"Der Fix ist verfügbar"

Anni Brandt: Willkommen zurück bei Security Dialogues. Ich bin Anni, das ist Folge drei. Heute haben wir jemand Neues dabei — Nora Voss, Produktverantwortliche bei einem Schweizer Hersteller vernetzter Industriegeräte, und EACG-Kundin, was sie zum ersten Gast dieser Sendung macht, der nicht für uns arbeitet und sagen kann, was sie will. Nora, bevor Mira und Jonas überhaupt zu Wort kommen — was machst du eigentlich, und warum landet eine Produktmanagerin in einem Security-Podcast?

Nora Voss: Danke für die Einladung, Anni. Und danke, dass ich das mal laut sagen darf — normalerweise hört das nur mein eigenes Team, hinter verschlossener Tür. Ich verantworte eine Produktlinie, die seit zwölf Jahren ausgeliefert wird. Hardware mit Software drin — die Sorte, die irgendwo in einer Anlage an einer Wand hängt, mit Zehnjahres-Servicevertrag, manchmal ganz ohne verlässliche Netzwerkanbindung. Das heißt: Ich bin nicht die, die Schwachstellen findet, und ich schreibe auch keine Advisory. Ich bin die, die drei Jahre später noch da ist, wenn jemand fragt, warum ein "gefixtes" Gerät die ausgenutzte Version fährt.

Anni Brandt: Das ist ein sehr spezifischer Job.

Nora Voss: Er hat keinen Titel. Er ist einfach das, was übrig bleibt, wenn alle anderen ihren Teil erledigt haben und nach Hause gegangen sind.

— I. Wer beantwortet die Frage —

Anni Brandt: Beschreibe mir den Moment, an dem dir klar wurde, dass das tatsächlich der Job ist.

Nora Voss: Vor zwei Jahren habe ich nach einer einfachen Zahl gefragt: Wie viele Einheiten eines bestimmten Modells sind eigentlich im Feld. Der Vertrieb hat mir eine Zahl gegeben. Dann habe ich sie mit Garantie-Registrierungen und Lagerbewegungen der Distributoren abgeglichen, und die echte Zahl war vierzig Prozent höher. Graumarkt-Weiterverkauf, ein zweiter, nie autorisierter Distributor, Geräte, die zweimal den Besitzer gewechselt hatten, bevor sie überhaupt registriert wurden.

Anni Brandt: Wie findet man sowas überhaupt heraus?

Nora Voss: Meistens durch Zufall. Ein Kunde hat sich mit einer Seriennummer beim Support gemeldet, die es laut meinen eigenen Unterlagen gar nicht gab. Ich bin dem eine Woche lang nachgegangen und habe eine komplett parallele Lieferkette gefunden, von der ich nichts wusste. Ich konnte keine Flotte patchen, die ich nicht zählen konnte. Und ich verantworte das Produkt.

Anni Brandt: Also ist "wie viele gibt's eigentlich" noch gar nicht geklärt, bevor man bei "haben sie den Fix installiert" ankommt.

Nora Voss: Korrekt. Und das, bevor überhaupt eine Zeile verwundbarer Firmware angefasst wurde.

Anni Brandt: Hast du die Zählung wenigstens in den Griff gekriegt?

Nora Voss: Teilweise. Ich habe den zweiten Distributor nachträglich registriert, so weit die Unterlagen das zuließen, und eine Seriennummer-Prüfung in unsere Support-Annahme eingebaut, damit das nicht mehr unbemerkt passiert. Ich glaube immer noch nicht, dass meine aktuelle Zahl die echte ist. Ich glaube, sie ist näher dran.

Anni Brandt: Gut. Mira, Jonas — das ist, mit wem ihr heute Abend sprecht. Diese Woche hat Nora am eigenen Leib gespürt, wie teuer diese Lücke ist. Vor elf Monaten wurde bei einem ihrer Kunden eine Advisory geschlossen — CVSS bewertet, CSAF veröffentlicht, "fixed" auf dem Ticket. Ein Drittel der betroffenen Flotte hat den Fix nie installiert, und bei genau diesem Kunden kam das diese Woche ans Licht.

Nora Voss: Diese Flotte war meine. Und "fixed" klingt in diesem Satz nach mehr, als es tatsächlich bedeutet — für einen Status, der da draußen noch höchst lebendig war.

