Wie vertrauenswürdig ist OpenNebula?
Der Wert stammt aus der transparenten Bewertungsmethode des Quelldatensatzes. Er ist eine strukturierte Orientierung, keine Sicherheitsgarantie und kein Ersatz für deine eigene Risikoprüfung.
Vier Bewertungsdimensionen
Positive Signale erhöhen, Vorbehalte reduzieren den WertPositive Signale
26 BelegeSecurity Commitment mit Ausrichtung an ISO 27001:2022 und ENS-Anforderungen
Quelle prüfen ↗Dokumentierter Prozess für Vulnerability-Triage, Patching und Disclosure
Quelle prüfen ↗Das Security Commitment umfasst Risikomanagement, Zugriffsklassifizierung, Incident Management und Disaster Recovery
Quelle prüfen ↗Security-Meldungen nutzen eine dedizierte E-Mail-Adresse mit PGP-Key-Option
Quelle prüfen ↗Kritische Core-Lücken werden über EE-Wartung und CE-Patch-Releases behandelt
Quelle prüfen ↗Secure Multi-Tenancy umfasst Identity-Backends, feingranulare ACLs, Quotas, VDCs und Netzwerkisolation
Quelle prüfen ↗Confidential Computing, vTPM, verschlüsselte Datastores und verschlüsselter VM-Speicher sind dokumentiert
Quelle prüfen ↗Networking unterstützt VLAN-, VXLAN-, Open-vSwitch- und DPDK-Isolationsmuster
Quelle prüfen ↗Von Gründern gestartetes spanisches Unternehmen mit namentlich genannter Führung
Quelle prüfen ↗OpenNebula Systems dokumentiert EU-Horizon- und regionale RDI-Förderung
Quelle prüfen ↗Die Community Edition bleibt Apache-2.0-lizenziert und voll funktionsfähig
Quelle prüfen ↗Das öffentliche Repository zeigt eine aktive Open-Source-Präsenz mit Stars, Forks, Issues und Pull Requests
Quelle prüfen ↗Privacy-Bedingungen sagen, dass personenbezogene Daten nicht verkauft und nur begrenzt außerhalb von OpenNebula geteilt werden
Quelle prüfen ↗DSGVO-Rechte auf Auskunft, Berichtigung, Widerspruch, Portabilität, Opt-out und Beschwerde sind veröffentlicht
Quelle prüfen ↗OpenNebula 7.2.0 wurde am 7. April 2026 veröffentlicht
Quelle prüfen ↗Die Release Policy zielt auf regelmäßige Minor- und Wartungs-Releases mit LTS-Optionen
Quelle prüfen ↗High Availability, Host-Failover und Disaster Recovery über Rechenzentren hinweg sind dokumentiert
Quelle prüfen ↗Live Migration und Dynamic Resource Scheduling sind dokumentiert
Quelle prüfen ↗Integrierte Full-, Incremental- und Differential-Backup-Optionen sind dokumentiert
Quelle prüfen ↗Enterprise-Support bietet unbegrenzte Tickets mit 9x5- oder 24x7-Abdeckung nach Schweregrad
Quelle prüfen ↗Self-Hosted-Infrastrukturkontrolle ist zentral für das Produktmodell
Quelle prüfen ↗Die Abo-Seite sagt, dass die Software nach dem Abo dauerhaft nutzbar bleibt
Quelle prüfen ↗REST-, gRPC- und XML-RPC-APIs sowie eine skriptbare CLI sind dokumentiert
Quelle prüfen ↗OneSwap und OVA-Import sind für VMware-Migration dokumentiert
Quelle prüfen ↗Die Subscription-FAQ nennt keine separaten Lizenz-, Upgrade-, Per-Incident- oder Nutzerzugangsgebühren
Quelle prüfen ↗Major- und Minor-Releases von Community und Enterprise werden als kompatibel beschrieben
Quelle prüfen ↗Vorbehalte
13 PunkteCVE-2025-54955 ermöglichte vor CE 7.0.0 und EE 6.10.3 unauthentifizierten JWT-Diebstahl und Konto-Übernahme.
Quelle prüfen ↗CVE-2025-56535 war eine frische XSS-Lücke aus 2026 in OpenNebula 6.10.0.1 mit öffentlichen Exploit-Verweisen.
Quelle prüfen ↗CVE-2022-37425 war eine kritische Command-Injection-Lücke in OpenNebula mit Remote-Code-Inclusion-Auswirkung.
Quelle prüfen ↗Öffentliche Security-Unterlagen dokumentieren ISO- und ENS-Ausrichtung, veröffentlichen aber keine SOC-2- oder HIPAA-Nachweise.
Quelle prüfen ↗Wartungs-Releases sind in der Regel nur für Abonnenten, sodass CE-Nutzer meist bis zum nächsten Sechs-Monats-Release auf gesammelte Fixes warten.
Quelle prüfen ↗Enterprise-Treiber, zertifizierte Integrationen, Pakete und automatisierte Upgrade-Tools sind an ein Abonnement gebunden.
Quelle prüfen ↗Support für die Community Edition läuft über das Forum, während direkter SLA-Support an Enterprise-Abos gebunden ist.
Quelle prüfen ↗Die Legal-Seite behandelt an OpenNebula gesendete Materialien als nicht vertraulich und mit breiter Weiterverwendungslizenz.
Quelle prüfen ↗Die Nutzung von Enterprise-Repository-Produkten ist durch Proof of Authorization und aktive Support-Abos begrenzt.
Quelle prüfen ↗Die Abo-Bedingungen schließen mehrere Bereiche zu Architektur, Security-Prozessen, Drittanbietern und Kunden-Änderungen vom Support aus.
Quelle prüfen ↗Enterprise-Edition-Deployments verlangen für jeden verwalteten Host in einer Cloud dasselbe Abo-Level.
Quelle prüfen ↗Abo-Gebühren sind nicht erstattungsfähig, und ONS behält ein fünfjähriges Audit-Recht nach Vertragsende.
Quelle prüfen ↗Das öffentliche Repository zeigt eine große offene Issue-Queue.
Quelle prüfen ↗So funktioniert die Methode
Die Basisklasse beginnt je nach Offenheit und Rechtsraum bei unterschiedlichen Ausgangswerten. Danach werden Sicherheit, Governance, Zuverlässigkeit sowie Vertrag und Portabilität bewertet. Neuere oder strukturelle Vorbehalte wiegen stärker; ältere Ereignisse verlieren stufenweise Gewicht. Abzüge sind grundsätzlich gedeckelt, bestimmte gravierende Ausnahmen können davon ausgenommen sein. Klassenobergrenzen verhindern, dass positive Zusatzpunkte grundlegende Jurisdiktions- oder Transparenzrisiken vollständig verdecken.
Wichtig: Der Score bewertet öffentlich belegte Eigenschaften. Er besagt nicht, dass ein Produkt fehlerfrei, rechtssicher oder für deinen konkreten Einsatzzweck geeignet ist.