NCSC.nl

1. Einführung

Die Gesellschaft digitalisiert sich zunehmend. Heutzutage kommen in fast allen Prozessen irgendwann Computer zum Einsatz, vom Mobiltelefon bis zur Spezialsoftware. Auch wenn diese Entwicklung viele neue Möglichkeiten schafft, können Schwachstellen in IT-Systemen große Auswirkungen haben. Deshalb sollte mit dem Wissen über diese Schwachstellen wirksam umgegangen werden.

Anfang 2013 begannen einige Organisationen, Richtlinien zur Meldung von Schwachstellen zu veröffentlichen. Nach Rücksprache mit diesen Parteien fasste das Nationale Zentrum für Cybersicherheit (National Cyber Security Centre, NCSC) die Entwicklungen in Form der „Leitlinien zur Erreichung einer Praxis der verantwortungsvollen Offenlegung“ („Leidraad om te komen tot een praktijk van Responsible Disclosure“; die „Leitlinien“) zusammen. Unternehmen zeigen mit dieser Richtlinie, dass sie für externe Schwachstellenmeldungen offen sind, beschreiben ihre Voraussetzungen und machen Zusagen. Dieser Prozess schuf Klarheit und ein einigermaßen sicheres Umfeld für meldende Parteien, Schwachstellen zu untersuchen und zu melden, ohne unmittelbar eine Straftat zu begehen. Beim hochrangigen EU-Treffen zur Cybersicherheit 2016 bekräftigten 29 Organisationen die Bedeutung einer Richtlinie zum Umgang mit Schwachstellen, indem sie das Manifest zur koordinierten Offenlegung von Schwachstellen¹ unterzeichneten, das vom CIO Platform Netherlands und der Rabobank in Zusammenarbeit mit dem NCSC initiiert wurde.

Die koordinierte Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD) hat sich für öffentliche und private Parteien als überaus wichtig erwiesen. Sie sind im Alltag stark vom ungestörten Funktionieren von Informationssystemen abhängig. Meldungen über Schwachstellen in ihren Systemen haben in den letzten Jahren dazu beigetragen, die Sicherheit und Kontinuität von Systemen zu verbessern, indem einerseits Schwachstellen behoben wurden und andererseits das allgemeine IT-Sicherheitsbewusstsein niederländischer Unternehmen gestärkt wurde.

In den letzten Jahren hat sich gezeigt, dass meldende Parteien bereit sind, im Rahmen der von Organisationen aufgestellten CVD-Richtlinien zu arbeiten. Meldende Parteien machen Meldungen direkt oder indirekt an Organisationen. Die Praxis der verantwortungsvollen Offenlegung hat gezeigt, dass wohlmeinende meldende Parteien und verwundbare Organisationen zusammenarbeiten konnten und so den nächsten Schritt zur Erhöhung der Sicherheit von Netzwerk- und Informationssystemen gegangen sind.

Für diese Überarbeitung haben wir erneut mit einem breiten und vielfältigen Kreis von meldenden Parteien, privaten und öffentlichen Parteien sowie der Staatsanwaltschaft und der Nationalen Polizei gesprochen. Diese Gespräche haben die gegenwärtige Praxis bestätigt und zu Ergänzungen und Verbesserungen geführt. Der wichtigste neue Schwerpunkt ist die Kommunikation zwischen der meldenden Person und der Organisation sowie mit anderen Parteien, nachdem eine Schwachstelle behoben wurde.

Die folgenden Kapitel behandeln die Definition von CVD, die Bausteine einer CVD-Richtlinie und den Kommunikationsprozess.

Randbemerkung: Die früheren Leitlinien verwendeten den Begriff „verantwortungsvolle Offenlegung“ (responsible disclosure), der damals der gängige Begriff für diese Praxis war. Inzwischen hat sich gezeigt, dass dieser Begriff die Verantwortung der meldenden Partei zu stark betont, während der Grundsatz sein sollte, dass die meldende Partei und die möglicherweise verwundbare Organisation gleichberechtigte Partner im Dialog sind. Diese Haltung wird vom heute gebräuchlichen Begriff „koordinierte Offenlegung von Schwachstellen“ (CVD) besser erfasst, der auch in den ISO-Normen 29147 und 30111 zu diesem Prozess verwendet wird.

2. Koordinierte Schwachstelle

In den vergangenen 30 Jahren wurden verschiedene Methoden eingesetzt, um das Bewusstsein für Schwachstellen in IT-Systemen zu schärfen. Beispiele sind:

• „Full Disclosure“, eine Schwachstelle vollständig öffentlich machen;

• „Non-Disclosure“, eine Schwachstelle verkaufen oder selbst nutzen;

• „Coordinated Vulnerability Disclosure“ (CVD), die koordinierte Offenlegung einer Schwachstelle.

Die letztgenannte Praxis wird ausdrücklich bevorzugt.

Die IT-Community hat große Bereitschaft gezeigt, Wissen und Erfahrung zu teilen. Die Zusammenarbeit mit dieser Community kann daher helfen, die Gesamtsicherheit von Systemen zu verbessern.

Das Ziel der koordinierten Offenlegung von Schwachstellen

Ziel von CVD ist es, durch das Teilen von Wissen über Schwachstellen zur Sicherheit von IT-Systemen beizutragen. Bei CVD wird das Wissen mit einer oder mehreren potenziell verwundbaren Organisationen geteilt, um gemeinsam mit der meldenden Partei zu einer gemeinsamen Lösung für die gefundene Schwachstelle zu gelangen. Wichtig ist, dass die betroffenen Organisationen ausreichend Zeit haben, Schwachstellen zu beheben oder Systeme zu schützen, um Verluste oder Schäden so weit wie möglich zu begrenzen oder zu verhindern. Der Grundstein des Prozesses ist die Offenlegung des Wissens über die Schwachstellen nach der Behebung.

