Weil es a) kein Automatismus und b) der Optimalfall ist. Ich hatte angenommen, mit diesen beiden Aussagen ausgedrückt zu haben, dass es eben nicht überall so läuft. Auch an sicherheitsrelevanten Stellen.
Das Argument, man habe es bei Open Source leichter, Fehler zu finden und das gelte auch für die Gegenseite ist ebenfalls ein altes Argument, welches im oben angeführten Optimalfall gar nicht eintreffen sollte. Nicht umsonst gibt es bei Open Source Beta-Phasen, die dazu führen sollten, zumindest die sicherheitsrelevanten Fehler in der Beta-Phase zu entdecken, nicht erst nach jahrelangem Betrieb. Wie wir sehen, ist das in der Praxis weder bei Open Source noch bei Closed Source immer der Fall.
Ein weiterer Faktor der nicht zu unterschätzen ist, ist die Verbreitung einer Software. Fehler zu finden macht für Profis nur für Software Sinn, die eine bestimmte Verbreitung erreicht haben - oder wie im Fall von Stuxnet an gewissen, sicherheitskritischen Stellen eingesetzt werden. Daher sollte (!) weit verbreitete Software wie Open SSL immer gut reviewed werden, bevor ein neues Release den Produktionsstatus erreicht. Das ist ebenfalls wie wir gelernt haben weder bei Open noch bei Closed Source immer gegeben.
Open oder Closed Source ist, wie wir in der vergangenen Jahren gelernt haben, beides keine Garantie dafür, dass Sicherheitslücken nicht zuerst von den "falschen" gefunden und ausgenutzt werden.
Wenn man deiner Argumentationslinie folgt hieße das, dass am Ende des Tages Open Source keine Daseinsberechtigung habe, oder zumindest nur in sicherheitstechnisch unbedenklichen Fällen. Das sehe ich allerdings absolut anders.