CVD
Koordinierte Offenlegung von Schwachstellen
Coordinated Vulnerability Disclosure
CVD bezeichnet das abgestimmte Vorgehen, bei dem der Finder einer Schwachstelle und der betroffene Hersteller die Veröffentlichung gemeinsam steuern: erst beheben, dann offenlegen. Ziel ist, Nutzer zu schützen, ohne Angreifern unnötig Zeitvorsprung zu verschaffen. CVD ist der heute breit akzeptierte Mittelweg zwischen sofortiger Geheimhaltung und sofortiger Vollveröffentlichung.
Historie & Fakten. Der Umgang mit gefundenen Schwachstellen war lange ein Streitthema zwischen Forschern und Herstellern. CVD setzte sich als Konsens durch und ist in internationalen Normen ausgestaltet — die ISO/IEC 29147 beschreibt die Offenlegung, die ISO/IEC 30111 die herstellerseitige Bearbeitung. Üblich ist eine vereinbarte Frist, nach der veröffentlicht wird, auch wenn noch kein Patch vorliegt — als Druckmittel gegen Untätigkeit.
Ausblick & Empfehlung. Mit dem EU-Cyberresilienz-Verordnung (Verordnung 2024/2847) (CRA) wird ein funktionierender Offenlegungs- und Bearbeitungsprozess für Hersteller faktisch zur Pflicht. Wer Produkte entwickelt, sollte einen klar erreichbaren Meldekanal und einen definierten internen Ablauf (idealerweise über einen Produkt-Sicherheitsreaktionsteam (PSIRT)) etablieren, bevor die erste Meldung eintrifft. Für Finder gilt: Der koordinierte Weg schützt nicht nur Nutzer, sondern auch rechtlich besser als der Alleingang.