GitHub: Lizenz-Compliance für Open Source ist in Enterprise Cloud allgemein verfügbar

Victoria Shinder17 October 2026, 08:322 Min. Lesezeit

GitHub hat am 16. Oktober 2026 mitgeteilt, dass die Lizenz-Compliance für Open Source allgemein verfügbar ist – für Kunden von GitHub Enterprise Cloud, auch mit Datenresidenz. Sie greift in Repositorys, in denen GitHub Code Security aktiviert ist. Seit Juni lief die Funktion als öffentliche Vorschau.

So funktioniert es. Die Funktion baut auf der Dependency-Review-Action auf, ergänzt sie aber um eine Lizenzrichtlinie für das ganze Unternehmen. Eingeschaltet wird sie über ein Ruleset, das auf Repositorys zielt und eine neue Bedingung nutzt: „Require license compliance results before merging“, aufgebaut wie die bestehenden Bedingungen für Code Scanning. Fügt ein Pull Request Abhängigkeiten hinzu oder ändert sie, wird jede neue oder geänderte Abhängigkeit gegen die Richtlinie geprüft, und der Pull Request erhält für jede nicht konforme Abhängigkeit einen Hinweis.

Diese Hinweise blockieren das Mergen, bis sie auf einem von drei Wegen erledigt sind: Die Abhängigkeit wird entfernt oder ersetzt, die Richtlinie wird angepasst, oder es wird eine Ausnahme für das Paket angelegt. Ausnahmen laufen über einen Antrag. Dafür führt GitHub eine neue vordefinierte Rolle ein, Enterprise Open-Source License Manager, für Personen oder Teams, die solche Anträge prüfen und freigeben; die Verantwortlichen werden per E-Mail benachrichtigt und bearbeiten offene Anträge in der Enterprise-Konsole.

Was sich seit der Vorschau geändert hat.

• Lizenzdaten bei Datenresidenz. GHEC-Kunden mit Datenresidenz erhalten jetzt Lizenzinformationen. Das ermöglicht die Compliance-Prüfung und füllt zugleich die Lizenzangaben im Dependency Graph und in SBOM-Exporten.
• Audit-Log. Änderungen an der Lizenzrichtlinie erzeugen Audit-Log-Ereignisse und lassen sich so an externe Systeme weitergeben.
• Richtlinien-API. Neue REST-Endpunkte laden die Unternehmensrichtlinie herunter, ändern oder ersetzen sie.
• Prüf-API. Ein weiterer Endpunkt prüft, ob bestimmte Pakete der Richtlinie entsprechen. Laut GitHub können Coding-Agenten so vermeiden, Pakete vorzuschlagen oder einzubauen, die gegen die Lizenzvorgaben einer Organisation verstoßen.

Für die Einrichtung verweist das Changelog auf die Dokumentationsseite „About open source license compliance“, für die API auf die REST-Endpunkte des Dependency Graph. Zu Preisen sagt es nichts über die Voraussetzung Code Security hinaus, und auch nicht, ob die Funktion für GitHub Enterprise Server kommt.

Quelle: GitHub Changelog, „Open source license compliance generally available“ — https://github.blog/changelog/2026-10-16-open-source-license-compliance-generally-available