+DET.5.9 Externe Schwachstellenmeldungen
---+DET.5.9.1 Bonusprogramm

DET.5.9 Externe Schwachstellenmeldungen

Detektion SOLLTE eine Vorgehensweise zur Entgegennahme und Behandlung von externen Schwachstellenmeldungen verankern.

Erläuterung

Ohne klar geregelten Umgang könnte eine Institution wertvolle Hinweise übersehen oder verzögert reagieren, was die Wahrscheinlichkeit eines Angriffs auf ungepatchte Ziele erhöht. Denkbar sind etwa Szenarien, in denen eine unbekannte Schwachstelle in einer öffentlich erreichbaren Webanwendung durch Dritte entdeckt wird und die Institution zwar kontaktiert wird, aber ohne geregelten Prozess keine Reaktion erfolgt – was einen erfolgreichen Angriff begünstigen könnte. Eine Institution kann diese Anforderung umsetzen, indem sie z. B. eine leicht auffindbare Kontaktmöglichkeit für Schwachstellenmeldungen bereitstellt – etwa eine dedizierte E-Mail-Adresse wie security@…, ein webbasiertes Formular oder die Eintragung eines „Security.txt“-Hinweises im Webauftritt (nach IETF RFC 9116). Sinnvoll kann es sein, klare Erwartungshaltungen zu kommunizieren, etwa welche Informationen eine Meldung enthalten sollte oder wie Rückmeldungen an Hinweisgeber erfolgen können. Auch ein internes Verfahren zur Kategorisierung und Priorisierung der eingehenden Hinweise kann helfen, Meldungen effizient zu bearbeiten. Eine Institution kann zudem in Erwägung ziehen, standardisierte Rückmeldungen vorzubereiten, um zeitnah bestätigen zu können, dass eine Meldung eingegangen ist, selbst wenn die inhaltliche Analyse noch aussteht. Sinnvoll ist auch ein freiwilliger Verhaltenskodex (z. B. ein „Responsible Disclosure Policy“-Hinweis) auf der eigenen Website, um Hinweisgebern einen rechtlich sicheren Rahmen für ihre Meldungen zu verdeutlichen. So entsteht ein klarer, reproduzierbarer Prozess, der externe Informationen in die eigene Sicherheitsarbeit einbindet und das Risiko minimiert, dass relevante Hinweise verloren gehen oder ungenutzt bleiben. Für Details siehe ISO/IEC 29147.

1. Übersicht

DET.5.9.1 Bonusprogramm

Detektion KANN ein Bonusprogramm für externe Schwachstellenmeldungen verankern.

Erläuterung

Ein Bonusprogramm für externe Schwachstellenmeldungen (englisch häufig Bug Bounty Program) bezeichnet ein strukturiertes Verfahren, bei dem eine Institution freiwilligen Sicherheitsforschenden oder interessierten Dritten eine Belohnung für das Melden bislang unbekannter Sicherheitslücken anbietet. Dabei geht es nicht nur um finanzielle Prämien, sondern auch um nicht-monetäre Anerkennungen wie öffentliche Danksagungen oder Zertifikate. Sinn und Zweck liegt darin, externen Sicherheitsforschern oder -expertenen einen Anreiz zu geben, um Schwachstellen frühzeitig zu finden und zu melden. Zur Umsetzung kann eine Institution (1) transparente Regeln definieren, welche Systeme oder Anwendungen einbezogen sind (in scope) und welche nicht, (2) einen abgestuften Belohnungsrahmen anbieten, der den Schweregrad einer Schwachstelle berücksichtigt, sowie (3) die rechtlichen Rahmenbedingungen durch eine sogenannte „Safe-Harbor-Policy“ festlegen, die den Meldenden Schutz vor rechtlichen Schritten zusichert, solange diese verantwortungsvoll handeln. Ergänzend kann die Institution durch einfache organisatorische Hilfsmittel wie Ticketnummern, automatische Eingangsbestätigungen und zeitnahe Rückmeldungen Vertrauen schaffen und den weiteren Ablauf für externe Meldende nachvollziehbar gestalten.

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

Anforderungen
Quelle	Anforderung

3. Zugehörige Regulierungen

Regulierungen
Quelle	Regulierung

BSI_DE -
EN: Publications of the Bundesamt für Sicherheit in der Informationstechnik (BSI, Federal Office for Information Security), https://www.bsi.bund.de/. This is not an official BSI website. Only the versions published by the BSI are authoritative.
- Cloud Computing Compliance Criteria Catalogue C5:2026, German version: © BSI, licensed under CC BY-ND 4.0; content unchanged, converted into the GRCA format.
- Anwenderkatalog Grundschutz++: © BSI, from Stand-der-Technik-Bibliothek, licensed under CC BY-SA 4.0. Changes: converted into the GRCA format, the links of the catalog shown as links between the requirements. These adaptations are shared under CC BY-SA 4.0 as well.
DE: Veröffentlichungen des Bundesamts für Sicherheit in der Informationstechnik (BSI), https://www.bsi.bund.de/. Kein amtlicher Auftritt des BSI. Maßgeblich sind allein die vom BSI veröffentlichten Fassungen.
- Kriterienkatalog Cloud Computing C5:2026: © BSI, lizenziert unter CC BY-ND 4.0; Inhalt unverändert, in das GRCA-Format umgewandelt.
- Anwenderkatalog Grundschutz++: © BSI, aus der Stand-der-Technik-Bibliothek, lizenziert unter CC BY-SA 4.0. Änderungen: in das GRCA-Format umgewandelt, die Verweise des Katalogs als Verknüpfungen zwischen den Anforderungen. Diese Bearbeitungen stehen ebenfalls unter CC BY-SA 4.0.