Definition Responsible Disclosure Was ist Responsible Disclosure?

Anbieter zum Thema

Fsas Technologies GmbH

Responsible Disclosure ist ein verantwortungsvolles Offenlegungsverfahren für Sicherheitslücken. Der Entdecker räumt dem betroffenen Hersteller, Entwickler oder Dienstleister eine angemessene Frist zur Behebung ein. So kann die Sicherheitslücke zuerst behoben werden, bevor technische Details dazu in der Öffentlichkeit bekannt werden.

Die deutsche Übersetzung des englischen Begriffs „Responsible Disclosure“ lautet „verantwortungsvolle Offenlegung“ oder „verantwortungsvolle Bekanntmachung“. Der Begriff beschreibt ein Verfahren, wie eine neu entdeckte Sicherheitslücke möglichst verantwortungs­voll offengelegt werden kann. Der Entdecker der Sicherheitslücke informiert den betroffenen Hersteller, Entwickler oder Dienstleister und räumt ihm eine angemessene Frist ein, in der er die Sicherheitslücke beheben oder schließen kann. Erst danach werden Informationen und Details zur Sicherheitslücke veröffentlicht. Durch dieses Verfahren lässt sich verhindern, dass Cyberkriminelle Kenntnis über eine noch nicht geschlossene Sicherheitslücke erlangen und diese für ihre Zwecke missbrauchen. Da zwischen dem Entdecker der Sicherheitslücke und dem Betroffenen Unternehmen in der Regel eine koordinierte, vertrauensvolle Zusammenarbeit zur Behebung der Sicherheitslücke stattfindet, wird das Responsible-Disclosure-Verfahren teilweise auch als „Coordinated Vulnerability Disclosure“ bezeichnet.

Neben dem Responsible-Disclosure-Verfahren gibt es weitere Offenlegungsverfahren wie Full Disclosure oder Private Disclosure. Aufgrund der verantwortungsvollen Art und Weise der Offenlegung einer neu entdeckten Sicherheitslücke favorisieren viele Unternehmen allerdings das Responsible-Disclosure-Verfahren und bieten vorbereitete Prozesse und Kontakt­möglichkeiten an, die Entdecker von Sicherheitslücken dazu ermuntern sollen, das Responsible-Disclosure-Verfahren zu nutzen und sich an gegenseitige Absprachen zu halten. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt die Anwendung des Responsible-Disclosure-Prinzips. Es stellt sicher, dass gefundene Sicherheitslücken von den Verantwortlichen geschlossen werden können und die Allgemeinheit nicht durch eine zu frühe Veröffentlichung von Details unnötig gefährdet wird.

Beispielhafter Ablauf einer Offenlegung nach dem Responsible-Disclosure-Prinzip

Wie eine Offenlegung einer Sicherheitslücke nach dem Responsible-Disclosure-Prinzip im Detail genau abläuft, kann je nach Unternehmen, Branche und entdeckter Sicherheitslücke variieren. Viele Unternehmen definieren eigene Responsible-Disclosure-Richtlininen und etablieren spezielle Prozesse, die genau festlegen, wie die verantwortungsvolle Meldung einer Sicherheitslücke erfolgen kann, welche Informationen übermittelt werden sollen und welche Fristen gewünscht sind. Auch wenn es keinen allgemeingültigen Ablauf eines Responsible Disclosure gibt, der grundsätzliche Ablauf eines Responsible Disclosure ist meist ähnlich und lässt sich in diesen Hauptschritten beschreiben:

• 1. Bereitstellung grundsätzlicher Informationen zum Ablauf (Responsible Disclosure Policy): Damit ein Responsible Disclosure strukturiert und nach gewissen Regeln abläuft, definieren viele Unternehmen eine Responsible Disclosure Policy und stellen grundlegende Informationen zur Verfügung, wie die verantwortungsvolle Meldung einer Sicherheitslücke erfolgen kann. Stimmt der Entdecker einer Sicherheitslücke den Bedingungen der Policy zu, verpflichtet er sich zum Beispiel dazu, eine angemessene, realistische Frist zur Behebung einzuräumen und die Sicherheitslücke nicht auszunutzen oder sein Wissen missbräuchlich zu verwenden. Im Gegenzug dazu erhält der Entdecker eine gewisse Art der Würdigung, gleichzeitig verzichtet das Unternehmen gegenüber dem „Hacker“ auf jegliche juristische Schritte.

• 2. Kontaktaufnahme: Sind die Spielregeln zum Responsible Disclosure geklärt, kann eine erste Kontaktaufnahme erfolgen. Unternehmen bieten hierfür meist spezielle Kontaktadressen oder Formulare an. Die Kontaktaufnahme kann abhängig von den Vorgaben anonym oder namentlich erfolgen.

