So meldet THA_innos Schwachstellen

Sicherheitsprobleme in Produkten und Systemen sollten zeitnah behoben werden. Findet das Institut für innovative Sicherheit (THA_innos) eine Schwachstelle, folgt ihre Offenlegung von Schwachstellen einem verantwortungsvollen Prozess, auch Responsible Disclosure genannt.

Findet das Institut eine oder mehrere Schwachstellen, kontaktiert es das betroffenen Unternehmen via E-Mail. Bleibt diese unbeantwortet, erfolgt ein weiterer Kommunikationsversuch binnen sieben Kalendertagen. 

Das betroffene Unternehmen wird in Form eines Vulnerability Reports über die entdeckten Schwachstellen in ihren Produkten und Systemen informiert. Dieser Bericht beinhaltet Informationen zu den Schwachstellen, zu deren Ausnutzbarkeit und eine erste Einschätzung zur Kritikalität des Sicherheitsproblems.

THA_innos steht Unternehmen während der gesamten Behebung der Schwachstelle für Rückfragen zur Verfügung. Zudem erwartet das Institut regelmäßige Updates zum aktuellen Status der Bearbeitung.

So sollten Sie mit der Meldung umgehen

THA_innos möchte im Zusammenhang mit dem Sicherheitsproblem als Entdecker der Schwachstelle genannt werden und besteht auf eine Veröffentlichung der Schwachstelle zum Ende des Disclosure-Prozesses, beispielsweise via CVE (Common Vulnerabilities and Exposures) oder durch ein öffentlich zugängliches Security Advisory.

Zudem behält THA_innos sich vor, zum Abschluss des Responsible-Disclosure-Prozesses ein eigenes Security Advisory zu veröffentlichen, welches die Schwachstelle detailliert beschreibt, sowie ggf. Proof-of-Concept Quellcode zur Schwachstelle bereitzustellen.

Sollte eines der folgenden Szenarien eintreten, behält sich THA_innos das Recht vor, Informationen zu den Schwachstellen zu veröffentlichen.

1. THA_innos erhält binnen 14 Kalendertagen keine oder keine konstruktive zur Lösung der Schwachstelle beitragende Antwort auf den übermittelten Vulnerability Report.
2. Das betroffene Unternehmen stellt Nutzerinnen und Nutzern innerhalb der Frist von 90 Kalendertagen keinen Security Patch und kein Security Advisory zur Behebung der Schwachstelle bereit. THA_innos verlängert diese Frist ggf., falls der Mehraufwand für das Erstellen und Testen eines Security Updates sachlich begründet werden kann und die aktive Bearbeitung der Problematik klar ersichtlich ist.
3. Die regelmäßige Kommunikation von Status-Updates während des Responsible Disclosure Prozesses bleibt aus.
4. Es stellt sich heraus, dass die Schwachstelle bereits aktiv bei im Feld befindlichen Produkten/Systemen ausgenutzt wird. In diesem Fall werden technische Details zur Schwachstelle und mögliche Mitigationsmaßnahmen 7 Kalendertage nach der ersten Kontaktaufnahme mit dem Unternehmen veröffentlicht, um betroffenen Nutzerinnen und Nutzern eine zeitnahe Reaktion zu ermöglichen.