Bei CVD ist es wesentlich, dass alle Parteien Vereinbarungen darüber einhalten, wie eine Schwachstelle gemeldet und wie damit umgegangen wird. Hilfreich ist, wenn eine Organisation vorab Voraussetzungen veröffentlicht, etwa welche Systeme im Geltungsbereich liegen und welche Art von Untersuchung durchgeführt werden darf. Ein wichtiger Grundsatz dieser Voraussetzungen ist, dass die Organisation die meldende Partei grundsätzlich nicht anzeigt oder andere rechtliche Schritte einleitet, wenn Untersuchung und Meldung innerhalb der festgelegten Bedingungen erfolgen. Diese Leitlinien geben Organisationen Orientierung bei der Erstellung ihrer eigenen Richtlinie, die die Grundsätze von CVD verkörpert.

Wie der Name sagt, ist es bei CVD zentral, dass sich Organisation und meldende Partei miteinander abstimmen. Dabei sollten so wenige Zwischenglieder wie möglich zwischen der Person, die die Schwachstelle meldet, und der Person in der Organisation, die für die Lösung des Problems zuständig ist, liegen.

Es kann wichtig sein, mehrere Parteien gleichzeitig zu informieren, wenn eine Schwachstelle viele Systeme betrifft. In diesem Fall können das NCSC oder andere Parteien innerhalb der Sicherheitsgemeinschaft den CVD-Prozess aus einer koordinierenden Rolle heraus unterstützen.

3. Verantwortungsbereiche

Ziel einer CVD-Richtlinie ist es, dass die meldenden Parteien und die Organisation zusammenarbeiten, um die Schwachstellen in IT-Systemen zu verringern. Die Umsetzung dieser Richtlinie sollte als Ergänzung zu bestehenden Maßnahmen der Informationssicherheit gesehen werden. Die verschiedenen Akteure haben jeweils ihre eigene Rolle und Verantwortung. Diese werden im Folgenden näher erläutert.

Die Organisation, die ein System besitzt/verwaltet

Die Organisation, die ein System besitzt/verwaltet oder liefert, ist in erster Linie für die Sicherheit dieses Systems verantwortlich. Mit anderen Worten: Die Organisation ist auch dafür verantwortlich, eine Schwachstellenmeldung weiterzuverfolgen.

Die Organisation kann sich dafür entscheiden, anhand dieser Leitlinien eine eigene CVD-Richtlinie zu erstellen und diese Richtlinie potenziellen meldenden Parteien mitzuteilen. Mit der Veröffentlichung einer CVD-Richtlinie zeigen Organisationen ihre Bereitschaft, Informationen über Schwachstellen entgegenzunehmen.

Eine Partei, die eine CVD-Richtlinie aufstellt, kann sich dem Grundsatz verpflichten, keine Anzeige bei der Polizei zu erstatten, wenn die für die Richtlinie geltenden Regeln eingehalten werden.

Sobald eine meldende Partei eine Schwachstelle gemeldet hat, liegt die Verantwortung bei der Organisation. Es ist wichtig zu erkennen, dass die meldende Partei oft jemand außerhalb der Organisation ist. Diese Partei hat keinen unmittelbaren Einblick in die internen Prozesse, die nach der Meldung einer Schwachstelle ausgelöst werden können. Deshalb werden meldende Parteien es zu schätzen wissen, über Entwicklungen bei der Behebung der Schwachstelle informiert zu werden. Diese fortlaufende Kommunikation ist auch wichtig, um die richtigen Erwartungen an die Weiterverfolgung und die Zeitnähe der Lösung zu schaffen.

Die Partei, die eine Schwachstelle meldet

Die meldende Partei hat auf die eine oder andere Weise eine Schwachstelle erkannt und möchte zur Sicherheit von IT-Systemen beitragen, indem die Schwachstelle behoben und möglicherweise zu einem späteren Zeitpunkt veröffentlicht wird. Die meldende Partei hat möglicherweise durch passive Beobachtung oder durch aktives Testen des IT-Systems etwas entdeckt. Selbstverständlich ist diese Partei für ihr eigenes Handeln und die Art und Weise, wie sie die Schwachstelle entdeckt hat, verantwortlich. Es liegt in der Eigenverantwortung der meldenden Partei, die von einer Organisation in ihrer CVD-Richtlinie festgelegten Bedingungen zu kennen. Die meisten Regierungen und Unternehmen haben ihre CVD-Richtlinien auf ihren Websites veröffentlicht.

Das Auffinden von Schwachstellen kann dennoch mit einem Gesetzesverstoß verbunden sein. Im Rahmen von CVD können die Organisation und die meldende Partei vereinbaren, bei etwaigen Straftaten keine Anzeige zu erstatten. Dabei ist die von der Organisation veröffentlichte CVD-Richtlinie der Leitgedanke. Die Parteien können auch vereinbaren, dass keine zivilrechtlichen Schritte unternommen werden.

Besteht der Verdacht, dass die meldende Partei gegen das Gesetz verstoßen hat, kann eine CVD-Richtlinie zunächst dazu beitragen, dass die meldende Person nicht bei den Behörden angezeigt wird. Dieses Verfahren hängt ganz von den Voraussetzungen der Richtlinie ab, deren Einhaltung eine Organisation von einer meldenden Partei verlangt, und davon, ob diese Einhaltung erreicht wurde, möglicherweise mit einem entsprechenden Versprechen, keine Strafanzeige zu erstatten, solange die Partei innerhalb der Bedingungen der Richtlinie handelt. Wird Anzeige bei der Polizei erstattet, sind das Bestehen einer CVD-Richtlinie und deren Einhaltung in den Niederlanden ein relevanter Umstand, den der Staatsanwalt bei der Entscheidung berücksichtigt, ob ein Ermittlungsverfahren eingeleitet und/oder Anklage erhoben wird. Grundsätzlich werden Polizei und Staatsanwaltschaft (OM) kein Ermittlungsverfahren einleiten, wenn die meldende Partei die Regeln der CVD-Richtlinie der betreffenden Organisation eindeutig eingehalten hat. Staatsanwaltschaft und Polizei können den Fall jedoch weiter untersuchen, wenn Anhaltspunkte dafür vorliegen, dass die meldende Partei bewusst oder unbewusst zu weit gegangen ist und/oder die CVD-Richtlinie nicht eingehalten hat. Auf der Grundlage dieser Untersuchung kann die Staatsanwaltschaft entscheiden, ob sie Anklage erhebt.

