Wie vertrauenswürdig ist QEMU?
Der Wert stammt aus der transparenten Bewertungsmethode des Quelldatensatzes. Er ist eine strukturierte Orientierung, keine Sicherheitsgarantie und kein Ersatz für deine eigene Risikoprüfung.
Vier Bewertungsdimensionen
Positive Signale erhöhen, Vorbehalte reduzieren den WertPositive Signale
26 BelegeQEMU veröffentlicht eine private Security-Mailingliste für vermutete Schwachstellenmeldungen.
Quelle prüfen ↗Der Security-Prozess dokumentiert CVE-Vergabe, Embargo-Regeln, Vertraulichkeit und ein 60-Tage-Bearbeitungsziel.
Quelle prüfen ↗Offizielle Source-Release-Tarballs werden vom Release-Manager mit veröffentlichtem GPG-Key signiert.
Quelle prüfen ↗Security-Dokumente definieren vertrauenswürdige und unvertrauenswürdige Entitäten für QEMU-Virtualisierungsdeployments.
Quelle prüfen ↗Deployment-Doku behandelt unprivilegierte QEMU-Prozesse, SELinux, AppArmor, cgroups, Namespaces und seccomp-Sandboxing.
Quelle prüfen ↗QEMU dokumentiert Virtual-Device-Fuzzing-Infrastruktur und OSS-Fuzz-Integration.
Quelle prüfen ↗Secure-Coding-Doku behandelt typische C-Schwachstellenklassen, Input-Validierung und statische oder dynamische Analysewerkzeuge.
Quelle prüfen ↗QEMU unterstützt qcow2-Payload-Verschlüsselung mit LUKS und dokumentiert einstellbare Verschlüsselungsparameter.
Quelle prüfen ↗QEMU ist ein Software-Freedom-Conservancy-Mitgliedsprojekt; Assets und Spenden werden für das Projekt gehalten.
Quelle prüfen ↗Das Leadership Committee begrenzt Mitglieder desselben Arbeitgebers auf ein Drittel.
Quelle prüfen ↗QEMU verlangt Signed-off-by-Zertifizierung nach Developer Certificate of Origin für Patch-Herkunft.
Quelle prüfen ↗QEMUs Herkunftsrichtlinie lehnt Beiträge ab, die vermutlich KI-generierte Inhalte enthalten oder daraus abgeleitet sind.
Quelle prüfen ↗Der Code of Conduct gilt für QEMU-Mailinglisten, Issue-Tracker, Events und andere projektverwaltete Räume.
Quelle prüfen ↗Die Konfliktrichtlinie bietet vertrauliche Eskalation an das QEMU Leadership Committee.
Quelle prüfen ↗QEMU 11.0.0 wurde im April 2026 mit mehr als 2.500 Commits von 237 Autoren veröffentlicht.
Quelle prüfen ↗Die Download-Seite listet Stable-Point-Releases vom März 2026 für gewartete 10.x-Branches.
Quelle prüfen ↗QEMU dokumentiert CI-Builds und automatisierte Tests als Gate vor dem Mergen von Pull Requests.
Quelle prüfen ↗Die CI-Doku beschreibt Custom Runner für Architekturen wie aarch64, s390x und ppc64le.
Quelle prüfen ↗Der Stable-Prozess nimmt CVE-Fixes, Fixes für schwere Probleme und Regressionen für Stable-Releases auf.
Quelle prüfen ↗Sponsoren stellen CI-Credits, Compute-Hosts, Download-Hosting und GitLab-Open-Source-Programmzugang bereit.
Quelle prüfen ↗QEMUs Lizenzdatei sagt, dass der Emulator unter GPL Version 2 mit kompatiblen dateispezifischen Lizenzen veröffentlicht wird.
Quelle prüfen ↗Offizielle Seiten bieten Source-Tarballs und das öffentliche Git-Repository zum direkten Bauen von QEMU.
