Open source software Wie betaalt voor het onderhoud aan de fundamenten van het wereldwijde web? „Free software staat voor vrijheid, niet voor ‘gratis’.”
Volker Dusch in zijn Berlijnse appartement.
Het werk van Volker Dusch was de afgelopen maanden onverwacht intens. De Duitse softwarebouwer, gespecialiseerd in beveiliging, was door zijn bedrijf voor een half jaar uitgeleend aan de PHP Foundation. Dat is de stichting die ervoor zorgt dat de belangrijke programmeertaal PHP onderhouden en uitgebreid wordt.
PHP is een van de fundamenten van het internet. De broncode is openbaar en iedereen mag het gratis gebruiken. Een half jaar lang bijdragen aan het onderhoud daarvan is een vorm van wat Dusch zelf nuchter omschrijft als „Digitale Care Arbeit”. Essentieel voor het functioneren van het internet wereldwijd, maar in de regel niet een onderwerp waarbij mensen op feestjes aan je lippen hangen.
Zoals bij de meeste opensourcesoftware doen vrijwilligers een substantieel deel van het werk aan PHP. Maar iemand moet de inzet van al die vrijwilligers wereldwijd coördineren. En iemand moet de saaie klusjes doen. „Mensen vinden het vooral leuk om nieuwe functies te ontwikkelen en de taal verder te verbeteren”, vertelt Dusch tijdens een videogesprek vanuit zijn werkkamer in Berlijn. „Er moet ook iemand zijn voor de dagelijkse klusjes en reparaties als er bugs zijn.”
Daar heeft de PHP-stichting dertien betaalde medewerkers voor. De meeste van hen werken vanuit Europa. „De stichting betaalt geen Amerikaanse salarissen”, geeft Dusch droog als verklaring. Zijn eigen werkgever kon hem uitlenen dankzij een beurs via de Linux Foundation, gelieerd aan het opensourcebesturingssysteem Linux. Die stichting kreeg begin dit jaar 12,5 miljoen dollar van een groep grote softwarebedrijven, waaronder Microsoft, OpenAI, Anthropic en Google. Die pot geld is bedoeld om projecten te ondersteunen die de beveiliging van opensourcesoftware helpen verbeteren. Met gebruik van AI worden tegenwoordig in hoog tempo kwetsbaarheden in software ontdekt. En dat levert gevaren op, onderkennen de bedrijven.
Opensourcesoftware ligt namelijk aan het fundament van het wereldwijde web. Een groot deel van de bouwstenen waarop grote softwarebedrijven hun producten hebben gebaseerd, zijn een soort nutsvoorzieningen, openbaar toegankelijk en gratis te gebruiken. PHP wordt bijvoorbeeld gebruikt in zo’n 70 procent van alle webapplicaties. De digitale wereld kent geen grenzen en heeft geen regering. Het is daarom voortdurend de vraag wie de verantwoordelijkheid neemt voor het onderhoud.
Dat die vraag urgenter wordt, is bij PHP wel gebleken. Dusch kreeg op 11 augustus een bericht dat zijn werk in een enorme stroomversnelling bracht. Een expert van Calif, een internetbeveiligingsbedrijf, meldde hem dat met behulp van een geavanceerd AI-model van OpenAI twee ernstige kwetsbaarheden in PHP waren ontdekt. Hij kende de expert dankzij het Patch the planet-programma van OpenAI, vertelt Dusch.
De mogelijke ‘lekken’ waren in het verleden al eens besproken, maar dichten ervan had nooit prioriteit omdat ze erg moeilijk te misbruiken waren. Dat veranderde door AI, dat hackers ongekende mogelijkheden biedt om misbruik te maken van zelfs het kleinste foutje in softwarecode. „Het was ons team snel duidelijk dat dit een serieus probleem was”, vertelt Dusch. „Niet leuk, wel noodzakelijk het aan te pakken.”
Even was er stress. Daarna gingen ze hard aan de slag om een oplossing te vinden. Dusch vormde een werkgroep met drie betaalde collega’s van de stichting en internetbeveiligers van OpenAI en Wiz, een groot beveiligingsbedrijf. „Die namen het enorm serieus. De samenwerking met hun onderzoekers was heel professioneel. Daar was ik heel blij mee”, benadrukt hij.
Ook was hij blij dat de stichting betaalde krachten kon inzetten. Om hen heen speelden vrijwilligers een grote rol, „maar het is geweldig daar niet van afhankelijk te hoeven zijn”.