Die Staatsanwaltschaft hat ein Grundsatzschreiben veröffentlicht, in dem sie konkreter auf Aspekte eingeht, die für die Entscheidung über Ermittlung und/oder Strafverfolgung wichtig sind. Zum Beispiel, ob das Handeln der meldenden Partei einem wichtigen öffentlichen Interesse diente, ob die Partei unverhältnismäßig gehandelt hat und ob sie möglicherweise auf andere, weniger einschneidende Weise hätte handeln können. Das einschlägige Grundsatzschreiben führt diese Aspekte weiter aus.² Die einschlägige Rechtsprechung seit 2013³ zeigt, dass diese Aspekte auch vor Gericht berücksichtigt werden, wenn eine Organisation keine CVD-Richtlinie hat.

4. Bausteine des Prozesses der koordinierten Offenlegung von Schwachstellen

Im Folgenden werden Bausteine für die Gestaltung des CVD-Prozesses für die Organisation, die meldende Partei und das NCSC beschrieben.

Die Organisation

Die Förderung von CVD beginnt bei einer Organisation, die IT-Systeme besitzt oder ein IT-Produkt/-System liefert. Schließlich ist diese Organisation in erster Linie für die Informationssicherheit dieser IT-Systeme verantwortlich. Um mit verschiedenen Parteien wirksam zusammenzuarbeiten und Schwachstellen zu beheben, kann eine Organisation beschließen, eine CVD-Richtlinie aufzustellen und zu veröffentlichen. Die Aufstellung einer eigenen CVD-Richtlinie ermöglicht es der Organisation darzulegen, wie sie mit Schwachstellenmeldungen umgeht. So kann eine Organisation auch gestalten, auf welche Weise sie Meldungen entgegennehmen möchte. Ein solcher Prozess kann wie folgt organisiert werden:

• Die Organisation stellt eine CVD-Richtlinie auf und veröffentlicht sie.

• In dieser Richtlinie legt die Organisation klare Regeln für die Untersuchungen fest, die meldende Parteien durchführen dürfen, etwa welche Techniken zulässig sind und welche Systeme im Geltungsbereich liegen oder nicht.

• Die Organisation macht es der meldenden Partei leicht, eine Meldung abzugeben. Eine Möglichkeit ist die Verwendung eines standardisierten Meldewegs, zum Beispiel einer bestimmten E-Mail-Adresse oder eines Online-Formulars. Außerdem kann die Organisation entscheiden, ob sie anonyme Meldungen annimmt.

• Die Organisation hält interne Kapazitäten vor und richtet einen Prozess ein, um angemessen auf Meldungen zu reagieren. Es ist ratsam, einen Prozess einzurichten, mit dem gefundene Schwachstellen angemessen behoben werden können. Dabei ist die Herkunft der Meldung unerheblich. Die Schwachstelle kann zum Beispiel auch von einem internen Mitarbeitenden oder bei einem Test erkannt worden sein.

• Die Praxis zeigt, dass nach der erstmaligen Veröffentlichung einer CVD-Richtlinie das Interesse, der Organisation Schwachstellen zu melden, größer sein wird. Die Organisation sollte dies bei der Planung (zusätzlicher) Kapazitäten berücksichtigen.

• Wenn die Organisation die Schwachstellenmeldung erhält, stellt sie sicher, dass die Meldung so schnell wie möglich die Abteilung erreicht, die am besten geeignet ist, die Meldung zu bewerten und zu bearbeiten.

• Die Organisation sendet der meldenden Partei eine Empfangsbestätigung der Meldung, vorzugsweise digital signiert, um die Priorität zu unterstreichen.

• Anschließend tritt die Organisation mit der meldenden Partei in Absprache, um den Zeitraum festzulegen, innerhalb dessen eine etwaige Veröffentlichung erfolgt. Dieser Zeitraum hängt stark von der Art der Schwachstelle und der Art des Systems ab.

• Als Richtwert wird bei Software-Schwachstellen oft ein Zeitraum von etwa 60 Tagen verwendet. Die Behebung von Schwachstellen in Hardware ist schwieriger; hier kann ein Richtwert von 6 Monaten verwendet werden.

• Es kann wünschenswert sein, diesen Zeitraum in gegenseitigem Einvernehmen zu verlängern oder zu verkürzen, je nachdem, wie viele oder wie wenige IT-Systeme von dem System abhängen, für das die Schwachstelle gemeldet wurde, oder ob die Schwachstelle leichter oder schwerer zu beheben ist.

• Eine Schwachstelle kann sich als schwierig oder unmöglich zu beheben erweisen, oder ihre Behebung kann hohe Kosten verursachen. In solchen Fällen kann die Organisation, möglicherweise in Absprache mit der meldenden Partei, vereinbaren, die Schwachstelle als akzeptiertes Risiko zu betrachten und nicht zu beheben.

• Die Organisation hält die meldende Partei über den Verlauf des Prozesses auf dem Laufenden.

• Außerdem kann die Organisation anbieten, die meldende Partei für die Veröffentlichung der Schwachstelle öffentlich zu würdigen. Es ist auch möglich, sich für eine gemeinsame Offenlegung nach außen zu entscheiden.

