Glossareintrag
Wir denken. KI tippt mit.
Bei der Coordinated Vulnerability Disclosure (CVD, deutsch koordinierte Offenlegung von Schwachstellen) meldet der Entdecker einer Sicherheitslücke sie zuerst vertraulich an den Hersteller, statt sie sofort zu veröffentlichen. Beide Seiten stimmen ab, wie lange die Behebung dauern darf und wann die Einzelheiten an die Öffentlichkeit gehen. Das CERT Coordination Center der Carnegie Mellon University beschreibt den Vorgang in seinem CERT Guide to Coordinated Vulnerability Disclosure in drei Zügen. Erst werden die Angaben des Finders gesammelt, dann unter den Beteiligten geteilt, zuletzt gehen Lücke und Lösung an die Öffentlichkeit.
Die ältere Bezeichnung für dasselbe Vorgehen ist Responsible Disclosure, verantwortungsvolle Offenlegung. Ein Bug Bounty ist kein eigenes Verfahren, sondern die Prämie, mit der ein Hersteller solche Meldungen anzieht. Das Gegenmodell Full Disclosure stellt alle Einzelheiten sofort öffentlich, ohne Vorlauf für den Hersteller. Wer eine Lücke gar nicht meldet, sondern behält oder verkauft, betreibt Non-Disclosure.
Microsoft machte den Namen im Juli 2010 populär. Zuvor stritt die Branche jahrelang darüber, wer sich beim Melden von Lücken korrekt verhält. Auslöser war ein Fall aus dem Juni 2010, in dem der Google-Entwickler Tavis Ormandy eine Windows-Lücke samt Angriffscode veröffentlichte, nachdem sich Microsoft nicht auf eine Behebung binnen 60 Tagen festlegen wollte. Am 22. Juli 2010 verkündete Matt Thomlinson, damals General Manager für Trustworthy Computing Security, die neue Linie. Im Begleitbeitrag des Microsoft Security Response Center schrieb Katie Moussouris den Begriff Jake Kouns von der Open Security Foundation zu und zitierte den Veracode-Mitgründer Chris Wysopal mit der Feststellung, „responsible“ sei zu stark aufgeladen. Verantwortungsvoll bewertet den Menschen, koordiniert beschreibt nur das Verfahren.
Zwei internationale Normen beschreiben, wie ein Unternehmen das umsetzt. ISO/IEC 29147:2018 regelt die Außenseite, also wie ein Hersteller Meldungen entgegennimmt und wie er die Behebung veröffentlicht. ISO/IEC 30111:2019 beschreibt den internen Ablauf dahinter, vom Prüfen der Meldung über die Priorisierung bis zum getesteten Update. In Deutschland hat das Bundesamt für Sicherheit in der Informationstechnik eine eigene CVD-Leitlinie veröffentlicht, die Melder und Hersteller an dieselben Erwartungen bindet.
Der Ablauf folgt in den meisten Programmen denselben Schritten:
Bei der Frist gehen die Programme auseinander. Das CERT/CC veröffentlicht 45 Tage nach der Erstmeldung, unabhängig davon, ob ein Patch vorliegt. Google Project Zero arbeitet nach dem Muster 90 plus 30. Der Hersteller hat 90 Tage. Erscheint das Update in dieser Zeit, folgen die technischen Einzelheiten 30 Tage später, damit Anwender sie einspielen können. Liegt am Tag 90 kein Patch vor, veröffentlicht das Team trotzdem. Sagt ein Hersteller zu, binnen weiterer 14 Tage zu liefern, kann er einen Aufschub bekommen. Bei einer bereits aktiv ausgenutzten Lücke, also einem Zero-Day-Exploit in freier Wildbahn, schrumpft die Frist auf sieben Tage. Die Zero Day Initiative räumt dagegen 120 Tage ein und kann schon nach 15 Werktagen ein knappes Advisory herausgeben, wenn ein Hersteller überhaupt nicht antwortet.
Das BSI nennt in seiner FAQ für Sicherheitsforschende die international übliche Spanne von 45 bis 90 Tagen. Melder dürfen die Frist selbst setzen, das Amt gibt sie an den Hersteller weiter.
Project Zero hat das Verfahren am 29. Juli 2025 um einen Versuch erweitert. Rund eine Woche nach jeder Meldung nennt das Team seither öffentlich Hersteller, betroffenes Produkt, Meldedatum und Fristende, aber keine technischen Angaben. Der Grund liegt in verketteten Abhängigkeiten. Wer eine Software einsetzt, die auf einer gemeldeten Bibliothek aufbaut, erfährt sonst erst durch das fertige Advisory davon und beginnt zu spät mit der eigenen Vorbereitung.
