Jedes Mal, wenn du das Schlosssymbol in deiner Browserleiste siehst, arbeitet dahinter wahrscheinlich die OpenSSL Library. Diese Open-Source-Kryptografiebibliothek ermöglicht die sicheren Verbindungen, die deine Passwörter, Kreditkartennummern und privaten Nachrichten auf ihrem Weg durch das Internet schützen. Wenn diese Technologieorganisation, deren Arbeit von großer Bedeutung ist, Entscheidungen treffen muss, sind Klarheit und Transparenz daher unverzichtbar.
„Offen, transparent, gemeinschaftsorientiert“ sind die ersten Worte, die wir von Anton Arapov, Betriebsleiter der OpenSSL Corporation, hören. Als Arapov vor drei Jahren zur Organisation kam, gab es dort konkurrierende Prioritäten. Während sich ein Großteil der Organisation für die Werte der Open-Source-Community einsetzte, konzentrierten sich einige Gruppen darauf, kommerzielle Unternehmen wie Microsoft, Amazon und Cisco zu unterstützen. Dieser Unterschied führte zu einer unausgewogenen Schwerpunktsetzung.
„Früher war es schwierig“, erklärt Arapov. „Wir hatten eine Mischung aus Menschen ... und diese Menschen verfolgten unterschiedliche Ziele. Manche waren stärker auf die Community ausgerichtet, andere stärker auf kommerzielle Interessen. Es kam zu Konflikten bei der Frage ... was ist heute wichtig zu tun und was ist morgen wichtig zu tun?“
Arapov und andere fanden eine strukturelle Lösung für diese Spannungen. Das OpenSSL Project organisierte sich in zwei Einheiten neu: Die Corporation übernimmt die kommerziellen Aktivitäten, die Foundation verwaltet die nicht kommerzielle Arbeit. Die neue Struktur bot zwar eine Lösung, doch eine grundlegende Frage blieb: Wie holt man Beiträge aus dem weiteren Umfeld der Menschen ein, die auf die Software angewiesen sind, aber weder zahlende Kundschaft noch Teil des Kernentwicklungsteams sind?
Die tatsächliche Nutzerschaft
Das OpenSSL Project kommunizierte bisher mit zwei Gruppen: zahlender Kundschaft auf der kommerziellen Seite und Entwickelnden, die sich auf der Open-Source-Seite über GitHub einbrachten. Arapov und seine Kolleginnen und Kollegen vermuteten, dass es viel mehr Interessengruppen gab: Forschende im Bereich Kryptografie, kleine Unternehmen, die auf sichere Kommunikation angewiesen sind, Großunternehmen mit besonderen Anforderungen an Stabilität und Planbarkeit sowie Betriebssysteme und nachgelagerte Distributionen, die die Software paketieren. Um nur einige zu nennen.
„Irgendwann haben wir darüber gesprochen: Wie erreichen wir den Rest der Community? Wir haben verschiedene Arten von Nutzenden. Wir haben Menschen, die nicht entwickeln und mit der Entwicklung von Werkzeugen für Entwickelnde nicht vertraut sind.“
Als Betriebsleiter und informeller ‚Community-Manager‘ der Organisation setzte sich Arapov dafür ein, eine Lösung zu finden. Zunächst recherchierte er, wie andere Organisationen Beiträge aus ihren Communities handhabten. Er untersuchte Open-Source-Projekte mit großer Nutzerschaft. Er betrachtete Normungsgremien, die bei technischen Entscheidungen erfolgreich Einvernehmen erzielt hatten.
„Als ich anfing, hatte ich die grobe Vorstellung, dass ich eine Art Forum brauchte, das idealerweise Abstimmungen ermöglicht. Dazu einige Funktionen, die bei der Verwaltung helfen, etwa beim Community-Management.“
Open-Source-Foren ermöglichten Diskussionen, boten aber keine wirklichen Abstimmungswerkzeuge. Normungsgremien hatten Abstimmungsmechanismen, aber die Nutzererfahrung war schlecht gestaltet. Er suchte weiter und wurde zunehmend entmutigt. „Ich kam an den Punkt, an dem ich das Gefühl hatte, nichts zu finden und auf etwas zurückgreifen zu müssen, das nur halbwegs passt.“
Die Empfehlung von ChatGPT
Arapov hatte klare Kriterien formuliert. Sie benötigten Open-Source-Software, die den Werten des OpenSSL Project entsprach. Sie wollten sich per E-Mail beteiligen können, ohne die Plattform besuchen zu müssen. Das war entscheidend für Fachleute, die ständig in ihrem Posteingang arbeiten. Eine übersichtliche Oberfläche ohne visuelle Ablenkung. Abstimmungsfunktionen mit ordentlicher Nachverfolgung. Die Möglichkeit, alle Abstimmungen an einem Ort zu sehen, statt Diskussionen durchsuchen zu müssen.