• Es ist vorzuziehen, die meldende Partei für das Melden von Schwachstellen in Systemen zu belohnen, wenn sie die Regeln der CVD-Richtlinie eingehalten hat. Die Höhe der Belohnung kann von der Qualität der Meldung abhängen. Die Belohnung der meldenden Partei kann zu einem besseren Verhältnis zwischen dieser Partei und der Organisation führen und die Bereitschaft der Menschen erhöhen, weitere Meldungen gemäß der CVD-Richtlinie abzugeben.

• In Absprache mit der meldenden Partei kann die Organisation vereinbaren, die breitere IT-Community über die Schwachstelle zu informieren, wenn es plausibel ist, dass die Schwachstelle auch an anderen Stellen vorhanden ist.

• In ihrer CVD-Richtlinie kann sich die Organisation dem Grundsatz verpflichten, keine Anzeige bei der Polizei zu erstatten, wenn die meldende Partei die in der Richtlinie dargelegten Regeln eingehalten hat.

Die meldende Partei

Die meldende Partei ist der Schlüssel zu einem erfolgreichen CVD-Prozess. Auf die eine oder andere Weise hat diese Partei eine Schwachstelle erkennen können und möchte zur Sicherheit von IT-Systemen beitragen, indem die Schwachstelle von einer Organisation behoben und öffentlich gemacht wird. Dabei erkennen meldende Parteien an, dass sie einen wichtigen Beitrag für die Gesellschaft leisten können, indem sie Schwachstellen koordiniert offenlegen. Um einen erfolgreichen CVD-Prozess zu erreichen, sind für die meldende Partei folgende Bausteine wichtig:

• Die meldende Partei ist für ihr eigenes Handeln verantwortlich und muss bei der Untersuchung und Meldung von Schwachstellen die Grundsätze der Verhältnismäßigkeit und der Subsidiarität beachten. Mit anderen Worten: Die meldende Partei sollte nicht mehr tun, als zum Nachweis der Schwachstelle nötig ist, und die Schwachstelle stets zuerst dem System-/Informationseigentümer melden.

• Die meldende Partei muss das Problem so schnell wie möglich melden, um zu verhindern, dass böswillige Parteien die Schwachstelle entdecken und ausnutzen.

• Die meldende Partei muss die Meldung an die Organisation vertraulich abgeben, um zu verhindern, dass andere Zugang zu diesen Informationen erhalten.

• Die meldende Partei darf die Abgabe einer Meldung oder die weitere Bereitstellung von Informationen nicht von der Belohnung abhängig machen. Die Initiative für die Gewährung einer Belohnung im Falle einer Meldung liegt bei der empfangenden Organisation, die in ihrer veröffentlichten Richtlinie Voraussetzungen festlegen kann.

• Die meldende Partei und die Organisation treffen klare Vereinbarungen über die Offenlegung der Schwachstelle. Sind mehrere Organisationen beteiligt, gilt der Grundsatz, dass die Schwachstellen nur veröffentlicht werden können, wenn alle Organisationen dem zustimmen. Es ist ratsam, diese Vereinbarungen frühzeitig zu treffen.

• Die meldende Partei und die beteiligte Organisation können Vereinbarungen über die Information der breiteren IT-Community treffen. Dies kann zum Beispiel für eine (bereits bekannte oder nicht bekannte) Schwachstelle gelten, von der bekannt ist, dass sie an mehr als einer Stelle vorhanden ist. Das Nationale Zentrum für Cybersicherheit (NCSC) kann in diesen Prozess einbezogen werden, um die Zielgruppen der Zentralregierung und der kritischen Infrastruktur zu unterstützen oder mehrere Parteien zu informieren, wenn eine Schwachstelle viele Systeme betrifft.

Das NCSC

Der CVD-Prozess ist in erster Linie Sache der Organisationen und der meldenden Parteien. Dennoch wird das NCSC die Nutzung eines CVD-Prozesses fördern. In Absprache mit der meldenden Partei und der Organisation kann das NCSC auch daran beteiligt sein, Informationen über die Schwachstelle mit seiner Zielgruppe zu teilen, um weitere Sicherheitsrisiken aus der Schwachstelle zu begrenzen.

Wenn die Meldung der Schwachstelle nicht so verläuft, wie die meldende Partei es erwartet, oder wenn sie die Schwachstelle lieber nicht direkt an die Organisation melden möchte, kann sie das NCSC kontaktieren.⁴ In diesem Fall kann das NCSC bei Bedarf als Vermittler fungieren.

Der Eigentümer des IT-Systems ist jederzeit für die Sicherheit des Systems verantwortlich. Das NCSC kann den Systemeigentümer weder zwingen, eine Schwachstelle zu beheben, noch garantieren, dass der Eigentümer keine rechtlichen Schritte gegen die meldende Partei einleitet. Daher muss die meldende Partei bei der Suche und Meldung einer Schwachstelle die oben genannten Bausteine für Organisationen und meldende Parteien berücksichtigen. Eine meldende Partei kann erwarten, dass das NCSC sein Äußerstes tut, um die Schwachstelle beheben zu lassen, und die Meldung vertraulich behandelt. Das NCSC gibt keine personenbezogenen Daten weiter, es sei denn, es ist gesetzlich dazu verpflichtet.

Wenn möglich, wird das NCSC die über Schwachstellen gewonnenen Informationen in Absprache mit Organisationen und meldenden Parteien nutzen, um das Wissen weiter mit der IT-Community zu teilen. Zum Beispiel kann es dies tun, indem es einen Teil der Informationen veröffentlicht, ein Faktenblatt oder Whitepaper verfasst oder aktualisiert oder bestimmte Organisationen informiert.

• Je nach betroffener Organisation und Art der festgestellten Schwachstelle bemüht sich das NCSC, die Schwachstelle der betroffenen Organisation zur Kenntnis zu bringen. Der Eigentümer des betreffenden IT-Systems bleibt jedoch für das System verantwortlich.

