CVD (Coordinated Vulnerability Disclosure)
CVD (Coordinated Vulnerability Disclosure) ist der koordinierte Prozess, über den Sicherheitsforscher und andere Melder Schwachstellen an den Hersteller melden und Details erst nach Bereitstellung einer Abhilfe veröffentlicht werden. Der EU Cyber Resilience Act macht eine CVD-Policy zur Herstellerpflicht. Der Grundgedanke: Hersteller erhalten Zeit für eine Lösung, bevor Angreifer von der Schwachstelle erfahren — und Melder eine verlässliche, faire Anlaufstelle.
Wie läuft Coordinated Vulnerability Disclosure ab?
Am CVD-Prozess sind typischerweise drei Rollen beteiligt: der Melder (etwa ein Sicherheitsforscher oder Kunde), der Hersteller und bei Bedarf ein Koordinator wie ein nationales CSIRT, wenn mehrere Parteien betroffen sind oder die direkte Kommunikation scheitert. Der Ablauf folgt einem festen Muster:
- Meldung: Der Melder übermittelt die Schwachstelle über den veröffentlichten Kanal des Herstellers — idealerweise mit Reproduktionsschritten oder Proof of Concept.
- Triage und Bestätigung: Der Hersteller bewertet die Meldung, bestätigt den Eingang und stuft die Schwachstelle ein.
- Behebung: Der Hersteller entwickelt und verteilt eine Abhilfe — Patch, Update oder Minderungsmaßnahme.
- Koordinierte Veröffentlichung: Erst danach werden die Details offengelegt, üblicherweise als Security Advisory, oft mit einer CVE-ID.
Davon abzugrenzen ist die Full Disclosure, bei der Details sofort veröffentlicht werden, und die stille Nichtveröffentlichung, bei der Nutzer nie von der Schwachstelle erfahren. CVD ist der Mittelweg, der sich als Industriestandard etabliert hat.
CVD im Cyber Resilience Act
Anhang I Teil II des CRA verlangt von Herstellern, eine CVD-Policy zu veröffentlichen und durchzusetzen: mit einer zentralen Kontaktstelle für Schwachstellenmeldungen und der aktiven Förderung des Austauschs über mögliche Schwachstellen. Rechtlich bindend werden diese Pflichten mit der vollen Anwendbarkeit am 11. Dezember 2027.
Verlassen sollte man sich auf diesen Puffer nicht: Ab dem 11. September 2026 gelten die Meldepflichten aus Artikel 14, und die 24-Stunden-Frist für die Frühwarnung beginnt mit der Kenntnisnahme — externe Hinweise von Forschern, Kunden oder CSIRTs sind einer der häufigsten Wege, auf denen diese Kenntnis entsteht. Ein Hersteller ohne funktionierenden Meldekanal installiert den Rauchmelder erst nach dem Brand: Die Frist läuft trotzdem, nur eben unbemerkt. Ein veröffentlichter Meldeweg — etwa eine security.txt nach RFC 9116 plus überwachtes Security-Postfach — gehört deshalb zu den ersten Arbeitspaketen der CRA-Vorbereitung, nicht zu den letzten.
CVD in der Praxis: Ein Eingang, klare Eigentümerschaft
Eine CVD-Policy ist nur so gut wie der Prozess dahinter. Bewährt haben sich vier Bausteine: genau ein dokumentierter, überwachter Eingang für Schwachstellenhinweise mit klarer Eigentümerschaft für die Triage; eine benannte Rolle, die die Kenntnisnahme feststellen darf und diese Entscheidung mit Zeitstempel dokumentiert; vorbereitete Advisory-Vorlagen und ein Veröffentlichungsort, den Kunden kennen; und die Anbindung an das eigene Schwachstellenmanagement, damit aus der Meldung Behebung und — wo nötig — Behördenmeldung folgen. Steckt die gemeldete Schwachstelle in einer zugekauften Komponente, gehört auch die Rückmeldung an deren Verantwortlichen zum Prozess.