Responsible Disclosure

Responsible Disclosure, heute meist Coordinated Vulnerability Disclosure (CVD) genannt, bezeichnet die Praxis, eine gefundene Schwachstelle zunächst vertraulich an die betroffene Organisation zu melden und ihr Zeit zur Behebung einzuräumen, bevor Details öffentlich werden.

Was bedeutet der Begriff

Die Regeln stehen in einer Disclosure Policy: einer öffentlichen Seite, die festlegt, was getestet werden darf und was nicht, wie ein Bericht eingereicht wird, wie schnell die Organisation antwortet und wann veröffentlicht wird. Üblich sind 90 Tage, eine Frist, die vor allem Google Project Zero geprägt hat. Das Team räumt Herstellern 90 Tage für einen Patch ein und veröffentlicht die Details 30 Tage, nachdem der Patch die Nutzer erreicht hat. Bleibt der Patch aus, wird nach 90 Tagen trotzdem veröffentlicht. Wer kurz vor der Auslieferung steht, kann 14 Tage Aufschub erbitten.

Zwei Bausteine machen eine solche Richtlinie praxistauglich. Der erste ist eine Datei security.txt unter /.well-known/security.txt, beschrieben in RFC 9116. Pflicht sind darin nur eine Kontaktadresse und ein Ablaufdatum. Ein Link auf die Richtlinie, die akzeptierten Sprachen und ein Verweis auf den Schlüssel sind optional, ersparen aber viel Hin und Her. Fehlt die Datei, muss sich, wer eine Lücke findet, die Kontaktdaten mühsam zusammensuchen, und der Bericht landet im allgemeinen Support-Postfach. Der zweite Baustein ist eine Safe-Harbour-Klausel: die ausdrückliche Zusage, dass die Organisation weder Strafanzeige stellt noch zivilrechtlich vorgeht, solange sich die Forschenden an die veröffentlichten Regeln halten. In Deutschland beschreibt die CVD-Leitlinie des BSI, wie ein solcher Prozess ablaufen sollte.

Warum es wichtig ist

Verwechseln Sie Responsible Disclosure nicht mit einem Bug-Bounty-Programm. Ein Bug-Bounty-Programm ist bezahlt, hat eine Prämientabelle je Fund und meist eine Plattform im Hintergrund. Responsible Disclosure ist der zugrunde liegende Meldeprozess, bei dem als Gegenleistung höchstens ein Dank, ein Eintrag in einer Hall of Fame oder ein kleines Präsent herausspringt. Hinter jedem Bug-Bounty-Programm steht eine Disclosure Policy, umgekehrt zahlt längst nicht jede Richtlinie Geld aus.

Für die empfangende Organisation zahlt sich vor allem der Zeitgewinn aus. Wer weiß, an wen er sich wenden kann und wie er rechtlich dasteht, wendet sich zuerst an Sie und nicht an eine Redaktion oder einen Käufer in einem Untergrundforum. Dieser Unterschied entscheidet darüber, ob Sie eine Schwachstelle in Ruhe patchen oder in den Nachrichten davon lesen.