CVD - Coordinated Vulnerability Disclosure

Koordinierte Offenlegung von Sicherheitslücken

Lesezeit: 1 Min.

Was bedeutet CVD?

CVD ist der Prozess, mit dem eine gemeldete Schwachstelle zunächst vertraulich zwischen Melder und Hersteller behandelt und erst nach Behebung veröffentlicht wird.

Coordinated Vulnerability Disclosure (CVD) beschreibt einen Ablauf, bei dem eine Person oder Organisation eine Schwachstelle direkt an den betroffenen Hersteller meldet, statt sie sofort öffentlich zu machen. Hersteller und Meldende einigen sich auf einen Zeitrahmen zur Behebung; erst danach, oder nach Ablauf einer vereinbarten Frist, wird die Schwachstelle öffentlich dokumentiert, meist als Security Advisory. Der Cyber Resilience Act verlangt in Anhang I Teil II Nr. 5 ausdrücklich, dass Hersteller eine solche Politik einführen und durchsetzen. Die BSI TR-03183-3 konkretisiert, was eine CRA-konforme CVD-Policy inhaltlich enthalten muss.

Pflichtinhalte einer CVD-Policy nach BSI TR-03183-3

Eine CVD-Policy muss mindestens die Kontaktwege (idealerweise über eine security.txt), die zugesicherten Reaktionszeiten, den Umgang mit anonymen Meldungen und die Bedingungen für eine straffreie, gutgläubige Meldung nennen.

Die TR-03183-3 nennt konkrete Fristen: eine erste Rückmeldung binnen 5 Arbeitstagen, eine detaillierte Bewertung binnen 10 Arbeitstagen. Der Hersteller darf von den Meldenden weder ein NDA verlangen noch mit Strafanzeige drohen, solange die Meldung gutgläubig erfolgt.

Offenlegungsfrist: 90 plus 90 Tage

Nach der TR-03183-3 sollen validierte und verifizierte Schwachstellen binnen 90 Tagen öffentlich offengelegt werden. Reicht diese Zeit für die Behebung nicht aus, ist eine einmalige Verlängerung um weitere 90 Tage in Abstimmung mit dem zuständigen nationalen CSIRT vorgesehen. Die Meldung erfolgt mindestens über die European Vulnerability Database (EUVD) der ENISA; in Deutschland ist CERT-Bund das zuständige nationale CSIRT.

Verhältnis zu PSIRT, Security Advisory und CSAF

CVD ist der Prozess, das PSIRT ist die organisatorische Stelle, die diesen Prozess trägt, und das Security Advisory bzw. die CSAF-Datei ist das Ergebnis am Ende: die öffentliche, maschinenlesbare Beschreibung der behobenen Schwachstelle.

Praxis-Tool

Erstelle deine CVD-Policy mit Reaktionszeiten und Offenlegungsfrist nach BSI TR-03183-3 - direkt im Browser

Zum CVD-Policy-Generator →

Auch bekannt als

Coordinated Vulnerability Disclosure · Koordinierte Schwachstellenoffenlegung · CVD-Policy · Responsible Disclosure

Teil des Themenbereichs: Schwachstellen managen

Quellen

Zuletzt aktualisiert: 2026-08-13

Häufige Fragen zu CVD

Muss eine CVD-Policy veröffentlicht werden?

Ja. Der Cyber Resilience Act verlangt in Anhang I Teil II Nr. 5, dass Hersteller eine Politik zur koordinierten Offenlegung einführen und durchsetzen. Sie sollte über die security.txt auffindbar sein.

Welche Reaktionszeiten nennt die BSI TR-03183-3?

Eine erste, nicht automatisierte Rückmeldung binnen 5 Arbeitstagen und eine detaillierte Bewertung binnen 10 Arbeitstagen, jeweils sofern die Schwachstelle nicht anonym gemeldet wurde.