Verhaltenskodex

Dies ist eine inoffizielle Übersetzung, die den Text zugänglich machen soll. Maßgeblich ist der englische Text.

Alle Freiwilligen von CSIRT.global halten sich an unseren Verhaltenskodex:

1. CSIRT.global ist ein weltweites Computer Security Incident Response Team. Wir werden von Freiwilligen geführt und arbeiten mit Freiwilligen, die die digitale Welt sicherer machen wollen.
2. CSIRT.global will Schwachstellen offenlegen und Funde denen melden, die sie beheben können.
3. CSIRT.global führt die letzten Schritte eines umfangreichen Prozesses aus, den angeschlossene Organisationen, einzelne Forschende und Dritte durchlaufen. Wir sind uns der Bedeutung dieser letzten Schritte bewusst und nehmen den CSIRT-Prozess sehr ernst.
4. CSIRT.global nutzt Informationen, die von Dritten bereitgestellt werden. Uns ist bewusst, dass diese Informationen aus Tätigkeiten wie diesen stammen:
   • Das Internet auf Schwachstellen durchsuchen, meist Common Vulnerabilities and Exposures (CVEs), und unsere Funde samt möglicher Lösungen den Eigentümern dieser Systeme melden.
   • Online-Systeme auf neue Schwachstellen (Zero-Days) untersuchen, unsere Funde den Herstellern melden und ihnen helfen, die Schwachstellen zu beheben.
   • Datenbanken mit geleakten Zugangsdaten auswerten und die betroffenen Organisationen oder Personen informieren, damit sie geeignete Maßnahmen ergreifen können.
5. Da wir mit sensiblen Daten arbeiten, die ohne informierte Einwilligung erhoben wurden, haben wir diesen Verhaltenskodex als ethische Grundlage unserer Arbeit aufgestellt.
6. Bei der Incident Response wollen wir sowohl mit vertrauenswürdigen Partnern zusammenarbeiten, um unsere Reichweite zu erhöhen, als auch möglichst viele einzelne Organisationen und Personen benachrichtigen.
7. Uns ist bewusst, dass wir mit Informationen arbeiten, die an den Rändern des rechtlich Zulässigen gewonnen wurden. Deshalb halten wir uns an die drei Kriterien, die in Gerichtsverfahren zur Offenlegung von Schwachstellen üblich sind:
   • Gesellschaftliches Bedürfnis: Wir legen Schwachstellen offen, um Schaden für möglichst viele Internetnutzende zu verhindern, und dienen keinem besonderen finanziellen, politischen oder persönlichen Interesse.
   • Grundsatz der Verhältnismäßigkeit: Wir dienen diesem Bedürfnis mit angemessenen Mitteln. Unsere Untersuchungen sollen die Integrität und Verfügbarkeit von Online-Systemen erhöhen, nicht verringern.
   • Grundsatz der Subsidiarität: Stehen mehrere Mittel zur Verfügung, wählen wir das mit den geringsten Auswirkungen.
8. Wir vertrauen Funden Dritter, wo wir können, prüfen sie aber, wo es nötig ist. Wir wollen weder Fehlalarme melden noch echte Funde übersehen und müssen deshalb manchmal überprüfen, ob eine Schwachstelle tatsächlich vorliegt. Dafür nutzen wir selbst erstellte Skripte auf Basis öffentlich verfügbarer Proof-of-Concepts oder nicht bewaffneten Exploit-Codes und achten sorgfältig darauf, keine Systeme zu beschädigen, nicht zu viele personenbezogene Daten herunterzuladen und keine Hintertüren anzulegen.
9. Unsere Funde bestehen üblicherweise aus Listen mit einigen wenigen bis zu Millionen IP-Adressen, der Art der gefundenen Schwachstelle, Kontaktangaben und Metadaten (etwa Zeitstempeln, Skripten und den Forschenden, die an den Daten arbeiten). Das sind sensible Daten, deshalb treffen wir alle nötigen Vorkehrungen, um ihre Vertraulichkeit zu schützen.
