Open-Source-Alternativen in der Kontroverse um Semgrep-Lizenzen

Die Sicherheitsgemeinschaft erlebte im Januar 2025 eine seismische Verschiebung, als rivalisierende Unternehmen sich zusammenschlossen, um Opengrep zu starten – eine Fork der statischen Anwendungssicherheitstest-Tool, Semgrep. Einst gefeiert für seine communitygetriebene Open-Source-Ethik, entfachte Semgrep Kontroversen, als es sein Lizenzmodell im Dezember 2024 änderte. Diese Lizenzänderungen beschränkten die Verwendung von beigetragenen Regeln in kommerziellen Produkten und verlagerten wichtige Funktionen hinter eine Paywall.

Semgrep wurde zu einem unverzichtbaren Tool für Entwickler weltweit aufgrund seiner Fähigkeit, Schwachstellen in mehreren Programmiersprachen zu erkennen. Allerdings riskiert die Entscheidung des Unternehmens, die Innovation in einem Bereich zu behindern, der für die moderne Cybersicherheit von entscheidender Bedeutung ist.

Inmitten der Kontroverse startete das DevSecOps-Startup DeepSource Globstar, ein neues Open-Source-Toolkit für Code-Sicherheit. Von Grund auf aufgebaut und unter der MIT-Lizenz veröffentlicht, behauptet Globstar, es biete uneingeschränkten kommerziellen und vollen öffentlichen Zugang zu seinem Code.

“Mit Globstar bieten wir einen frischen Ansatz für die benutzerdefinierte statische Analyse, der auf die Bedürfnisse von Sicherheitsteams zugeschnitten ist. Es entstand aus einem internen Framework, das wir für die Bedrohungsanalyse entwickelt hatten”, erklärte Sanket Saurav, Mitgründer und CEO von DeepSource, mir. “Semgrep ist bereits in fähigen Händen, und unser Ziel war es, einen anderen Weg zu gehen. Wir sehen uns nicht als Ersatz, sondern als Alternative, die eine neue Perspektive in den Raum bringt.”

Das Unternehmen hat insgesamt 7,7 Millionen US-Dollar an Finanzierungsmitteln aufgebracht und wird derzeit von Y-Combinator-Investoren unterstützt.

Entwickelt mit der Programmiersprache Go und integriert mit Tree-sitter, unterstützt Globstar über 20 Programmiersprachen. Das Toolkit verfügt über eine intuitive YAML-Schnittstelle für die Erstellung benutzerdefinierter Sicherheitsprüfer und eine fortschrittliche Go-Schnittstelle für komplexe, dateiübergreifende Analysen.

“Wenn ein Projekt geforkt wird, nimmt es oft eine andere Flugbahn – aber wenn es auf dem Aufbau eines bestehenden Produkts beschränkt ist, kann die Innovation begrenzt sein”, sagte Sanket. “Wir haben ein System erstellt, das den Prozess des Schreibens benutzerdefinierter Code-Prüfer vereinfacht.”

Geschäftliche Notwendigkeit versus Open-Source-Erhaltung

Am 13. Dezember 2024 änderte Semgrep sein Lizenzmodell, um die Verwendung von beigetragenen Regeln in konkurrierenden kommerziellen Produkten ohne Genehmigung zu beschränken. Darüber hinaus wurde die Open-Source-Version des Unternehmens in “Semgrep CE” (Community Edition) umbenannt. Semgrep behauptet, dass seine Lizenzänderungen notwendig seien, um geistiges Eigentum zu schützen und ein nachhaltiges Einkommen zu gewährleisten. Das Unternehmen argumentiert, dass die Einschränkung der kommerziellen Nutzung dazu beiträgt, unbefugte Neupackaging und langfristige Innovation zu verhindern.

“Wenn Ingenieure Code schreiben, um ein Problem zu lösen, untersucht die statische Analyse den Code ohne Ausführung und identifiziert Muster und potenzielle Probleme früh im Entwicklungsprozess. Semgrep ist ein respektierter Spieler in diesem Bereich, und ich halte sie in hohem Ansehen”, sagte Sanket. “Allerdings spiegelt ihre Lizenzänderung für kommerzielle Nutzer eine breitere Realität wider: VC-gestützte Unternehmen müssen Open-Source-Prinzipien mit nachhaltigen Geschäftsmodellen in Einklang bringen.”

Er weist darauf hin, dass die Änderung zwar nicht direkt die Endnutzer betraf, aber eine anhaltende Debatte über die Frage auslöst, ob Open Source völlig unbeschränkt bleiben oder sich zu langfristiger Tragfähigkeit entwickeln sollte.

Im Januar 2025 gründeten 10 DevSec-Unternehmen, darunter Aikido Security, Arnica, Amplify Security, Endor Labs, Jit, Kodem, Legit Security, Mobb und Orca Security, ein Konsortium, um Opengrep zu starten. Traditionell erbitterte Konkurrenten plant das neue Konsortium direkt, Semgreps Entscheidung, Funktionalitäten zugunsten kommerzieller Gewinne zu beschränken, in Frage zu stellen. In einem Blogbeitrag erklärte Endor Labs, dass die statische Code-Analyse “zu wichtig ist, um sie einzuschränken”.

Allerdings ist es noch nicht klar, ob Opengrep lediglich Legacy-Code neu verpackt oder eine völlig neue Lösung bietet.

Der Aufstieg von Open-Source-Alternativen

DeepSource erkannte einen wachsenden Bedarf unter Entwicklern nach einem Tool, das nicht von Legacy-Einschränkungen geprägt ist. “Unternehmenskunden möchten nicht mit mehreren Tools jonglieren – das schafft Integrationsherausforderungen und treibt die Nachfrage nach einer umfassenden Lösung an”, erklärte Sanket. “Die statische Analyse spielt eine entscheidende Rolle bei der Verständnis der Code-Architektur, deshalb haben wir uns als einheitliche Plattform positioniert.”

Allerdings ist DeepSources Globstar nicht allein, mehrere statische Code-Analyse-Alternativen haben nach der Semgrep-Lizenzkontroverse an Fahrt gewonnen. So bietet beispielsweise SonarQube eine Code-Analyse-Plattform, die sowohl eine kostenlose Community-Edition als auch kostenpflichtige Versionen für die statische Code-Analyse, Integrationsunterstützung und Metrik-Verfolgung anbietet. Ebenso ist ShellCheck eine weitere Alternative, die speziell für die Analyse von Shell-Skripten verwendet wird und Entwicklern hilft, Skriptfehler zu erkennen, die später zu größeren Fehlern oder Ineffizienzen führen könnten. Es markiert Befehle oder Syntax, die möglicherweise nicht über verschiedene Shell-Umgebungen portabel sind. Aufgrund seiner Benutzerfreundlichkeit – Fähigkeit, von der Kommandozeile aus zu laufen und sich leicht in CI/CD-Pipelines zu integrieren – ist ShellCheck zu einer immer beliebteren Wahl geworden.

Während Opengrep versucht, die offenen Wurzeln eines Legacy-Tools zu bewahren, bieten andere Alternativen wie SonarQube, Globstar und ShellCheck eine frische, zukunftsorientierte Lösung. Wenn die Open-Source-Debatte weitergeht, stehen Entwickler und Unternehmen vor wichtigen Entscheidungen, die das Landschaftsbild der Code-Analyse neu definieren könnten.