Wenn Koordination zur Verzögerungstaktik wird
Der Cursor-Zero-Day hat eine alte Debatte wieder entfacht: Ist Responsible Disclosure noch zeitgemäß? Jürgen Schmidt, Leiter von heise security, argumentiert überzeugend, dass koordinierte Offenlegungsprozesse in vielen Fällen nicht funktionieren – und Full Disclosure zur notwendigen Alternative wird.
Das Kernproblem ist bekannt: Hersteller nutzen Disclosure-Fristen regelmäßig nicht als Motivation zur schnellen Behebung, sondern als Verzögerungstaktik. Besonders bei großen Playern wie Microsoft oder Apple zeigt sich das Muster immer wieder. Der Hersteller bestätigt eine Sicherheitslücke, nennt vage Timelines, und die Lücke bleibt Monate oder Jahre offen – während potenzielle Angreifer längst über die Existenz wissen.
Die asymmetrische Realität
Responsible Disclosure basiert auf einer optimistischen Annahme: Alle Parteien arbeiten an einer Lösung. Die Realität sieht anders aus. Sicherheitsforscher stehen unter Druck, Hersteller setzen Deadlines hinaus, und Nutzer sitzen zwischen den Stühlen – potenziell gefährdet, aber ohne vollständige Informationen.
Schmidt weist auf einen entscheidenden Punkt hin: Die Informationsasymmetrie ist nicht länger akzeptabel. Wenn ein Hersteller jahrelang nicht reagiert, argumentiert er, hat das Responsible Disclosure sein Versprechen nicht erfüllt. Der Forscher, der die Lücke entdeckt hat, wird zum Geiseln eines Systems, das nicht funktioniert.
Full Disclosure als Konsequenz
Full Disclosure – die sofortige öffentliche Offenlegung aller Details – wirkt auf den ersten Blick wie ein Sicherheitsrisiko. Aber Schmidt dreht das Argument um: Full Disclosure schafft erst echte Konsequenzen. Ein öffentlich bekannter Zero-Day zwingt den Hersteller zu handeln, weil die Reputation unmittelbar Schaden nimmt. Die Nutzer können sich selbst schützen, wenn sie alle Informationen haben.
Das ist kein radikaler Standpunkt, sondern eine pragmatische Reaktion auf Jahre von fehlgeschlagener Zusammenarbeit. Security Research braucht Leverage – und Verantwortlichkeit funktioniert besser unter Druck als unter wohlmeinenden Absichtserklärungen.
Fazit
Der Cursor-Zero-Day ist kein Einzelfall. Er ist der symptomatische Punkt, an dem ein System an seine Grenzen stößt. Wenn Responsible Disclosure zur Verzögerung von Sicherheitspatches führt, während Millionen Nutzer exponiert sind, wird Full Disclosure zur Notwehr – nicht zur Rebellion.