„Für mich als Ingenieur war die Möglichkeit, jemandem nur mit meinem E-Mail-Programm zu antworten, extrem wichtig. Ich werde also benachrichtigt, dass etwas passiert ist, und antworte in meinem E-Mail-Programm, ohne auf die Plattform gehen zu müssen.“
Auch die Zusammenarbeit mit kleineren Technologieanbietern war wichtig. „Es ist viel einfacher, Kontakt zu ihnen aufzunehmen, und das lag auf der Hand, weil sich unsere Bedürfnisse von denen unterscheiden, für die so ziemlich jede Software, die ich gesehen habe, gemacht ist. Wir wussten, dass wir einige Anpassungen und Funktionen brauchen würden, die es noch nicht gibt. Je kleiner der Anbieter, desto einfacher ist diese Art der Kommunikation: Dinge zu erklären und tatsächlich zu sehen, wie sie umgesetzt werden.“
Ein weiterer Faktor wog schwer. „Wir haben eine Mission und sind eine sehr transparente, sehr offene Organisation. Für uns war es absolut wichtig, eine Lösung zu haben, die ebenfalls Open Source ist. Und wir waren bereit, eine solche Lösung finanziell zu unterstützen.“ Abgesehen davon, dass sie damit ihren eigenen Werten treu bleiben, ist Open Source so wichtig, weil es ihnen die Kontrolle über ihre eigenen Daten und dauerhafte Rechte an der Software garantiert.
Angesichts einer nahenden Frist und ohne klare Lösung versuchte Arapov etwas Unkonventionelles. „Ich habe alles in ChatGPT eingegeben. ChatGPT hat mir Loomio als erstes Ergebnis genannt. Interessanterweise hatte ich Loomio bei meiner Suche anderswo überhaupt nicht gefunden. Also dachte ich: Was ist Loomio?“
Er meldete sich schnell für eine Testversion auf loomio.com an und wandte sich an den Loomio-Support, Mitgründer und leitenden Entwickler Rob Guthrie. „Ich sah OpenSSL in meinem Posteingang und dachte: Oh mein Gott“, erinnert sich Rob. Arapov abonnierte dann die Pro-Version, um die Funktionen eingehender erkunden zu können.
Die Möglichkeit zum Selbsthosting gab den Ausschlag. „Ich wollte eine selbst gehostete Lösung; es ist für uns nach wie vor sehr wichtig, die Kontrolle über unsere Daten zu haben.“ Für eine Organisation, die kryptografische Infrastruktur betreut, die den weltweiten Internetverkehr sichert, ist Datensouveränität nicht verhandelbar. Die Bedenken der technischen Community hinsichtlich Sicherheit und Kontrolle machten Selbsthosting unverzichtbar.
Eine Community-Struktur aufbauen
Die technische Bereitstellung war unkompliziert. Das Infrastrukturteam von Loomio kümmerte sich um die Einrichtung. Schwieriger war es, die Struktur der Communities selbst zu entwerfen. „Das Schwierige war, die richtige Struktur für die Communities zu finden, denn das war wirklich wichtig. Wir haben so viele davon.“
Das OpenSSL Project identifizierte sechs verschiedene Communities: Wissenschaft, Großunternehmen, kleine Unternehmen, Einzelpersonen, Distributionen und Committer. Jede Community hatte sowohl kommerzielle als auch nicht kommerzielle Interessen, sodass es über die Corporation und die Foundation hinweg insgesamt zwölf Communities gab.
Um diese Communities aufzubauen, kontaktierten sie Menschen, die ihnen schon länger bekannt waren: Personen, die versucht hatten, das OpenSSL Project über Mailinglisten zu erreichen, oder die sich im Laufe der Jahre engagiert hatten. „Wir haben ihnen gesagt: Wir haben einen neuen Ort und sehen euch als Teil dieser Community. Wenn es für euch passt, tretet bitte der Community bei. Durch Mundpropaganda begann sie zu wachsen.“
Um Veränderungen über die Communities hinweg zu ermöglichen, richteten sie einige von der Community gewählte Beratungsgremien ein. Diese Gremien machten die Bedürfnisse der Communities sichtbar und berieten die Vorstände sowohl der Foundation als auch der Corporation, indem sie diese Bedürfnisse unter anderem in Punkte für die Produkt-Roadmap und Änderungen an der Governance übersetzten.
