Kostenloses Tool

Kostenloser Generator für Richtlinien zur Offenlegung von Sicherheitslücken

Der Generator erstellt eine Richtlinie zur Offenlegung von Sicherheitslücken, die den Geltungsbereich, Ausnahmeregelungen und Reaktionszeiten festlegt, sowie die Datei security.txt, die Forscher auf diese Richtlinie hinweist.

Erstellen Sie Ihre Police security.txt-Generator
  • Offenlegungsrichtlinie
  • Safe Harbor
  • Datei „security.txt“
  • Checkliste für die Veröffentlichung

Erstellen Sie Ihre Richtlinie zur Offenlegung von Sicherheitslücken.

Führen Sie die 3 Schritte aus und kopieren Sie die Ergebnisse in Schritt 4.

Erzählen Sie uns etwas über Ihre Organisation

Die Seite, auf der Sie die Richtlinie veröffentlichen. Die Datei „security.txt“ verweist darauf.

Je eine pro Zeile. Lassen Sie das Feld leer, um Ihre Website und deren Subdomains abzudecken.

Wählen Sie aus, wie die Teilnehmer ihre Ergebnisse melden sollen

Geben Sie mindestens eine Meldeoption an. Die Datei „security.txt“ listet diese in dieser Reihenfolge auf.

Ihre Programmseite auf einer Plattform wie HackerOne, Bugcrowd, Intigriti oder YesWeHack.

In weniger als einem Jahr ab heute. Aktualisieren Sie die Datei vor diesem Datum.

Ein Link zu Ihrem öffentlichen Schlüssel, den Forscher zur Verschlüsselung ihrer Berichte verwenden. Die Datei verweist auf den Schlüssel, enthält ihn jedoch nicht.

Lege die Regeln fest

Belohnungen
Nicht zulässige Prüfverfahren
security.txt

Die Datei unter ihrer Adresse auf Ihrer Website und die Richtlinien auf einen Blick.

Kopieren Sie Ihre Richtlinie und die Datei „security.txt“

Überprüfen Sie den Text, bevor Sie ihn veröffentlichen. Er folgt auf Ihre obigen Antworten.

Geben Sie den Namen Ihrer Organisation ein, um Ihre Richtlinien und die Datei „security.txt“ anzuzeigen.

Der Generator erstellt Texte auf der Grundlage Ihrer Antworten, von RFC 9116 und gängiger Vorlagen für Offenlegungsrichtlinien, wie beispielsweise der Vorlage der US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA). Es handelt sich dabei nicht um eine Rechtsberatung. Prüfen Sie die Richtlinie, bevor Sie sie veröffentlichen, und lassen Sie den „Safe-Harbor“-Formulierungsteil von einem Rechtsanwalt überprüfen: Er bezieht sich nur auf das Handeln Ihrer Organisation, nicht auf das Handeln anderer Parteien oder Strafverfolgungsbehörden.

Wo Sie Ihre Richtlinien veröffentlichen sollten.

Forscher suchen nach einer Sicherheitsseite, einer „security.txt“-Datei oder einer E-Mail-Adresse zum Thema Sicherheit. Stellen Sie die Richtlinien dort bereit, wo sie gesucht werden, und sorgen Sie dafür, dass jemand darauf antwortet.

  1. Eine eigene Seite. Veröffentlichen Sie die Richtlinie unter einem kurzen Link, beispielsweise /security oder /vulnerability-disclosure-policy.

  2. Die Fußzeile Ihrer Website. Verlinken Sie die Richtlinie in der Fußzeile neben Ihrer Datenschutzerklärung und Ihren Allgemeinen Geschäftsbedingungen.

  3. Die Datei security.txt. Laden Sie die Datei unter /.well-known/security.txt hoch. Die Zeile „Policy“ enthält einen Link zu dieser Seite.

  4. Der Melde-Posteingang. Richten Sie die Sicherheits-E-Mail ein und stellen Sie sicher, dass sie an jedem Werktag von jemandem gelesen wird.

  5. Ihre Produkte. Geben Sie gemäß dem EU-Gesetz zur Cyber-Resilienz in den Nutzerinformationen jedes Produkts den Ansprechpartner und den Link zur Richtlinie an.

  6. Ein Testbericht. Senden Sie über jede Route einen Testbericht, überprüfen Sie die Antwortzeit und überprüfen Sie die Richtlinie einmal jährlich.