• Wo möglich und nötig, berät das NCSC die betroffene Organisation, wie die Schwachstelle zu beheben ist.

• Das NCSC behandelt Meldungen vertraulich und gibt die personenbezogenen Daten der meldenden Parteien oder der empfangenden Organisation nicht ohne Einwilligung weiter, es sei denn, dies ergibt sich aus einer gesetzlichen Verpflichtung.

• Wo immer möglich, hält das NCSC die meldende Partei über die Entwicklungen im Kontakt mit der Organisation und bei der Behebung der Schwachstelle auf dem Laufenden.

• In Fällen, in denen eine Meldung an das NCSC erfolgt, versucht das NCSC, die meldende oder potenzielle meldende Partei und die Organisation miteinander in Kontakt zu bringen.

Hat eine meldende Partei zum Beispiel eine Schwachstelle in einem Softwareprodukt oder eine Schwachstelle gefunden, die viele verschiedene Systeme betrifft, kann sie das NCSC bitten, die Behebung und Offenlegung der Schwachstelle zu koordinieren.

Gemeinsam mit der meldenden Partei, Partnern, Entwicklern und/oder Softwareentwicklern und anderen Sicherheitsteams hilft das NCSC, die Schwachstelle zu analysieren, zu beheben oder beheben zu lassen, zu koordinieren und kontrolliert offenzulegen. Dieser gesamte Prozess läuft in enger Absprache mit der meldenden Partei ab, die die Schwachstelle gefunden hat.

Eine CVD-Richtlinie versucht, einen Ausgleich zu schaffen zwischen der Bedeutung, Schwachstellen so schnell wie möglich offenzulegen, damit Maßnahmen ergriffen werden können, und der Bedeutung, dass Entwickler wie Lieferanten ausreichend Zeit haben, die Schwachstelle zu beheben. Für diesen Prozess verwendet das NCSC eine Standardfrist von 60 Tagen zwischen Meldung und öffentlicher Offenlegung. Es kann jedoch Umstände geben, unter denen entschieden wird, diesen Zeitraum zu verlängern oder zu verkürzen.

Das NCSC gibt Informationen über die Schwachstelle nur nach Absprache mit der meldenden Partei an Dritte weiter. In diesem Zusammenhang ist es wesentlich, dass das NCSC kooperiert und daher Informationen über die Schwachstelle mit Beteiligten teilt, um eine Schwachstelle koordiniert offenzulegen. Das NCSC stellt dabei sicher, dass die richtigen Parteien an der Behebung der Schwachstelle arbeiten können, hilft, Verluste oder Schäden zu begrenzen, und hilft, die Aufmerksamkeit auf die gefundene Schwachstelle zu lenken.

5. Kommunikation und Offenlegungsprozess

Fünf Jahre Praxis haben gezeigt, dass klare Kommunikation der Grundstein eines erfolgreichen CVD-Prozesses ist. Es gibt Punkte, auf die vor, während und nach dem CVD-Prozess zu achten ist.

Kommunikation über den Offenlegungsprozess

Die Veröffentlichung einer CVD-Richtlinie ist ein erster Schritt in der Kommunikation über den Prozess. Durch die öffentliche Bekanntgabe einer Richtlinie werden meldende Parteien eingeladen, die Organisation über gefundene Schwachstellen zu benachrichtigen.

Einerseits kann die Organisation Bedingungen für die Untersuchungen zur Entdeckung von Schwachstellen und für die Art der Kontaktaufnahme aufstellen. Andererseits kann sich die Organisation dem Grundsatz verpflichten, keine Anzeige bei der Polizei zu erstatten, wenn die Regeln der Richtlinie eingehalten werden. Dieser Ansatz schützt die Stellung der meldenden Partei.

Eine CVD-Richtlinie kann später geändert oder aktualisiert werden. Es ist wichtig, hierbei Änderungen klar kenntlich zu machen. Meldende Parteien haben ein Interesse zu wissen, was wann geändert wurde. Änderungen können zum Beispiel verdeutlicht werden, indem am Anfang der CVD-Richtlinie ein Veröffentlichungsdatum angegeben wird, unter der CVD-Richtlinie eine Zusammenfassung der Änderungen beschrieben wird oder ein Archiv mit älteren Versionen der CVD-Richtlinie geführt wird.

Die CVD-Richtlinie kann Leitlinien dafür enthalten, wie während des Prozesses kommuniziert wird, etwa indem regelmäßige Updates per E-Mail oder über ein Webportal angekündigt werden. Außerdem kann die CVD-Richtlinie beschreiben, wie eine meldende Person gewürdigt werden kann, etwa durch Nennung bei einem Update, Aufnahme in eine Hall of Fame oder eine andere Form der Belohnung.

Kommunikation während des Offenlegungsprozesses

Eine meldende Partei leitet einen CVD-Prozess ein, indem sie der Organisation eine Nachricht sendet. In dieser Nachricht beschreibt die meldende Partei die entdeckte Schwachstelle klar. Wichtige Elemente sind die IP-Adresse oder URL des betroffenen Systems und die nötigen Schritte zur Reproduktion der Schwachstelle.

Für die Organisation ist es wichtig, klar mit der meldenden Partei zu kommunizieren, damit die Erwartungen an den Prozess klar sind.

Sie kann dies bereits tun, indem sie eine (automatisierte oder andere) Empfangsbestätigung sendet, die einen Hinweis darauf enthält, in welchem Zeitraum eine erste oder weitere inhaltliche Antwort erfolgt.

Es ist auch möglich, diesen Zeitraum offen zu lassen und erst nach Prüfung des Inhalts der Meldung einen ersten Hinweis auf den Zeitraum zu geben. Es ist ratsam, so früh wie möglich klarzustellen, in welchem Zeitraum eine Lösung erreicht werden kann. So weiß die meldende Person, wann mit einem Ergebnis zu rechnen ist.