Quelle prüfen ↗QEMU dokumentiert Raw-Disk-Images als einfach und leicht in andere Emulatoren exportierbar.
Quelle prüfen ↗Die Block-Driver-Doku behandelt Kompatibilitätsformate wie VMDK, VHD und VHDX.
Quelle prüfen ↗QMP ist als JSON-basiertes Management-Protokoll auf Maschinenebene dokumentiert.
Quelle prüfen ↗QEMU unterstützt Full-System-Emulation, User-Mode-Emulation sowie KVM- oder Xen-Virtualisierung.
Quelle prüfen ↗Vorbehalte
13 PunkteEin Ubuntu-Advisory von März 2026 behob QEMU-VNC-, e1000-, virtio-crypto-, UHCI- und KVM-Xen-Probleme, teils mit möglicher Codeausführung.
Quelle prüfen ↗Ein Ubuntu-Advisory von September 2025 behob QEMU-Probleme in virtio, SDHCI, qemu-img, NBD, USB und binfmt.
Quelle prüfen ↗QEMU sagt, dass TCG- und andere Nicht-Virtualisierungsfälle nicht für Guest-Isolation oder Sicherheitsgarantien genutzt werden sollen.
Quelle prüfen ↗QEMU behandelt QMP- und HMP-Monitor-Konsolen als privilegierte Steuerinterfaces, die nur lokal oder TLS-geschützt exponiert werden sollen.
Quelle prüfen ↗QEMU dokumentiert alte qcow-AES-CBC-Verschlüsselung als mangelhaft und nur für Interoperabilität mit Alt-Images erhalten.
Quelle prüfen ↗Project Zero stellte fest, dass öffentliche KVM-Virtualisierungs-Exploits historisch oft QEMUs Userspace-Device-Emulation betrafen.
Quelle prüfen ↗Upstream-Support konzentriert sich auf das neueste Release und den Master-Branch; ältere Distributionspakete werden an Downstream verwiesen.
Quelle prüfen ↗Offizielle Materialien bieten Source-Downloads und Community-Ressourcen, aber kein First-Party-SOC-2- oder ISO-artiges Assurance-Paket.
Quelle prüfen ↗Maintainer-Dokumente sagen, dass das Open-Source-Projekt keine Garantien für Bug- oder Feature-Bearbeitung gibt.
Quelle prüfen ↗Die MAINTAINERS-Status enthalten Odd Fixes, Orphan und Obsolete; die Wartungstiefe variiert daher je Subsystem.
Quelle prüfen ↗QEMUs E-Mail-basierter Patch-Workflow kann sehr listenintensiv sein und für Erstbeiträge Moderationsverzögerung haben.
Quelle prüfen ↗Versionierte Machine-Types sind für sechs Jahre Lebensdauer vorgesehen und müssen in langlebigen VM-Umgebungen aktualisiert werden.
Quelle prüfen ↗Offizieller Support sagt, dass komplexe Netzwerk- und Storage-Fragen meist an Management-Tools wie libvirt verwiesen werden.
Quelle prüfen ↗So funktioniert die Methode
Die Basisklasse beginnt je nach Offenheit und Rechtsraum bei unterschiedlichen Ausgangswerten. Danach werden Sicherheit, Governance, Zuverlässigkeit sowie Vertrag und Portabilität bewertet. Neuere oder strukturelle Vorbehalte wiegen stärker; ältere Ereignisse verlieren stufenweise Gewicht. Abzüge sind grundsätzlich gedeckelt, bestimmte gravierende Ausnahmen können davon ausgenommen sein. Klassenobergrenzen verhindern, dass positive Zusatzpunkte grundlegende Jurisdiktions- oder Transparenzrisiken vollständig verdecken.
Wichtig: Der Score bewertet öffentlich belegte Eigenschaften. Er besagt nicht, dass ein Produkt fehlerfrei, rechtssicher oder für deinen konkreten Einsatzzweck geeignet ist.