Meldungen mit Kollegen teilen

Warum das zählt

Eine gültige Meldung muss oft jemanden erreichen, der nicht zu Ihrem Sicherheitsteam gehört — den Entwickler, der den betroffenen Dienst verantwortet, eine Bereitschaftsleitung oder einen externen Auftragnehmer. Wer die ungekürzte Meldung einfach weiterleitet, gibt die Identität des Forschers, Ihre Prämienbeträge und Ihre internen Sichtungsnotizen preis — und E-Mail-Threads lassen sich nicht zurückrufen. Beim Teilen mit Kollegen erhält diese Person genau das, was sie zum Bestätigen und Beheben des Fehlers braucht — und nichts darüber hinaus — hinter einem Link, der abläuft und den Sie jederzeit widerrufen können.

Das Teilen mit Kollegen ist in den kostenpflichtigen VDP-Tarifen verfügbar.

Eine Meldung teilen

Öffnen Sie eine Meldung und klicken Sie im Kopfbereich der Meldung auf Teilen (Share) (der Chip Geteilt · N externe Betrachter öffnet dieselbe Stelle, sobald jemand sie angesehen hat). Damit öffnet sich das Teilen-Fenster, in dem Sie per E-Mail einladen, einen „Jeder mit dem Link”-Link erstellen und jede aktive Freigabe an einem Ort verwalten können.

Um per E-Mail einzuladen, geben Sie die Adresse des Empfängers ein, legen Sie fest, ob er kommentieren darf, und senden Sie die Einladung ab. Kit verschickt im Namen Ihres Programms eine mit Ihrem Branding versehene Einladung — die E-Mail selbst enthält keinerlei Details zur Schwachstelle.

Der per E-Mail versandte Link ist an diese Adresse gebunden. Wenn der Kollege ihn öffnet, muss er die Adresse bestätigen, bevor die Meldung angezeigt wird. Ein weitergeleiteter Link ist damit für alle anderen wertlos — die Bestätigung erreicht immer nur den ursprünglichen Empfänger.

Jeder mit dem Link

Wenn Sie eine Meldung in einen privaten Kanal einstellen müssen — einen Firmen-Slack, eine Incident-Bridge — und keinen bestimmten Empfänger haben, aktivieren Sie Jeder mit dem Link. Kit gibt Ihnen eine einzige, zum Kopieren und Einfügen geeignete URL, die dieselbe geschwärzte Meldung ohne E-Mail-Schritt öffnet.

• Ein Link pro Meldung. Beim Erstellen erhalten Sie die URL zum Kopieren; beim Widerrufen wird diese URL ungültig. Erstellen Sie ihn erneut für einen neuen Link.
• Nur Leserechte. Über den Link Zugreifende können nicht kommentieren und nicht die Aufnahme in Ihr Team beantragen — dafür braucht es eine namentlich genannte, bestätigte Person, daher bleiben diese auf dem E-Mail-Pfad.
• Gleiche Schwärzung, gleiche Grenzen. Ein Link zeigt genau das, was eine E-Mail-Einladung zeigt (und verbirgt genau das, was diese verbirgt). Er läuft weiterhin nach 7 Tagen ab und Sie können ihn jederzeit widerrufen. Wird die Meldung geschlossen, werden die bereits geteilten Links widerrufen — Sie können sie danach aber bewusst erneut teilen.

Da jeder, der den Link besitzt, ihn öffnen kann, teilen Sie ihn nur dort, wo Sie auch die geschwärzten Details selbst teilen würden. Im Zweifel laden Sie lieber per E-Mail ein — das knüpft den Zugriff an eine bestätigte Adresse.

Was der Kollege sieht

Die geteilte Ansicht ist eine geschwärzte, schreibgeschützte Version der Meldung:

• Angezeigt — Schwachstellentyp, betroffener Endpunkt, Schweregrad, Beschreibung, Reproduktionsschritte und Anhänge (bereitgestellt als kurzlebige Downloads außerhalb der eigenen Domain).
• Verborgen — die Identität und E-Mail-Adresse des Forschers, Prämienbeträge, Ihre internen Notizen, der Autor der Bewertung und der Zeitverlauf Ihres Teams.