In manchen Fällen kann der meldenden Partei ein Veröffentlichungsdatum bereits feststehen, etwa wegen eines Vortrags auf einer Konferenz oder weil die meldende Partei sich selbst eine Frist gesetzt hat. In diesem Fall ist es dennoch wichtig, dass die meldende Partei diesen Zeitplan klar kommuniziert, so früh wie möglich nennt und deutlich macht, ob eine Verschiebung dieses Termins möglich ist oder nicht.

Eine meldende Partei ist oft jemand außerhalb der Organisation, der keinen Einblick in die internen Prozesse hat, die durch eine Meldung ausgelöst werden können. Organisationen können die meldende Partei durch regelmäßige Updates über Entwicklungen im Prozess auf dem Laufenden halten. So wird der meldenden Partei klar, dass an einer Lösung gearbeitet wird. Bei Bedarf kann eine Organisation während des Prozesses um Klärung bitten oder darum, eine Lösung zu testen.

Kann eine Organisation die ursprüngliche Lösungsfrist nicht einhalten, kann mit der meldenden Person eine Verschiebung besprochen werden. Regelmäßige Kommunikation kann der meldenden Person diese Situation in einer früheren Phase deutlich machen.

Die Hauptabsicht von CVD ist, die Schwachstelle zu entschärfen, doch die „Full Disclosure“ der Schwachstelle ist für eine meldende Partei immer eine Option, wenn sie das Gefühl hat, dass der Prozess zu lange dauert. Diese Maßnahme ist der sprichwörtliche „große Knüppel“, der der meldenden Partei zur Verfügung steht. Natürlich muss diese Situation so weit wie möglich vermieden werden.

Kommunikation nach dem Offenlegungsprozess

Es gibt viele mögliche Gründe, warum eine meldende Partei nach Schwachstellen suchen und sie dann über den CVD-Prozess an Organisationen melden könnte. Für sehr viele meldende Parteien ist ein wichtiger Anreiz die (öffentliche) Anerkennung.

Meldende Parteien erhalten öffentliche Anerkennung durch einen Dank in einem Update oder die Aufnahme in eine Hall of Fame. Das Bedürfnis nach öffentlicher Anerkennung gilt jedoch nicht für alle meldenden Parteien; manche möchten tatsächlich in der Öffentlichkeit nicht bekannt sein. Bei einer Kommunikation durch die Organisation ist es daher ratsam, die Einwilligung der meldenden Partei zur Namensnennung einzuholen.

Außerdem können meldende Parteien auch beschließen, nach Abschluss des CVD-Prozesses über eine Meldung zu kommunizieren. Zum Beispiel kann die meldende Partei den Entdeckungsprozess beschreiben oder andere vor der Schwachstelle warnen. Eine meldende Person kann beschließen, die Veröffentlichung einer Organisation zur Information vorzulegen. Da der CVD-Prozess grundsätzlich mit der Beseitigung der Schwachstelle abgeschlossen ist, steht es der meldenden Partei danach frei, darüber zu kommunizieren, sofern in der Richtlinie oder während des Prozesses keine zusätzlichen Vereinbarungen getroffen wurden.

Liste

Kommunikation über den Offenlegungsprozess

• Veröffentlichung der CVD-Richtlinie auf der Website

• Klarheit über Einschränkungen (siehe Kapitel 6 für verschiedene Ansätze)

• Einschränkungen bei Untersuchungsmethoden

• Leitlinien zur Kommunikation

• Leitlinien zu möglichen Belohnungen: Hall of Fame, finanzielle Belohnung, T-Shirt usw.

• Klarheit über etwaige Aktualisierungen der CVD-Richtlinie, einschließlich des Datums der Änderungen

Kommunikation während des Offenlegungsprozesses

• Die meldende Person kontaktiert die Organisation wegen einer entdeckten Schwachstelle.

• Die Organisation steuert Erwartungen, etwa die Reaktionszeit für eine erste technische Antwort

• Organisation und meldende Person schaffen einander Klarheit über den erwarteten Lösungszeitraum

• Die Organisation gibt häufig ein (Prozess-)Update

• Bei Bedarf besprechen meldende Person und Organisation die Kontaktaufnahme mit anderen relevanten Organisationen

Kommunikation nach dem Offenlegungsprozess

• (Öffentliche) Anerkennung und Belohnung der meldenden Person besprechen

• Festlegen, wie Informationen über die Schwachstelle veröffentlicht werden, etwa die Forschungsphase oder die Information anderer Organisationen

6. Beispiele für Richtlinien zur koordinierten Offenlegung von Schwachstellen

Es gibt viele verschiedene Formen von Richtlinientexten zur koordinierten Offenlegung von Schwachstellen. Da die veröffentlichte CVD-Richtlinie als Wegweiser für potenzielle meldende Parteien dient, achten Sie darauf, dass die Form dieser Richtlinie mit der Politik und Strategie der Organisation im Einklang steht.

Die folgenden Elemente sind in einer CVD-Richtlinie wichtig:

• Kontaktmethode für sichere Kommunikation;

• Voraussetzungen für meldende Parteien;

• klare Erwartungen an den Umgang mit einer Meldung;

• Methode zur Belohnung einer Meldung;

• Versionsnummer und Datum der letzten Überarbeitung.

Nachfolgend drei Beispiele: Viele Organisationen in den Niederlanden haben sich am Grundbeispiel von ResponsibleDisclosure.nl orientiert. Andere Organisationen nehmen zusätzliche Voraussetzungen auf, siehe die Richtlinie von Fox IT. Wieder andere Organisationen verwenden ein freieres Format, um es an ihre Zielgruppe anzupassen, siehe die Richtlinie von Bits of Freedom.

Beispiel: ResponsibleDisclosure.nl

Dieser Text wurde von Floor Terra verfasst und unter einer Creative-Commons-Lizenz Namensnennung 3.0 Unported veröffentlicht.

