EntwicklungZuletzt aktualisiert: 23. Oktober 2026

Was ist Coordinated Disclosure?

Coordinated Vulnerability Disclosure

Es ist der Prozess, bei dem eine Sicherheitslücke geheim gehalten wird, bis der Systembesitzer Vorkehrungen trifft, und dann auf planmäßige Weise der Öffentlichkeit bekannt gegeben wird.

Definition

Die koordinierte Schwachstellenoffenlegung (Coordinated Disclosure) ist ein Kooperationsmodell zwischen Cybersicherheitsforschern und Softwareherstellern. Anstatt die gefundene kritische Schwachstelle sofort jedem bekannt zu geben, meldet der Forscher sie zuerst dem Entwickler und gewährt eine angemessene Frist zur Erstellung eines Patches. Nach Veröffentlichung der Korrektur wird die Schwachstelle mit der Öffentlichkeit geteilt, um die Benutzer zur Aktualisierung ihrer Systeme zu motivieren.

Analogie: Dies ähnelt einem Schlosser, der einen Mangel am Türschloss eines Gebäudes findet und dies, anstatt es den Dieben auf der Straße zuzurufen, zuerst dem Gebäudeverwalter meldet und es erst nach dem Austauschen des Schlosses berichtet.

So funktioniert es

Der Forscher entdeckt die Schwachstelle und übermittelt dem Sicherheitsteam des Herstellers einen privaten Bericht, der die technischen Details enthält. Die Parteien einigen sich auf einen bestimmten Zeitplan für die Lösung. Sobald der Hersteller den Patch vorbereitet und veröffentlicht oder nach Ablauf der vereinbarten Frist wird der Fund offiziell bekannt gegeben.

Wo es eingesetzt wird

Es wird bei verantwortungsvollen Cybersicherheitsforschungen, Bug-Bounty-Programmen und in den Sicherheitsprozessen großer Technologieunternehmen angewendet.

Häufig verwechselt mit

Es wird mit der vollständigen Offenlegung (Full Disclosure) verwechselt. Bei der vollständigen Offenlegung wird die Schwachstelle ohne jegliche Vorkehrungen direkt der Öffentlichkeit bekannt gegeben; bei der koordinierten Offenlegung wird hingegen zuerst auf den Patch gewartet.

Fragen und Antworten

Was passiert, wenn das Unternehmen die Schwachstelle nicht behebt?

Forscher behalten sich in der Regel das Recht vor, die Schwachstelle nach einer angemessenen Frist von 60 oder 90 Tagen der Öffentlichkeit bekannt zu geben, um die Benutzer zu schützen.

Worin unterscheidet sich dieser Prozess von Hackerangriffen?

Der Forscher nutzt die Schwachstelle nicht aus und verschafft sich keinen Vorteil, sondern kooperiert im Gegenteil mit dem Hersteller, um das System zu schützen und sicher zu machen.