— II. Die Advisory ist nicht der Fix —

Mira Novak: Die Advisory hat getan, was eine Advisory tut. Wir haben die Schwachstelle identifiziert — einen Authentication Bypass im Management-Interface des Controllers, aus der Ferne erreichbar, wenn das Interface exponiert war — einen Fix entwickelt, getestet und veröffentlicht, mit CVSS-Score und einem Remediation-Status, der betroffene Versionen als "fixed" markiert, sobald der Patch eingespielt ist. Das ist der Job — und der hat es in sich. Das über sechs Produktvarianten, in drei Sprachen, auf einer Disclosure-Timeline zu koordinieren, ist das meiste, was mein Team das ganze Jahr über tut.

Nora Voss: Ich bestreite nicht die Arbeit. Ich bestreite das Wort am Ende davon. Sobald der Patch eingespielt ist. Sag das nochmal, langsamer.

Mira Novak: Sobald der Patch eingespielt ist.

Nora Voss: Das ist der Satz, der aus deinem "fixed" eine Hoffnung macht. Du hast nicht meine Flotte gefixt. Du hast eine Versionsnummer gefixt. Elf Monate nach deiner Veröffentlichung, elf Monate, in denen meine Kunden jede Gelegenheit hatten, es zu erfahren, lief ein Drittel meiner installierten Basis noch auf dem verwundbaren Build — und bei einem davon kam das ans Licht, weil jemand genau diesen Bypass genutzt hat, um sechs Wochen unbemerkt im Netzwerk zu sitzen. Lateral Movement, Credential Harvesting, das volle Programm. Bis das eigene Team es gemerkt hat, lag der "Fix" schon fast ein Jahr auf meiner Download-Seite. Deine Advisory hat die ganze Zeit "fixed" gesagt.

Jonas Weber: Sechs Wochen unbemerkt im Netz... bei einer Schwachstelle, die schon einen Namen und eine Patch-Nummer hatte. Das ist kein raffinierter Angreifer. Das ist einfach Geduld.

Nora Voss: Genau das lässt mich nicht los. Es war nicht clever. Es musste es auch nicht sein.

Mira Novak: Das Statusfeld beschreibt den Remediation-Stand des Herstellers, nicht den Deployment-Stand. Diese Unterscheidung gibt es mit Absicht — sonst müsste jede Advisory laufend aktualisiert werden, für immer, von einer Partei, die die Daten gar nicht kontrolliert.

Nora Voss: Ich weiß, warum das aus eurer Sicht Sinn ergibt. Ich sage dir: Später liest das niemand mehr so genau. Ein Kunde, ein Regulator, eine Versicherung — die lesen "fixed" und legen es ab. Niemand macht die Akte nochmal auf, um zu fragen, ob es tatsächlich installiert wurde. Ihr habt euch ein präzises Wort ausgesucht — für ein Publikum, das es unpräzise liest. Das wusstet ihr, als ihr es gewählt habt.

— III. Warum es nicht installiert wird —

Jonas Weber: Darf ich die naheliegende Frage stellen. Warum wurde es nicht installiert?

Nora Voss: Kommt drauf an, welches Drittel. Ein Teil hatte keine Anbindung — buchstäblich, physisch kein Weg zu einem Fleet-Management-Server. Ein Teil saß hinter dem eigenen Change-Control-Prozess des Kunden, der eine Revalidierung der ganzen Linie verlangt, bevor die Firmware angefasst wird, und die Revalidierung kostet mehr, als der Kunde dem Risiko zutraut. Und ein Teil brauchte einen Techniker vor Ort, weil das Gerät kein Remote-Update annimmt — was einen Lieferwagen bedeutet, eine geplante Abschaltung und ein Servicefenster, das der Kunde erst absegnen muss. Ein Kunde hat ein Update rundweg abgelehnt, zwei Jahre lang, mit einer schriftlichen Erklärung, dass die Revalidierung seiner Linie mehr kosten würde, als er gegen ein Risiko ausgeben wollte, das er als tragbar eingestuft hatte. Die Zahl sah ich anders. Dass er das Recht hatte, diese Entscheidung zu treffen, konnte ich nicht bestreiten — es war seine Linie, sein Risikoregister, seine Unterschrift.