Bei der Acme Corporation betrachten wir die Sicherheit unserer Systeme als oberste Priorität. Doch egal, wie viel Mühe wir in die Systemsicherheit stecken, es kann dennoch Schwachstellen geben.

Wenn Sie eine Schwachstelle entdecken, möchten wir davon erfahren, damit wir so schnell wie möglich Maßnahmen ergreifen können.

Wir bitten Sie, uns zu helfen, unsere Kunden und unsere Systeme besser zu schützen.

Bitte gehen Sie wie folgt vor:

• Senden Sie Ihre Erkenntnisse per E-Mail an cert@example.com. Verschlüsseln Sie Ihre Erkenntnisse mit unserem PGP-Schlüssel, damit diese kritischen Informationen nicht in falsche Hände geraten,

• Nutzen Sie die entdeckte Schwachstelle oder das Problem nicht aus, zum Beispiel indem Sie mehr Daten herunterladen, als zum Nachweis der Schwachstelle nötig ist, oder Daten anderer Personen löschen oder verändern,

• Legen Sie das Problem anderen gegenüber nicht offen, bis es gelöst ist,

• Setzen Sie keine Angriffe auf die physische Sicherheit, kein Social Engineering, keine verteilten Denial-of-Service-Angriffe, keinen Spam und keine Anwendungen Dritter ein, und

• Geben Sie ausreichend Informationen zur Reproduktion des Problems an, damit wir es so schnell wie möglich lösen können. Normalerweise genügen die IP-Adresse oder die URL des betroffenen Systems und eine Beschreibung der Schwachstelle, bei komplexen Schwachstellen kann jedoch eine weitere Erläuterung nötig sein.

Was wir versprechen:

• Wir antworten innerhalb von 3 Werktagen auf Ihre Meldung mit unserer Bewertung und einem voraussichtlichen Datum der Lösung,

• Wenn Sie die obigen Anweisungen befolgt haben, ergreifen wir im Zusammenhang mit der Meldung keine rechtlichen Schritte gegen Sie,

• Wir behandeln Ihre Meldung streng vertraulich und geben Ihre persönlichen Daten nicht ohne Ihre Erlaubnis an Dritte weiter,

• Wir halten Sie über den Fortschritt bei der Lösung des Problems auf dem Laufenden,

• In den öffentlichen Informationen zum gemeldeten Problem nennen wir Ihren Namen als Entdecker des Problems (sofern Sie nichts anderes wünschen), und

• Als Zeichen unserer Dankbarkeit für Ihre Hilfe bieten wir für jede Meldung eines uns noch nicht bekannten Sicherheitsproblems eine Belohnung an. Die Höhe der Belohnung richtet sich nach der Schwere des Lecks und der Qualität der Meldung. Die Mindestbelohnung ist ein Geschenkgutschein über 50 €.

Wir bemühen uns, alle Probleme so schnell wie möglich zu lösen, und möchten bei der abschließenden Veröffentlichung zum Problem nach dessen Lösung eine aktive Rolle spielen.

Beispiel: Fox-IT

Bei Fox-IT betrachten wir die Sicherheit unserer Systeme, unseres Netzwerks und unserer Produkte als äußerst wichtig. Trotz der großen Sorgfalt, die wir auf die Sicherheit verwenden, können Schwachstellen bestehen bleiben. Wenn Sie eine solche Schwäche gefunden haben, möchten wir so schnell wie möglich davon erfahren, damit wir umgehend geeignete Maßnahmen ergreifen können.

Schwachstellen können auf zwei Arten entdeckt werden: Sie können bei der normalen Nutzung einer digitalen Umgebung zufällig auf etwas stoßen, oder Sie können ausdrücklich versuchen, sie zu finden.

Unsere Richtlinie zur verantwortungsvollen Offenlegung ist keine Einladung, unser Unternehmensnetzwerk aktiv zu scannen, um Schwachstellen zu entdecken. Wir überwachen unser Unternehmensnetzwerk selbst. Das bedeutet, dass ein Scan mit hoher Wahrscheinlichkeit entdeckt wird und unser Security Operation Center (SOC) eine Untersuchung durchführt, was unnötige Kosten verursachen könnte. Sie sind jedoch eingeladen, in einer Offline-Nichtproduktionsumgebung aktiv nach Schwachstellen in unseren Produkten zu suchen und uns Ihre Ergebnisse zu melden. Unsere Verantwortung gegenüber unseren Kunden bedeutet, dass wir Hackerangriffe auf deren Infrastruktur nicht fördern wollen; wir möchten jedoch so schnell wie möglich von Ihnen hören, wenn Schwachstellen gefunden werden, damit wir sie angemessen beheben können.

Wir möchten mit Ihnen zusammenarbeiten, um unsere Kunden und unsere Systeme besser schützen zu können.

Wir bitten Sie:

• Senden Sie Ihre Erkenntnisse so schnell wie möglich per E-Mail an security-alert@fox-it.com.

• Missbrauchen Sie die Schwachstelle nicht, zum Beispiel durch Herunterladen, Bearbeiten oder Löschen von Daten. Wir nehmen Ihre Meldung stets ernst und gehen jedem Verdacht auf eine Schwachstelle nach, auch ohne Beweis.

• Teilen Sie das Problem nicht mit anderen, bis es gelöst ist.

• Setzen Sie keine Angriffe auf die physische Sicherheit, kein Social Engineering und keine Hackingwerkzeuge wie Schwachstellenscanner ein.

• Geben Sie ausreichend Informationen zur Reproduktion des Problems, damit wir es so schnell wie möglich lösen können. Normalerweise genügen die IP-Adresse oder die URL des betroffenen Systems und eine Beschreibung der Schwachstelle, bei komplexeren Schwachstellen können jedoch mehr Informationen nötig sein.

