Responsible Disclosure

In Software stecken Fehler, mit denen sich Programme zu Dingen überreden lassen, die niemand vorgesehen hat. Solche Fehler heißen Sicherheitslücken, weil sich mit ihnen zum Beispiel fremde Daten auslesen lassen. Wer eine solche Lücke findet, hat zwei Möglichkeiten. Er kann sie sofort öffentlich machen, oder er kann sie zuerst der Firma melden, die das Programm herstellt. Der zweite Weg heißt Responsible Disclosure, also verantwortungsvolle Offenlegung. Der Finder meldet die Lücke vertraulich, wartet auf eine Reparatur und veröffentlicht die Details erst danach.

Das Wettrennen um den Fehler

Sobald eine Lücke öffentlich bekannt ist, kennen sie alle. Auch Kriminelle, die damit Konten leeren oder Firmennetze verschlüsseln. Eine Reparatur zu programmieren und an Millionen Geräte zu verteilen, dauert dagegen Wochen. In dieser Zeit wären alle Nutzer schutzlos. Responsible Disclosure verschiebt die Veröffentlichung so, dass die Reparatur zuerst fertig ist.

Trotzdem gehört die Veröffentlichung dazu, und zwar aus zwei Gründen. Nutzer müssen erfahren, wie ernst ein Update ist, sonst installieren sie es nicht. Und Hersteller, die von einer Meldung nie etwas Öffentliches zu befürchten haben, reparieren erfahrungsgemäß langsamer. Deshalb setzen Finder eine Frist, oft 90 Tage. Danach berichten sie, ob eine Korrektur vorliegt oder nicht.

Zu unterscheiden ist das von zwei Extremen. Bei Full Disclosure geht der Finder ohne Vorwarnung direkt an die Öffentlichkeit. Bei Non-Disclosure verkauft er sein Wissen an Geheimdienste oder Kriminelle, und die Lücke bleibt offen. Responsible Disclosure ist der Mittelweg, auf den sich Sicherheitsforschung und Industrie geeinigt haben.

Vom Fundstück zur Nummer im Register

Am Anfang steht ein Bericht an den Hersteller. Größere Firmen haben dafür eine eigene Kontaktadresse, häufig auch eine Datei namens security.txt auf ihrer Website. Der Bericht beschreibt genau, wie sich der Fehler auslösen lässt. Ohne diese Anleitung kann der Hersteller die Lücke oft nicht nachvollziehen.

Dann beginnt die Frist. Der Hersteller prüft den Bericht, programmiert eine Korrektur und verteilt sie als Update, im Fachjargon Patch. Parallel bekommt die Lücke eine weltweit eindeutige Kennnummer aus dem CVE-Register, etwa CVE-2024-3094. Über diese Nummer sprechen später alle vom selben Fehler, ohne ihn umständlich beschreiben zu müssen.

Erst am Ende steht die Veröffentlichung, meist gleichzeitig von Hersteller und Finder. Wichtig ist die rechtliche Seite. Wer eine Lücke sucht, greift technisch auf ein fremdes System zu, und das kann strafbar sein. Deshalb veröffentlichen viele Unternehmen eine Safe-Harbor-Zusage: Sie versprechen, gutgläubige Finder nicht anzuzeigen. Manche zahlen sogar Prämien, sogenannte Bug Bounties, die je nach Schwere von wenigen Hundert bis zu mehreren Hunderttausend Euro reichen.

Wenn Sicherheitslücken in den Nachrichten landen

Jedes größere Sicherheitsupdate auf dem Handy oder Laptop ist meist das Ergebnis eines solchen Verfahrens. In den begleitenden Hinweisen stehen oft die Namen der Finder und die CVE-Nummern. Auch spektakuläre Fälle wie die Java-Lücke Log4Shell im Jahr 2021 folgten diesem Ablauf, wenn auch unter starkem Zeitdruck.

Bei KI-Systemen wird das Thema gerade neu verhandelt. Dort geht es nicht nur um klassische Programmfehler, sondern auch um Wege, ein Sprachmodell zu unerlaubten Antworten zu überreden. Anbieter wie OpenAI oder Anthropic betreiben deshalb eigene Meldeprogramme für solche Schwachstellen. Der Streitpunkt ist, wie viel man öffentlich beschreiben darf, ohne eine Anleitung zum Missbrauch zu liefern.

Für Anleger und Beobachter ist der Umgang eines Unternehmens mit Meldungen ein Qualitätsmerkmal. Firmen, die Finder mit Anwälten bedrohen, verlieren Vertrauen in der Sicherheitsszene. Ein häufiger Irrtum ist außerdem, viele CVE-Meldungen seien ein Zeichen schlechter Software. Oft bedeuten sie das Gegenteil, nämlich dass jemand systematisch sucht und die Ergebnisse offenlegt.