Die Produkt-Roadmap überdenken
„Wir haben eine Gruppe sehr meinungsstarker Fachleute, die glauben zu wissen, was alle wissen, mögen und wollen.“ Gemeinsam hatten sie eine lange Liste von Funktionen zusammengestellt, von denen sie glaubten, dass die Nutzenden sie brauchten.
Dann begannen sie, registrierte Community-Mitglieder direkt über Loomio zu fragen, was sie wollten. „Es reichte schon, eine Frage dorthin zu bringen, wo Menschen sich beteiligen können. Die Entwickelnden stellten fest, dass die Meinung der Community manchmal genau das Gegenteil von dem war, was sie angenommen hatten. Die Community kann genau andersherum denken.“
Diese Erkenntnis war ernüchternd genug, dass das OpenSSL Project eine mutige Entscheidung traf. „Mit der Einführung unserer Loomio-Communities haben wir diese lange Liste vorgeschlagener Funktionen überdacht. Diese Funktionen, von denen wir gedacht hatten, dass sie in Zukunft wichtig wären. Wir haben beschlossen, die gesamte alte Funktionsliste zu verwerfen und von vorne anzufangen, indem wir direkt mit den Communities sprechen.“
Heute funktioniert der Veränderungsprozess in beide Richtungen. „Das Ziel ist, dass die Communities zu unseren Entscheidungen beitragen können. Es gibt also neben Entwickelnden und zahlender Kundschaft weitere Menschen, die Anforderungen an die OpenSSL Library haben. Sie brauchen Möglichkeiten, Funktionen, was auch immer Software liefern kann. Die Loomio-Plattform, die wir OpenSSL Communities genannt haben, ist ein Ort, an dem sie ihre Bedürfnisse vorbringen und diskutieren können und wo ihre Anliegen schließlich von den Vertretenden des OpenSSL Project und dem Vorstand berücksichtigt werden können. Wir erhalten vor der Entwicklung Echtzeit-Feedback der Community zu vorgeschlagenen Funktionen.“
Communities können Bedürfnisse vorbringen. Das OpenSSL Project kann Funktionen vorschlagen, bevor es sie entwickelt. „Wenn wir denken, dass es Zeit für eine bestimmte Funktion ist, informieren wir die Communities darüber, dass wir sie umsetzen werden. Und zwar auf diese Weise. Und wir hören euch gerne zu. Wir holen Feedback dazu ein.“
Die Delegiertenstimme
Eine Funktion, die das OpenSSL Project benötigte, gab es in Loomio noch nicht. In Community-Gruppen, die nach Größe organisiert sind, könnte ein Großunternehmen mit Tausenden Beschäftigten leicht alle anderen überstimmen. „Wenn man eine Konsensabstimmung über Gruppen hinweg durchführt, möchten wir sehen, was verschiedene Organisationen über ein bestimmtes Thema denken. Für eine Organisation mit Tausenden Beschäftigten ist es also sehr einfach, eine kleinere Organisation zu überstimmen.“
Sie brauchten für jede Organisation eine Stimme (unabhängig davon, wie viele Beschäftigte teilnahmen). Die Lösung: eine delegierte Person pro Organisation bestimmen. „Wenn wir also in unseren Gruppen eine Abstimmung durchführen und die Teilnahme auf eine Person oder eine Stimme pro Unternehmen beschränken, erstellen wir eine Abstimmung nur für die Delegierten. So erhalten wir repräsentative Ergebnisse aus solchen Abstimmungen, bei denen jedes Unternehmen nur eine Stimme hat.“
Rob entwickelte das Delegiertensystem speziell für die Bedürfnisse des OpenSSL Project. Die neue Funktion erwies sich bei den Wahlen zu ihren Beratungsgremien als entscheidend. „Wir hatten insbesondere in der Community der Großunternehmen eine sehr umstrittene Wahl, bei der sechs Personen um einen Sitz konkurrierten. Es war offensichtlich, dass ein großes Unternehmen alle anderen Kandidierenden überstimmen konnte, um die eigene kandidierende Person durchzubringen.“ Mit Delegierten und einer Stimme pro Unternehmen verschwand dieser Vorteil.
