Responsible Disclosure – diesem Prinzip folgen ethische Hacker, wenn Sie eine Sicherheitslücke bei einem Unternehmen entdecken. Was Responsible Disclosure ist, erläutern wir in diesem Blogbeitrag. Außerdem erklären wir, weshalb Unternehmen diese Hinweise gezielt sammeln und nutzen sollten – und geben erste Tipps, wie.

Was ist Responsible Disclosure?

Übersetzt bedeutet Responsible Disclosure “verantwortungsvolle Bekanntmachung“. Dabei geht es um die Bekanntmachung neu entdeckter Sicherheitslücken. Denn zum Glück gibt es unabhängige ethische Hacker, die Websites, Programme, Apps und Co. auf Sicherheitslücken überprüfen. Nicht, um sie kriminell auszunutzen. Sondern um dazu beizutragen, dass diese Lücken geschlossen werden.

Üblicherweise melden die ethischen Hacker die Sicherheitslücke dem Unternehmen, dessen Programm, Website oder App betroffen ist. Sie räumen dem Unternehmen eine angemessene Zeit ein, um die Lücke zu schließen. Erst dann informieren sie die Öffentlichkeit darüber. Ziel dieses Vorgehens ist, zu verhindern, dass Cyberkriminelle die Sicherheitslücken ausnutzen können.

Gut zu wissen: Alternativ wird Responsible Disclosure auch als Coordinated Disclosure bezeichnet – weil die Unternehmen und die ethischen Hacker ihr Vorgehen koordinieren.

Wer oder was sind ethische Hacker?

Gleich vorweg: Ethische Hacker sind keine einheitliche Gruppe. Was sie aber gemeinsam haben: Sie besitzen enorme Computerexpertise und praktizieren eine gewisse Hackerethik. Vielleicht ihre ganz individuelle. Oder z. B. die Hackerethik des Chaos Computer Clubs. Einer ihrer Grundsätze lautet: „Öffentliche Daten nützen, private Daten schützen“. Viele Sicherheitslücken gefährden den Schutz privater Daten. Daher fühlen ethische Hacker sich oft verantwortlich, dafür zu sorgen, dass solche Sicherheitslücken geschlossen werden.

Was ist der Unterschied zwischen Responsible Disclosure und Full Disclosure?

Allerdings gibt es auch Unternehmen, die dauerhaft untätig bleiben. In solchen Fällen können ethische Hacker sich für eine Full Disclosure entscheiden, das heißt für eine vollständige Bekanntmachung. Dann machen sie die Sicherheitslücke öffentlich – obwohl sie noch nicht geschlossen ist. Diese Entscheidung ist zweischneidig. Einerseits erfahren so auch Cyberkriminelle von der noch nicht geschlossene Sicherheitslücke. Andererseits bedeutet die Bekanntmachung üblicherweise massiven Druck auf das betreffende Unternehmen, diese Lücke nun schnellstmöglich zu schließen.

Wichtig zu wissen: Cyberkriminelle suchen gezielt nach Sicherheitslücken, um sie für ihre Zwecke auszunutzen. Daher müssen ethische Hacker oft auch die Wahrscheinlichkeit abwägen, dass eine von ihnen gefundene Sicherheitslücke zumindest einigen Cyberkriminellen bereits bekannt ist.

Responsible Disclosure aus Unternehmenssicht

Mehr und mehr Unternehmen bemühen sich, ethischen Hackern eine Responsible Disclosure zu erleichtern. Zum Beispiel, indem sie eine spezielle E-Mail-Adresse für solche Hinweise einrichten oder ein Formular zur Verfügung stellen.

Zum Teil geben sie den ethischen Hackern auch Informationen, welche Arten von Sicherheitslücken für sie relevant sind und wie sie den Umgang mit der Meldung gestalten. Hintergrund dieser Bemühungen ist die Erkenntnis, dass die Unternehmen hier von der unbeauftragten Expertise der ethischen Hacker profitieren.