Wenn Sie Kommentare aktiviert haben, kann der Kollege antworten. Seine Antworten landen in der Meldung als interne, nur für das Team sichtbare Notizen (klar als von einem externen Kollegen stammend gekennzeichnet) und werden dem Forscher niemals angezeigt.

Ablauf und Widerruf

• Links laufen 7 Tage nach ihrer Erstellung ab.
• Wird eine Meldung geschlossen (behoben, bezahlt oder abgelehnt), werden die bereits geteilten Links widerrufen. Sie können sie danach erneut teilen — praktisch, wenn Sie eine Meldung als „außerhalb des Geltungsbereichs” ablehnen und sie an den zuständigen Hersteller weiterleiten möchten. Der Kollege sieht dann einen kleinen Hinweis „diese Meldung wurde geschlossen”, damit klar ist, dass es sich um eine Momentaufnahme handelt.
• Sie können jede Freigabe jederzeit über das Teilen-Fenster widerrufen — der Kollege verliert sofort den Zugriff.

Wenn ein Link abgelaufen ist

Ein Kollege, der eine abgelaufene E-Mail-Einladung öffnet, läuft nicht länger ins Leere. Nachdem er die E-Mail-Adresse bestätigt hat, an die der Link gesendet wurde, kann er:

• Einen neuen Link anfordern — solange die Meldung noch offen ist, sendet Kit einen neuen, 7 Tage gültigen Link an dieselbe Adresse (niemals an eine andere). Ein widerrufener Link lässt sich nicht selbst erneuern, und sobald eine Meldung geschlossen ist, kann der Kollege ebenfalls nicht selbst erneuern — das erneute Teilen einer geschlossenen Meldung bleibt Ihre bewusste Entscheidung, daher sieht der Kollege nur einen Hinweis, sich an Sie zu wenden.
• Die Aufnahme ins Team beantragen — derselbe unten beschriebene Ablauf zur Aufnahme ins Team.

Ein abgelaufener „Jeder mit dem Link”-Link hat keinen Empfänger, für den er erneuert werden könnte, und läuft daher schlicht ins Leere — erstellen Sie über das Teilen-Fenster einen neuen Link, falls Sie noch einen benötigen.

Sehen, wer eine Meldung geöffnet hat

Externer Zugriff wird als Sicherheitssignal sichtbar gemacht, nicht als stille „Gelesen”-Bestätigung:

• Die Liste Aktiver Zugriff (Active shares) im Teilen-Fenster zeigt jede Freigabe — Empfänger (oder „Jeder mit dem Link”), Status, Anzahl der Aufrufe, Zeitpunkt des letzten Aufrufs und das Land, aus dem sie geöffnet wurde.
• Der Kopfbereich der Meldung zeigt einen Chip „Geteilt · N externe Betrachter” (klicken Sie darauf, um das Teilen-Fenster zu öffnen).
• Der Zeitverlauf der Meldung erfasst ein Ereignis, wenn eine externe Person diese geteilte Meldung geöffnet hat.
• Die Person, die den Link geteilt hat, sowie der zuständige Bearbeiter der Meldung werden benachrichtigt, sobald eine neue Adresse den Link zum ersten Mal öffnet — eine neue Adresse auf demselben Link kann auf eine Weiterleitung hindeuten.

Aufnahme ins Team beantragen

Ein Kollege, der dauerhaften Zugriff benötigt, kann direkt aus der geteilten Meldung heraus die Aufnahme in Ihr Sicherheitsteam beantragen. Die Anfrage landet bei Ihren Konto-Administratoren zusammen mit allen anderen Zugriffsanfragen; mit der Genehmigung wird eine normale Team-Einladung verschickt, und sobald sie angenommen ist, wird die Person ein vollwertiges Mitglied mit eigenem Konto — keine einmaligen Links mehr.

Wenn Sie die Anfrage öffnen, zeigt Ihnen Kit, wer fragt (Name, E-Mail-Adresse und das Land, aus dem die Anfrage gestellt wurde) und zu welcher Meldung der geteilte Link gehört — so können Sie bestätigen, dass Sie tatsächlich mit dieser Person geteilt haben, bevor Sie sie einladen. Einladung senden (Approve) verschickt die Team-Einladung; Verwerfen (Dismiss) verwirft die Anfrage stillschweigend (der Antragsteller wird nie benachrichtigt).