Das System gilt auch für Organisationen wie akademische Einrichtungen. An verschiedenen Universitäten nehmen mehrere Personen teil, aber bei bestimmten Entscheidungen lässt das OpenSSL Project nur eine Stimme pro Einrichtung zu.
Ein organisationales Gedächtnis schaffen
Bei einem 26 Jahre alten Projekt ist der historische Kontext wichtig. „Die OpenSSL Library ist ein sehr altes Projekt. Und früher haben wir viele Entscheidungen hinter verschlossenen Türen getroffen. Mit unseren Entscheidungen haben wir viele Menschen verärgert.“
Menschen fragten, warum das OpenSSL Project bestimmte Entscheidungen getroffen hatte. „Manchmal bekommen wir eine Frage wie: Warum habt ihr eine Entscheidung so und nicht anders getroffen? Wir konnten nicht immer auf ein bestimmtes Dokument aus der Vergangenheit verweisen, das erklärte, warum die Entscheidung getroffen wurde.“
Loomio schafft dieses Dokument. „Loomio ist für uns sehr wichtig, nicht nur im Hinblick auf die Beiträge, die wir sammeln wollen, sondern auch als Archiv.“ Jetzt können Menschen auf die genaue Diskussion verweisen, in der eine Entscheidung getroffen wurde, und nachvollziehen, warum.
Die Transparenz erfüllt einen weiteren Zweck. Viele sind weiterhin skeptisch, ob Beiträge aus der Community tatsächlich etwas bewirken. „Wir haben immer noch mit Menschen zu tun, die nicht glauben, dass das funktioniert. Ich versuche, ihnen so oft wie möglich Beispiele zu zeigen, die belegen, dass der Prozess funktioniert. Nutzende glauben nicht, dass sie etwas verändern können. Indem wir diese kleinen Änderungen vornehmen und zeigen, dass Nutzende eine Entscheidung beeinflussen können, können wir beweisen, dass es tatsächlich funktioniert.“
Er hat einen positiven Kreislauf beobachtet. „Beteiligung schafft mehr Beteiligung.“ Je mehr Inhalte und Kontext sie anbieten, desto mehr Community-Mitglieder machen mit. Je sichtbarer ihre Entscheidungsfindung wird, desto einfacher lässt sich zeigen, dass das Konzept funktioniert.
Für ein Sicherheitsprojekt, bei dem Vertrauen und Datenschutz so grundlegend sind, ist eine transparente Projekt-Governance für die Erfüllung seiner Mission unerlässlich. „Wir arbeiten an Kryptografie und müssen vertrauenswürdig sein. Um Vertrauen zu verdienen, ist Offenheit der einzige oder zumindest einer der wichtigsten Wege.“
Wir arbeiten an Kryptografie und müssen vertrauenswürdig sein. Um Vertrauen zu verdienen, ist Offenheit der einzige oder zumindest einer der wichtigsten Wege.
Persönliche Begegnungen
Im Oktober 2025 veranstaltete die OpenSSL Corporation eine Konferenz in Prag. Sie gestalteten sie sehr bewusst. „Wir haben beschlossen, die Konferenz so auszurichten, dass sie keine Verkaufskonferenz und nicht nur für Fachleute aus der Technik ist.“
Arapov lud Rob ein, teilzunehmen und Loomio vorzustellen. „Für uns, für das OpenSSL Project auf der Konferenz, war es neben dem Kontakt mit der Community und dem Team sehr wichtig, öffentlich darüber zu sprechen, was wir anders gemacht haben, was daran neu war. Die OpenSSL-Community-Website, die auf Loomio-Software basiert, war sehr wichtig. Daher war es eine enorme Hilfe, jemanden von Loomio vor Ort zu haben.“
Robs Anwesenheit half auf wichtige Weise. „Einige waren skeptisch. Sie verstanden die Entscheidung für Loomio nicht. Es war wirklich gut, mit ihnen sprechen und mehr über den Hintergrund und die Absichten bei der Einführung von Loomio erklären zu können.“
Die Konferenz zeigte etwas Grundlegenderes über den Aufbau einer Community. „Sich persönlich zu treffen, macht einen riesigen Unterschied“, erzählt Arapov.
