Ethik, verantwortungsvolle Offenlegung und rechtliche Aspekte

Ethische Sicherheitsforschung verbessert die Sicherheit für alle. Das Grundprinzip lautet: Testen Sie nur Systeme, für die Sie eine Genehmigung zum Testen haben. Eine Genehmigung ergibt sich aus dem schriftlich festgelegten Geltungsbereich eines Bug-Bounty-Programms, einer ausdrücklichen schriftlichen Erlaubnis der Asset-Eigentümer oder dem Besitz der Assets.

CVD bezeichnet den Prozess, bei dem eine Schwachstelle dem betroffenen Anbieter vertraulich gemeldet wird, damit dieser Zeit hat, vor der öffentlichen Offenlegung eine Fehlerbehebung zu entwickeln und zu veröffentlichen. Der 90-Tage-Standard von Google Project Zero stellt ein Gleichgewicht zwischen der Zeit für die Behebung durch den Anbieter und dem Recht der Forschenden auf Offenlegung her.

Der US-amerikanische CFAA stellt unbefugten Computerzugriff als Bundesstraftat unter Strafe. „Autorisierung“ wird weit ausgelegt – selbst wenn ein System öffentlich zugänglich ist, kann der Zugriff darauf ohne Genehmigung gegen den CFAA verstoßen. Safe-Harbor-Klauseln von Bug-Bounty-Programmen sind Ihr wichtigster rechtlicher Schutz.

Der Zugriff auf oder die Speicherung von personenbezogenen Daten anderer Personen während der Sicherheitsforschung kann gegen die DSGVO (EU) und ähnliche Datenschutzgesetze verstoßen. Beschränken Sie den Datenzugriff auf das zum Nachweis der Schwachstelle Notwendige. Laden Sie keine personenbezogenen Daten herunter, kopieren oder speichern Sie sie nicht.

Wenn ein Anbieter Berichte 90 Tage lang ignoriert: Sprechen Sie eine letzte Warnung mit einer neuen Frist aus, benachrichtigen Sie die Plattform (HackerOne, Bugcrowd) zur Vermittlung und erwägen Sie eine begrenzte Offenlegung mit geschwärzten technischen Details. Dokumentieren Sie alle Kontaktversuche mit Zeitstempeln, um sich rechtlich abzusichern.

Veröffentlichen Sie PoC-Code erst, nachdem der Anbieter einen Patch veröffentlicht hat und die Nutzer Zeit zur Aktualisierung hatten. Zu Angriffswerkzeugen ausgebaute PoCs für ungepatchte Schwachstellen ermöglichen eine massenhafte Ausnutzung und schaden echten Nutzern. Verantwortungsvolle Forschende stimmen den Zeitpunkt der Offenlegung sorgfältig ab.

Wenn Sie während der Recherche Zugangsdaten, personenbezogene Daten oder andere sensible Informationen finden: Dokumentieren Sie sie für den Bericht nur in minimalem Umfang, greifen Sie nicht über das zum Nachweis der Schwachstelle Erforderliche hinaus darauf zu, laden Sie keine großen Datenmengen herunter und melden Sie den Fund umgehend. Der Zugriff auf zusätzliche Daten über den Proof of Concept hinaus ist unethisch und möglicherweise illegal.

Die Gesetze unterscheiden sich je nach Land: der UK Computer Misuse Act, die EU-NIS2-Richtlinie und Australiens Cybercrime Act. Für kritische Infrastrukturen wie Krankenhäuser oder Stromnetze können zusätzliche Verbote für Tests gelten. Machen Sie sich mit dem rechtlichen Rahmen sowohl in Ihrer eigenen Rechtsordnung als auch in der des Anbieters vertraut.

Das Testen von KI-/ML-Systemen bringt besondere Aspekte mit sich: Modell-Extraktion, die Erzeugung adversarialer Eingaben und Angriffe auf die Privatsphäre von Trainingsdaten. Diese Techniken können gegen Programmregeln oder das Recht des geistigen Eigentums verstoßen, selbst wenn das zugrunde liegende Modell ansonsten im Geltungsbereich liegt.

Persönlicher Ethikrahmen: (1) Bin ich dazu befugt? (2) Minimiere ich den Schaden? (3) Schütze ich die Daten der betroffenen Nutzer? (4) Halte ich mich an die üblichen Regeln für die Offenlegung? (5) Würden meine Handlungen einer öffentlichen Prüfung standhalten? Beantworten Sie alle Fragen mit Ja, bevor Sie fortfahren.

Organisationen wie das Coders Rights Project der EFF stellen Ressourcen für die rechtliche Verteidigung von Sicherheitsforschern bereit, die in gutem Glauben handeln. Die Richtlinien von DEF CON zur Offenlegung von Schwachstellen und das Programm Internet Bug Bounty spiegeln Community-Standards wider, die Sie kennen und befolgen sollten.

Wie lange ist der übliche Zeitraum bei einer koordinierten Offenlegung von Schwachstellen (CVD), bevor die Schwachstelle öffentlich bekannt gegeben wird?

Ethische Sicherheitsforschung erfordert eine ausdrückliche Autorisierung, einen möglichst geringfügigen Datenzugriff, einen verantwortungsvollen Umgang mit sensiblen Erkenntnissen sowie eine koordinierte Offenlegung, die sowohl die Sicherheit der Nutzer als auch die Rechte der Forscher berücksichtigt. Das Verständnis von CFAA, GDPR und den Regeln zur Offenlegung schützt gleichzeitig Forscher und die Öffentlichkeit.