Letzten Monat hat Oracle wieder einen Critical Patch Update veröffentlicht. Für die meisten ist das eine Randnotiz. Für mich bedeutet es: Abende damit verbringen, die MySQL-Ports im FreeBSD-Tree zu aktualisieren, die Änderungen durch den Buildprozess zu jagen, Advisories für die Sicherheitsdatenbank zu schreiben und das Ganze zu testen, bevor es committet wird. Beim nächsten nginx-Release geht das Spiel von vorne los.
Ich mache das seit 2017. Ehrenamtlich. Und ich möchte hier mal aufschreiben, was das eigentlich bedeutet, mit echten Zahlen.
Was ich mache
Ich bin FreeBSD Ports Maintainer und Developer. Meine beiden größten Bereiche sind NGINX und MySQL, dazu kommen FreeIPA, code-server, BunkerWeb, Zoraxy und ein paar kleinere Ports. Ein Port ist, vereinfacht gesagt, das Rezept, mit dem eine Software auf FreeBSD gebaut und paketiert wird. Wenn ihr auf einem FreeBSD-Server pkg install nginx eintippt, dann steckt da Arbeit von Leuten wie mir drin.
Diese Arbeit hört nie auf. Jedes Upstream-Release will eingepflegt werden, jedes CVE braucht ein Update und einen Eintrag in der Sicherheitsdatenbank, jeder neue Compiler bricht irgendwo einen Build. Dazu kommen Bug-Reports von Nutzern, Reviews und die Arbeit im Ports-Security-Team. Damit ich ordentlich testen kann, betreibe ich eigene Server bei Hetzner mit Test-VMs. Die bezahle ich selbst. Unterm Strich kostet mich mein Hobby also Geld, während die Software, die ich pflege, anderen Milliarden einbringt. Dazu gleich mehr.
Erst mal die große Perspektive
2024 haben Forscher der Harvard Business School und der University of Toronto versucht auszurechnen, was Open-Source-Software eigentlich wert ist (Hoffmann, Nagle, Zhou: „The Value of Open Source Software“, HBS Working Paper 24-038). Ihr Ergebnis: Müssten alle Firmen die Open-Source-Software, die sie nutzen, selbst entwickeln, käme man auf 8,8 Billionen US-Dollar. Firmen müssten das 3,5-Fache ihrer heutigen Softwareausgaben stemmen, wenn es Open Source nicht gäbe.
Die für mich interessanteste Zahl aus der Studie steht aber im Kleingedruckten: 96 Prozent dieses Wertes stammen von gerade einmal 5 Prozent der Entwickler. Eine kleine Gruppe trägt also fast alles.
Und wie geht es dieser Gruppe? Tidelift befragt seit Jahren Open-Source-Maintainer (State of the Open Source Maintainer Report 2024, über 400 Befragte). Die Kernzahlen:
| Kennzahl (Tidelift 2024) | Wert |
|---|---|
| Maintainer, die unbezahlt arbeiten | 60 % |
| Maintainer, die vom Maintaining leben können | 13 % |
| Unbezahlte, die gerne bezahlt würden | ~73 % |
| Fühlen sich nicht wertgeschätzt | ~48 % |
| Haben ans Aufhören gedacht oder aufgehört | 60 % |
| Häufigere Umsetzung kritischer Security-Praktiken durch bezahlte Maintainer | +55 % |
Die letzte Zeile ist die wichtigste, gerade aus Unternehmenssicht: Wer Maintainer unterstützt, kauft sich messbar Sicherheit in der eigenen Software-Lieferkette ein. Die xz-Backdoor von 2024 (CVE-2024-3094, CVSS 10.0) hat gezeigt, was auf dem Spiel steht: Ein Angreifer baute fast zwei Jahre lang Vertrauen zum überlasteten, unbezahlten Maintainer der xz-Utils auf, bis er selbst Maintainer-Rechte bekam, und schleuste dann eine SSH-Hintertür in eine Bibliothek ein, die auf nahezu jedem Linux-System liegt. Dass die kompromittierten Versionen nur bis in die Testing-Zweige von Debian und Fedora kamen, bevor Andres Freund die Backdoor eher zufällig entdeckte, war schlicht Glück.
Und wer verdient nun an meiner Arbeit?
