternehmen. Chiphersteller liefern Referenzcode, spezialisierte Firmware-Anbieter bauen daraus Basispakete, und die Gerätehersteller passen diese für ihre Modelle an. Eine Schwachstelle in einem dieser Bausteine kann sich so auf zahlreiche Geräte unterschiedlicher Marken auswirken.
In den vergangenen Jahren wurden mehrfach Sicherheitslücken in weit verbreiteten UEFI-Komponenten öffentlich, die viele Hersteller gleichzeitig betrafen. Bis alle Geräte gepatcht waren, vergingen oft Monate, und ältere Modelle erhielten teilweise gar keine Updates mehr.
Fehlende Transparenz
Bei proprietärer Firmware weißt du als Kunde kaum, welcher Code auf deinen Geräten läuft. Du kannst weder selbst prüfen, ob Hintertüren existieren, noch nachvollziehen, ob ein Update eine Lücke wirklich schließt. Für Organisationen mit hohen Sicherheitsanforderungen ist das ein grundsätzliches Problem.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist seit Jahren darauf hin, dass die Integrität der Firmware eine Grundlage für vertrauenswürdige IT ist. Das betrifft Behörden ebenso wie Unternehmen der kritischen Infrastruktur.
Wichtige Projekte rund um Open-Source-Firmware
Die Landschaft offener Firmware ist vielfältiger, als viele denken. Einige Projekte sind seit langem etabliert und werden im großen Maßstab eingesetzt.
coreboot
Das Projekt coreboot ist eine der bekanntesten offenen Firmware-Plattformen. Es übernimmt die minimale Hardware-Initialisierung und übergibt dann an eine sogenannte Payload, die das Betriebssystem startet. coreboot ist schlank, schnell und gut prüfbar. Chromebooks nutzen die Plattform seit vielen Jahren, und einige spezialisierte Hersteller liefern Laptops und Server damit aus.
LinuxBoot
LinuxBoot ersetzt große Teile klassischer Firmware durch einen kleinen Linux-Kernel. Der Ansatz stammt aus dem Umfeld großer Rechenzentrumsbetreiber, die mehr Kontrolle über den Startprozess ihrer Server wollten. Der Vorteil: Administratoren können vertraute Linux-Werkzeuge nutzen, um Hardware zu initialisieren und Systeme zu starten.
OpenBMC
Server enthalten einen Baseboard Management Controller (BMC), über den Administratoren Geräte aus der Ferne steuern, überwachen und neu starten. Diese Controller sind ein beliebtes Angriffsziel. OpenBMC ist ein offener Software-Stack für solche Controller, der unter dem Dach der Linux Foundation entwickelt wird und bei mehreren großen Hardware- und Cloud-Anbietern zum Einsatz kommt.
Initiativen aus dem Rechenzentrumsumfeld
Das Open Compute Project, eine Industrieinitiative für offene Rechenzentrumshardware, treibt offene Firmware ebenfalls voran. Große Betreiber wollen nachvollziehen, welcher Code auf Millionen Servern läuft, und Sicherheitslücken selbst schließen können, ohne auf einzelne Zulieferer zu warten.
Vorteile von Open-Source-Firmware für Unternehmen
Warum lohnt sich ein genauer Blick auf offene Firmware? Die Argumente reichen von Sicherheit über Kosten bis zur strategischen Unabhängigkeit.
- Prüfbarkeit: Der Quellcode kann von internen Teams, externen Auditoren oder der Community untersucht werden. Hintertüren und Fehler lassen sich leichter finden.
- Schnellere Fehlerbehebung: Bei offenen Projekten können Patches unabhängig vom ursprünglichen Hersteller entwickelt und verteilt werden.
- Längere Lebensdauer: Geräte können auch dann noch Updates erhalten, wenn der Hersteller den Support eingestellt hat. Das schont Budget und Umwelt.
- Weniger Ballast: Offene Firmware ist häufig schlanker und startet schneller, weil sie nur die tatsächlich benötigten Funktionen enthält.
