Aktuell | Security | c't | heise magazine

Modern Solution: Hausdurchsuchung für Lückenfinder

Besuch von der Polizei bekam ein Entwickler, der eine Sicherheitslücke beim Dienstleister Modern Solution gemeldet hat. Das Unternehmen bietet Anbindungen großer Shopsysteme an Warenwirtschaftssysteme an. Laut dem Finder der Lücke, der den Fall in einem Blog beschreibt, waren wegen einer unverschlüsselten SQL-Verbindung bis zu 700.000 Endkundendatensätze in Gefahr. Das Unternehmen habe sich, so die Darstellung des Finders, nicht kooperativ gezeigt.

Wer sich im Fall falsch verhalten hat, lässt sich von außen nicht zweifelsfrei klären. Dem Finder der Lücke kann man vorwerfen, dass er die Frist für die Responsible Disclosure zugunsten eines effektvollen Blogbeitrags auf sehr knappe drei Tage angesetzt hat – noch am Tag der Meldung ging der Bericht online, nachdem die Lücke beseitigt war. Üblich sind, je nach Schwere des Problems, Fristen von mehreren Wochen. Mit Veröffentlichung sollte man erst drohen, wenn andere Kontaktversuche erfolglos sind, oder sich die Betroffenen gänzlich uneinsichtig zeigen.