Was wir versprechen:

• Wir antworten innerhalb von drei Werktagen auf Ihre Meldung mit unserer Bewertung und einem voraussichtlichen Datum der Lösung.

• Wir behandeln Ihre Meldung vertraulich und geben Ihre persönlichen Daten nicht ohne Ihre Erlaubnis an Dritte weiter. Eine Ausnahme bilden Polizei und Justiz im Falle einer Strafverfolgung oder wenn Informationen verlangt werden.

• Wir halten Sie über den Fortschritt bei der Lösung des Problems auf dem Laufenden.

• In der Kommunikation über das gemeldete Problem nennen wir auf Wunsch Ihren Namen als die Partei, die das Problem entdeckt hat.

• Leider ist es nicht möglich, im Voraus zu garantieren, dass keine rechtlichen Schritte gegen Sie eingeleitet werden. Wir hoffen, jede Situation einzeln betrachten zu können. Wir sehen uns moralisch verpflichtet, Sie anzuzeigen, wenn wir vermuten, dass die Schwachstelle oder Daten missbraucht werden oder dass Sie Wissen über die Schwachstelle an andere weitergegeben haben. Sie können sich darauf verlassen, dass eine zufällige Entdeckung in unserer Online-Umgebung nicht zu einer Strafverfolgung führt.

• Als Dank für Ihre Hilfe bieten wir für jede Meldung eines uns unbekannten Sicherheitsproblems eine Belohnung an. Den Wert der Belohnung bestimmen wir anhand der Schwere der Sicherheitsverletzung und der Qualität der Meldung.

Wir bemühen uns, alle Probleme so schnell wie möglich zu lösen, alle Beteiligten zu informieren und möchten an jeder Veröffentlichung zum Problem nach dessen Lösung beteiligt sein.

Beispiel: Bits of Freedom

Unsere Abhängigkeit von digitaler Infrastruktur wächst stetig. Das gilt für die Gesellschaft als Ganzes, aber auch für uns selbst. Wir sind daher der Meinung, dass sich Regierungen und Organisationen (auch unsere) nachdrücklich für den Schutz unserer digitalen Infrastruktur einsetzen sollten. Uns ist bewusst, dass trotz bester Absichten und größter Sorgfalt in unseren Systemen Schwachstellen existieren können. Sollten Sie eine dieser Schwächen finden, würden wir uns freuen, von Ihnen zu hören, damit wir das Problem beheben können.

Was wir von Ihnen erwarten

• Wenn Sie eines unserer Systeme untersuchen, denken Sie an die Verhältnismäßigkeit des Angriffs. Es ist nicht nötig zu zeigen, dass unsere Website unerreichbar werden kann, wenn Sie sie dem größten DDoS-Angriff der Internetgeschichte aussetzen. Das wissen wir. Wir verstehen auch, dass Sie, wenn Sie mit einem Bulldozer in unser Büro fahren, wahrscheinlich einen unserer Laptops schnappen können.

• Dieses Prinzip der Verhältnismäßigkeit gilt auch für die Demonstration der Schwachstelle selbst. Sie sollten nicht mehr Daten einsehen oder verändern, als unbedingt nötig ist, um die Gültigkeit Ihrer Feststellung zu bestätigen. Wenn Sie zum Beispiel unsere Startseite ändern können, fügen Sie ihr nur ein einziges unverfängliches Wort hinzu, anstatt die gesamte Seite zu übernehmen. Wenn Sie Zugriff auf eine Datenbank erhalten, genügt es, uns eine Liste der darin enthaltenen Tabellen oder vielleicht den ersten Datensatz einer dieser Tabellen zu zeigen.

• Eine Schwachstelle in einem unserer Systeme sollte so bald wie möglich per E-Mail an security@bof.nl gemeldet werden. Idealerweise verschlüsseln Sie Ihre Nachricht mit OpenPGP. Bitte geben Sie genug Informationen an, damit wir das Problem reproduzieren und untersuchen können.

• Der öffentliche OpenPGP-Schlüssel für security@bof.nl

• Sie geben Ihr Wissen über die Schwachstelle nicht an Dritte weiter, solange wir das Problem nicht behoben haben und seit Ihrer Meldung noch ein angemessener Zeitraum nicht verstrichen ist.

• Sie löschen alle vertraulichen Informationen, die Sie bei Ihrer Untersuchung erlangt haben, sobald wir die Schwachstelle behoben haben.

Was Sie von uns erwarten können

• Wir antworten innerhalb von drei Tagen ausführlich auf Ihre Meldung. Wir nennen eine Schätzung der Zeit, die wir zur Behebung benötigen. Natürlich halten wir Sie regelmäßig über unseren Fortschritt auf dem Laufenden.

• Wir beheben die Schwachstelle so schnell wie möglich. Auch hier ist Verhältnismäßigkeit wichtig: Die zur Behebung einer Schwachstelle nötige Zeit hängt von mehreren Faktoren ab, darunter Schwere und Komplexität des Problems.

• Wenn Sie die hier dargelegten Richtlinien befolgen, ergreifen wir im Zusammenhang mit Ihrer Meldung keine rechtlichen Schritte gegen Sie.

• Es ist uns wichtig, Sie für Ihre Leistung zu würdigen – wenn Sie das wünschen. Wir nennen Ihren Namen in einer Veröffentlichung zur Schwachstelle nur, wenn Sie zustimmen.

• Als Dank dafür, dass Sie uns helfen, unsere Systeme besser zu schützen, möchten wir jede Meldung einer uns zum damaligen Zeitpunkt unbekannten Schwachstelle belohnen. Die Belohnung hängt von der Schwere der Schwachstelle und der Qualität der Meldung ab.

• Sollten Sie in von uns genutzter Drittsoftware eine Schwachstelle finden, die von einem Bug-Bounty-Programm abgedeckt ist, versuchen wir nicht, diese Prämie zu beanspruchen; Sie sollten das tun.