- Reproduzierbare Builds: Mit reproduzierbaren Builds lässt sich nachweisen, dass die installierte Firmware genau aus dem geprüften Quellcode entstanden ist.
- Digitale Souveränität: Unternehmen und Staaten verringern ihre Abhängigkeit von einzelnen Anbietern.
Typische Einsatzszenarien
Wie sieht Open-Source-Firmware im Unternehmensalltag aus? In der Praxis haben sich mehrere Muster herausgebildet:
- Serverflotten: Betreiber großer Rechenzentren setzen offene Firmware und offene BMC-Software ein, um Startprozesse zu vereinheitlichen und Updates zentral zu steuern.
- Hochsichere Arbeitsplätze: Administratoren, Entwicklerteams oder Bereiche mit sensiblen Daten erhalten Geräte mit prüfbarer Firmware und gehärtetem Startprozess.
- Embedded-Produkte: Hersteller von Netzwerkgeräten, Industrie-PCs oder Steuerungen nutzen offene Firmware, um ihre Produkte über viele Jahre selbst pflegen zu können.
- Weiterverwendung von Hardware: Ältere, aber leistungsfähige Geräte bleiben mit gepflegter offener Firmware länger sicher einsetzbar.
Allen Szenarien gemeinsam ist der Wunsch nach Kontrolle. Open-Source-Firmware verschiebt die Verantwortung ein Stück weit vom Zulieferer zum Betreiber. Das ist Chance und Aufgabe zugleich.
Gerade der Aspekt der Souveränität gewinnt an Bedeutung. Die Diskussion um technologische Souveränität betrifft nicht nur Chips, sondern auch die Software, die darauf läuft. Wie Europa die Halbleiterseite stärken will, zeigt unser Beitrag zum EU Chips Act.
Grenzen und Herausforderungen
So überzeugend die Vorteile sind: Open-Source-Firmware ist kein Allheilmittel. Wer das Thema ernsthaft angehen will, sollte die Hürden kennen.
Binäre Bestandteile bleiben
Viele moderne Prozessoren benötigen zur Initialisierung proprietäre Bausteine der Chiphersteller, die nur als Binärdateien verfügbar sind. Auch Sicherheitsprozessoren und Management-Engines laufen oft mit geschlossenem Code. Vollständig offene Firmware ist deshalb nur auf ausgewählten Plattformen möglich.
Hardware-Unterstützung
Offene Firmware gibt es nicht für jedes Gerät. Die Auswahl an unterstützten Business-Laptops, Workstations und Servern ist begrenzt. Wer umsteigen will, muss bei der Beschaffung gezielt auf kompatible Modelle achten.
Support und Verantwortung
Mit offener Firmware stellt sich die Frage, wer im Fehlerfall verantwortlich ist. Einige spezialisierte Dienstleister bieten kommerziellen Support an. Ohne solchen Vertrag liegt die Last bei deinem eigenen Team, das dafür entsprechende Kompetenzen braucht.
Zertifizierungen und Kompatibilität
Bestimmte Betriebssystemfunktionen, Sicherheitszertifizierungen oder Herstellergarantien setzen eine konkrete Firmware voraus. Prüfe vor einem Umstieg, ob Secure Boot, TPM-Funktionen, Fernwartung und Garantiebedingungen weiterhin wie benötigt funktionieren.
Warum Hersteller und IT-Abteilungen jetzt umdenken
Dass das Thema gerade jetzt an Fahrt gewinnt, hat mehrere Gründe, die sich gegenseitig verstärken.
Regulierung erhöht den Druck
Mit dem Cyber Resilience Act hat die EU verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen eingeführt. Hersteller müssen Schwachstellen über den gesamten Supportzeitraum behandeln und Sicherheitsupdates bereitstellen. Die Pflichten greifen gestaffelt, prüfe daher den aktuellen Stand der Fristen für dein Unternehmen.