Die Regeln

Was die Regeln vorschreiben.

In jeder Zeile wird ein Gesetz, eine Norm oder eine behördliche Vorschrift genannt, wann diese gilt und welche Anforderungen sie an Ihre Offenlegungspolitik stellt.

Gesetze und Standards zur Offenlegung von Sicherheitslücken, wann diese jeweils gelten und was sie vorschreiben
Gesetz oder Norm Wann dies gilt Was darin gefragt wird
RFC 9116 (security.txt) Jede beliebige Website. Es handelt sich um einen freiwilligen Internetstandard. Eine Klartextdatei unter /.well-known/security.txt, die über HTTPS bereitgestellt wird und mindestens eine Zeile mit Kontaktdaten sowie ein Ablaufdatum enthält, das idealerweise weniger als ein Jahr in der Zukunft liegt.
EU-Gesetz zur Cyber-Resilienz (Verordnung (EU) 2024/2847) Hersteller von Software und vernetzten Produkten, die in der EU verkauft werden. Die Meldepflicht gilt ab dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027. Eine einheitliche Richtlinie zur Offenlegung von Sicherheitslücken und eine Kontaktadresse für Meldungen (Anhang I, Teil II), eine in den Nutzerinformationen angegebene zentrale Anlaufstelle (Anhang II) sowie die Meldung aktiv ausgenutzter Sicherheitslücken an die ENISA innerhalb von 24 Stunden.
NIS2-Richtlinie (EU) 2022/2555 Wesentliche und wichtige Akteure in der EU, wie beispielsweise Anbieter von Cloud-Diensten, Hosting-Diensten und digitaler Infrastruktur. Umgang mit Sicherheitslücken und deren Offenlegung als Teil der Sicherheitsmaßnahmen (Artikel 21). Nationale CSIRTs koordinieren die Offenlegung zwischen Forschern und Unternehmen (Artikel 12).
Das britische System für Produktsicherheit und Telekommunikationsinfrastruktur (PSTI) Hersteller von vernetzten Konsumgütern, die seit dem 29. April 2024 im Vereinigten Königreich verkauft werden. Ein öffentlich bekanntgegebener Weg zur Meldung von Sicherheitsproblemen sowie die Frist, innerhalb derer die Meldenden eine Bestätigung und Statusaktualisierungen erhalten.
CISA-verbindliche operative Richtlinie 20-01, USA Zivile Bundesbehörden der USA. Die dortige Richtlinienvorlage dient Unternehmen häufig als Vorbild. Eine veröffentlichte Richtlinie, in der die betroffenen Systeme, das Meldeverfahren, die Zusage, keine rechtlichen Schritte gegen in gutem Glauben durchgeführte Forschungsarbeiten einzuleiten, sowie die Bestätigung des Eingangs von Meldungen innerhalb von drei Werktagen festgelegt sind.
ISO/IEC 29147 und ISO/IEC 30111 Jede Organisation. Es handelt sich um internationale Standards, die bei Sicherheitsüberprüfungen häufig verlangt werden. So empfangen Sie Meldungen und veröffentlichen Sie Hinweise (29147) sowie so bestätigen, beheben und verfolgen Sie jede Meldung innerhalb Ihres Unternehmens (30111).

Generator für Nutzungsrichtlinien

Ihre Nutzungsrichtlinien legen die Regeln für alle anderen fest.

Der TermsFeed-Generator für Nutzungsrichtlinien verbietet das Ausprobieren oder Testen Ihres Dienstes ohne schriftliche Genehmigung und fordert Nutzer auf, Sicherheitslücken an Sie zu melden. Ihre Offenlegungsrichtlinie erteilt Forschern, die sich daran halten, diese Erlaubnis.

Richtlinie zur zulässigen Nutzung erstellen

Häufig gestellte Fragen.

Antworten auf häufig gestellte Fragen zu Richtlinien zur Offenlegung von Sicherheitslücken.

Was ist eine Richtlinie zur Offenlegung von Sicherheitslücken?

Eine Richtlinie zur Offenlegung von Sicherheitslücken legt fest, wie Sicherheitsforscher eine in Ihren Systemen entdeckte Sicherheitslücke melden sollen und wie Sie mit der Meldung umgehen werden.