Het team werkte ruim twee maanden aan patches, vrij vertaald: pleisters die via een update over het lek geplakt kunnen worden. Een dag voor die klaar waren voor vrijgave, lekte uit dat er twee kwetsbaarheden in PHP zaten. Dat was het startsein voor een race tussen hackers die met inzet van AI de kwetsbaarheden wilden misbruiken en IT-beheerders die de lekken wilden dichten.
Wereldwijd gingen uit voorzorg websites op zwart om misbruik te voorkomen. Sindsdien zijn IT-beheerders druk met het updaten van hun systemen. Ruim een week na publicatie van de patches is dat nog lang niet overal gedaan, en zijn tal van websites van bedrijven en overheden en via internet bestuurde apparaten nog altijd kwetsbaar.
Intussen heeft de stress rondom PHP het debat over opensourcesoftware nieuw leven ingeblazen. Op sociale media gebruiken deskundigen in internetbeveiliging het voorbeeld om hun punt te maken over het gebrek aan structurele financiering voor de fundamenten van het web. De mensen van de PHP-stichting en de groep vrijwilligers om hen heen krijgen steunbetuigingen en complimenten.
Een cartoon die veel wordt gedeeld, toont een grote machine die ‘alle moderne digitale infrastructuur’ moet verbeelden. Onderin zit een dun, maar cruciaal pilaartje. Daarbij staat „een project dat een willekeurige persoon uit Nebraska al sinds 2003 onderhoudt zonder ooit bedankt te worden.”
In veel posts worden ondernemers die voor hun bedrijfsvoering deels afhankelijk zijn van PHP, opgeroepen de stichting financieel te steunen. Vaak staan er staatjes bij die aan de ene kant de miljardenwinsten van techbedrijven laten zien en aan de andere kant het budget van opensourcestichtingen als de Linux en PHP Foundation. De kloof is groot.
„De software die we publiceren, kan iedereen zonder beperkingen gebruiken”, zegt Dusch daarover. „Maar als je bakken geld verdient met het gebruik, is het ook in je eigen belang om het te helpen onderhouden. Niemand is ons iets verschuldigd, maar we hebben wel steun nodig om door te kunnen.”
Over het belang van opensourcesoftware lijkt iedereen het eens. De Europese Commissie, de Nederlandse regering, Microsoft, OpenAI, Google – om maar een paar invloedrijke spelers te noemen die onlangs nog op het belang van de opensourcebouwstenen onder het wereldwijde web hebben gewezen.
Ook is overduidelijk dat meer geïnvesteerd moet worden in het onderhoud ervan, om grote cyberongelukken te voorkomen. In het net verschenen Microsoft Digital Defense Report 2026 staat bijvoorbeeld: „Opensourcesoftware vormt de basis van kritieke infrastructuur binnen overheden, economieën en essentiële diensten. Het beveiligingsmodel ervan heeft echter geen gelijke tred gehouden met de baanbrekende ontwikkelingen op het gebied van AI.” Gevolgd door een oproep aan overheden om een actievere rol te spelen. „Overheden moeten de inspanningen van de gemeenschap aanvullen met gespecialiseerde verdedigingscentra die gebruikmaken van AI voor continue scanning, triage en reactie”, schrijft Microsoft.
Er zijn meer van dat soort oproepen. De Europese Commissie publiceerde dit jaar voor het eerst een opensourcestrategie. Een voorstel daarin is oprichting van een Europees Sovereign Tech Fund. De inspiratie daarvoor komt uit Duitsland. Dat land heeft een Sovereign Tech Agency dat jaarlijks met zo’n 30 miljoen euro opensourceprogrammeurs ondersteunt die belangrijke software onderhouden.
Volker Dusch in zijn appartement in Berlijn.
„Die doen goed werk”, zegt Dusch. De mensen achter het Duitse fonds slaan bruggen tussen overheden, fondsen, grote bedrijven en de opensourcegemeenschap. De verschillen daartussen zijn niet alleen financieel, maar ook cultureel. De mondiale groep software-experts die naast hun betaalde banen bijdragen aan open source, heeft eigen conferenties en evenementen. De cultuur daar is heel anders – vrijer, anarchistischer en idealistischer – dan op corporate events van grote bedrijven met veel geld.
