Meldungen mit Kollegen teilen

Warum das zählt

Eine gültige Meldung muss oft jemanden erreichen, der nicht zu Ihrem Sicherheitsteam gehört — den Entwickler, der den betroffenen Dienst verantwortet, eine Bereitschaftsleitung oder einen externen Auftragnehmer. Wer die ungekürzte Meldung einfach weiterleitet, gibt die Identität des Forschers, Ihre Prämienbeträge und Ihre internen Sichtungsnotizen preis — und E-Mail-Threads lassen sich nicht zurückrufen. Beim Teilen mit Kollegen erhält diese Person genau das, was sie zum Bestätigen und Beheben des Fehlers braucht — und nichts darüber hinaus — hinter einem Link, der abläuft und den Sie jederzeit widerrufen können.

Das Teilen mit Kollegen ist in den kostenpflichtigen VDP-Tarifen verfügbar.

Eine Meldung teilen

Öffnen Sie eine Meldung und klicken Sie im Kopfbereich der Meldung auf Teilen (Share) (der Chip Geteilt · N externe Betrachter öffnet dieselbe Stelle, sobald jemand sie angesehen hat). Damit öffnet sich das Teilen-Fenster, in dem Sie per E-Mail einladen, einen „Jeder mit dem Link”-Link erstellen und jede aktive Freigabe an einem Ort verwalten können.

Um per E-Mail einzuladen, geben Sie die Adresse des Empfängers ein, legen Sie fest, ob er kommentieren darf, und senden Sie die Einladung ab. Kit verschickt im Namen Ihres Programms eine mit Ihrem Branding versehene Einladung — die E-Mail selbst enthält keinerlei Details zur Schwachstelle.

Der per E-Mail versandte Link ist an diese Adresse gebunden. Wer ihn öffnet, sieht die Meldung noch nicht: Der Kollege gibt die Adresse ein, an die die Einladung ging, und Kit sendet an genau diese Adresse einen zweiten, kurzlebigen Bestätigungslink. Erst wenn dieser Bestätigungslink geöffnet wird, erscheint die Meldung. Für den Zugriff braucht es also das Postfach und nicht bloß die Kenntnis der Adresse – eine weitergeleitete Einladung ist für jeden wertlos, der die Post des ursprünglichen Empfängers nicht lesen kann. Auf das Formular „An welche Adresse wurde dies gesendet?“ antwortet Kit immer gleich, ob die Eingabe richtig oder falsch war; die Seite bestätigt also nie, an wen die Einladung ging.

Daraus folgen zwei Dinge. Kollegen brauchen beim ersten Öffnen einer Meldung einen zusätzlichen Klick aus ihrem Postfach (und erneut in einem neuen Browser). Und wenn der ursprüngliche Empfänger auch die Bestätigungs-E-Mail weiterleitet, gibt er seinen Zugriff bewusst preis – genauso wie beim Weiterleiten eines Links zum Zurücksetzen des Passworts.

Jeder mit dem Link

Wenn Sie eine Meldung in einen privaten Kanal einstellen müssen — einen Firmen-Slack, eine Incident-Bridge — und keinen bestimmten Empfänger haben, aktivieren Sie Jeder mit dem Link. Kit gibt Ihnen eine einzige, zum Kopieren und Einfügen geeignete URL, die dieselbe geschwärzte Meldung ohne E-Mail-Schritt öffnet.

• Ein Link pro Meldung. Beim Erstellen erhalten Sie die URL zum Kopieren; beim Widerrufen wird diese URL ungültig. Erstellen Sie ihn erneut für einen neuen Link.
• Nur Leserechte. Über den Link Zugreifende können nicht kommentieren und nicht die Aufnahme in Ihr Team beantragen — dafür braucht es eine namentlich genannte, bestätigte Person, daher bleiben diese auf dem E-Mail-Pfad.
• Gleiche Schwärzung, gleiche Grenzen. Ein Link zeigt genau das, was eine E-Mail-Einladung zeigt (und verbirgt genau das, was diese verbirgt). Er läuft weiterhin nach 7 Tagen ab und Sie können ihn jederzeit widerrufen. Wird die Meldung geschlossen, werden die bereits geteilten Links widerrufen — Sie können sie danach aber bewusst erneut teilen.

Da jeder, der den Link besitzt, ihn öffnen kann, teilen Sie ihn nur dort, wo Sie auch die geschwärzten Details selbst teilen würden. Im Zweifel laden Sie lieber per E-Mail ein — das knüpft den Zugriff an ein Postfach, das die betreffende Person auch lesen können muss.

Was der Kollege sieht

Die geteilte Ansicht ist eine geschwärzte, schreibgeschützte Version der Meldung:

• Angezeigt — Schwachstellentyp, betroffener Endpunkt, Schweregrad, Beschreibung, Reproduktionsschritte und Anhänge (bereitgestellt als kurzlebige Downloads außerhalb der eigenen Domain).
• Verborgen — die Identität und E-Mail-Adresse des Forschers, Prämienbeträge, Ihre internen Notizen, der Autor der Bewertung und der Zeitverlauf Ihres Teams.