Für Hersteller bedeutet das: Sie müssen ihre Firmware-Lieferkette besser verstehen und kontrollieren. Offene, gut dokumentierte Komponenten erleichtern das. Bei konkreten Fragen zur Umsetzung solltest du rechtliche Fachleute einbeziehen.
Längere Nutzungsdauer von Geräten
Nachhaltigkeitsziele und Kostendruck führen dazu, dass Unternehmen Hardware länger nutzen wollen. Ohne Firmware-Updates wird ältere Hardware jedoch schnell zum Sicherheitsrisiko. Offene Firmware kann helfen, Geräte länger sicher zu betreiben.
Das hat auch eine finanzielle Seite. Wenn ein Server oder Laptop technisch noch einwandfrei arbeitet, aber keine Sicherheitsupdates mehr erhält, steht ein vorzeitiger Austausch an. Mit gepflegter Open-Source-Firmware lässt sich dieser Zeitpunkt in manchen Fällen hinausschieben. Ob sich das rechnet, hängt vom Aufwand für Pflege und Support ab, den du ehrlich gegenüberstellen solltest.
Wachsende Erwartungen der Kunden
Große Cloud-Anbieter und Behörden fordern von Lieferanten zunehmend Transparenz über Software-Bestandteile, etwa über Software-Stücklisten. Hersteller, die offene Firmware anbieten, können diese Anforderungen leichter erfüllen und sich damit im Wettbewerb abheben.
So führst du Open-Source-Firmware schrittweise ein: 6 Schritte
Ein vollständiger Umstieg über Nacht ist weder realistisch noch sinnvoll. Ein gestuftes Vorgehen reduziert Risiken und baut Know-how auf.
- Bestandsaufnahme durchführen: Erfasse, welche Firmware-Versionen auf deinen Laptops, Servern und Netzwerkgeräten laufen und wie lange die Hersteller Updates liefern.
- Update-Prozesse verbessern: Unabhängig vom Modell: Stelle sicher, dass Firmware-Updates genauso regelmäßig eingespielt werden wie Betriebssystem-Patches.
- Anforderungen in die Beschaffung aufnehmen: Frage bei Ausschreibungen nach Supportzeiträumen, Transparenz der Firmware und Unterstützung offener Alternativen.
- Pilotbereich wählen: Teste offene Firmware zunächst auf einer klar abgegrenzten Gerätegruppe, etwa Servern in einer Testumgebung oder Admin-Arbeitsplätzen.
- Support klären: Prüfe, ob du einen kommerziellen Dienstleister brauchst oder das Know-how intern aufbauen kannst.
- Erfahrungen auswerten und ausweiten: Dokumentiere Aufwand, Stabilität und Sicherheitsgewinn und entscheide dann über eine breitere Einführung.
Wenn du gerade neue Geräte beschaffst, lohnt es sich, die Firmware-Frage direkt in deine Kriterien aufzunehmen. Weitere Auswahlkriterien findest du in unserem Ratgeber zum Business-Laptop. Für den grundsätzlichen Schutz deiner IT hilft dir unser Leitfaden zu Cybersecurity für KMU.
Für wen sich Open-Source-Firmware besonders eignet
Nicht jedes Unternehmen muss sofort umsteigen. Besonders interessant ist offene Firmware in diesen Fällen:
- Betreiber von Rechenzentren und großen Serverlandschaften, die Kontrolle über ihren gesamten Software-Stack wollen
- Organisationen mit hohen Sicherheitsanforderungen, etwa aus Verwaltung, Verteidigung, Finanzwesen oder kritischer Infrastruktur
- Hersteller von Geräten und Embedded-Systemen, die Regulierungsanforderungen effizient erfüllen müssen
- Unternehmen, die Hardware bewusst länger nutzen und unabhängig von Herstellerzyklen bleiben wollen
Für kleinere Unternehmen ohne eigene Spezialisten ist der erste Schritt meist nicht der Umstieg, sondern ein sauberes Firmware-Update-Management. Schon das reduziert das Risiko erheblich.
