Was ist OpenTofu?
OpenTofu ist ein quelloffenes Werkzeug für Infrastructure as Code und der Fork von Terraform, den die Linux Foundation im September 2023 unter ihr Dach genommen hat. Es entstand, nachdem HashiCorp Terraform auf die Business Source License umgestellt hatte, und steht weiter unter der Mozilla Public License 2.0. OpenTofu liest dieselbe HCL-Konfiguration, arbeitet mit den Terraform-Providern und heißt auf der Kommandozeile tofu.
Auch bekannt als: Open Tofu · Terraform-Fork · OpenTofu CLI
Ist OpenTofu bei Ihnen gerade ein Thema?
Wir fragen kurz, wie dringend das Thema bei Ihnen gerade ist. Je nach Antwort zeigen wir Ihnen direkt den passenden nächsten Schritt — ganz ohne Formular.
Was macht OpenTofu?
OpenTofu legt Infrastruktur an, die in Textdateien beschrieben ist, und gleicht sie bei jedem Lauf mit dieser Beschreibung ab. Server, Netze, Datenbanken oder Kubernetes-Cluster stehen als Ressourcen in HCL-Dateien mit der Endung .tf, seit Version 1.8 auch .tofu. Der Ablauf heißt tofu init, tofu plan und tofu apply. Der erste Befehl lädt die Provider aus der OpenTofu Registry, der zweite zeigt, was sich ändern würde, und der dritte führt es aus. Wer Terraform kennt, findet jeden Schritt wieder, nur der Befehl heißt anders. Die Endung .tofu hat einen praktischen Zweck. Liegt neben einer .tf-Datei eine gleichnamige .tofu-Datei, liest OpenTofu nur die .tofu-Datei. So kann ein Modul OpenTofu-Funktionen nutzen und für Terraform-Nutzer trotzdem lesbar bleiben.
Am 10. August 2023 kündigte HashiCorp an, künftige Versionen seiner Produkte unter die Business Source License 1.1 zu stellen. Sie erlaubt den produktiven Einsatz, untersagt aber Angebote, die mit den bezahlten Versionen des Herstellers konkurrieren. Terraform 1.5.7 vom 7. September 2023 war die letzte Version unter der Mozilla Public License 2.0, ab 1.6.0 gilt die neue Lizenz. Eine Gruppe von Anbietern um Gruntwork und Spacelift spaltete den Code ab, am 20. September 2023 kündigte die Linux Foundation OpenTofu an, und am 10. Januar 2024 erschien mit 1.6.0 die erste stabile Version. Seit April 2025 ist OpenTofu ein Sandbox-Projekt der Cloud Native Computing Foundation. HashiCorp gehört seit dem 27. Februar 2025 zu IBM, als Lizenzgeber von Terraform steht heute IBM in der Lizenzdatei.
Seit der Abspaltung entwickeln sich beide Werkzeuge getrennt, und mit jeder Version kommen Unterschiede dazu. OpenTofu 1.7 verschlüsselt State und Plan auf Wunsch schon im Client, mit Schlüsseln aus einer Passphrase, AWS KMS, GCP KMS, Azure Key Vault oder OpenBao. Version 1.8 erlaubt Variablen in Modulquellen und in der Backend-Konfiguration, 1.9 brachte for_each für Provider und den Schalter -exclude, 1.10 die Verteilung von Providern und Modulen über OCI-Registries. Manches kam auch zuerst bei Terraform. Ephemeral resources gibt es dort seit 1.10, in OpenTofu erst seit 1.11. Die aktuelle Reihe 1.13 bekommt laut Projekt bis August 2027 Updates. Welches der beiden Werkzeuge in Ihr Team passt, besprechen wir auf der Seite zur DevOps-Automatisierung.
In der Pipeline ist der Wechsel meist unspektakulär, und dort zeigt sich auch, ob er gelingt. Die Migrationsanleitung des Projekts beschreibt ihn als sicher und umkehrbar. Sie sichern State und Code, führen tofu init und tofu plan aus und erwarten „No changes“, also genau die Ausgabe, die Terraform zeigen würde. Mehr Sorgfalt brauchen Konfigurationen, die über terraform_remote_state Daten voneinander lesen, dafür gibt es eine eigene Anleitung. Für die Industrie zählt ein zweiter Punkt. Rechenzentren an Produktionsstandorten haben oft keinen direkten Internetzugang, und seit 1.10 bezieht OpenTofu Provider und Module auch aus einer internen Container-Registry. GitLab liefert seine Terraform-Vorlagen für CI/CD nicht mehr aus und verweist auf eine eigene OpenTofu-Komponente.
Ein Pipeline-Job, ein anderes Binary
Ein Plattformteam will wissen, ob seine Terraform-Module unter OpenTofu laufen. Auf einem Migrationsbranch sichert es den Remote-State und tauscht im Pipeline-Job das terraform-Binary gegen tofu aus. tofu init holt die Provider aus der OpenTofu Registry, tofu plan meldet für fast alle Module „No changes“. Die Ausnahmen lesen per terraform_remote_state Daten voneinander und brauchen eine feste Reihenfolge. Zum Schluss prüft das Team mit einem zusätzlichen Tag an einer Testressource, ob apply wie gewohnt durchläuft.
Provider aus der Registry im eigenen Netz
Das Rechenzentrum eines Werks hat keinen Internetzugang, die Pipeline-Runner stehen im Produktionsnetz. Bisher kopierte jemand die Provider-Pakete von Hand auf jeden Runner, und nach jedem Update fehlte irgendwo eine Version. Heute liegen Provider und Module als OCI-Artefakte in der internen Container-Registry, aus der die Runner ohnehin ihre Images ziehen. Ein Job außerhalb des Werksnetzes spiegelt neue Versionen nach einer Prüfung hinein, und tofu init findet im Werk alles, was es braucht.