Mira Novak: Ein Teil dieses Drittels ist aber doch sicher einfach... niemand, der hingeschaut hat.

Nora Voss: Ein Teil, ja. Ich bin nicht hier, um dir zu sagen, dass es keine Nachlässigkeit gibt. Ich bin hier, um dir zu sagen: Das ist die Ausnahme, nicht der Normalfall — und es ist die einzige Erklärung, für die euer Prozess derzeit überhaupt ein Wort hat. Ich saß mal in einem Meeting, in dem jemand aus einem Security-Team sagte "wir spielen einfach ein Update auf", und der Raum wurde still, weil ein Drittel der besagten Flotte keinen Telemetrie-Kanal hatte, über den man überhaupt etwas aufspielen könnte. Er hatte nicht unrecht, dass ein Fix existierte. Er beschrieb eine Flotte, die es nicht gibt — eine, in der jedes Gerät nach Hause telefoniert.

Jonas Weber: Also haben die Leute die Advisory nicht ignoriert.

Nora Voss: Die meisten nicht. Die meisten haben eine rationale Entscheidung getroffen, mit den Informationen und den Zwängen, die sie hatten, und die Information, die ihr ihnen gegeben habt — "fixed" — hat ihnen gesagt, es gäbe nichts mehr zu entscheiden.

— IV. Der Status, der gelogen hat —

Mira Novak: Ich will "gelogen" widersprechen. Der Status war korrekt für das, was wir kontrolliert haben.

Nora Voss: Dann sag, was ihr kontrolliert habt. Ihr habt kontrolliert, dass ein Fix existiert. Ihr habt nicht kontrolliert, ob er irgendwo läuft, und ihr habt beide Tatsachen mit einem einzigen Wort gemeldet.

Mira Novak: Es gibt einen Grund, warum an diesem Wort keine Prozentzahl hängt. Wenn ich eine Installationszahl an einen Status hänge, dem ich nicht vollständig traue, setze ich eine Zahl in ein behördliches Dokument, die ich nicht verteidigen kann, wenn sie angezweifelt wird. Ein ehrliches "unbekannt" war, bis heute Abend, die sicherere rechtliche Position als eine falsche Zahl.

Jonas Weber: Ihr veröffentlicht doch bereits eine Zahl, die sich ändert, sobald neue Fakten reinkommen. Der CVSS Temporal Score bewegt sich mit Exploit Code Maturity und Remediation Level, und niemand hält das für unhaltbar — er soll sich bewegen. Warum wäre eine Coverage-Prozentzahl anders?

Mira Novak: Weil Temporal-Metriken die Schwachstelle beschreiben. Eine Coverage-Zahl beschreibt meine Kunden, und die meisten haben nie zugestimmt, in einem öffentlichen Dokument beschrieben zu werden.

Jonas Weber: Dann anonymisiere sie. Veröffentliche die Prozentzahl, nicht die Namen dahinter. Du schützt nicht die Genauigkeit der Zahl — du schützt dich vor einem Gespräch mit den Juristen.

Mira Novak: …Das ist eine schärfere Version von dem, was Nora schon gesagt hat. Gut — der Präzedenzfall existiert. Mir bleibt keine fachliche Ausrede mehr. Nur noch eine organisatorische.

Nora Voss: Das ist die sicherere Position für dich. Es ist nicht die sicherere Position für den Sysadmin, der "fixed" liest und stattdessen etwas anderes priorisiert. Du hast auf deine eigene Absicherung optimiert und es Vorsicht genannt.

Mira Novak: …Das trifft auch. Und es ist derselbe Trick, den du vor zwei Wochen mit Jonas bei der Risikomatrix gemacht hast. Eine Zahl steht für zwei verschiedene Dinge, und alle, die später damit arbeiten, nehmen an, es sei eine.

Jonas Weber: Warte. Damit muss ich mich noch setzen, weil ich glaube, ich habe seit Jahren etwas Verwandtes gemacht, ohne es zu benennen.

— V. Jonas' Angriffsfläche hatte das immer schon dabei —

Jonas Weber: Ein guter Teil meiner Erstzugriffs-Findings bei Engagements sind bereits gepatchte CVEs. Ich habe das immer als Patch-Management-Versagen protokolliert — eine Checkbox im Bericht, ein Absatz über bessere Hygiene. Ich habe nie gefragt, warum der Patch nicht da war. Ich bin von Nachlässigkeit ausgegangen.

