Responsible Disclosure

Kurz: Wer eine Sicherheitslücke findet, meldet sie zuerst dem Betreiber und gibt ihm Zeit zur Behebung, bevor Details öffentlich werden.

Genauer: Viele Betreiber bieten eine Meldestelle (security@…, /.well-known/security.txt) und manchmal Prämien (Bug-Bounty). Ein typischer Zeitrahmen sind 90 Tage. Wer fremde Systeme ohne Erlaubnis testet, kann sich nach dem Computerstrafrecht strafbar machen (Computerstrafrecht).

Im Detail

• security.txt: Eine kleine Textdatei mit Kontakt, Verschlüsselungsschlüssel und Richtlinie.
• Gute Meldung: Was, wo, wie reproduzierbar, welche Auswirkung. Keine Daten Dritter kopieren.
• Erlaubnis: Nur Systeme testen, für die eine Freigabe vorliegt.
• Gegenstück: Full Disclosure (sofort alles veröffentlichen) und Verschweigen.

Siehe auch: OWASP Top 10, Computerstrafrecht