Sicherheitslücke in einer VdS-zertifizierten EMA

[carcosa]

Hallo zusammen,

mich würde mal eure Meinung zu einem rein hypothetischen Szenario interessieren.

Angenommen, ein Cybersicherheitsforscher würde in einer EMA eines namhaften Herstellers eine ziemlich gravierende Sicherheitslücke finden. Über diese Lücke ließe sich die EMA unbemerkt und ohne jede Authentifizierung über das IP-Netzwerk fernsteuern oder umparametrieren. Ein Angreifer könnte die EMA dadurch beispielsweise aus der Ferne unscharf schalten, ihre Konfiguration verändern oder Alarmmeldungen unterdrücken – und das alles, ohne irgendwelche PIN-Codes oder Passwörter zu kennen.

Das Besondere an diesem rein hypothetischen Fall wäre, dass es sich nicht um irgendein altes oder längst abgekündigtes System handeln würde, sondern um eine aktuelle, VdS-zertifizierte Produktgeneration, die nach wie vor verkauft und installiert würde.

Nehmen wir nun einmal an, der hypothetische Cybersicherheitsforscher würde diese Schwachstelle dem Hersteller eigentlich gerne melden. Gleichzeitig hätte er aber ziemliche Bauchschmerzen, was die rechtliche Seite angeht. Schließlich hat es in der Vergangenheit schon mehrfach Fälle gegeben, in denen Sicherheitsforscher nach einer verantwortungsvollen Schwachstellenmeldung am Ende nicht etwa ein Dankeschön erhalten hatten, sondern stattdessen mit Unterlassungsforderungen, Klagen oder sogar Strafanzeigen konfrontiert wurden.

Deshalb würde mich interessieren, wie ihr das als Branchenvertreter einschätzen würdet: was sollte der hypothetische Sicherheitsforscher eurer Meinung nach in so einer Situation tun? Würdet ihr die Schwachstelle direkt dem Hersteller melden oder eher einen anderen Weg wählen?

[Ollik]

Laut Beitrag #27 in diesem Thread https://www.alarmforum.de/showthread.php?tid=22480 (hier war es z.B. eine Telenot-Anlage, das kann aber jeden Hersteller betreffen)
meldet man das vertraulich und mit Fristsetzung (bis zur Veröffentlichung der Sicherheitslücke) in einschlägigen Medien an den Hersteller und der wird sich dann darum kümmern (sofern diesem denn Sicherheit wichtig ist).

Wenn man Angst vor (strafrechtlichen) Konsequenzen haben sollte, stellt man die belastbaren und hoffentlich belegbaren Daten bzw. Informationen von vornherein (anonym) diesen Gruppierungen zu Verfügung, damit diese sich darum kümmern, das dauert dann halt deutlich länger, weil diese Gruppierungen die anonymen Infos sicherlich erst verifizieren wollen (müssten), ehe sie an den Hersteller herantreten.

Da wir hier aber keine Rechtsberatung durchführen dürfen, sollte sich der hypothetische Cybersicherheitsforscher VORHER dringend mit mindestens einem Fachanwalt abstimmen.

Viele Grüße
Olli

-----------
Nachtrag:
Bitte halte hier im Forum auch weiterhin den oder die betroffenen Hersteller- bzw. Systemnamen unter Verschluss, ich habe nämlich auch keine Lust auf (rechtliche) Konsequenzen, danke.