Full disclosure

Full disclosure

Finden unabhängige IT-Sicherheitsexperten Schwachstellen in Computerprogrammen, sogenannte Sicherheitslücken, gibt es für sie mehrere Möglichkeiten der Offenlegung. Full Disclosure bezeichnet die Praxis, sämtliche Informationen über die Sicherheitslücke sofort und ohne Absprache mit den verantwortlichen Stellen allgemein zugänglich zu veröffentlichen. Hierdurch werden Benutzer frühzeitig gewarnt; Hacker können allerdings die Schwachstelle potentiell ausnutzen, bevor diese durch den Hersteller geschlossen werden kann.

Ein alternativer Ansatz ist die Responsible Disclosure. Hierbei wird die Offenlegung mit dem Hersteller abgestimmt und die breite Öffentlichkeit erst informiert, sobald die Sicherheitslücke behoben wurde.

Ein Grund, warum sich der Entdecker der Schwachstelle für eine Full Disclosure entscheidet, könnte beispielsweise sein, dass der Hersteller auf den Hinweis nicht reagierte oder das Problem kleinredete. Indem der Hacker die Sicherheitslücke veröffentlicht, kann so Druck ausgeübt werden. Im Allgemeinen ist der Ansatz der Full Disclosure jedoch sehr umstritten und wird von vielen als unverantwortlich angesehen. Er sollte nur als letzter Ausweg genutzt werden, wenn andere Maßnahmen fehlschlugen oder Schadcode für die Schwachstelle bereits im Umlauf ist.

Um eine Full Disclosure zu verhindern, bieten viele Unternehmen sogenannte Bug-Bounty-Programme an. Hierbei werden Prämien für das Finden von Schwachstellen ausgelobt; so zahlte beispielsweise Facebook 1,98 Millionen und Google 6,7 Millionen US-Dollar im Jahr 2020 aus. Teilweise verpflichtet sich der Hacker im Gegenzug dazu, Stillschweigen über seine Funde zu bewahren, in diesem Fall spricht man dann von einer Private Disclosure.

Responsible Disclosure

Responsible Disclosure ist ein Verfahren zur Offenlegung von Sicherheitslücken, bei dem die Schwachstelle zuerst den Entwicklern gemeldet und erst nach einer angemessenen Frist zur Behebung veröffentlicht wird.

Zusätzlich gibt es die Full Disclosure, bei der direkt die Öffentlichkeit informiert wird, sowie die Private Disclosure, bei der die Details nicht öffentlich gemacht werden.

Verfahren

Die Entwickler von Hard- und Software benötigen im Allgemeinen Zeit und Ressourcen, um ihre Fehler zu beheben. Viele Ethische Hacker sind der Meinung, dass es ihre soziale Verantwortung ist, die Öffentlichkeit auf Schwachstellen aufmerksam zu machen, ohne sie unnötig zu gefährden. Das Verschweigen dieser Probleme könnte bei Nutzern ein Gefühl falscher Sicherheit hervorrufen und ermöglicht, dass Hintertüren weiter existieren können. Daher liegt es in der empfundenen Verantwortung, solche Lücken zu melden. Dafür schließen sich die beteiligten Parteien zusammen und vereinbaren eine Frist für die Behebung der Schwachstelle. Je nach den potenziellen Auswirkungen der Schwachstelle, der voraussichtlichen Zeit, die für die Entwicklung einer Lösung und das Ausspielen des entsprechenden Patches benötigt wird, sowie weiteren Faktoren kann dieser Zeitraum zwischen einigen Tagen und mehreren Monaten liegen. Teilweise stellt der Entdecker einer Schwachstelle auch dem Hersteller eine Frist, bis zu der dieser auf den Hinweis reagiert haben muss, um eine Full Disclosure zu verhindern.

Es ist industrieweit etabliert, dem Melder einer Sicherheitslücke zu danken und ggf. zu belohnen. Allerdings können auch per Responsible Disclosure gemeldete Sicherheitslücken strafrechtliche Konsequenzen für den Entdecker nach sich ziehen. Ein Fallbeispiel ist der Sicherheitsforscher Patrick Webster, der herausfand, dass personenbezogene Daten einer australischen Behörde öffentlich einsehbar waren. Da er, um diese Sicherheitslücke zu entdecken, diese Daten eingesehen hatte, wurden ihm juristische Konsequenzen angedroht; diese wurden jedoch später aufgrund des öffentlichen Drucks zurückgezogen. Auch die Sicherheitsforscherin Lilith Wittmann erhielt noch 2021 eine Strafanzeige, nachdem sie eine Sicherheitslücke in der Wahlkampf-App CDU connect entdeckt hatte. Die CDU entschuldigte sich später. Im Sommer 2021 wurde eine Sicherheitslücke vom Dienstleister Modern Solution GmbH & Co. KG mit Sitz in Gladbeck bekannt, durch die personenbezogene Daten direkt übers Internet eingesehen werden konnten. Der Entwickler wurde trotz mehrfachen, erfolglosen Kommunikationsversuchen mit dem Dienstleister von diesem wegen Datenhehlerei und Eindringen in Computersysteme angezeigt.