Provetry
ENFRFrühen Zugang anfragen
Kostenloser Check
Frühen Zugang anfragen

Provetry startet im November 2026. Der kostenlose CRA-Check, die Werkzeuge und die Leitfäden sind schon jetzt verfügbar.

Eine Offenlegungsstrategie aufstellen

8 Min. Lesezeit

Auf dieser Seite
  1. Warum der CRA sie verlangt
  2. Was die Offenlegungsstrategie sagen sollte
  3. Veröffentlichen
  4. Mit ihr leben
  5. Wie Provetry hilft
  6. Quellen

Früher oder später findet jemand außerhalb Ihres Unternehmens eine Schwachstelle in Ihrem Produkt: eine Sicherheitsforscherin, das Sicherheitsteam eines Kunden, ein Student. Eine Strategie für die koordinierte Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD), kurz Offenlegungsstrategie, sagt ihnen, wie sie sie melden, was Sie tun werden und wann die Einzelheiten veröffentlicht werden dürfen. Sie macht aus einer möglicherweise feindseligen Überraschung eine Zusammenarbeit mit bekanntem Ausgang.

Warum der CRA sie verlangt

Anhang I Teil II Nummer 5 der Cyberresilienz-Verordnung verlangt von jedem Hersteller, eine Strategie für die koordinierte Offenlegung von Schwachstellen aufzustellen und umzusetzen, und eine Kontaktadresse für Meldungen anzugeben. Die Offenlegungsstrategie muss beim Inverkehrbringen des Produkts und während seines gesamten Unterstützungszeitraums bestehen. Auch Verwalter quelloffener Software müssen eine Cybersicherheitsstrategie haben, die die Meldung von Schwachstellen fördert.

Der CRA wirkt hier mit der NIS-2-Richtlinie zusammen: Jeder Mitgliedstaat hat ein CSIRT, das als Koordinator für die Offenlegung fungiert und zwischen einer meldenden Person und einem Hersteller vermitteln kann, die sich nicht einig sind. In Deutschland ist das das BSI. Ihre Offenlegungsstrategie sollte damit vereinbar sein.

Was die Offenlegungsstrategie sagen sollte

Die internationale Referenz ist ISO/IEC 29147 (Offenlegung von Schwachstellen), mit ISO/IEC 30111 für den internen Behandlungsprozess. In der Praxis passt eine gute Offenlegungsstrategie auf eine Seite und behandelt:

Umfang

Welche Produkte, Versionen und Dienste die Offenlegungsstrategie abdeckt und was nicht dazugehört (zum Beispiel physische Angriffe auf Ihre Büros, Social Engineering gegenüber Beschäftigten, Denial-of-Service-Tests gegen den Produktivbetrieb).

Wie gemeldet wird

Die Adresse (ein security@-Postfach oder ein Formular), ein Verschlüsselungsschlüssel, falls Sie einen anbieten, die Sprachen, die Sie lesen, und was eine brauchbare Meldung enthält: betroffenes Produkt und Version, Schritte zur Reproduktion, Auswirkung und wie die meldende Person zu erreichen ist.

Wozu Sie sich verpflichten

Konkrete Fristen schaffen Vertrauen:

  • eine Eingangsbestätigung innerhalb weniger Werktage;
  • eine erste Einschätzung (bestätigt oder nicht, Schwere) innerhalb von etwa zwei Wochen;
  • regelmäßige Zwischenstände bis zur Korrektur;
  • die Veröffentlichung eines Hinweises, sobald eine Korrektur verfügbar ist, mit Nennung der meldenden Person, wenn sie es wünscht.

Koordination und Veröffentlichung

Wann die Einzelheiten öffentlich werden dürfen. Viele Organisationen nehmen 90 Tage ab der Meldung als Standardfrist, verlängert nach Absprache, wenn eine Korrektur länger braucht, und verkürzt, wenn die Schwachstelle bereits ausgenutzt wird. Der CRA verlangt außerdem, Informationen über behobene Schwachstellen zu veröffentlichen, sobald ein Sicherheitsupdate verfügbar ist, mit einer möglichen Verzögerung in hinreichend begründeten Fällen, bis Nutzer es einspielen konnten.

Safe Harbour

Ob Sie zusagen, keine rechtlichen Schritte gegen Personen einzuleiten, die in gutem Glauben forschen und sich an die Offenlegungsstrategie halten: keine Datenentnahme über das zum Nachweis Nötige hinaus, kein Schaden für Nutzer, zügige Meldung, Vertraulichkeit bis zur Veröffentlichung. Das ist eine rechtliche Zusage, lassen Sie sie also anwaltlich prüfen, und bedenken Sie, dass sie weder Dritte noch Behörden binden kann. In Deutschland ist das Thema wegen der Strafvorschriften zum Ausspähen von Daten besonders sensibel.

Belohnungen

Ob Sie ein Bug-Bounty-Programm anbieten oder nur Dank. Sagen Sie es klar; eine Offenlegungsstrategie ohne Prämie ist für ein kleines Unternehmen völlig normal.

Ausgenutzte Schwachstellen

Was passiert, wenn eine Meldung eine aktive Ausnutzung zeigt. Nach dem CRA kann das Ihre 24-Stunden-Meldeuhr starten, daher müssen die Menschen, die das Sicherheitspostfach lesen, wissen, wann sie eskalieren.

Veröffentlichen

  • Stellen Sie sie unter eine feste Adresse auf Ihrer Website, etwa /security/disclosure-policy.
  • Verweisen Sie mit dem Feld Policy aus Ihrer security.txt-Datei darauf.
  • Verlinken Sie sie in der Produktdokumentation und auf den Support-Seiten.
  • Bewahren Sie sie als Nachweis für den CRA in Ihrer technischen Dokumentation auf, mit dem Datum jeder Fassung.

Mit ihr leben

Eine Offenlegungsstrategie nützt nur, wenn der Prozess dahinter funktioniert:

  1. Leiten Sie das Sicherheitspostfach an mindestens zwei Personen, mit automatischer Eingangsbestätigung.
  2. Führen Sie ein Protokoll jeder Meldung: Eingangsdatum, Status, Entscheidungen, Veröffentlichung.
  3. Verknüpfen Sie jede bestätigte Schwachstelle mit den betroffenen Versionen, der Korrektur und dem Hinweis.
  4. Überprüfen Sie die Offenlegungsstrategie einmal im Jahr und wenn sich Ihre Produkte oder Ihr Team ändern.

Mit unserem kostenlosen Generator für Offenlegungsstrategien können Sie eine erste Fassung erstellen, auf Deutsch, Englisch oder Französisch.

Wie Provetry hilft

In den kostenpflichtigen Tarifen erstellt Provetry Ihre Offenlegungsstrategie und security.txt aus Ihren Antworten, nennt darin Ihre Produkte und deren Unterstützungszeiträume, lässt den Entwurf von einer zertifizierten Sicherheitsfachperson prüfen und veröffentlicht Ihre Hinweise in CSAF, sobald Korrekturen verfügbar sind. Jede Fassung der Offenlegungsstrategie wird in Ihrem Nachweisjournal festgehalten.

Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung.

Quellen