Ein Vulnerability Disclosure Program (VDP) schafft einen verlässlichen Weg, über den externe Sicherheitsforschende Schwachstellen melden können. Es beschreibt zulässige Tests, Kontaktwege und den Umgang mit Meldungen. Coordinated Vulnerability Disclosure (CVD) bezeichnet den anschließenden abgestimmten Prozess von Validierung, Behebung und möglicher Veröffentlichung.
Was regelt ein VDP?
Ein öffentliches VDP beantwortet vor dem Test zentrale Fragen: Welche Systeme liegen im Scope? Welche Methoden sind erlaubt oder ausgeschlossen? Wie lassen sich Befunde sicher übermitteln? Wann erhält der Meldende eine Antwort? Ein verständlich formulierter Safe-Harbor-Abschnitt erklärt, wie die Organisation mit gutgläubiger Forschung umgeht. Er ersetzt keine Rechtsberatung und sollte zur jeweiligen Rechtsordnung passen.
Wie unterscheidet es sich von Bug Bounty?
| Programm | Zweck und Vergütung |
|---|---|
| VDP | Definierter Melde- und Koordinationsweg; eine Geldprämie ist nicht erforderlich. |
| Bug-Bounty-Programm | Zusätzlich strukturierte Prämien für gültige Befunde, häufig mit detaillierten Teilnahmebedingungen. |
| Pentest | Beauftragte Prüfung durch ausgewählte Tester in einem festen Scope und Zeitraum. |
Ein Unternehmen kann mit einem VDP beginnen und später ein privates oder öffentliches Bug Bounty ergänzen. Ein VDP erzeugt jedoch nur dann Sicherheit, wenn eingehende Meldungen tatsächlich bearbeitet werden können.
Wie läuft Coordinated Vulnerability Disclosure ab?
- Meldung empfangen, Eingang bestätigen und einen geschützten Kommunikationskanal anbieten.
- Befund sicher reproduzieren, Scope und Auswirkung bewerten und Dubletten erkennen.
- Verantwortliche Produkt- und Sicherheitsteams zuweisen und eine realistische Behebung planen.
- Meldende regelmäßig über Status und notwendige Rückfragen informieren.
- Korrektur ausrollen, verifizieren und verwandte Produkte oder Varianten untersuchen.
- Zeitpunkt und Inhalt einer Veröffentlichung, Advisories und gegebenenfalls CVE gemeinsam koordinieren.
„Koordiniert“ bedeutet nicht, Veröffentlichungen unbegrenzt zu verhindern. Zeitrahmen sollten Risiko, Verfügbarkeit einer Korrektur, aktive Ausnutzung und Abhängigkeiten berücksichtigen und transparent neu vereinbart werden.
Was gehört in eine gute Richtlinie?
- Eindeutiger Scope mit Assets, Versionen und bekannten Ausschlüssen.
- Erlaubte Testmethoden sowie Verbote für DoS, Social Engineering, Datenveränderung und unnötigen Zugriff.
- Regeln zur Datenminimierung, Beweissicherung, Vertraulichkeit und Löschung.
- Reaktionsziele für Eingangsbestätigung, Triage und Statusmeldungen.
- Safe-Harbor-Erklärung, Veröffentlichungsgrundsätze und mögliche Anerkennung.
- Funktionierender Kontakt, optional PGP, und eine
security.txtnach RFC 9116.
Wie werden Meldungen intern bearbeitet?
Ein festes Triage-Team prüft Erreichbarkeit, Version, Voraussetzung und Auswirkung. Zugang zu gemeldeten Daten wird auf notwendige Personen begrenzt. Spam, Dubletten und Out-of-Scope-Meldungen erhalten konsistente Antworten; valide Meldungen bekommen eine verantwortliche Stelle und Frist. Kennzahlen wie Zeit bis Bestätigung, Triage, Korrektur und Retest helfen, den Prozess zu verbessern – nicht nur die Anzahl eingegangener Meldungen.
Wann ist externe Koordination nötig?
Betrifft eine Schwachstelle Bibliotheken, Lieferanten, Cloud-Dienste oder viele Hersteller, müssen mehrere Parteien abgestimmt handeln. Ein CERT/CSIRT oder eine andere Koordinierungsstelle kann Kontakte herstellen, Zeitpläne moderieren und eine gemeinsame Veröffentlichung unterstützen. Bei verbreiteten Produkten kann eine CVE-Kennung die eindeutige Kommunikation und Zuordnung von Updates erleichtern.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.