• 3. Übermittlung der Detailinformationen zur entdeckten Sicherheitslücke: Nach der Kontaktaufnahme übermittelt der Melder die technischen Details zur entdeckten Sicherheitslücke.

• 4. Informationen über den Fortschritt der Behebungsaktivitäten: Während der Behebungsfrist informiert das betroffene Unternehmen in regelmäßigen Abständen den Melder über die aktuellen Tätigkeiten und den Stand der Behebung. Gegebenenfalls erfolgt eine enge Abstimmung und Zusammenarbeit bei der Behebung der Sicherheitslücke.

• 5. Meldung und öffentliche Mitteilung der Behebung der Sicherheitslücke: Ist die Sicherheitslücke behoben, informiert das Unternehmen zunächst den Meldenden. Anschließend erfolgt eine öffentliche Mitteilung über die geschlossene Sicherheitslücke und über eventuell bereitgestellte Softwareupdates oder Patches. Gegebenenfalls wird in der öffentlichen Mitteilung auch der Melder nochmals explizit gewürdigt.

Abgrenzung zu anderen Verfahren der Offenlegung von Sicherheitslücken wie Private Disclosure und Full Disclosure

Neben dem Responsible-Disclosure-Verfahren gibt es noch weitere Verfahren zur Offenlegung von Sicherheitslücken. Eines dieser Verfahren ist das sogenannte Full Disclosure. Als Full Disclosure wird die Praxis bezeichnet, sämtliche Informationen über eine neu entdeckte Sicherheitslücke ohne weitere Absprache mit dem betroffenen Unternehmen oder Entwickler direkt öffentlich zu machen. Für die Anwender bietet sich dadurch der Vorteil, dass sie sofort über die Sicherheitslücke informiert sind. Durch die öffentlich verfügbaren Informationen besteht aber das Risiko, dass die Sicherheitslücke von Cyberkriminellen ausgenutzt wird, bevor sie durch den Hersteller behoben werden kann. Der Hersteller steht mit der Veröffentlichung daher direkt unter großem zeitlichem Druck, die Sicherheitslücke zu schließen. Ein Full Disclosure wird daher als ein wenig verantwortungsvolles Offenlegungsverfahren betrachtet. Unter Umständen kann es auch mit rechtlichen Konsequenzen für den Veröffentlichenden verbunden sein.

Ein weiteres Offenlegungsverfahren ist das sogenannte Private Disclosure. Bei einem Private Disclosure werden keine Details zur Sicherheitslücke öffentlich gemacht. Meldender und betroffenes Unternehmen vereinbaren Stillschweigen über die Art und technischen Details der Sicherheitslücke und die getroffenen Maßnahmen zur Behebung.

Vorteile durch die Offenlegung einer Sicherheitslücke per Responsible Disclosure

Für viele Unternehmen und Organisationen ist das Responsible-Disclosure-Verfahren das bevorzugte Verfahren zur Offenlegung einer neu entdeckten Sicherheitslücke. Es bietet sowohl dem Meldenden als auch dem betroffenen Unternehmen zahlreiche Vorteile. Der Hersteller erhält eine angemessene Frist, in der er die Sicherheitslücke beheben kann. Während dieser Frist gelangen keine Informationen über die Sicherheitslücke an die Öffentlichkeit, was das Risiko für die missbräuchliche Ausnutzung der Sicherheitslücke senkt. Nach der Behebung der Sicherheitslücke wird die Öffentlichkeit aber darüber informiert, dass sie durch die Sicherheitslücke unter Umständen einem gewissen Risiko ausgesetzt war. Für den Meldenden ergibt sich der Vorteil, dass die betroffenen Unternehmen auf juristische Schritte gegenüber dem „Hacker“ verzichten, solange er sich an die gegenseitigen Responsible-Disclosure-Absprachen hält. Möchte der Melder anonym bleiben, ist das in der Regel auch möglich.

Mögliche Nachteile des Responsible-Disclosure-Verfahrens

Mögliche Nachteile des Responsible-Disclosure-Verfahrens sind:

• strafrechtliche Konsequenzen gegenüber dem Meldenden können auch bei einem Responsible Disclosure nicht vollständig ausgeschlossen werden

• durch das Einräumen einer Behebungsfrist reagiert das betroffene Unternehmen unter Umständen verzögert und lässt sich zu viel Zeit bei der Behebung der Sicherheitslücke. Bei gravierenden Sicherheitslücken und ausbleibender Reaktion des betroffenen Unternehmens kann ein Full Disclosure und der damit einhergehende öffentliche Druck ein schnelleres Handeln auslösen.

(ID:50367514)