Mit der Veröffentlichung bekommt eine Lücke ihre CVE-Nummer (Common Vulnerabilities and Exposures), die eindeutige Adresse, unter der Hersteller-Advisory, Warnmeldung und Patch-Hinweis zusammenlaufen. Die Nummern vergibt keine zentrale Behörde, sondern zugelassene Stellen, die CVE Numbering Authorities. Im Mai 2026 zählte das Programm nach Angaben der EU-Agentur ENISA 510 solcher Stellen in 42 Ländern. Nach der Jahresauswertung des Sicherheitsanalysten Jerry Gamblin erschienen 2024 rund 39.962 CVE-Einträge und 2025 rund 48.185, je nach Zählweise und Stichtag nennen andere Auswertungen für 2025 etwa 46.400.
Im April 2025 stand dieses Verzeichnis kurz vor dem Aus. Der Vertrag zwischen der US-Behörde CISA und dem Betreiber MITRE lief am 16. April aus, eine Verlängerung war zunächst nicht vorgesehen. CISA zog daraufhin die im Vertrag vorgesehene Option und verlängerte um elf Monate. Pete Allor, Mitglied des CVE-Boards, beschrieb die Lage im März 2026 so, dass das Programm inzwischen von einem frei verfügbaren Posten zu einer geschützten Zeile im CISA-Haushalt geworden sei. Europa baut parallel eine eigene Struktur auf. Die ENISA betreibt die europäische Schwachstellendatenbank EUVD und ist seit November 2025 selbst Root-Stelle im CVE-Programm, unter der mittlerweile 20 europäische Vergabestellen hängen.
Damit eine Meldung ankommt, benötigt ein Hersteller eine auffindbare Adresse. Dafür gibt es seit April 2022 das in RFC 9116 festgelegte Format. Es beschreibt eine Textdatei namens security.txt, die unter /.well-known/security.txt auf der Website liegt und zwei Pflichtangaben enthält, den Kontakt und ein Ablaufdatum. Eine Auswertung der eine Million meistbesuchten Domains fand Anfang 2025 bei 1,25 Prozent eine solche Datei, und nur 44 Prozent davon hielten sich an die Vorgaben. Für Deutschland meldete das BSI am 6. August 2026 einen Anteil von 1,8 Prozent der Webseitenbetreiber.
Reagiert ein Hersteller nicht, übernimmt in Deutschland das BSI die Vermittlung. Nach § 5 des im Dezember 2025 neu gefassten BSI-Gesetzes ist das Amt die allgemeine Meldestelle für Schwachstellen und leitet Meldungen unverzüglich an den verantwortlichen Hersteller weiter. Derselbe Paragraf macht es zum nationalen Koordinator für die koordinierte Offenlegung nach Artikel 12 der NIS-2-Richtlinie. Meldungen sind auf Wunsch anonym möglich. Wer sich zu erkennen gibt, kann verlangen, dass seine Daten nur anonymisiert weitergehen. Nach § 13 BSIG darf das Amt notfalls selbst öffentlich warnen und informiert den Hersteller in der Regel vorher.
In Deutschland trägt der Melder ein Strafbarkeitsrisiko. § 202a StGB stellt es unter Strafe, sich unbefugt und unter Überwindung einer Zugangssicherung Zugang zu fremden Daten zu verschaffen. Auf das Motiv kommt es dabei bisher nicht an. Im Fall Modern Solution fand ein Entwickler ein fest im Programmcode hinterlegtes Datenbankpasswort, über das Daten von rund 700.000 Kunden zugänglich waren, und meldete es. Das Amtsgericht Jülich verurteilte ihn im Januar 2024 zu 3.000 Euro Geldstrafe, das Landgericht Aachen bestätigte das Urteil im November 2024. Das Oberlandesgericht Köln verwarf im Juli 2025 die Revision, das Bundesverfassungsgericht nahm die Verfassungsbeschwerde im September 2025 nicht zur Entscheidung an. Anders lief der Fall CDU Connect. Die Entwicklerin Lilith Wittmann meldete 2021 eine Lücke in der Wahlkampf-App der Partei an die Partei selbst, an das BSI und an den Berliner Datenschutzbeauftragten. Die Wirtschaftsgesellschaft der CDU erstattete Anzeige und zog sie nach öffentlicher Kritik zurück. Die Staatsanwaltschaft stellte das Verfahren ein, weil die Daten technisch gar nicht gesichert waren und der Paragraf deshalb nicht griff.
