Responsible Disclosure (auch Coordinated Vulnerability Disclosure, CVD, deutsch: verantwortungsvolle beziehungsweise koordinierte Offenlegung) ist der etablierte Ablauf, in dem Sicherheitsforscher eine entdeckte Schwachstelle zunächst vertraulich an den betroffenen Hersteller melden und erst dann öffentlich machen, wenn ein Fix verfügbar ist oder eine vereinbarte Frist abgelaufen ist. So erhalten Anwender eine Chance auf Updates, bevor Angreifer von der Lücke erfahren.
Der Ablauf
- Entdeckung und Analyse: Der Forscher reproduziert die Schwachstelle und dokumentiert die technischen Details sorgfältig.
- Vertrauliche Meldung: Die Lücke wird an den Hersteller beziehungsweise eine CERT-/CSIRT-Stelle gemeldet – öffentliche Kanäle bleiben tabu.
- Behebung: Der Hersteller entwickelt einen Patch. Üblich ist ein Zeitfenster von 90 Tagen von der ersten Meldung bis zur Offenlegung; manche Policies sehen 120 Tage vor.
- Koordinierte Offenlegung: Nach der Patch-Verfügbarkeit oder dem Fristablauf werden die Details gemeinsam veröffentlicht – der Forscher erhält in der Regel eine CVE-Nummer als Anerkennung.
Abgrenzung der Varianten
Bei der Full Disclosure werden alle Details sofort und ungefiltert veröffentlicht, damit Anwender selbst Druck auf säumige Hersteller ausüben können – das Risiko ist, Angreifern eine Bauanleitung zu liefern. Private Disclosure (Stillschweigen) verschwindet dagegen oft im Nichts, weil Hersteller keinen Anreiz zum Fixen haben. Responsible Disclosure ist der Mittelweg und heute der De-facto-Standard, den auch CERT/CC, das BSI und Google Project Zero praktizieren. Reagiert ein Hersteller nicht, können sich Forscher an nationale CSIRTs wie das BSI wenden.
Verwandte Grundlagen: Sicherheitslücke, CVE, Bug Bounty, Vulnerability Management, Schwachstelle, Zero-Day, Exploit, Incident Response, Penetrationstest.