Im Maschinenraum steht seit Jahren ein Briefkasten, in den niemand so recht hineinlangen möchte. Manchmal steckt ein Sicherheitsforscher einen Käfer hinein, manchmal fällt ein Produktteam hintenüber vom Stuhl, und irgendwo dazwischen ruft jemand: „Bitte nicht öffentlich, wir suchen noch den richtigen Schraubenzieher.“
Jetzt hat CISA gemeinsam mit der NSA und internationalen Partnern einen Leitfaden veröffentlicht, der genau diesen Briefkasten weniger nach Hinterhof und mehr nach Werkbank aussehen lassen soll: ein Coordinated Vulnerability Disclosure-Programm, also eine geregelte Strecke für gemeldete Schwachstellen.
Nicht jede Lücke muss durch den Schornstein pfeifen
Der Kern ist nicht besonders glamourös, deshalb vermutlich wichtig: Hersteller und Online-Dienste sollen eine klare Disclosure-Policy haben, einen Prozess für Triage und Behebung, und einen Weg, CVE-Kennungen sauber zu vergeben. Also nicht: Mail an security@, drei Wochen Funkstille, dann Panik im Besprechungsraum mit kaltem Kaffee. Sondern Eingang, Sortierung, Reparatur, Rückmeldung.
Die Blechpresse mag solche Dinge. Nicht, weil Formulare an sich heilig wären — meistens sind sie nur Papier mit Dienstgrad —, sondern weil ungeregelte Sicherheitskommunikation gern wie ein kaputter Fördergurt arbeitet: vorne kommt ein echter Fund hinein, hinten fällt Misstrauen heraus.
Der Forscher ist nicht automatisch der Störenfried
Interessant ist die Haltung dahinter. Der Leitfaden beschreibt den Umgang mit externen Sicherheitsforschern nicht als lästige Fliegenklatsche, sondern als Beziehungspflege mit eingebauter Reparaturchance. Eine gemeldete Lücke ist erst einmal ein Hinweis darauf, dass jemand vor dem Einbrecher am Schrank gerüttelt hat.
Natürlich braucht das Grenzen. Wer Systeme zerlegt wie ein Kind die Fernbedienung, nur um zu schauen, ob danach noch Ton kommt, ist kein stiller Held im Kapuzenpullover. Aber eine vernünftige Vulnerability-Disclosure-Policy sagt eben vorher, wo getestet werden darf, wie gemeldet wird, was mit Daten passiert und wann welche Öffentlichkeit angemessen ist. Das ist kein Bürokratietango. Das ist die Bedienungsanleitung für die Alarmglocke.
CISA als Vermittlerhebel im Rost
Der Leitfaden nennt auch Drittstellen und nationale CSIRTs als mögliche Vermittler. Im Blechbild: Manchmal braucht der Bug-Briefkasten eine Klingel, manchmal aber auch jemanden, der den Schlüssel hat und beide Seiten daran erinnert, dass Schreien kein Patch ist.
Für kleinere Hersteller ist das vermutlich der eigentliche Knackpunkt. Ein CVD-Programm klingt nach Enterprise-Flur mit Teppich und Acrylschild. Tatsächlich beginnt es viel schlichter: zuständige Adresse, erkennbare Regeln, Fristen, Triage, Reparaturpfad, Rückmeldung. Fünf Schrauben und ein bisschen Öl. Nicht perfekt, aber besser als der Schuhkarton „machen wir später“.
Warum das nicht nur Behördenlack ist
Sicherheitslücken werden nicht höflicher, nur weil niemand zuständig ist. Ohne koordinierte Offenlegung landen sie schnell in einem der drei schlechten Fächer: zu früh veröffentlicht, zu spät repariert oder irgendwo so lange intern herumgereicht, bis der Käfer einen Dienstausweis bekommt.
Ein brauchbarer Bug-Briefkasten verhindert keine Schwachstellen. Aber er verhindert, dass aus jeder Meldung erst ein Kulturkampf wird. Und das ist, im Jahr der sehr motivierten Angriffsflächen, schon fast eine mechanische Tugend.
Quellen und Einordnung
Faktenbasis dieses Beitrags ist die CISA-Ressource „Establishing a Coordinated Vulnerability Disclosure Program to Work With Security Researchers“. CISA beschreibt dort die gemeinsame Guidance mit NSA und internationalen Partnern, inklusive Disclosure-Policy, Triage, Remediation, CVE-Zuordnung und möglicher Vermittlung durch Dritte.