Eine Reform liegt seit dem 4. November 2024 als Referentenentwurf des Bundesjustizministeriums vor. Er wollte Handlungen aus dem Straftatbestand nehmen, die dem Feststellen einer Lücke dienen und der Unterrichtung des Verantwortlichen oder des BSI. Über dieses Stadium kam er nie hinaus, nach dem Bruch der Ampel-Koalition wurde er nicht weiterverfolgt. Der Koalitionsvertrag von 2025 kündigt einen neuen Anlauf an, ein Entwurf lag im August 2026 nicht vor. BSI-Präsidentin Claudia Plattner forderte im November 2025 öffentlich, ethische Hacker zu entkriminalisieren, die Gesellschaft für Informatik legte im August 2026 ein Whitepaper zur Neuregelung des ethischen Hackens nach.
Eine gesetzliche Safe-Harbor-Regelung, die Meldern Straffreiheit zusichert, gibt es in Deutschland nicht. Verzichtet ein Unternehmen in seinem Bug-Bounty-Programm ausdrücklich auf Strafanzeige, wirkt das juristisch als Einverständnis des Berechtigten und nur innerhalb der Regeln des Programms. Der Fachanwalt für IT-Recht Jens Ferner schreibt dazu, wer die Grenzen des Einverständnisses verlässt, handele wieder unbefugt und damit strafbar. Praktisch heißt das, den Geltungsbereich genau einzuhalten, nur eigene Testkonten anzugreifen und keine fremden Daten mitzunehmen.
Auf der Herstellerseite wird das Verfahren gerade zur Pflicht. Der EU Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen ab dem 11. September 2026, aktiv ausgenutzte Schwachstellen binnen 24 Stunden als Frühwarnung zu melden. Nach 72 Stunden folgt die eigentliche Meldung, spätestens 14 Tage nach Verfügbarkeit einer Korrektur der Abschlussbericht. Für schwerwiegende Sicherheitsvorfälle gilt dieselbe Folge aus 24 und 72 Stunden, der Abschlussbericht ist dort binnen eines Monats fällig. Die Meldungen laufen über eine zentrale Plattform der ENISA, die sie selbst erhält und an das zuständige nationale CSIRT weitergibt. Ab dem 11. Dezember 2027 gilt die Verordnung vollständig, dann gehören eine eigene CVD-Richtlinie und eine erreichbare Kontaktstelle für Schwachstellenmeldungen zu den Marktzugangsbedingungen.
Viele Hersteller koppeln das Verfahren an Geld. Auf der Plattform HackerOne zahlten Unternehmen zwischen Juli 2024 und Juni 2025 nach eigenen Angaben 81 Millionen US-Dollar an Prämien, 13 Prozent mehr als im Jahr davor. Google schüttete 2025 über sein Vulnerability Reward Program 17,1 Millionen US-Dollar an 747 Sicherheitsforscher aus, die höchste Einzelprämie lag bei 250.000 US-Dollar. Apple verdoppelte zum November 2025 seine Obergrenze auf 2 Millionen US-Dollar für eine Angriffskette ohne Nutzerinteraktion, mit Zuschlägen sind mehr als 5 Millionen möglich. Microsoft meldete für sein Geschäftsjahr 2024/2025 17 Millionen US-Dollar an 344 Sicherheitsforscher. Diese Summen konkurrieren mit dem grauen Markt, auf dem Broker Exploits für Geheimdienste und Behörden einkaufen.
Bei KI-Diensten stößt das Verfahren an eine Grenze, die es bei klassischer Software nicht gibt. Ein Speicherfehler lässt sich patchen. Ein Modell antwortet dagegen mit Wahrscheinlichkeiten, und dieselbe Art Reparatur gibt es dafür nicht. Google startete am 7. Oktober 2025 ein eigenes AI Vulnerability Reward Program, in dem eine Meldung mit Qualitätszuschlägen bis zu 30.000 US-Dollar bringt. Direkte Prompt Injection und Jailbreaks nahm der Konzern ausdrücklich aus und verweist dafür auf die Rückmeldefunktion in den Produkten. Prämien fließen für Funde, die eine echte Handlung auslösen, z. B. wenn eine versteckte Anweisung einen Assistenten dazu bringt, ein smartes Türschloss zu öffnen. Microsoft schließt in seinem AI-Bounty-Programm Prompt Injection ebenfalls aus, solange sie niemanden außer dem Angreifer selbst trifft.