„All diese Menschen auf der Konferenz – ich würde einige oder alle von ihnen gerne in den OpenSSL Communities sehen, denn denen, die gekommen sind, liegt wirklich etwas daran, und mit denen, denen etwas daran liegt ... müssen wir in Kontakt bleiben ... Sie sind zur Konferenz gekommen, weil sie sich persönlich vernetzen wollten.“
Beziehungen, die online durch Loomio-Diskussionen entstanden waren, wurden in der physischen Welt der Konferenz weitergeführt und ausgebaut. Darüber hinaus nahm auch die Online-Beteiligung zu: Die monatlichen Gespräche der OpenSSL Communities: Large Businesses boten mehr Möglichkeiten, sich abzusprechen und zu engagieren. „Es war erstaunlich, Fachleute aus Technik, Kundschaft und Management von Unternehmen wie Amazon, Microsoft, Hewlett-Packard, Cisco und Juniper in einem Gespräch zu sehen. Sie haben sonst keine Gelegenheit, zusammenzukommen.“ Die Rolle des OpenSSL Project, diese Menschen zusammenzubringen, bewirkt viel und erhöht die Beteiligung sowohl online als auch persönlich.
Rat für Open-Source-Projekte
Auf die Frage, welchen Rat er anderen Open-Source-Organisationen geben würde, spricht Arapov einen häufigen blinden Fleck direkt an. „Es ist sehr wichtig, dass die Community der Entwickelnden nicht die einzige Community in einem Open-Source-Projekt ist. Das ist ein Problem vieler Open-Source-Projekte, weil es meistens die Entwickelnden selbst sind, die die Community ins Leben rufen und denen diese Projekte sehr am Herzen liegen.“
„Sie denken vielleicht, dass sie eine lebendige Community haben, aber meistens sind es andere Entwickelnde, die ihre Software nutzen. Sehr oft gibt es aber eine viel größere Gruppe von Nutzenden.“
Diese anderen Nutzenden zu finden, ist wichtig.
„Der Austausch unter Entwickelnden ist wichtig. Die größere Herausforderung besteht aber darin, Wege zu finden, über die technische Entwicklung hinaus Menschen zu erreichen und sich mit Nutzenden, Compliance-Anforderungen, den Realitäten von Unternehmen und dem weiteren Umfeld auseinanderzusetzen.“
Für das OpenSSL Project wurde Loomio zu dieser Brücke. Es bot eine Möglichkeit, Gemeinschaft aufzubauen und Gespräche zwischen Nutzenden mit völlig unterschiedlichen Bedürfnissen zu strukturieren. „Wir hatten etwas Erfahrung. Wir wussten zum Beispiel, dass Großunternehmen und kleine Unternehmen sehr unterschiedliche Bedürfnisse haben. Kleine Unternehmen sind agil und nutzen oft neue Werkzeuge und neue Dinge; sie können häufig wechseln und sich verändern. Für große Organisationen stehen Beständigkeit und Planbarkeit an erster Stelle, und der Rest ist weniger wichtig.“
Das Verständnis solcher Unterschiede prägt unmittelbar, was die OpenSSL Library ausmacht. Es war entscheidend, Menschen mit vielfältigen Perspektiven aus der Community einzuladen und einzubeziehen, damit ihre Entwicklungen die tatsächlichen Bedürfnisse widerspiegeln.
Der Blick nach vorn
Die Governance des OpenSSL Project ist bewusst schlank gehalten. „Wir sind keine große Organisation, deshalb halten wir den Aufwand für unsere Entscheidungen möglichst gering.“ Derzeit ist die Entscheidungsfindung auf Führungsebene unkompliziert.
Arapov erwartet, dass sich das ändern wird. „Wir überlegen, unsere Nutzung von Loomio auf die Nachverfolgung und Dokumentation von Entscheidungen auszuweiten. Wir denken auch, dass das in Zukunft wichtiger wird, wenn es mehr Positionen im Vorstand gibt, also mehr Menschen an Diskussionen teilnehmen und mehr Meinungen eingeholt werden müssen.“
Die Plattform, die als Werkzeug zur Einbindung der Community begann, könnte sich auch zu ihrem internen Governance-System entwickeln. Vorerst erfüllt sie einen Hauptzweck: Kanäle zu Communities zu schaffen, die sie zuvor nie erreicht haben. Das OpenSSL Project gibt diesen Communities eine echte Stimme bei der Gestaltung von Sicherheits- und Datenschutzwerkzeugen, die den weltweiten Internetverkehr schützen.
Für ein Sicherheitsprojekt, das sich seinem dritten Jahrzehnt nähert, bilden Vertrauen und Beziehungen, denen durch offene Entscheidungsfindung Vorrang gegeben wird, die Grundlage, auf der alles andere aufbaut.
Schlagwörter: Gemeinschaft Fallstudien
