Full Disclosure

Full Disclosure (englisch; ‚vollständige Offenlegung‘) ist die Praxis, wenn unabhängige IT-Sicherheitsexperten Sicherheitslücken finden, sämtliche Informationen über die Sicherheitslücke sofort und ohne Absprache mit den verantwortlichen Stellen allgemein zugänglich zu veröffentlichen. Hierdurch werden Benutzer frühzeitig gewarnt; Hacker können allerdings die Schwachstelle potentiell ausnutzen, bevor diese durch den Hersteller geschlossen werden kann.[1]

Ein alternativer Ansatz ist die Responsible Disclosure. Hierbei wird die Offenlegung mit dem Hersteller abgestimmt und die breite Öffentlichkeit erst informiert, sobald die Sicherheitslücke behoben wurde.[2]

Ein Grund, warum sich der Entdecker der Schwachstelle für eine Full Disclosure entscheidet, könnte beispielsweise sein, dass der Hersteller auf den Hinweis nicht reagierte oder das Problem kleinredete. Auch Fälle wie der Fall Modern Solutions, bei dem ein Sicherheitsforscher in Folge einer Meldung verurteilt wurde, lassen die anonyme Meldung attraktiv erscheinen.[3] Indem der Hacker die Sicherheitslücke veröffentlicht, kann so Druck ausgeübt werden. Im Allgemeinen ist der Ansatz der Full Disclosure jedoch sehr umstritten und wird von vielen als unverantwortlich angesehen. Er sollte nur als letzter Ausweg genutzt werden, wenn andere Maßnahmen fehlschlugen oder Schadcode für die Schwachstelle bereits im Umlauf ist.[4]

Um eine Full Disclosure zu verhindern, bieten viele Unternehmen sogenannte Bug-Bounty-Programme an.[5] Hierbei werden Prämien für das Finden von Schwachstellen ausgelobt; so zahlte beispielsweise Facebook 1,98 Millionen und Google 6,7 Millionen US-Dollar im Jahr 2020 aus.[6][7] Teilweise verpflichtet sich der Hacker im Gegenzug dazu, Stillschweigen über seine Funde zu bewahren, in diesem Fall spricht man dann von einer Private Disclosure.[4]

Einzelnachweise

  1. ↑ Offenlegung von Sicherheitslücken aus ethischer Sicht. Hochschule für Wirtschaft Zürich, 26. Oktober 2020, archiviert vom Original am 2. November 2020; abgerufen am 5. August 2021.
  2. ↑ Responsible Disclosure. Telefónica Deutschland, abgerufen am 5. August 2021.
  3. ↑ Fabian A. Scherschel: Gericht sieht Nutzung von Klartext-Passwörtern als Hacken an. In: heise online. Heise Medien, 18. Januar 2024, abgerufen am 3. November 2025.
  4. ↑ a b Vulnerability Disclosure. In: OWASP Cheat Sheet Series. Abgerufen am 6. August 2021 (englisch).
  5. ↑ Kai Biermann: Kopfgeldjagd im Internet. Zeit Online, 3. September 2013, abgerufen am 6. August 2021.
  6. ↑ Facebook awards $1.98 million to researchers for findings bugs in 2020. In: The Economic Times. 20. November 2020, abgerufen am 13. August 2021 (englisch).
  7. ↑ Catalin Cimpanu: Google paid $6.7 million to bug bounty hunters in 2020. In: ZD NET. Ziff Davis, 4. Februar 2021, abgerufen am 13. August 2021 (englisch).

Content Disclaimer

Informasi ini disarikan dari Wikipedia dan disajikan kembali untuk tujuan edukasi. Konten tersedia di bawah lisensi CC BY-SA 3.0. Kami tidak bertanggung jawab atas ketidakakuratan data yang bersumber dari kontribusi publik tersebut.

  1. The information displayed on this website is sourced in part or in whole from Wikipedia and has been adapted for the purpose of restating it. We strive to provide accurate and relevant information, however:
  2. There is no guarantee of absolute accuracy. Wikipedia is an open, collaborative project that can be edited by anyone, so information is subject to change.
  3. It is not intended to constitute professional advice. The content displayed is for informational and educational purposes only. For important decisions (e.g., medical, legal, or financial), please consult a professional.
  4. Content copyright. Wikipedia is licensed under the Creative Commons Attribution-ShareAlike License (CC BY-SA). This means that content may be reused with appropriate attribution and shared under a similar license.
  5. Responsible use. Any risk arising from the use of information from this website is entirely the responsibility of the user.