Sicherheitslücke in einer VdS-zertifizierten EMA

[carcosa]

Hallo zusammen,

mich würde mal eure Meinung zu einem rein hypothetischen Szenario interessieren.

Angenommen, ein Cybersicherheitsforscher würde in einer EMA eines namhaften Herstellers eine ziemlich gravierende Sicherheitslücke finden. Über diese Lücke ließe sich die EMA unbemerkt und ohne jede Authentifizierung über das IP-Netzwerk fernsteuern oder umparametrieren. Ein Angreifer könnte die EMA dadurch beispielsweise aus der Ferne unscharf schalten, ihre Konfiguration verändern oder Alarmmeldungen unterdrücken – und das alles, ohne irgendwelche PIN-Codes oder Passwörter zu kennen.

Das Besondere an diesem rein hypothetischen Fall wäre, dass es sich nicht um irgendein altes oder längst abgekündigtes System handeln würde, sondern um eine aktuelle, VdS-zertifizierte Produktgeneration, die nach wie vor verkauft und installiert würde.

Nehmen wir nun einmal an, der hypothetische Cybersicherheitsforscher würde diese Schwachstelle dem Hersteller eigentlich gerne melden. Gleichzeitig hätte er aber ziemliche Bauchschmerzen, was die rechtliche Seite angeht. Schließlich hat es in der Vergangenheit schon mehrfach Fälle gegeben, in denen Sicherheitsforscher nach einer verantwortungsvollen Schwachstellenmeldung am Ende nicht etwa ein Dankeschön erhalten hatten, sondern stattdessen mit Unterlassungsforderungen, Klagen oder sogar Strafanzeigen konfrontiert wurden.

Deshalb würde mich interessieren, wie ihr das als Branchenvertreter einschätzen würdet: was sollte der hypothetische Sicherheitsforscher eurer Meinung nach in so einer Situation tun? Würdet ihr die Schwachstelle direkt dem Hersteller melden oder eher einen anderen Weg wählen?