Vulnerability Disclosure Program (VDP)

Ein Vulnerability Disclosure Program ist die formale, öffentliche Zusage einer Organisation, Sicherheitsmeldungen entgegenzunehmen und darauf zu reagieren. Es ist die Infrastruktur, die Responsible Disclosure im großen Maßstab möglich macht: ein klarer Scope, ein Meldekanal und rechtlicher Safe Harbor für Forscher, die in gutem Glauben handeln.

Warum es wichtig ist

In jedem nicht-trivialen System werden Schwachstellen gefunden, ob die Organisation dazu einlädt oder nicht. Die Frage ist, was als Nächstes passiert. Ohne ein VDP hat ein wohlmeinender Forscher, der einen Fehler entdeckt, keinen sicheren, legalen Weg, ihn zu melden, und schweigt vielleicht, veröffentlicht ihn öffentlich oder riskiert rechtliche Drohungen, weil er helfen wollte. Ein VDP beseitigt diese Reibung und verwandelt eine konfrontative Situation in eine kooperative.

Für Organisationen ist ein VDP heute nahezu eine Grunderwartung. US-Bundesbehörden sind verpflichtet, eines zu betreiben, Standards wie ISO/IEC 29147 kodifizieren die Praxis, und Kunden fragen in Sicherheitsprüfungen zunehmend nach einem veröffentlichten Meldekanal. Für Forscher sind VDPs eine legitime, risikoarme Möglichkeit, beizutragen und sich einen Ruf aufzubauen.

Was ein VDP enthält

Behörden, Großunternehmen und zunehmend auch kleine Firmen veröffentlichen VDPs, oft auf Basis von Vorlagen wie der CISA-Vorlage für eine Vulnerability Disclosure Policy.

VDP vs. Bug Bounty

	VDP	Bug Bounty
Belohnung	Anerkennung, Hall of Fame, Swag	Geld, gestaffelt nach Schweregrad
Konkurrenz	Meist gering	Hoch bei beliebten Programmen
Hauptziel	Ein sicherer Kanal zum Empfang von Meldungen	Anreizbasiertes, kontinuierliches Testen
Am besten für	Einsteiger, Reputationsaufbau	Erfahrene Hunter, Einkommen

Ein Bug Bounty zahlt Geld; ein VDP bietet meist Anerkennung. Dieser eine Unterschied verändert die Konkurrenz komplett. Bezahlte Programme ziehen Tausende Hunter an, sodass die leichten Bugs schnell verschwinden. VDPs ziehen weit weniger an, sodass ein fokussierter Forscher Raum zum Arbeiten hat.

Warum Einsteiger zuerst VDPs ins Visier nehmen sollten

Für einen neuen Hunter ist ein VDP mit einer kurzen Hall of Fame eines der bestmöglichen ersten Ziele. Geringe Konkurrenz bedeutet niedrige Duplikatraten, was bedeutet, dass dein erster gültiger Bericht weit erreichbarer ist.

Um zu lernen, wie du diese Programme mit geringer Konkurrenz findest, bewertest und priorisierst, lies wie du dein erstes Bug-Bounty-Ziel auswählst. Die Disziplin, das richtige VDP auszuwählen und dranzubleiben, ist es, die aus einem ersten Acknowledgment einen dauerhaften Leistungsnachweis macht.