Anthropic trennt die beiden Welten. Technische Lücken laufen über die Responsible Disclosure Policy, deren Prämienprogramm seit Mai 2026 öffentlich auf HackerOne steht. Modellverhalten behandelt ein getrenntes Programm für universelle Jailbreaks, für das man sich bewerben muss. OpenAI ergänzte sein Bug-Bounty-Programm im März 2026 um eine Safety-Variante für agentische Risiken und verlangt dort eine Trefferquote von mindestens 50 Prozent, damit ein Fund als reproduzierbar gilt. Reines Testen von Modellgrenzen findet stattdessen im Red Teaming statt.
KI-Software bekommt trotzdem regelmäßig eine CVE-Nummer, sobald der Fehler in der Umgebung steckt und nicht im Modell. Ein Beispiel ist die im Juni 2025 offengelegte Lücke CVE-2025-32711 in Microsoft 365 Copilot. Über sie ließ sich alles abziehen, worauf der Assistent im Namen des Nutzers zugriff, von Mails über Teams-Chats bis zu Dateien in SharePoint, ohne dass das Opfer etwas anklicken musste. Für unerwünschtes Modellverhalten selbst existiert dagegen kein vergleichbares Nummernsystem. Ersatzweise sammeln die OWASP Top 10 für Sprachmodell-Anwendungen, die Wissensbasis MITRE ATLAS und die offene AI Vulnerability Database solche Fälle nach Angriffsmuster statt nach Einzelfehler. Die Top 10 für LLM-Anwendungen stützen ihre Rangfolge seit der Fassung vom August 2026 zusätzlich auf 7.714 ausgewertete Vorfälle.
Inzwischen finden KI-Systeme die Lücken selbst. Google machte im Juli 2025 einen Fund seines Agenten Big Sleep öffentlich, eine Lücke in der Datenbank SQLite, die nach Darstellung des Unternehmens nur Angreifern bekannt war. Im August 2025 folgten 20 gemeldete Schwachstellen in verbreiteter Open-Source-Software. Das Startup XBOW führte im Juni 2025 als erstes autonomes System die US-Rangliste von HackerOne an. Bei der AI Cyber Challenge der US-Forschungsagentur DARPA mussten die Teilnehmersysteme im August 2025 Lücken in mehr als 54 Millionen Zeilen Code finden und selbst schließen. OpenAI verschob im September 2026 die Veröffentlichung eines Modells wegen seiner Cyber-Fähigkeiten.
Dieselbe Technik erzeugt Falschmeldungen in Masse. Das Open-Source-Projekt curl beendete zum 31. Januar 2026 sein Bug-Bounty-Programm, nachdem es in knapp sieben Jahren 87 echte Schwachstellen bestätigt und über 100.000 US-Dollar ausgezahlt hatte. Entwickler Daniel Stenberg begründete den Schritt damit, dass die Quote gültiger Meldungen 2025 unter fünf Prozent gefallen war. Ein Großteil der Einreichungen bestand aus halluzinierten Fehlerberichten, die ein Sprachmodell überzeugend formuliert hatte. Meldungen nimmt das Projekt weiter an, seit März 2026 wieder über HackerOne, nur ohne Prämie.
Für einen Handwerksbetrieb wird das Thema aus zwei Richtungen konkret. Entweder meldet jemand eine Lücke in der eigenen Website, im Kundenportal oder in der Terminbuchung. Oder der Betrieb stolpert selbst über eine Lücke, z. B. im Bestellsystem des Großhändlers oder in einer Branchensoftware.
Bei WordPress, auf dem die meisten Firmenwebsites laufen, ist das Zeitfenster besonders eng. Der Sicherheitsanbieter Patchstack zählte für 2025 im WordPress-Umfeld 11.334 neue Schwachstellen, 42 Prozent mehr als im Vorjahr. 91 Prozent davon steckten in Plugins. Bei 46 Prozent der von Patchstack koordinierten Meldungen lag zur Veröffentlichung noch kein Update des Entwicklers vor. Bei den am häufigsten angegriffenen Lücken liegt der gewichtete Median bis zum ersten Exploit-Versuch bei fünf Stunden nach der Veröffentlichung. Ob überhaupt ein Update existiert, wenn die Lücke bekannt wird, entscheidet sich also im Meldeverfahren, lange bevor der Betrieb davon erfährt.