Nehmen wir meine beiden großen Bereiche. NGINX ist laut W3Techs inzwischen der meistgenutzte Webserver der Welt, rund ein Drittel aller Websites mit bekanntem Webserver läuft darauf. Das Produkt gehört seit 2019 F5 Networks, die haben sich nginx damals rund 670 Millionen US-Dollar kosten lassen und verkaufen heute mit NGINX Plus kommerzielle Lizenzen. MySQL gehört Oracle und wird dort mit MySQL Enterprise und dem HeatWave-Cloud-Angebot kommerziell vermarktet.
Dass diese Software auf FreeBSD läuft, aktuell bleibt und Sicherheitslücken dort zeitnah geschlossen werden, dafür sorgt keiner dieser Konzerne. Das mache ich, nach Feierabend, auf eigener Infrastruktur. Und FreeBSD ist keine Nische: Netflix betreibt sein komplettes CDN Open Connect auf FreeBSD, nach eigener Aussage tausende Server, die einen erheblichen Teil des weltweiten Internet-Traffics ausliefern. Sonys Orbis OS auf der PlayStation 4 ist ein FreeBSD-Fork, die PS5 führt diese OS-Linie fort. Auch pfSense-Firewalls von Netgate bauen auf FreeBSD auf.
Das soll keine Anklage gegen einzelne Firmen sein. Es ist ein strukturelles Problem: Open Source ist ein öffentliches Gut. Alle können es nutzen, niemand muss dafür zahlen, also zahlt fast niemand. Ökonomen nennen das ein Trittbrettfahrer-Problem, und die Tidelift-Zahlen zeigen, dass sich daran auch nach Log4j und xz nichts geändert hat.
Was wäre meine Arbeit auf dem Markt wert?
Das lässt sich grob rechnen. Laut der öffentlichen FreeBSD-Committer-Statistik habe ich seit Mai 2017 genau 2.289 Commits in den Ports-Tree gebracht. Die sind natürlich sehr unterschiedlich schwer, ich teile sie ehrlich in drei Kategorien ein. Als Stundensatz nehme ich den Median für IT-Freelancer in Deutschland, laut Freelancer-Kompass 2026 sind das 95 Euro. DevOps- und Infrastruktur-Spezialisten liegen eher bei 100 bis 150 Euro, ich rechne also bewusst konservativ.
| Kategorie | Anteil | Commits | Ø Aufwand | Stunden | Marktwert (95 €/h) |
|---|---|---|---|---|---|
| Einfach (Versions-Bumps, kleine Fixes) | 60 % | ~1.370 | 0,5 h | ~690 | ~65.000 € |
| Mittel (Patches, Advisories, Build-Fixes) | 30 % | ~690 | 4 h | ~2.750 | ~260.000 € |
| Komplex (neue Ports, Portierungen) | 10 % | ~230 | 25 h | ~5.700 | ~545.000 € |
| Summe | 100 % | 2.289 | ~9.150 | ~870.000 € |
In Summe: gut 9.000 Stunden mit einem Marktwert von rund 870.000 Euro über zehn Jahre. Das entspricht fünf bis sechs Vollzeit-Jahren. Nicht eingerechnet sind Bug-Report-Support, Reviews, die Security-Team-Arbeit und meine Hetzner-Rechnungen.
Verdient habe ich daran: nichts. Ich habe draufgezahlt.
Ich rechne das nicht vor, um mich zu beklagen. Ich rechne es vor, weil diese Rechnung in fast jedem Unternehmen fehlt, das auf Open Source aufbaut. Der Wert ist real, er taucht nur in keiner Bilanz auf.
Ein Beispiel dafür, wie das Problem nach vorne wirkt
Das alles ist nicht nur ein Blick zurück. Es beeinflusst ganz konkret, welche Arbeit in Zukunft entsteht, oder eben nicht entsteht. Ein Beispiel aus meinem eigenen Kopf:
Seit einer Weile überlege ich, neben der Ports-Arbeit auch in die FreeBSD-Basissystem-Entwicklung einzusteigen. Konkret reizt mich bhyve, der Hypervisor von FreeBSD, und dort vor allem das Thema Live Migration, also das Verschieben laufender VMs zwischen Hosts ohne Unterbrechung. Technisch ein hochspannendes Feld, ich würde enorm viel lernen.