Nora Voss: Manchmal ist es Nachlässigkeit.

Jonas Weber: Manchmal. Aber es gab ein Engagement — ein Energiekunde, ein Kontrollraum, in den ich über einen Controller reingekommen bin, der Firmware fuhr, die achtzehn Monate veraltet war. Mein Bericht nannte das ein Patch-Management-Versagen, eine Zeile, weiter zum nächsten Finding. Was ich nie gefragt habe: warum eine achtzehn Monate alte Schwachstelle noch da saß. Es stellte sich raus: Der Fix brauchte genau das, was Nora beschreibt — eine fünfstellige Revalidierung, ein Abschaltfenster, das sie nicht zweimal in einem Budgetzyklus genehmigt bekamen, und einen Kunden, der das durchgerechnet und entschieden hatte, die Exposition sei billiger als der Fix. Mein Bericht nannte das ein Versagen. War es nicht. Es war eine Entscheidung, getroffen von jemandem mit einem Budget, und ich habe nie gefragt, wer das war.

Mira Novak: Ich habe diesen Bericht gelesen. Ich erinnere mich an die Zeile. Ich habe auch nicht nachgefragt — es war ein abgeschlossenes Finding, als es auf meinem Tisch landete, abgelegt unter "bekanntes Problem, vom Kunden akzeptiert", und ich bin zur nächsten Advisory weiter.

Nora Voss: Das ist das Finding, zu dem ich nie eingeladen werde. Der Bericht sagt einfach "patchen", Punkt, als wäre Patchen umsonst, und dann verschwindet es in zwei verschiedenen Aktenschränken, die nie miteinander reden.

— VI. Wenn schneller patchen falsch ist —

Mira Novak: Dann zeig ich dir die andere Seite der Medaille, denn es ist nicht nur zu langsam ein Problem. Zu schnell kann echten Schaden anrichten.

Nora Voss: Die Narbe dafür habe ich. Vor drei Jahren, andere Produktlinie — wir haben einen Sicherheits-Fix unter echtem Druck ausgeliefert, eine Forscherin stand kurz davor, es öffentlich zu machen, und wir haben sechs Wochen Validierung auf zwei komprimiert. Das Update ging raus. Bei einer Untergruppe von Geräten mit einer älteren Bootloader-Revision, gegen die wir nicht getestet hatten, hat es sie zerschossen. Nicht "braucht einen Neustart" zerschossen, sondern richtig tot — Platine hinüber, nur noch per Technikereinsatz vor Ort zu retten. Was als Fix begann, wurde zum Rückruf, auf einer Flotte, zu der auch medizinnahe Geräte gehörten. Wir haben elf Monate einer moderaten, eingegrenzten Exposition gegen einen garantierten, kompletten Ausfall auf jedem Gerät getauscht, das wir angefasst haben.

Mira Novak: Elf Monate moderater, eingegrenzter Exposition. Das ist ein Tausch, den ich auch gemacht hätte.

Jonas Weber: Ach ja. Sag das Wort nochmal — "moderat". Woher kommt diese Zahl?

Mira Novak: Wo sie immer herkommt. Eintrittswahrscheinlichkeit, Auswirkung, Einschätzung.

Jonas Weber: Wessen Einschätzung — deine, in einem Advisory-Meeting, oder Noras, direkt neben dem Bootloader, der gleich zu Elektroschrott wird?

Mira Novak: …Keiner von uns beiden war dabei. Es ist eine Schätzung.

Jonas Weber: Dann hast du genau das gemacht, was wir eine ganze Folge lang auseinandergenommen haben. Du hast eine Vermutung — "moderate Exposition" — auf die eine Seite einer Waage gelegt, und eine Tatsache — hundert Prozent einer Flotte werden zerschossen — auf die andere, und die Vermutung die sicherere Wette genannt, weil sie kleiner aussah als die Tatsache. Dieser Vergleich bedeutet nur etwas, wenn beide Seiten dieselbe Art von Zahl sind.

Mira Novak: …Und das waren sie nicht. Geliehene Gewissheit — mein eigener Begriff, der jetzt auf mich zurückfällt. Die eine ist eine Wahrscheinlichkeit, die niemand gemessen hat. Die andere ist eine Gewissheit, weil Nora es schon einmal durchgespielt hat, auf ihrer eigenen Flotte.

