KI dekompiliert Software: Ist Closed Source am Ende?
Open-Source-Vordenker Eric S. Raymond erklärt Closed Source für tot, im Netz tauchen per KI zurückübersetzte Spiele auf. Was dran ist, was in der EU erlaubt ist und was Softwareanbieter und Firmen mit Altsystemen jetzt bedenken sollten.
Jahrzehntelang galt eine einfache Regel: Wer Software nur als fertiges Programm ausliefert, behält seinen Quellcode für sich. Das Zurückübersetzen einer Binärdatei in lesbaren Code war mühsam, teuer und Fachleuten vorbehalten. Genau diese Hürde schrumpft gerade. Eric S. Raymond, Mitbegründer der Open Source Initiative, hat deshalb am 5. Oktober 2026 auf X das Ende geheimer Software ausgerufen. heise hat die These am 8. Oktober aufgegriffen, und Kotaku berichtete am 9. Oktober über Browser-Nachbauten bekannter Konsolenspiele, die per KI entstanden sein sollen.
Raymonds These: Programme werden durchsichtig wie Glas
Raymond schreibt, man müsse künftig davon ausgehen, dass alles, was als ausführbare Datei oder sogar als Firmware ausgeliefert wird, „so durchsichtig wie Glas“ ist. Geheim bleibe es nur so lange, bis jemand ein Sprachmodell darauf ansetzt. Viele Geschäftsmodelle mit proprietärer Software würden deshalb „zusammenbrechen“. Als verbleibende Schutzwege sieht er nur noch Software als Dienst (SaaS), bei der der Code nie das Rechenzentrum verlässt, und Patente.
I did not foresee it being wiped out in a technoapocalypse.
So beschreibt Raymond, wie sehr ihn die Entwicklung selbst überrascht hat. Vor 30 Jahren habe er erwartet, dass Closed Source langsam an Kostendruck eingeht, in Nischen aber dauerhaft überlebt.
Sein Beleg ist ein eigenes Experiment: Ein KI-Assistent hat das alte DOS-Shareware-Spiel „Firefighter“ zurückübersetzt. Am Datenlayout erkannte die KI, dass es in Borland Pascal geschrieben war, und lieferte gut lesbaren Pascal-Code mit sinnvollen Funktions- und Variablennamen. Raymond hat den Code anschließend nach Rust übertragen. Welches Modell er genutzt hat, sagt er nicht.
Weiter geht seine Behauptung, ein quelloffener Photoshop-Nachbau sei per Dekompilierung entstanden. Das ist allerdings seine Vermutung: Das Projekt beschreibt sich selbst als Clean-Room-Neuentwicklung in Rust, und heise hält fest, belegt sei das bislang nicht.
Spiele im Browser: Was Kotaku beobachtet
Konkreter wird es bei Spielen. Laut Kotaku laufen inzwischen Nachbauten von Halo: CE, GTA: Vice City, Call of Duty: Black Ops, Skate 3 und The Simpsons: Hit and Run direkt im Browser, einige nach Tests des Autors nahezu fehlerfrei. Als Werkzeug nennt Kotaku Claude Opus 5.5, das besonders gut im Dekompilieren sei. Der Autor spricht von „Hunderten“ solcher Projekte in den vergangenen Wochen, eine Zählung legt er nicht vor. Eine Reaktion der Rechteinhaber auf diese Ports nennt Kotaku nicht, rechnet aber mit Abmahnungen. Sein Fazit:
I genuinely don't know how you put the genie back in the bottle on something like this.
Wie leistungsfähig das aktuelle Anthropic-Modell ist, haben wir zum Start von Claude Opus 5.5 beschrieben.
In der EU ist Dekompilieren eng begrenzt
Raymond argumentiert mit US-Recht: Wer ein Programm erst in eine Spezifikation überführt und daraus neuen Code schreiben lässt, ohne den dekompilierten Code selbst zu übernehmen, sei auf sicherem Boden, so wie einst Phoenix beim Nachbau des IBM-PC-BIOS. Mit Sprachmodellen dauere das nur noch einen Tag.
In der EU ist die Lage strenger. Die EU-Softwarerichtlinie erlaubt das Dekompilieren laut heise im Wesentlichen nur, soweit es für die Zusammenarbeit mit anderen Programmen nötig ist, und nach einem EuGH-Urteil von 2021 auch zur Fehlerberichtigung. Ein fremdes Produkt per KI zurückzuübersetzen, um es nachzubauen, ist davon nicht gedeckt. Technisch möglich und rechtlich erlaubt sind hier also zwei verschiedene Dinge.
Auch beim Schutz relativiert heise: Sicherheitsforscher sehen die Lage differenzierter. Verschleierter Code (Obfuskierung) wird durch Sprachmodelle billiger zu knacken, verliert aber nicht jeden Wert. Codesignierung und Secure Boot verhindern zwar nicht das Lesen, aber das Ausführen veränderter Software auf gesperrter Hardware.
Was das für Ihr Unternehmen heißt
- Softwareanbieter: Gehen Sie davon aus, dass ausgelieferte Programme, Apps und Firmware gelesen werden können. Geheimnisse wie API-Schlüssel, Zugangsdaten oder Lizenzprüfungen gehören nicht in den Client, sondern auf den Server.
- Geschäftsmodell prüfen: Wer vom Verkauf installierbarer Software lebt, sollte durchrechnen, welcher Teil des Werts im Code steckt und welcher in Service, Daten, Updates und Support. Letzteres lässt sich nicht dekompilieren.
- Rechtliche Absicherung: Lizenzverträge, Marken und gegebenenfalls Patente werden wichtiger, technischer Schutz allein reicht nicht mehr.
- Altsoftware ohne Quellcode: Für Firmen mit alten Fachanwendungen, deren Hersteller verschwunden ist, ist die Entwicklung eine Chance. Eine Analyse wird deutlich günstiger. Ob Sie dekompilieren dürfen, hängt aber vom Zweck ab: Fehlerbehebung und Anbindung an andere Systeme sind in der EU eher gedeckt als ein Nachbau. Vorher rechtlich prüfen lassen.
- Sicherheit: Was Entwickler können, können auch Angreifer. Schwachstellen in ausgelieferter Software werden schneller gefunden. Wie viele Lücken KI inzwischen aufspürt, zeigt der VulnCheck-Report. Updates sollten deshalb zügig ausgerollt werden.
Fazit
Raymonds Abgesang ist zugespitzt, und manches daran ist nicht belegt. Der Kern stimmt aber: Das Zurückübersetzen von Programmen ist mit KI vom Expertenprojekt zur Fleißarbeit über Nacht geworden. Für Anbieter heißt das, Schutz nicht mehr auf Unlesbarkeit zu bauen, sondern auf Server, Verträge und Service. Für Firmen mit Altsystemen öffnet sich ein neuer Weg zur Modernisierung, in der EU allerdings mit klaren rechtlichen Grenzen. Wenn Sie eine Altanwendung ohne Quellcode modernisieren oder Ihre eigene Software besser absichern möchten, sprechen Sie mich gern an.
