weil in der Praxis eben nur die angesehen Projekte besser geprüft werden. Und das ist nicht immer gegeben. Bei kleinen OS-Projekten wird nicht mehr geschaut.

Sehe ich ähnlich.
Man muss diesen Punkt sicher stärker einschränken. Vor der Einführung eines Opensource Projekts ins Unternehmen, muss man eben auch evaluieren wie groß die Unterstützung in der Community oder durch eine Firma ist.
Dann bin ich allerdings der Meinung, dass Sicherheit mehr gegeben ist als bei closed source Lösungen.