Compliance-Lexikon · CRA
Vulnerability Disclosure – Praxis
Vulnerability Disclosure wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Existiert ein veröffentlichter, klar erreichbarer Prozess, über den externe Sicherheitsforscher gefundene Schwachstellen melden können?
Häufige Fehler in der Praxis
- Kein erreichbarer Kontaktweg für Sicherheitsforscher, Meldungen versanden in allgemeinen Support-Postfächern
- Keine definierten Fristen für Rückmeldung und Behebung gemeldeter Schwachstellen
- Meldende Personen werden rechtlich bedroht statt als Teil des Sicherheitsprozesses behandelt
Praxis-Tipp
Ein klarer, wohlwollender Umgang mit meldenden Sicherheitsforschern erhöht die Wahrscheinlichkeit, dass Schwachstellen verantwortungsvoll gemeldet statt ausgenutzt oder veröffentlicht werden, bevor ein Patch existiert.
Koordinierte Offenlegung als Standardprozess
Ein Coordinated-Vulnerability-Disclosure-Prozess definiert einen sicheren Meldeweg, realistische Fristen für die Behebung und einen abgestimmten Zeitpunkt der öffentlichen Bekanntgabe, sodass Nutzer geschützt sind, bevor Details öffentlich werden. Der CRA verlangt einen solchen Prozess explizit von Herstellern.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Veröffentlichte Vulnerability-Disclosure-Policy, dokumentierter interner Bearbeitungsprozess, Nachweis bearbeiteter Meldungen. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Vulnerability Disclosure über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.