Responsible Disclosure — Verantwortungsvolle Offenlegung

Responsible Disclosure bezeichnet die Praxis, eine gefundene Schwachstelle zunächst vertraulich dem Hersteller zu melden und ihm Zeit zur Behebung zu geben, bevor Details veröffentlicht werden. Sie ist der ältere Begriff für das, was heute meist als koordinierte Offenlegung (CVD) bezeichnet wird. Der Kerngedanke: Nutzer schützen, statt mit dem Fund zu glänzen.

Historie & Fakten. Der Begriff entstand als Gegenentwurf zur Full Disclosure und betonte die Verantwortung des Finders. Kritisiert wurde später das Wort „responsible“, weil es implizit jeden anderen Weg als „unverantwortlich“ abstempelt und das Machtgefälle zugunsten der Hersteller verschiebt — daher die Verschiebung zum neutraleren, partnerschaftlichen Begriff der koordinierten Offenlegung (CVD), ausgestaltet in den Normen ISO/IEC 29147 und 30111. Ausblick & Empfehlung. In der Sache läuft beides auf dasselbe hinaus: vertraulich melden, gemeinsam einen Zeitplan finden, dann veröffentlichen. Für Organisationen ist entscheidend, überhaupt einen leicht auffindbaren Meldekanal anzubieten (etwa eine security.txt oder einen klaren Kontakt) — denn ein Finder, der nicht weiß, wohin, wählt im Zweifel den öffentlichen Weg. Mit dem CRA wird ein solcher Prozess für Hersteller faktisch verpflichtend.

Auch interessant