Jonas Weber: Also war die eigentliche Entscheidung nicht "langsam ist sicherer als schnell". Es war "ein sicherer, garantierter Schaden gegen ein ungewisses, ungemessenes Risiko" — und das würden wir eine Wette nennen, keine Analyse, wenn es sonst jemand in dieser Sendung gemacht hätte.

Nora Voss: Genau diese Wette habe ich gemacht. Ich würde sie wahrscheinlich wieder machen. Mir war nur bis gerade eben nicht klar, dass es das war, was ich tat.

Jonas Weber: Also lautet die ehrliche Version von "warum habt ihr nicht schneller gepatcht" manchmal "weil wir beim letzten Versuch die Flotte zerstört haben" — und die ehrliche Version von "warum habt ihr nicht langsamer gepatcht" ist derselbe Satz mit vertauschter Vermutung und Tatsache.

Nora Voss: Manchmal sind es Kosten. Manchmal ist es die Anbindung. Und manchmal ist es, dass schnell und sicher nur dieselbe Anfrage sind, wenn jemand die Validierungs-Infrastruktur bezahlt hat, die sie zur selben Anfrage macht. Hatte niemand.

Mira Novak: Was bedeutet, "schneller ausliefern" ist auch kein kostenloser Ratschlag. Er hat dasselbe Problem wie "fixed" — er klingt wie eine Anweisung und ist eigentlich die Hoffnung, dass diesmal das Testen alles abfängt.

Nora Voss: Das ist heute Abend schon das zweite Mal, dass ihr mir ein eigenes Wort aus dem Mund nehmt und es mir geschliffener zurückgebt. Ich behalte "dieselbe Art von Zahl" — ich werde es vermutlich bei Leuten benutzen, die diese Sendung nie gehört haben.

— VII. Wer bezahlt, damit es schnell geht —

Jonas Weber: Dann baut die Telemetrie. Instrumentiert die Flotte, Remote-Push überall, und der ganze Trade-off verschwindet.

Nora Voss: Sag das dem Finanzressort und schau, was passiert. Ich habe dieses Budget drei Jahre in Folge beantragt. Es wird gegen eine neue Produktlinie gerankt, eine Garantiekosten-Reduktion, eine Werksumrüstung — alles mit einer Zahl, die zeigt, was es bringt, und meins hat nur "verhindert ein Problem, das wir noch nicht hatten". Ich verliere dieses Argument jedes Jahr, in dem ich nicht schon einen Vorfall vorweisen kann.

Mira Novak: Sobald ihr den Vorfall habt, ist es in einer Woche genehmigt.

Nora Voss: Dann ist es in einer Woche genehmigt, für die Flotte ab jetzt, und tut nichts für die Geräte, die schon draußen sind, ohne Upgrade-Pfad, um nachträglich Telemetrie einzubauen. Ein Teil meiner ältesten Hardware kann physisch keine Anbindungs-Nachrüstung. Die Instrumentierungslücke ist kein Finanzierungsproblem, das ich heute lösen kann. Es ist eine Design-Entscheidung von vor einem Jahrzehnt, von Leuten, die sich dieses Gespräch nie vorgestellt haben.

Jonas Weber: Das ist keine Ausrede, um aufzuhören, das Budget zu beantragen.

Nora Voss: Ich habe nie gesagt, aufhören. Ich habe gesagt, sei nicht überrascht, wenn die Antwort immer noch Nein ist, und schreib nicht "einfach Telemetrie ergänzen" in eine Advisory, als wäre das ein Patch.

— VIII. Wessen Job ist die Installation? —

Mira Novak: Wessen Job ist es dann? Wir veröffentlichen, der Distributor informiert, der Kunde installiert. Drei Parteien, drei Verantwortlichkeiten.

Nora Voss: Ich habe letztes Jahr herausgefunden, dass einer meiner Distributoren nie eine einzige Advisory an einen Endkunden weitergeleitet hat. Achtzehn Monate lang. Nicht böswillig — in niemandes Stellenbeschreibung stand "die Security-Advisories des Herstellers weiterleiten", also hat es niemand getan, und ich hatte keine Möglichkeit, das zu wissen, bis ein Auditor die Verteilungsprotokolle sehen wollte und es keine gab.