10. Zero-Day-Schwachstellen legen wir zuerst dem Hersteller gegenüber offen, beantragen dann CVE-Nummern und vereinbaren einen angemessenen Zeitraum bis zur Offenlegung gegenüber unseren Trusted Information Sharing Partners und der breiteren Öffentlichkeit. Idealerweise geht der Offenlegung ein Patch voraus. Ist ein Hersteller beim Bereitstellen eines Patches erkennbar langsam und ist damit zu rechnen, dass andere die Schwachstelle entdecken und ausnutzen, können wir eine Offenlegung erwägen, um mögliche Betroffene zu warnen und zu Gegenmaßnahmen zu beraten.
11. Die CVEs, die wir finden, melden wir den Eigentümern der Systeme, meist über E-Mail-Adressen, die wir aus ihrem Domainnamen ableiten, etwa info@, security@ oder abuse@, und über die hinterlegten Abuse-Adressen der IP-Eigentümer. Lassen sich Eigentümer nicht automatisiert ermitteln, suchen wir sie unter Umständen über (offene) Quellen.
12. Wir können unsere Funde auch über unsere Trusted Information Sharing Partners übermitteln, etwa Computer Emergency Response Teams, Computer Security Incident Response Teams, Internetanbieter, staatliche Stellen oder andere Forschungseinrichtungen.
13. Bei unserer Arbeit richten wir uns nach unserem Auftrag, das Internet und die vernetzte Welt sicherer zu machen. Wir dienen nicht den Interessen von Regierungen, Strafverfolgung, Unternehmen, Einzelpersonen oder sonst jemandem.
14. Sorgfalt in unserem CSIRT-Prozess verlangt, dass wir unseren Meldungen nachgehen. Deshalb müssen wir Daten speichern und unsere Tätigkeiten protokollieren. Diese Daten können wir auch bei einer Auseinandersetzung benötigen. Wir halten die Menge der erhobenen und gespeicherten personenbezogenen Daten so gering wie möglich und sind uns bewusst, dass auch eine IP-Adresse als Information über eine identifizierte oder identifizierbare natürliche Person gelten kann. Wir halten unsere Verarbeitung dieser Daten für angemessen im Verhältnis zu unserem Ziel, das Internet und die vernetzte Welt sicherer zu machen.
15. Je nach Vorfall informieren wir unter Umständen die breitere Sicherheitsgemeinschaft und/oder die Medien über unsere Funde. Dabei verwenden wir ausschließlich aggregierte Statistiken und/oder Trendinformationen. Personenbezogene Daten (PII) verwenden wir nicht.
16. Alles, was wir veröffentlichen, ist über unsere Website https://csirt.global abrufbar.
17. Unsere Berichte stehen unter der Creative-Commons-Lizenz.
18. Wir melden verwundbare Systeme. Zwar geben wir Hinweise Dritter zur Behebung nach bestem Bemühen weiter, doch die Behebung liegt allein in der Verantwortung der Systemeigentümer.
19. CSIRT.global ist dafür verantwortlich, die Mitglieder auf diese Regeln hinzuweisen. Jedes Mitglied ist selbst dafür verantwortlich, sie einzuhalten. Tut es das nicht, ergreift der Vorstand angemessene Maßnahmen, etwa den Entzug des Zugangs.
20. Uns sind geografische Unterschiede in Kultur, Recht und Gepflogenheiten bewusst. Wir bieten Eskalationswege an, falls durch die Unterschiede zwischen den Regionen, in denen wir tätig sind, Konflikte entstehen. Mitglieder sind ausdrücklich eingeladen, sie zu nutzen.
21. Im zwischenmenschlichen Umgang sind wir eine offene, einladende, lernende und lehrende Organisation. Wir glauben an Vielfalt.
22. Wir ermutigen Mitglieder, andere auf Verhalten anzusprechen, das sie für unangemessen halten, und bieten daneben Eskalationswege für alle, die das lieber nicht direkt tun. Wir verstehen, dass es sehr gute Gründe geben kann, etwas nicht direkt anzusprechen.
23. Anregungen und Rückmeldungen sind willkommen. Wenden Sie sich an unseren Sekretär Vincent Thiele.