Die Debatte um vertrauenswürdige Software leidet oft darunter, dass Unternehmen Compliance als lästige Pflicht missverstehen. In Wahrheit bilden regulatorische Anforderungen das Fundament für technologische Selbstbehauptung. Europäische Strategien gewinnen jedoch nicht allein durch das Schreiben von Gesetzestexten an Gewicht, sondern durch deren Umsetzbarkeit in der Praxis. Nehmen wir das Beispiel Open Source: Der offene Quellcode ist ein mächtiges Werkzeug für digitale Souveränität, weil er uns theoretisch die vollständige Inspektion von Software erlaubt. Aber Open Source erzeugt Vertrauen nur dann, wenn wir auch die Ressourcen besitzen, diesen Code zu prüfen und abzusichern. Vertrauen in Software bedeutet, dass wir die Software-Lieferketten, die sogenannte Software Bill of Materials (SBOM), lückenlos nachvollziehen können.

Vertrauen ist oft "blind" oder mit einem Vertrauensvorschuss verbunden. Wir bevorzugen den Begriff Vertrauenswürdigkeit. Der bedeutet, dass es Gründe geben muss zu vertrauen. Open Source Software ist eine notwendige, aber nicht hinreichende Voraussetzung - man kann diese Software zumindest prüfen. Entscheidend ist, wer diese prüft, und nach welchen Kriterien. Vertrauenswürdigkeit wird in der komplexen Welt heute auch oft durch institutionalisiertes Vertrauen in bestimmte Drittparteien (zB Prüfstellen) erzeugt. Wo diese ihre Vertrauenswürdigkeit herbekommen, ist aber auch nicht offensichtlich - Regelwerke, Historie, Transparenz... Dann sind wir bei standardisierten Prüfprozessen (Common Criteria u.a.). 

Eine gute Einführung in den Begriff ist hier zu finden: http://arxiv.org/pdf/2408.01447

In einem Paper hatte ich zu dem Begriff einmal folgende Einleitung geschrieben:

„Trust“ is a deeply social concept of humans (and assumingly many other creatures) to survive. Nowadays, since we interact a lot with non-human counterparts – technical devices, user interfaces, and a whole infrastructure behind it – “trust” has gained a much broader sense. These things became so crucial in our daily life that ‘they’ can harm us – mentally, financially, and even physically – if non-trustworthy humans take over control. The number of cyber security incidents show us, that they can.

Since we build computers, there is a lot of effort going on to not blindly trust, but to have good reasons for. Security-by-Design and -Default, various evaluation and certification methods, transparency of code (Open Source), of processes (creating new cryptographic algorithms and operating systems), well-crafted open standards and so on are the best we have today to gain some trustworthiness in our technical infrastructure.