Mira Novak: Also hat die Kette ein Glied ohne Eigentümer.

Nora Voss: Die Kette hat mehrere. Ich führe auch Geräte, die zwanzig Jahre in der Betriebszeit einer Anlage stecken, weit jenseits von allem, was ich ein normales Support-Fenster nennen würde, mit einem End-of-Support-Datum, das ich vor Jahren mit diesem Kunden ausgehandelt habe — was heißt, für einen Teil meiner Flotte stand "den Fix installieren" gar nicht zur Debatte, weil das Produkt selbst vertraglich außerhalb des Geltungsbereichs für neue Firmware war. Das ist keine Lücke in der Kette. Das ist eine Entscheidung, die jemand bewusst getroffen hat, Jahre im Voraus, und sie sollte anders gekennzeichnet werden als ein Kunde, der die E-Mail einfach nie bekommen hat.

Mira Novak: Das sind zwei verschiedene Fehler mit demselben Wort.

Nora Voss: Genau. Und mein Name steht so oder so auf dem Produkt. Wenn also ein Kunde gehackt wird, der einen Build fährt, den ich vierzehn Monate vorher gefixt habe, bin ich diejenige, die es erklärt — nicht der Distributor, der die E-Mail verloren hat, und nicht, wer auch immer das Support-Fenster abgesegnet hat.

Mira Novak: Sagen die Distributor-Verträge inzwischen etwas dazu?

Nora Voss: Ja, für die Zukunft — Advisory-Weiterleitung ist seitdem eine Klausel in jedem Vertrag, den ich unterschreibe. Sie sagt nichts über die achtzehn Monate, bevor ich es bemerkt habe, und nichts über Distributoren, die noch unter einem alten Vertrag laufen und dem nie zugestimmt haben. Die Lücke für neue Beziehungen kann ich schließen. In alte kann ich sie nicht nachrüsten, ohne jeden einzelnen neu zu verhandeln.

— IX. Was ein Lieferwagen wirklich kostet —

Nora Voss: Und bevor einer von euch beiden "dann automatisiert doch das Update" vorschlägt — ich will die echte Rechnung auf den Tisch. Ein Lieferwagen, ein Techniker und eine geplante Abschaltung sind keine Metapher. Ich habe letztes Jahr genau so einen Fix durchgerechnet: Techniker-Tagessatz, Reisekosten, der Produktionsausfall des Kunden für das Abschaltfenster, multipliziert über eine Flotte mit Standorten auf vier Kontinenten. Das Security-Team wollte es in einem Monat ausgerollt haben. Das Finanzressort wollte elf. Wir haben in sieben ausgeliefert, und ich habe die anderen vier damit verbracht, zu verteidigen, warum es nicht drei waren.

Mira Novak: Was hätte drei möglich gemacht?

Nora Voss: Telemetrie, die ich für die Hälfte der Flotte nicht habe, Remote-Management, das mir für ein Drittel davon fehlt, und ein Kundenvertrag, der mich ihre Linie derzeit nicht ohne Änderungsauftrag anfassen lässt. Nichts davon wird durch schnelleres Veröffentlichen gelöst.

Jonas Weber: Wenn ich also in einem Bericht "Remediation-Timeline: unklar" schreibe, dann ist diese Zahl — sieben Monate, nicht drei — die eigentliche Antwort, und niemand sagt dem Kunden, was "unklar" wirklich bedeutet.

Nora Voss: Es ist die ehrliche Antwort. Sie steht nur in keiner Vorstandspräsentation.

— X. Die Priorisierung, mit der Nora nicht hausieren geht —

Jonas Weber: Darf ich das kurz umdrehen. Du beschreibst die ganze Zeit die Lücken anderer Leute. Warst du selbst schon mal die Lücke?

Nora Voss: …Ja. Letztes Jahr kam ein Pentest zurück — nicht von Jonas, eine andere Firma — mit einem Finding, das, richtig gemacht, drei getrennte Roadmap-Punkte gewesen wären. Diese Geräteklasse vom Hauptnetz segmentieren. Einen Satz langlebiger, werksseitig fest verbauter Credentials rotieren. Signierte Firmware-Updates einführen, damit ein kompromittierter Build-Server nichts Bösartiges weiterreichen kann. Ich hatte Budget und Engineering-Zeit für eins.

