Ein öffentlicher Kanal und ein funktionierender Prozess für Meldungen über Schwachstellen von außen: Richtlinie, security.txt, Eingang, Triage und koordinierte Offenlegung.
Früher oder später findet jemand außerhalb des Unternehmens eine Schwachstelle in Ihrem Produkt. Was dann geschieht, hängt davon ab, ob diese Person eine Adresse findet, an die sie schreiben kann, und ob jemand antwortet. Gibt es keinen Kanal, landet die Meldung in einem Support-Postfach, in sozialen Medien oder nirgends.
Ein Programm zur Offenlegung ist das Minimum: eine veröffentlichte Richtlinie, die sagt, wie gemeldet wird und was der Meldende erwarten kann, ein Postfach, das gelesen wird, und ein Prozess, der eine Meldung vom Eingang bis zur Behebung führt. Es zahlt keine Prämien und braucht keine Plattform. Der Cyber Resilience Act der EU schreibt Herstellern von Produkten mit digitalen Elementen eine Richtlinie zur koordinierten Offenlegung von Schwachstellen vor: Die Meldepflicht für aktiv ausgenutzte Schwachstellen gilt ab dem 11. September 2026, alle Pflichten gelten ab dem 11. Dezember 2027.
01Umfang
Was wir testen
Richtlinie zur Offenlegung: Geltungsbereich, Regeln, Safe Harbor, Zeitplan der Offenlegung
security.txt nach RFC 9116, mit Überwachung des Ablaufdatums
Eingangskanal: eigenes Postfach oder Formular, Schlüssel für die Verschlüsselung, Eingangsbestätigung
Triage-Verfahren: Reproduktion, Bewertung des Schweregrads, Erkennung von Duplikaten
Interne Behandlung nach ISO/IEC 30111: Zuständigkeiten, Fristen, Eskalation
Kommunikation mit den Meldenden und koordinierte Veröffentlichung
Sicherheitshinweise und CVE-Kennungen für Schwachstellen in Ihren Produkten
Meldepflichten nach dem Cyber Resilience Act und nach NIS2, sofern sie gelten
02Vorgehen
Wie die Arbeit abläuft
01
Richtlinie
Wir entwerfen die Richtlinie mit Ihrer Rechtsabteilung. Die Formulierung zum Safe Harbor folgt dem Text, den die Forschungsgemeinschaft anerkennt, und wird von Ihren Anwälten an Ihre Rechtsordnung angepasst.
02
Kanal
Der Eingangskanal und die Datei security.txt werden eingerichtet und von außen getestet, so wie ein Sicherheitsforscher sie finden würde.
03
Prozess
Rollen, Fristen und Eskalation werden schriftlich festgelegt und an einer Testmeldung geprobt, bevor die Richtlinie veröffentlicht wird.
04
Betrieb
Auf Wunsch betreiben wir den Eingangskanal: Wir bestätigen den Eingang, reproduzieren und bewerten die Meldungen und übergeben bestätigte Meldungen an Ihr technisches Team.
Schweregrad jedes Befunds als Punktwert und Vektor.
FIRST
06Fragen
Fragen zu dieser Leistung
Jemand hat uns eine Schwachstelle gemeldet und verlangt Geld. Was tun wir?
Zahlen Sie nicht unter Druck, und drohen Sie nicht. Bestätigen Sie den Eingang, fragen Sie nach den technischen Details und prüfen Sie die Behauptung. Die meisten unaufgeforderten Meldungen stammen von Sicherheitsforschern, die in gutem Glauben handeln, manche sind automatisiertes Rauschen, einige wenige sind Erpressung. Wir prüfen die Meldung, bewerten ihren Schweregrad und helfen Ihnen bei der Antwort; stellen Sie dazu eine Anfrage über das Formular auf dieser Website und erwähnen Sie, dass eine Meldung auf Antwort wartet.
Worin unterscheidet sich ein Programm zur Offenlegung von einem Bug-Bounty-Programm?
Ein Programm zur Offenlegung nimmt Meldungen entgegen und verspricht eine faire Behandlung. Ein Bug-Bounty-Programm fügt eine Bezahlung hinzu und lädt damit zur aktiven Suche ein. Ersteres ist eine Grundlage für jedes Unternehmen mit einem Produkt im Internet, Letzteres eine Entscheidung über Budget und Bereitschaft.
Setzt uns eine Safe-Harbor-Klausel einem Risiko aus?
Die Klausel verpflichtet Sie, nicht gegen Personen vorzugehen, die Ihre Regeln einhalten. Außerhalb dieser Regeln genehmigt sie nichts, und Dritte oder Staatsanwaltschaften bindet sie nicht. Ihre Anwälte prüfen den Text vor der Veröffentlichung.