Ein heikler Punkt: das Thema Strafanzeigen

Beim Auffinden von Sicherheitslücken können ethische Hacker sich technisch gesehen strafbar machen. Zum Beispiel, wenn sie entdecken, dass aufgrund einer Sicherheitslücke personenbezogene Daten öffentlich einsehbar sind – und bei dieser Entdeckung zwangsläufig einige dieser Daten einsehen.

Üblicherweise zeigen Unternehmen die ethischen Hacker in solchen Fällen nicht an. Eine große deutsche Partei tat dies jedoch, nachdem ihr mehrere Sicherheitslücken in einer ihrer Apps gemeldet wurden. Daraufhin kündigte Europas größte Hackervereinigung – der Chaos Computer Club – an, dieser Partei künftig keine Sicherheitslücken mehr zu melden.

So erleichtern Sie eine Responsible Disclosure für Ihr Unternehmen

Sicherheitslücken können Ihrem Unternehmen empfindliche Schäden verursachen. Erleichtern Sie daher ethischen Hackern eine Meldung nach dem Prinzip einer Responsible Disclosure.

Wie ein verantwortungsvoller Umgang mit neu entdeckten Sicherheitslücken aussieht, ist nicht immer ganz eindeutig. Viele Unternehmen sind froh über die exakten Hinweise, die sie von ethischen Hackern erhalten und bemühen sich, die entdeckten Sicherheitslücken zu schließen.

• Überlegen Sie mit den entsprechenden Fachkräften bzw. Abteilungen, wie Sie die Meldung von Sicherheitslücken handhaben möchten – und können.
• Richten Sie eine spezielle E-Mail-Adresse für Responsible Disclosure Hinweise ein, z. B. security@beispiel.de
• Setzen Sie ein Meldeformular auf, mit dem Sie detaillierte Informationen ermöglichen.
• Stellen Sie die Kontaktmöglichkeiten und ggf. weitere Informationen auf Ihrer Website zur Verfügung, z. B. unter www.beispiel.de/security
• Kommunizieren Sie dort u. a. die erwartbaren Zeitrahmen für Antworten auf Meldungen und für das Schließen gemeldeter Sicherheitslücken.
  Wichtig: Wenn Ihre Vorbereitungen durch eine Meldung honoriert werden, reagieren Sie professionell, transparent und wertschätzend. Denn Sie profitieren von gesuchter Expertise.

Einige Beispiele, wie andere Organisationen mit Responsible Disclosure umgehen:

• BSI
• Bundeswehr
• Ein TV-Sender
• Ein Möbelhaus

Weitere hilfreiche Informationen finden Sie im BSI-Dokument „Handhabung von Schwachstellen. Empfehlungen für Hersteller“.

Last not least: Wissen ist Geld, auch bei Sicherheitslücken

Üblicherweise melden ethischen Hacker Sicherheitslücken, ohne dafür Geld zu verlangen. Umso wichtiger ist, sich über den Wert dieser Informationen im Klaren zu sein. Ethische Hacker für gezielte Sicherheitstests zu beauftragen ist nicht billig. Daher bieten viele große Firmen Belohnungen für gemeldete Sicherheitslücken.

Sollten Sie also auch einen Finderlohn für gemeldete Sicherheitslücken zahlen? Das entscheiden letztlich Sie. Das Finden und verantwortungsvolle, konstruktive Melden von Sicherheitslücken kann ethische Hacker viel Zeit und Aufwand kosten – und Ihnen viel Ärger ersparen. Wir empfehlen daher, Ihren Dank und Ihre Anerkennung je nach den Möglichkeiten Ihres Unternehmens auszudrücken. Vielleicht in Form einer Prämie oder durch besonders beliebte Give-aways oder Gratisprodukte. Am besten so, wie Sie eine entsprechende Leistung selbst gerne honoriert sehen würden.

Wenn Sie weitere Fragen zum Thema Responsible Disclosure haben oder sich Unterstützung bei der Ermöglichung oder Bearbeitung solcher Meldungen haben, wenden Sie sich einfach an uns.