Mira Novak: Welches?

Nora Voss: Die Credential-Rotation. Am billigsten, am schnellsten, und sie hat das Finding auf dem Papier geschlossen. Die Netzwerksegmentierung habe ich gestrichen, weil sie eine Änderung auf Kundenseite gebraucht hätte, die niemand schnell genehmigt hätte, und signierte Updates habe ich gestrichen, weil der Aufwand die anderen beiden zusammen überstiegen hätte. Ich habe mir gesagt, ich würde beides noch im selben Jahr nachholen. Das war vor vierzehn Monaten.

Jonas Weber: Vierzehn Monate. Diese Zahl kommt heute Abend ständig wieder.

Nora Voss: Stimmt. Also nein — ich beschreibe das nicht von außen. Ich treffe dieselbe Entscheidung, die Mira trifft, wenn sie wählt, was ein Statuswort nicht sagt, und dieselbe, die Jonas' Kunde getroffen hat, als er eine achtzehn Monate alte Schwachstelle akzeptiert hat. Ich treffe sie nur mit einer Tabelle statt mit einem Formular.

— XI. Das Gespräch mit dem Regulator —

Nora Voss: Es gibt eine Version davon, die gar kein Kundengespräch ist. Ich musste einmal einem Regulator gegenübersitzen und erklären, warum ein Produkt, noch innerhalb seines offiziellen Support-Fensters, einen bekannten, veröffentlichten Fix hatte, den ein relevanter Teil der Flotte nie erhalten hat.

Jonas Weber: Was hast du ihm gesagt?

Nora Voss: Die Wahrheit, die als Antwort nicht gut ankam: dass "im Support" eine Verpflichtung beschreibt, die ich schulde, keine Garantie dafür, was läuft. Ich konnte die Advisory zeigen, den CVSS-Score, das Datum, an dem der Fix rauskam. Ich konnte keine Installationszahl zeigen, weil ich keine hatte.

Mira Novak: Was hättest du gezeigt, wenn du sie gehabt hättest?

Nora Voss: Genau das, was wir heute Abend beschreiben. Eine Prozentzahl, ein Datum der letzten Aktualisierung, und einen Plan für den Rest. Stattdessen hatte ich ein Dokument, das "fixed" sagte, und einen Raum voller Leute, die die Rechnung selbst machten, schlecht, vor mir. Das war der Moment, in dem mir klar wurde: Das ist kein Kundenproblem und kein Distributorproblem. Es ist eine Reporting-Lücke mit meinem Namen dran, und irgendwann wird jemand mit echter Autorität die Frage stellen, die innerhalb meiner eigenen Firma niemand zu messen dachte.

Mira Novak: Und "wir haben rechtzeitig veröffentlicht" ist keine Antwort auf diese Frage.

Nora Voss: Es ist eine Antwort auf eine andere Frage. Niemand in diesem Raum hat gefragt, ob ich rechtzeitig veröffentlicht habe.

— XII. Was EACG tatsächlich melden sollte —

Mira Novak: Gut. Dann ist das, was ich daraus mitnehme, und es ändert, was ich in eine Advisory schreiben würde. "Fixed" sollte nie ein einzelnes Wort sein, das zwei verschiedene Tatsachen abdeckt. Die eine Tatsache ist: Eine korrigierte Version existiert — getestet, datiert, verfügbar. Die andere ist: Welcher Anteil der bekannten installierten Basis läuft tatsächlich damit. Wir melden heute die erste und tun so, als gäbe es die zweite nicht, meist weil ich diese Daten nicht habe. Nora hat sie, oder ihre Distributoren haben sie, oder niemand hat sie — und diese Lücke selbst ist etwas, das ein Kunde oder ein Regulator erfahren sollte.

Nora Voss: Eine Fleet-Coverage-Zahl.

Mira Novak: Eine Fleet-Coverage-Zahl, gemeldet zusammen mit dem Fix, aktualisiert, wenn sie sich ändert, peinlich, wenn sie niedrig bleibt — weil sie das sein sollte. Sie verschiebt die Verantwortung, die Lücke zu schließen, auf jene, die sie tatsächlich sehen können, statt sie in einem Statuswort zu verstecken, das fertig klingt.

