PHP-Lizenzwechsel zu BSD-3: Was du jetzt beachten musst

Einleitung

PHP räumt bei den Lizenzen auf – technisch ändert sich nichts, organisatorisch wird’s deutlich klarer.

Ich zeige dir, was sich ändert, ab wann es gilt, wen es betrifft und was du bei Weitergabe und Compliance konkret beachten musst.

Was genau ändert sich?

PHP will die bisher getrennte und historisch gewachsene Lizenzlage vereinheitlichen. Künftig sollen sowohl die PHP-Lizenz als auch die Zend-Engine-Lizenz durch die Modified BSD / BSD-3-Clause ersetzt werden (als neue Versionen der jeweiligen Lizenzen).

Wichtig: Das ist eine Lizenz- und Governance-Aufräumaktion – keine technische Migration. Ich erwarte keine Änderungen an Runtime, Composer, Deployments oder Hosting.

Wer ist betroffen – und wer nicht?

Für die meisten PHP-Entwickler:innen (Webapps, APIs, klassische Kundenprojekte) gilt: Du nutzt PHP wie bisher. Du musst deinen Anwendungscode nicht umstellen und bekommst auch keine neue Pflicht, deinen Code zu öffnen.

Relevant wird es für dich, wenn du PHP selbst weitergibst oder „mitlieferst“ – also wenn du PHP als Teil eines Produkts, Images oder Installers verteilst oder eigene Builds anbietest.

Ab wann gilt das?

Die Umstellung soll laut RFC in der nächsten PHP-8.x-Version voll wirksam werden. Praktisch heißt das: Relevant ist der Zeitpunkt, ab dem du PHP-Versionen verteilst, die bereits unter der neuen Lizenz ausgeliefert werden.

Was musst du konkret beachten? (Checkliste)

Wenn du PHP (oder Teile davon) weitergibst, ist BSD-3-Clause im Kern simpel. Ich halte mich an diese Grundregeln:

Ausnahmen und typische Fallstricke

Ich sehe in der Praxis immer wieder dieselben Probleme – die haben weniger mit „BSD“ zu tun, sondern mit schlampiger Distribution:

• Container ohne Lizenzdateien: Images werden gebaut, aber es fehlt ein sauberer Lizenzordner oder eine Doku-Referenz.
• Bundle aus vielen Komponenten: PHP ist nur ein Teil; daneben kommen Webserver, OS-Libs, PECL-Extensions – und genau dort entstehen Compliance-Lücken.
• Marketing-Sätze: „Offiziell von … empfohlen“ ist riskant, auch wenn es gut gemeint ist.

Welche Folgen hat es, wenn du es ignorierst?

Wenn du PHP weitergibst und Lizenzhinweise weglässt, baust du dir ein Compliance-Risiko: Rückfragen von Kunden, Blocker bei Security-/Legal-Reviews, im schlimmsten Fall die Pflicht, Distributionen nachzubessern oder zurückzuziehen. Das ist selten „Drama“, aber immer unnötige Reibung – besonders im Enterprise-Umfeld.

Meine Handlungsempfehlung

Wenn du PHP nicht weiterverteilst: Mach nichts. Beobachte nur, ab welcher PHP-8.x-Version die neue Lizenz in deinen Lieferketten auftaucht.

Wenn du PHP mit auslieferst: Baue jetzt eine minimale Compliance-Routine ein: Lizenzordner im Artefakt, automatischer Check im Build, kurze Dokuzeile im Handbuch/README – fertig.

FAQ