Wer kann den State lesen?
Im Audit fragt die Prüferin, wo das Datenbankpasswort steht, das die Infrastruktur beim Anlegen setzt. Ehrlich beantwortet steht es im Klartext im State, und den liest jeder, der auf den Storage-Bucket zugreifen darf. Mit der State-Verschlüsselung von OpenTofu liegt dort nur noch verschlüsselter Inhalt, den Schlüssel liefert der KMS des Cloud-Anbieters. Bestehende unverschlüsselte States übernimmt das Team über einen fallback-Block, der beim Lesen den alten Zustand akzeptiert und beim nächsten Schreiben verschlüsselt.
- Kann OpenTofu bestehenden Terraform-Code ausführen?
- In den meisten Fällen ja, laut OpenTofu-Dokumentation läuft der meiste Terraform-Code ohne Änderung. OpenTofu arbeitet mit den bestehenden Terraform-Providern, bezieht sie aber aus einer eigenen Registry. Genauer hinsehen sollten Sie bei Funktionen, die nach 2023 nur in einem der beiden Werkzeuge entstanden sind. Ephemeral resources etwa gibt es in Terraform seit Version 1.10 und in OpenTofu erst seit 1.11. Ein tofu plan auf einer Kopie der Konfiguration zeigt, wo es hakt, bevor sich an der Infrastruktur etwas ändert.
- Wie migriert man von Terraform zu OpenTofu?
- Sie sichern State und Code, installieren OpenTofu und führen tofu init und tofu plan aus. Das erwartete Ergebnis ist „No changes“ oder genau die Ausgabe, die Terraform zeigen würde. Zeigt plan unerwartete Änderungen, wenden Sie nichts an, bis die Ursache klar ist. Ein anschließendes tofu apply bringt die State-Datei bei Bedarf ins neue Format, eine kleine Änderung wie ein zusätzliches Tag zeigt danach, ob alles wie gewohnt läuft. Für den Rückweg spielen Sie das Backup zurück und arbeiten mit terraform weiter.
- Was ist die OpenTofu Registry?
- Die OpenTofu Registry unter registry.opentofu.org ist das Verzeichnis, aus dem tofu init Provider und Module lädt. Ihre Metadaten liegen öffentlich im GitHub-Repository opentofu/registry. Neue Provider oder Module meldet man über ein Issue-Formular an, das OpenTofu-Team prüft den Eintrag. Veröffentlichte Versionen behandelt die Registry als unveränderlich. Durchsuchen lässt sich der Bestand unter search.opentofu.org, und wer ohne Internet arbeitet, stellt Provider seit Version 1.10 auch über eine eigene OCI-Registry bereit.
- Wer entwickelt OpenTofu?
- OpenTofu ist ein Projekt der Linux Foundation und seit dem 23. April 2025 ein Sandbox-Projekt der Cloud Native Computing Foundation. Angestoßen haben es Anbieter wie Gruntwork, Spacelift, Harness, env0 und Scalr, über größere Änderungen entscheidet ein Steering Committee. Der Quellcode steht unter der Mozilla Public License 2.0 auf GitHub. Die Stiftung war von Anfang an der Kern der Idee, denn nach dem Lizenzwechsel bei Terraform sollte das Werkzeug nicht mehr von den Entscheidungen eines einzelnen Unternehmens abhängen.
Wo steht Ihr Team bei OpenTofu?
Uns interessiert, wo Ihr Team bei diesem Thema steht. Auf Basis Ihrer Antwort schlagen wir Ihnen den sinnvollsten nächsten Schritt vor — ganz ohne Formular.
Weiterführende Primärquellen zu OpenTofu: Normtexte, Hersteller- und Projektdokumentation. Alle Ziele öffnen in einem neuen Tab.
- /01OpenTofuMigrating to OpenTofu from Terraform(externe Seite, öffnet in neuem Tab)
Offizielle Übersicht zum Wechsel von Terraform mit Sicherung, tofu init, tofu plan und dem Hinweis auf Konfigurationen, die über terraform_remote_state voneinander abhängen.
- /02OpenTofuOpenTofu v1.13.0(externe Seite, öffnet in neuem Tab)
Release-Ankündigung vom September 2026 mit den Neuerungen der aktuellen Reihe und der Zusage, sie bis August 2027 zu pflegen.
- /03OpenTofuState and Plan Encryption(externe Seite, öffnet in neuem Tab)
Dokumentation der clientseitigen Verschlüsselung von State und Plan, mit den Schlüsselanbietern und dem fallback-Block für die Umstellung unverschlüsselter States.
- /04Cloud Native Computing FoundationOpenTofu(externe Seite, öffnet in neuem Tab)
Projektseite der CNCF, die die Aufnahme als Sandbox-Projekt am 23. April 2025 ausweist.
- /05HashiCorp, GitHubTerraform LICENSE (Business Source License 1.1)(externe Seite, öffnet in neuem Tab)
Lizenztext im Terraform-Repository, der die BSL für Terraform ab Version 1.6.0 festlegt und IBM als Lizenzgeber nennt.
Erstgespräch.
90 Tage zum Ergebnis.
Wir klären gemeinsam, wie Sie in 90 Tagen die ersten messbaren Industrial-DevOps-Erfolge erzielen.
Industrie · Automotive · Finance