Jonas Weber: Und es gibt mir bei einem Engagement etwas zu fragen, außer "ist ein Patch verfügbar". Ich sollte nach der Coverage-Zahl fragen, bevor ich überhaupt anfange — und für die ohne eine sollte ich den schlimmsten Fall annehmen, den Nora gerade beschrieben hat, nicht den besten.

Mira Novak: Es heißt auch, "fixed" hört auf, etwas zu sein, das ich allein verkünde. Nora hat die Zahl. Die Advisory sollte auf ihre zeigen, sie nicht ersetzen.

Nora Voss: Und es heißt, meine eigene Priorisierung hört auf, unsichtbar zu sein. Wenn die Coverage-Zahl öffentlich ist, ist "wir haben zwei von drei Roadmap-Punkten gestrichen" ein Satz, den ich laut sagen können muss, keine Tabelle, die außerhalb meines Teams nie jemand sieht. Ich bin nicht sicher, dass mir das gefällt. Ich glaube trotzdem, dass es richtig ist.

Mira Novak: Praktisch heißt das eine Zeile in der nächsten Advisory-Vorlage. Kein Versprechen, Telemetrie zu lösen — ein Feld, das sagt "bekannte Deployment-Coverage: X Prozent, Stand dieses Datum, Quelle: Schätzung des Herstellers", mit "unbekannt" als ehrlicher erlaubter Antwort statt einer stillen.

Jonas Weber: Und ein Kunde oder Regulator, der "unbekannt" liest, wüsste wenigstens, dass er nachfragen muss, statt "fixed" zu lesen und den Tab zu schließen.

Nora Voss: "Unbekannt" wäre ein besseres Gespräch mit meinem Regulator gewesen als das, was ich tatsächlich hatte. Diesen Tausch würde ich heute nehmen.

— XIII. Nora schließt —

Nora Voss: Ich hatte nicht erwartet, heute Abend diejenige zu sein, der alle zustimmen — normalerweise bin ich die, die niemand im Raum hören will, weil ich der Grund bin, warum die Roadmap einen Punkt hat, für den niemand budgetiert hat. Aber ich nehme es an, mit einer Ergänzung, weil ich nicht nur mit dem Sieg dastehen will. Der Grund, warum mein Distributor achtzehn Monate lang keine Advisory weitergeleitet hat, ist, dass ich ihn nie darum gebeten habe, schriftlich, mit einem Namen dran. Ich habe einen Disclosure-Prozess aufgesetzt, der angenommen hat, die Kette würde einfach funktionieren, genauso wie Mira einen Status festgelegt hat, der angenommen hat, "fixed" würde einfach richtig gelesen, genauso wie ich mir gesagt habe, ich würde die zwei gestrichenen Roadmap-Punkte nachholen. Wir haben alle etwas veröffentlicht, oder etwas versprochen, und gehofft, der Rest würde von selbst passieren. Also: Mira, veröffentliche die Coverage-Zahl, und verweise darauf als die eigentliche Antwort, nicht als Fußnote. Ich gehe zurück und setze einen Namen an jedes Glied dieser Kette, angefangen bei dem Distributor, der achtzehn Monate Zeit hatte zu merken, dass niemand nachgeschaut hat. Und ich öffne die zwei gestrichenen Punkte wieder, bevor jemand anderes so davon erfährt, wie der Regulator davon erfahren hat, dass ich keine Zahl hatte.

— Outro —

Anni Brandt: Fleet Coverage, nicht nur Fix veröffentlicht. Das kommt in meinen eigenen Abschnitt, weil Folien hier offenbar nicht erlaubt sind. Nora — danke, dass du gekommen bist und dabei recht bekommen hast, was dir, wie ich raushöre, nicht oft passiert. Wenn ihr bei euch die Frage bekommt "warum ist das noch nicht gepatcht", erzählt uns, wie ihr sie tatsächlich beantwortet. Wir lesen alles. Abonniert, wo immer ihr das hier hört, und lasst uns eine Bewertung da, wenn euch ein Lieferwagen in einem Security-Podcast zum ersten Mal zum Lachen gebracht hat. Nächstes Mal sind wieder nur die beiden dran, und Jonas bringt eine These mit, die Mira hassen wird: dass das meiste, was "Zero-Day" genannt wird, keiner ist. Bis dahin.