Richtlinie zur Offenlegung von Schwachstellen

Zuletzt aktualisiert: 05.09.2019

Kraken Security Labs führt regelmäßig Untersuchungen zur Sicherheit häufig verwendeter Anwendungen, Hardware und Produkte durch. Diese Untersuchungen dienen dazu, Endnutzer solcher Dienste und Produkte aufzuklären und zu schützen. Die vorliegende Richtlinie beschreibt, wie Kraken Security Labs mit der verantwortungsvollen Offenlegung von Sicherheitslücken umgeht, wenn wir Schwachstellen in Produkten und Diensten Dritter entdecken.

Kraken Security Labs informiert den jeweiligen Anbieter über eine Sicherheitslücke in seinen Produkten und/oder Diensten. Der erste Kontaktversuch erfolgt über geeignete Ansprechpartner oder offizielle Kanäle, die auf der Website des Anbieters aufgeführt sind. Sind solche Kontaktinformationen nicht veröffentlicht, bemüht sich Kraken Security Labs nach besten Kräften, einen geeigneten Kommunikationsweg zu finden. Sobald ein offizieller oder geeigneter Kontaktweg gefunden wurde, werden die relevanten Informationen zur Sicherheitslücke sicher an den Anbieter übermittelt.

Bestätigt der Anbieter die erste Benachrichtigung nicht innerhalb von fünf (5) Werktagen, nimmt Kraken Security Labs einen zweiten Kontaktversuch vor. Hat Kraken Security Labs alle oben genannten Mittel zur Kontaktaufnahme ausgeschöpft, kann Kraken Security Labs fünfzehn (15) Werktage nach dem ersten Kontaktversuch eine öffentliche Mitteilung mit den Erkenntnissen veröffentlichen.

Erfolgt innerhalb des oben genannten Zeitraums eine Antwort des Anbieters, bittet Kraken Security Labs diesen, einen gewünschten Zeitrahmen für die Behebung anzugeben. Kraken Security Labs räumt dem Anbieter bis zu neunzig (90) Kalendertage ein, um die Sicherheitslücke mit einem Patch zu beheben. Am Ende dieser Frist oder früher (sofern der Anbieter dies mitteilt) veröffentlicht Kraken Security Labs eine öffentlich zugängliche Mitteilung einschließlich Empfehlungen zur Risikominderung, um Endnutzer zu schützen, sofern die Sicherheitslücke behoben wurde, der Anbieter nicht reagiert oder keine nachvollziehbare Begründung liefern kann, warum die Lücke nicht geschlossen wurde.

Kraken Security Labs unternimmt alle Anstrengungen, um mit Anbietern zusammenzuarbeiten und sicherzustellen, dass diese die technischen Details und den Schweregrad einer gemeldeten Sicherheitslücke verstehen. Ist ein Produktanbieter nicht in der Lage oder nicht bereit, eine bestimmte Sicherheitslücke zu beheben, kann Kraken Security Labs anbieten, mit diesem Anbieter zusammenzuarbeiten, um die Lücke zusammen mit wirksamen Behelfslösungen öffentlich offenzulegen.

Falls Kraken Security es aufgrund des Risikos oder der Sicherheit für den Endnutzer eines Produkts oder Dienstes für angemessen hält, die Öffentlichkeit unverzüglich über eine Sicherheitslücke zu informieren, wird Kraken Security Labs den Anbieter und die Öffentlichkeit gleichzeitig über seine Erkenntnisse informieren. In der Mitteilung an den Anbieter führt Kraken Security Labs die Faktoren auf, die zur Entscheidung einer sofortigen Veröffentlichung geführt haben.