Eine Richtlinie umfasst in der Regel Folgendes:

  • Die Systeme, die unter die Richtlinie fallen, und diejenigen, die davon ausgenommen sind.
  • Die Testmethoden, die nicht zulässig sind, wie z. B. Denial-of-Service-Angriffe.
  • Wie die Meldung erfolgen soll und welche Angaben enthalten sein müssen.
  • Wie schnell Sie antworten und wann die Details veröffentlicht werden.
  • Eine Zusicherung, keine rechtlichen Schritte gegen Forschung in gutem Glauben einzuleiten, bekannt als „Safe Harbor“.

Brauche ich eine Richtlinie zur Offenlegung von Sicherheitslücken?

Manche Gesetze schreiben dies vor, und jede Website profitiert davon.

  • Das EU-Gesetz zur Cyber-Resilienz verlangt von Herstellern von Software und vernetzten Produkten, die in der EU verkauft werden, ab dem 11. Dezember 2027 eine koordinierte Richtlinie zur Offenlegung von Sicherheitslücken.
  • Das britische PSTI-System verlangt von Herstellern vernetzbarer Verbraucherprodukte, dass sie veröffentlichen, wie Sicherheitsprobleme gemeldet werden können.
  • Die EU-NIS2-Richtlinie zählt die Offenlegung von Sicherheitslücken zu den Sicherheitsmaßnahmen wesentlicher und wichtiger Einrichtungen.

Ohne eine solche Richtlinie weiß ein Forscher, der eine Sicherheitslücke entdeckt, nicht, an wen er sich wenden soll, und veröffentlicht sie manchmal, ohne Sie darüber zu informieren.

Ist eine Richtlinie zur Offenlegung von Sicherheitslücken dasselbe wie ein Bug-Bounty-Programm?

Nein. Eine Richtlinie zur Offenlegung von Sicherheitslücken regt zur Meldung von Problemen an. Ein Bug-Bounty-Programm regt zur Meldung von Problemen an und vergütet diese.

  • Eine Richtlinie kann kostenlos veröffentlicht werden und wirkt von selbst.
  • Ein Bug-Bounty-Programm sieht Belohnungen vor und wird häufig auf einer Plattform wie HackerOne oder Bugcrowd nach den von der Plattform festgelegten Regeln durchgeführt.

Die meisten Unternehmen beginnen mit einer Richtlinie und führen Belohnungen erst später ein.

Was bedeutet „Safe Harbor“ im Zusammenhang mit einer Offenlegungsrichtlinie?

Safe Harbor ist Ihre Zusicherung, dass Forschungsvorhaben, die den Richtlinien entsprechen, zulässig sind und dass Sie keine rechtlichen Schritte dagegen einleiten werden.

  • Er gilt für die Aktivitäten Ihrer Organisation.
  • Er hindert andere Parteien, wie z. B. einen Hosting-Anbieter oder Strafverfolgungsbehörden, nicht daran, Maßnahmen zu ergreifen.
  • Die Forschung muss den Richtlinien entsprechen: dem Umfang, den Testmethoden und den Offenlegungsregeln.

Lassen Sie den Wortlaut vor der Veröffentlichung von einem Anwalt prüfen.

Wie schnell sollten wir auf eine Meldung reagieren?

In vielen Richtlinien wird bestätigt, dass eine Meldung innerhalb von drei Werktagen eingegangen ist, wie in der CISA-Vorlage vorgesehen.

  • Wählen Sie Antwortfristen, die Ihr Team jedes Mal einhalten kann: Eine versäumte Antwort ist der häufigste Grund dafür, dass Forscher ihre Ergebnisse vorzeitig veröffentlichen.
  • Das britische PSTI-System verlangt von Ihnen, Ihre Antwortfristen zu veröffentlichen, und nicht, eine festgelegte Anzahl von Tagen einzuhalten.
  • Üblich ist eine Frist von 90 Tagen, bevor die Details veröffentlicht werden.

Ist der Generator für Richtlinien zur Offenlegung von Sicherheitslücken kostenlos?

Ja, der Generator für Richtlinien zur Offenlegung von Sicherheitslücken ist kostenlos.

  • Für den Generator ist kein Konto erforderlich.
  • Der Generator erstellt auch die Datei „security.txt“.

Erstellen Sie Ihre Richtlinie mit dem obigen Generator.