Hier kann man natürlich nur eine Juristenantwort geben: Es kommt darauf an.


Man sollte sich immer überlegen

* ... wie ausgelastet ist mein Unternehmen, dass ich auf Entwickler bei Kundenprojekten verzichten kann und stattdessen Apps entwickeln lasse (Kosten Eigenentwicklung sollten nicht nur Lohnkosten Mitarbeiter berücksichtigen)

* ... Wie schnell kann ich reagieren wenn eine Sicherheitslücke gefunden wurde?
* ... wie schnell reagiert der Anbieter (egal ob Community oder Firma) der Anwendung?
* ... bekomme ich mit wenn eine Sicherheitslücke vorhanden ist und evtl. nur "behutsam" ausgenutzt wird? Bei großen fertigen Apps ist die Wahrscheinlichkeit, dass ein "guter" die Lücke meldet höher als bei einer Eigenentwicklung.
* ... Wie auffällig war die existierende App bisher in Sachen Sicherheit?
* ... Wie komplex ist die Aufgabenstellung, die die App lösen soll?
* und vieles mehr

Ist die App überhaupt "von außen" zugänglich? Kann ich alternative Installationspfade nehmen (Ich sehe in meinen errorlogs immer wieder Requests auf URLs die nicht existieren, die aber häufiger von den Anwendungen standardmäßig genutzt werden (phpmyadmin, phpnuke) und das wo ich doch fast nirgends PHP installiert habe ;-) )