Zusätzlich lohnt es sich, Open-Source-Firmware als Kriterium bei der nächsten Hardware-Generation mitzudenken. Wer heute bei Lieferanten nachfragt, signalisiert Bedarf und erhält oft schon Hinweise auf Modelle oder Dienstleister, die offene Varianten unterstützen. So wächst das Angebot schrittweise mit der Nachfrage.
Hilfreich ist auch der Austausch mit anderen Anwendern. Die Community rund um offene Firmware ist aktiv, und viele Projekte dokumentieren unterstützte Geräte und bekannte Einschränkungen offen. Das erleichtert eine realistische Einschätzung, bevor du Budget investierst.
Fazit: Open-Source-Firmware macht das Fundament sichtbar
Firmware ist das Fundament jeder IT, aber oft ein blinder Fleck. Open-Source-Firmware schafft Transparenz, ermöglicht unabhängige Prüfungen und verlängert die Lebensdauer von Hardware. Projekte wie coreboot, LinuxBoot und OpenBMC zeigen, dass offene Ansätze im großen Maßstab funktionieren.
Gleichzeitig gibt es Grenzen: binäre Bestandteile der Chiphersteller, eine begrenzte Geräteauswahl und offene Fragen beim Support. Deshalb ist ein schrittweises Vorgehen mit klaren Zielen und einem begrenzten Pilotbereich der richtige Weg.
Für Entscheiderinnen und Entscheider heißt das: Nimm Firmware in deine Sicherheits- und Beschaffungsstrategie auf, verbessere das Update-Management und prüfe gezielt, wo Open-Source-Firmware dir mehr Kontrolle und Sicherheit verschafft.
Häufige Fragen zu Open-Source-Firmware
Was ist Open-Source-Firmware?
Open-Source-Firmware ist Systemsoftware mit offen einsehbarem Quellcode, die beim Start die Hardware initialisiert und dann das Betriebssystem lädt. Bekannte Projekte sind coreboot, LinuxBoot und OpenBMC. Im Unterschied zu proprietären BIOS- oder UEFI-Lösungen können Unternehmen und unabhängige Fachleute den Code prüfen, anpassen und selbst Fehler beheben.
Warum ist Open-Source-Firmware sicherer?
Offener Code ist nicht automatisch fehlerfrei, aber er lässt sich unabhängig prüfen. Hintertüren und Schwachstellen werden dadurch leichter entdeckt, und Patches können auch ohne den ursprünglichen Hersteller entstehen. Mit reproduzierbaren Builds lässt sich zudem nachweisen, dass die installierte Firmware genau aus dem geprüften Quellcode stammt.
Welche Nachteile hat offene Firmware?
Viele Prozessoren benötigen weiterhin proprietäre Binärbausteine, sodass vollständig offene Firmware nur auf bestimmten Plattformen möglich ist. Die Auswahl unterstützter Geräte ist begrenzt, und Support muss oft über spezialisierte Dienstleister oder eigene Fachleute organisiert werden. Prüfe außerdem Garantie, Secure Boot und Zertifizierungen vor einem Umstieg.
Wann sollten Unternehmen auf Open-Source-Firmware umsteigen?
Ein Umstieg lohnt sich vor allem für Rechenzentrumsbetreiber, Organisationen mit hohen Sicherheitsanforderungen und Hersteller, die regulatorische Vorgaben erfüllen müssen. Beginne mit einer Bestandsaufnahme und einem klar abgegrenzten Pilotprojekt. Für kleinere Unternehmen ist ein konsequentes Firmware-Update-Management oft der sinnvollere erste Schritt.
Wie hängt der Cyber Resilience Act mit Firmware zusammen?
Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen, Schwachstellen über den Supportzeitraum zu behandeln und Sicherheitsupdates bereitzustellen. Firmware gehört zu diesen digitalen Elementen. Die Pflichten greifen gestaffelt, deshalb solltest du den aktuellen Stand der Fristen prüfen und bei Unklarheiten rechtliche Fachleute einbeziehen.