Trifft eine Meldung ein, zählt die erste Reaktion. Das BSI empfiehlt Herstellern in seiner FAQ für Hersteller, den Eingang innerhalb von drei Werktagen zu bestätigen. Für einen Betrieb ohne IT-Abteilung heißt das:
Nicht jede Mail dieser Art ist eine ernsthafte Meldung. Der australische Sicherheitsexperte Troy Hunt beschrieb 2021 unter dem von Sophos-Fachleuten geprägten Namen Beg Bounty eine Masche, bei der automatisch gescannte Kleinigkeiten als schwere Lücke verkauft werden. Typisch sind ein fehlender DMARC-Eintrag beim Mailversand oder fehlende Sicherheits-Header, verbunden mit einer Geldforderung. Der Sicherheitsanbieter Sophos wertete solche Nachrichten an kleine Unternehmen aus und fand in der Preisliste eines Absenders Forderungen zwischen 150 und 2.000 US-Dollar. In einem Fall stieg die Summe mit wachsender Drohkulisse auf 5.000 US-Dollar. Erkennungsmerkmal ist die Reihenfolge. Ein echtes Bug-Bounty-Programm richtet das Unternehmen selbst ein und veröffentlicht seine Regeln, hier fordert ein Fremder Geld, bevor er überhaupt einen Befund nennt. Eine Zahlung ist nicht nötig. Der eigene IT-Dienstleister sollte den genannten Punkt trotzdem einmal prüfen.
Damit ernsthafte Melder überhaupt jemanden erreichen, gehört eine security.txt auf die Website. Das ist eine reine Textdatei im Verzeichnis /.well-known/, mit einer Kontaktzeile und einem Ablaufdatum, etwa Contact: mailto:sicherheit@musterbetrieb.de und Expires: 2027-06-30T23:59:00.000Z. Für WordPress gibt es fertige Plugins, alternativ legt die Agentur die Datei einmal von Hand ab. Die Allianz für Cyber-Sicherheit hat dazu eine Handreichung zu Sicherheitskontakten veröffentlicht. Ohne diese Adresse landet ein Hinweis im allgemeinen Kontaktformular, wo ihn niemand als Sicherheitsmeldung erkennt.
In der umgekehrten Rolle gilt Zurückhaltung. Wer beim Arbeiten mit einer fremden Software bemerkt, dass er plötzlich Daten anderer Kunden sieht, sollte an dieser Stelle aufhören und nichts weiter ausprobieren. Nach § 202a StGB kommt es auf das gute Motiv bisher nicht an, und jeder weitere Klick vergrößert das Risiko. Der übliche Weg führt zuerst an den Hersteller oder Betreiber, mit einer nachvollziehbaren Beschreibung und einer Frist im international gängigen Rahmen von 45 bis 90 Tagen. Kommt keine Reaktion, nimmt das BSI die Meldung entgegen und vermittelt weiter. Die Meldewege für Schwachstellen stehen auf der entsprechenden Seite des Amtes.
KI-Tools bringen eine andere Meldelage mit. Zieht ein Assistent Inhalte aus fremden Postfächern, oder folgt ein KI-Agent versteckten Anweisungen aus einer Mail, gehört das an den Anbieter und nicht an den IT-Dienstleister. Anthropic, Google, Microsoft und OpenAI führen dafür getrennte Meldeseiten. Ein Betrieb sollte sich darauf nicht verlassen, denn Prompt Injection und Jailbreaks stehen in mehreren dieser Programme ausdrücklich außerhalb der Prämien. Praktisch bedeutet das, einem Agenten nur die Zugriffe zu geben, die er für seine Aufgabe braucht, und Freigaben bei Zahlungen oder Versand beim Menschen zu lassen.
Wer zusätzlich eigene Produkte verkauft, rutscht in eine Pflicht. Der Cyber Resilience Act richtet sich an Hersteller von Produkten mit digitalen Elementen. Wer ein zugekauftes Gerät unter eigenem Namen oder eigener Marke in Verkehr bringt, gilt nach Artikel 21 der Verordnung selbst als Hersteller. Ein Betrieb, der eine vernetzte Steuerung unter dem Firmennamen anbietet, benötigt ab dem 11. Dezember 2027 eine Kontaktstelle für Schwachstellenmeldungen und eine schriftliche Richtlinie dafür. Der reine Betrieb einer Firmenwebsite fällt nicht darunter.
Für gemeldete Funde zahlt das BSI keine Prämien. Es nennt Melder auf Wunsch nach abgeschlossenem Verfahren namentlich in einer Hall of Fame.