Daardoor komt soms geld dat voor open source beschikbaar is, niet bij die ‘vrijere’ mensen aan. Dusch: „Het werkt niet als je alleen geld in een fonds stopt en gaat zitten wachten tot iemand het ophaalt. Als je maar met een of twee mensen aan een opensourceproject kunt werken, staat formulieren invullen om financiering aan te vragen gewoon niet bovenaan je prioriteitenlijst. Ik ben heel blij dat Duitsland het belang begrijpt van digitale infrastructuur. Zeker nu digitale soevereiniteit zo belangrijk voor ons is.”
Een sterke opensourcesector is met name voor Europa van cruciaal belang. Die kan immers helpen overheden en bedrijven minder afhankelijk te maken van de ‘gesloten’ systemen van Amerikaanse bedrijven als Microsoft, Google en Amazon.
Toch is niet zeker of zo’n Europees fonds er komt. ‘Brussel’ onderhandelt nu over de begroting voor de komende zeven jaar. Het is nog niet duidelijk of EU-geld wordt uitgetrokken voor open source.
Nederland werkt sinds een jaar op kleine schaal samen met onder meer Duitsland en Frankrijk aan de ontwikkeling van digitale ‘gemeenschapsgoederen’ onder de noemer EDIC. Dat staat voor European Digital Infrastructure Consortium. Ronny Lam ziet daarin een aanwijzing voor oplevende belangstelling voor en erkenning van het belang van open source. Hij is bestuurslid van de Dutch Open Source Business Alliance, een branchevereniging voor opensourcebedrijven in Nederland.
Tegenwoordig moet Lam voortdurend uitleggen hoe open source eigenlijk werkt aan mensen die gewend kant-en-klare software te kopen zijn en de leverancier ervan te bellen als iets niet deugt. Hoe doe je dat bij software die niemands eigendom is? Waar kun je terecht als je niet begrijpt hoe het werkt of als er bugs zijn? Waar is de helpdesk?
„Alles kost geld”, zegt hij dan. De ontwikkeling en doorontwikkeling van software. Installatie en implementatie ervan. En de ondersteuning als je ‘ergens tegenaan loopt’. Voor alle drie moet een afnemer geld reserveren en de afweging maken tussen zelf doen of uitbesteden. „Bij opensourcesoftware, die je gratis kunt gebruiken, wordt vaak vergeten geld te reserveren voor dat eerste punt, de ontwikkeling. Maar dat hoort er ook bij. En dat kan op allerlei manieren. Met donaties bijvoorbeeld; ieder groot softwareproject heeft wel een stichting die onderhoud en bouw coördineert. Of je kunt je eigen mensen er tijd in te laten steken. Of je maakt het onderdeel van het contract met een leverancier die voor jou de ondersteuning en ontwikkeling doet.”
Internetbeveiligingsexpert Brenno de Winter spreekt in die context van een hardnekkig misverstand. Het woord ‘free’ bij ‘free software’ wordt in zijn ogen veel te vaak vertaald met ‘gratis’. „Maar het slaat op vrijheid.”
Daarin ligt ook de relatie met digitale autonomie. Nu bedrijven en overheden hun afhankelijkheid van Amerikaanse softwarebedrijven beginnen te zien als risico, kijken ze vaker naar open source als uitweg. Bouwen op open source in plaats van op een ‘gesloten’ product kan het gemakkelijker maken van aanbieder te veranderen.
Lam vindt open source van strategisch belang, zegt hij. Tegelijk voelt hij de behoefte te waarschuwen voor te hoog gespannen verwachtingen. „Open source gebruiken is niet hetzelfde als digitaal autonoom zijn”, zegt hij. „Een organisatie kan opensourcesoftware toepassen en toch afhankelijk blijven van één cloudprovider, van specifieke uitbreidingen of externe beheerdiensten. Grof gezegd is opensourcesoftware draaien in Microsoft Azure nog geen oplossing als je soeverein wilt worden.”
De detachering van Dusch zou er inmiddels op zitten. De financiering was voor zes maanden. Maar zijn werkgever ziet het belang ervan in een extra aandeel te leveren in manuren. Dus kan Dusch langer bij de PHP-stichting blijven. „Dit is zo belangrijk dat we hebben gezegd dat we nog door kunnen.”
Bij Google kan je nu zelf aangeven welke nieuwsbronnen jij vaker wil zien in je zoekresultaten.Meer informatie