Und trotzdem zögere ich. Denn wenn ich ehrlich bin: Als Privatperson habe ich von Live Migration fast nichts. Wenn ich zuhause eine VM auf einen anderen Host bringen will, fahre ich sie herunter, migriere sie und starte sie wieder. Zwei Minuten Ausfall, die niemanden stören. Den echten Mehrwert hätten Firmen, die bhyve auf Enterprise-Niveau einsetzen wollen und für die jede Sekunde Downtime Geld kostet.
Da sitze ich also und rechne: Monate an Abenden und Wochenenden in Kernel- und Hypervisor-Code investieren, damit am Ende Unternehmen ein Feature bekommen, für das sie bei VMware oder Proxmox-Support-Verträgen gutes Geld bezahlen würden. Bei FreeBSD bekämen sie es geschenkt, von jemandem, der dafür wieder einmal nichts sieht außer den eigenen Stromkosten.
Was mich am Thema hält, ist die Neugier und der Lernwert. Was mich bremst, ist genau die Rechnung aus diesem Artikel. Und ich vermute, dass dieselbe Abwägung gerade in vielen Köpfen stattfindet, bei vielen Features, die deshalb nie gebaut werden. Das ist der unsichtbare Preis des Trittbrettfahrer-Problems: Man sieht ihn nicht in ausgefallenen Diensten, sondern in Software, die es nie gegeben hat.
Falls hier also ein Unternehmen mitliest, das bhyve mit Live Migration gerne hätte: Solche Vorhaben sind exakt der Punkt, an dem Sponsoring den Unterschied macht zwischen „reizvolle Idee, die einer allein nicht stemmt“ und „wird gebaut“.
Die eine Ausnahme
Bei all dem gibt es in meinem Fall eine Ausnahme, und die bedeutet mir viel: meinen einzigen treuen Sponsor. Seit Jahren stellt er mir eine Buildmaschine zur Verfügung, auf der ich meine Ports bauen und testen kann. Und wenn wir uns sehen, gibt es auch mal ein Essen oder ein Getränk als Dankeschön.
Das mag unspektakulär klingen, aber genau so sieht Unterstützung aus, die Maintainer-Arbeit tatsächlich ermöglicht. Keine Marketingkampagne, kein Logo auf einer Website, sondern konkrete Infrastruktur und ehrliche Wertschätzung über viele Jahre. Danke dafür. Du weißt, wer gemeint ist.
Was ich mir wünsche
Ich mache diese Arbeit gerne. FreeBSD ist mein Projekt, meine Community, ein Stück weit mein Zuhause. Aber ich möchte, dass sichtbar wird, wie das Ganze wirtschaftlich funktioniert, oder eben nicht funktioniert.
Wenn euer Unternehmen Open Source einsetzt (laut dem OSSRA-Report von Synopsys enthalten 96 Prozent aller untersuchten kommerziellen Codebasen Open Source, und 77 Prozent des gescannten Codes ist Open-Source-Code), dann fragt euch: Wer pflegt eigentlich die Pakete, auf denen unser Geschäft läuft? Was passiert, wenn diese Person morgen aufhört? Und was würde es uns im Vergleich dazu kosten, sie zu unterstützen?
Unterstützung muss dabei gar nicht kompliziert sein. Eine Buildmaschine. Ein Server. Ein Sponsoring über GitHub Sponsors oder Open Collective. Bezahlte Arbeitszeit für Mitarbeiter, die zu Open Source beitragen. Manchmal reicht auch ein ehrliches Danke und ein Abendessen.
Quellen:
- Hoffmann, Nagle, Zhou: „The Value of Open Source Software“, HBS Working Paper 24-038 (2024), SSRN
- Tidelift: The 2024 State of the Open Source Maintainer Report
- W3Techs: Usage statistics of web servers
- F5 Networks: Completion of NGINX acquisition, SEC 8-K (2019)
- FreeBSD Foundation: Netflix Case Study
- Wikipedia: PlayStation 4 system software
- OpenSSF: xz Backdoor CVE-2024-3094
- Synopsys: OSSRA Report 2024
- freelancermap: Freelancer-Kompass 2026
- FreeBSD-Committer-Statistik: commits-ports.txt