Wenn Sie Kommentare aktiviert haben, kann der Kollege antworten. Seine Antworten landen in der Meldung als interne, nur für das Team sichtbare Notizen (klar als von einem externen Kollegen stammend gekennzeichnet) und werden dem Forscher niemals angezeigt.

Ablauf und Widerruf

• Links laufen 7 Tage nach ihrer Erstellung ab.
• Wird eine Meldung geschlossen (behoben, bezahlt oder abgelehnt), werden die bereits geteilten Links widerrufen. Sie können sie danach erneut teilen — praktisch, wenn Sie eine Meldung als „außerhalb des Geltungsbereichs” ablehnen und sie an den zuständigen Hersteller weiterleiten möchten. Der Kollege sieht dann einen kleinen Hinweis „diese Meldung wurde geschlossen”, damit klar ist, dass es sich um eine Momentaufnahme handelt.
• Sie können jede Freigabe jederzeit über das Teilen-Fenster widerrufen — der Kollege verliert sofort den Zugriff.

Wenn ein Link abgelaufen ist

Ein Kollege, der eine abgelaufene E-Mail-Einladung öffnet, läuft nicht länger ins Leere. Nachdem er dieselbe Postfach-Bestätigung durchlaufen hat, kann er:

• Einen neuen Link anfordern — solange die Meldung noch offen ist, sendet Kit einen neuen, 7 Tage gültigen Link an dieselbe Adresse (niemals an eine andere). Ein widerrufener Link lässt sich nicht selbst erneuern, und sobald eine Meldung geschlossen ist, kann der Kollege ebenfalls nicht selbst erneuern — das erneute Teilen einer geschlossenen Meldung bleibt Ihre bewusste Entscheidung, daher sieht der Kollege nur einen Hinweis, sich an Sie zu wenden.
• Die Aufnahme ins Team beantragen — derselbe unten beschriebene Ablauf zur Aufnahme ins Team.

Ein abgelaufener „Jeder mit dem Link”-Link hat keinen Empfänger, für den er erneuert werden könnte, und läuft daher schlicht ins Leere — erstellen Sie über das Teilen-Fenster einen neuen Link, falls Sie noch einen benötigen.

Sehen, wer eine Meldung geöffnet hat

Externer Zugriff wird als Sicherheitssignal sichtbar gemacht, nicht als stille „Gelesen”-Bestätigung:

• Die Liste Aktiver Zugriff (Active shares) im Teilen-Fenster zeigt jede Freigabe — Empfänger (oder „Jeder mit dem Link”), Status, Anzahl der Aufrufe, Zeitpunkt des letzten Aufrufs und das Land, aus dem sie geöffnet wurde.
• Der Kopfbereich der Meldung zeigt einen Chip „Geteilt · N externe Betrachter” (klicken Sie darauf, um das Teilen-Fenster zu öffnen).
• Der Zeitverlauf der Meldung erfasst ein Ereignis, wenn eine externe Person diese geteilte Meldung geöffnet hat.
• Jede eigenständige Browsersitzung, die die Meldung öffnet, hinterlässt eine eigene Zeile im Protokoll – eine zweite lesende Person kann sich also nicht hinter dem kurz zuvor erfolgten Besuch der ersten verstecken. Bei einer E-Mail-Einladung bedeutet jede dieser Sitzungen einen weiteren Weg über das Postfach des Empfängers.
• Die Person, die den Link geteilt hat, sowie der zuständige Bearbeiter der Meldung werden benachrichtigt, wenn eine Adresse ihn zum ersten Mal öffnet, und erneut, sobald er aus einem neuen Land geöffnet wird. Bei einer E-Mail-Einladung kann sich die Adresse nie ändern (es ist die gebundene) – deshalb ist das Land das Signal, auf das Sie achten sollten: Wird dieselbe Einladung plötzlich von woanders geöffnet, ist eine Rückfrage angebracht.

Aufnahme ins Team beantragen

Ein Kollege, der dauerhaften Zugriff benötigt, kann direkt aus der geteilten Meldung heraus die Aufnahme in Ihr Sicherheitsteam beantragen. Die Anfrage landet bei Ihren Konto-Administratoren zusammen mit allen anderen Zugriffsanfragen; mit der Genehmigung wird eine normale Team-Einladung verschickt, und sobald sie angenommen ist, wird die Person ein vollwertiges Mitglied mit eigenem Konto — keine einmaligen Links mehr.

Wenn Sie die Anfrage öffnen, zeigt Ihnen Kit, wer fragt und zu welcher Meldung der geteilte Link gehört. Lesen Sie diese Felder unterschiedlich: Die E-Mail-Adresse ist die Adresse, die Sie eingeladen haben (die anfragende Person kann sie nicht ändern – Kit übernimmt sie aus der bestätigten Freigabe, nicht aus dem Formular), und das Land stammt aus der Verbindung. Name und Notiz dagegen sind freier Text, den die anfragende Person selbst eingetippt hat. Behandeln Sie die Adresse als Tatsache und den Namen als Behauptung – und bestätigen Sie, dass Sie tatsächlich mit dieser Person geteilt haben, bevor Sie sie einladen. Einladung senden (Approve) verschickt die Team-Einladung; Verwerfen (Dismiss) verwirft die Anfrage stillschweigend (der Antragsteller wird nie benachrichtigt).