1. Einleitung 

Der CVD-Prozess von achelos behandelt Meldungen zu Schwachstellen und Sicherheitsvorfällen. Der Prozess umfasst die folgenden Phasen, die im Weiteren näher erläutert werden: Meldung, Bewertung und Offenlegung. 

Der Prozess orientiert sich lose an der „Leitlinie des BSI zum Coordinated Vulnerability Disclosure (CVD)-Prozess – Umgang des BSI mit Schwachstellenmeldungen“, Version 1.0 vom 1. Dezember 2022.

2. Meldung

Schwachstellen und Sicherheitsvorfälle können über eine hierfür vorgesehene E-Mail-Adresse gemeldet werden. Die Meldung kann optional unter Verwendung des öffentlichen Schlüssels von achelos verschlüsselt werden.

Siehe: https://www.achelos.de/.well-known/security.txt

Meldende Personen sind dafür verantwortlich, sicherzustellen, dass von ihnen durchgeführte Sicherheitstests rechtmäßig oder mit Zustimmung von achelos erfolgt sind. achelos wird grundsätzlich keine rechtlichen Schritte gegen meldende Personen einleiten, sofern diese in gutem Glauben, im Einklang mit geltendem deutschem Recht und unter Beachtung dieser Richtlinie handeln. Dies gilt insbesondere nicht, wenn erkennbar missbräuchliche oder kriminelle Absichten verfolgt werden.

Meldungen zu Schwachstellen und Sicherheitsvorfällen sollten nach Möglichkeit die folgenden Informationen enthalten:

1. Art der Meldung (Schwachstelle oder Sicherheitsvorfall)
2. Name des betroffenen Produkts und Versionsnummer
3. Eine allgemeine Beschreibung der Schwachstelle bzw. des Sicherheitsvorfalls, gegebenenfalls ergänzt durch grafische Darstellungen
4. Eine Beschreibung der erforderlichen Schritte zur Reproduktion und gegebenenfalls einen Proof of Concept (PoC), aus dem eindeutig hervorgeht, wie die Schwachstelle ausgenutzt bzw. der Sicherheitsvorfall ausgelöst werden kann
5. Optional eine Risikoeinschätzung, beispielsweise unter Verwendung eines CVSS-Wertes einschließlich der zugehörigen Eingabewerte, sowie eine Beschreibung der möglichen Auswirkungen und eine Einschätzung ihres Schweregrads
6. Optional gültige Kontaktdaten, da insbesondere bei komplexen Schwachstellen oder Sicherheitsvorfällen weitere Informationen erforderlich sein können

achelos betreibt kein Bug-Bounty-Programm und bietet grundsätzlich keine finanzielle Vergütung für die Meldung von Schwachstellen oder Sicherheitsvorfällen an. Die Bearbeitung einer Meldung darf daher nicht von der Zahlung einer finanziellen Vergütung abhängig gemacht werden.

Soweit dies angemessen und rechtlich zulässig ist, kann achelos um eine koordinierte Offenlegungsfrist von bis zu sechs Monaten bitten, bevor Einzelheiten zu einer Schwachstelle veröffentlicht werden. Die tatsächliche Dauer richtet sich insbesondere nach Art und Schweregrad der Schwachstelle sowie nach dem Zeitraum, der für die Entwicklung und Bereitstellung geeigneter Korrektur- oder Minderungsmaßnahmen erforderlich ist.

3. Bewertung

Eingehende Meldungen werden intern geprüft und bewertet. achelos behält sich vor, Meldungen nur dann weitergehend zu bearbeiten, wenn sie ausreichende Informationen enthalten, um den gemeldeten Sachverhalt nachvollziehen und bewerten zu können.

Im Rahmen der Bewertung prüft achelos unter anderem, ob für die gemeldete Schwachstelle oder den gemeldeten Sicherheitsvorfall gesetzliche Meldepflichten bestehen, insbesondere nach dem Cyber Resilience Act (CRA).

Nach Abschluss der Bewertung wird die meldende Person über das Ergebnis informiert, sofern gültige Kontaktdaten angegeben wurden.

Unabhängig vom Bestehen einer gesetzlichen Meldepflicht kann achelos bei einer geeigneten Schwachstellenmeldung ein Coordinated-Vulnerability-Disclosure-Verfahren einleiten.

4. Offenlegung

Handelt es sich bei einem gemeldeten Sachverhalt um eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen und besteht hierfür eine Meldepflicht nach dem Cyber Resilience Act, übermittelt achelos die erforderlichen Meldungen gemäß Artikel 14 CRA über den hierfür vorgesehenen Meldeweg.

Die gesetzliche Meldung nach dem Cyber Resilience Act ist von der koordinierten öffentlichen Offenlegung von Informationen über eine Schwachstelle zu unterscheiden.

Eine öffentliche Offenlegung wird von achelos gegebenenfalls mit den relevanten Beteiligten koordiniert. Dabei werden insbesondere die Verfügbarkeit geeigneter Korrektur- oder Minderungsmaßnahmen, die möglichen Risiken für betroffene Nutzer sowie die einschlägigen gesetzlichen Anforderungen berücksichtigt.

Eine Aufnahme öffentlich bekannter Schwachstellen in die Europäische Schwachstellendatenbank erfolgt gemäß den geltenden rechtlichen Vorgaben.