Kurzdefinition: Die koordinierte Schwachstellenoffenlegung ist das geordnete Verfahren, Sicherheitslücken zu melden und beheben zu lassen. Nach § 5 BSIG ist das Bundesamt nationaler Koordinator und zentrale Meldestelle. [N-BSIG-5]
Der Normwortlaut
§ 5 Abs. 1 BSIG bestimmt, dass das Bundesamt als zentrale Stelle Informationen über Sicherheitsrisiken entgegennimmt und auswertet; es „ist dabei der nationale Koordinator für die Zwecke einer koordinierten Offenlegung von Schwachstellen“ nach Artikel 12 Absatz 1 der NIS-2-Richtlinie. [N-BSIG-5]
Was ist koordinierte Schwachstellenoffenlegung?
Ein geordneter Weg vom Fund zur Behebung. Wer eine Schwachstelle entdeckt, meldet sie einer koordinierenden Stelle, die den verantwortlichen Hersteller oder Produktverantwortlichen einbindet und die Behebung unterstützt. Das Verfahren soll verhindern, dass Schwachstellen unkontrolliert ausgenutzt werden; § 5 BSIG regelt dabei vor allem Entgegennahme, Auswertung und Weitergabe durch das Bundesamt. [N-BSIG-5]
Kann man anonym melden?
Ja. Nach § 5 Abs. 2 BSIG richtet das Bundesamt geeignete Meldemöglichkeiten ein; die Meldungen können anonym erfolgen. Erfolgt die Meldung nicht anonym, kann der Meldende verlangen, dass seine personenbezogenen Daten nur anonymisiert weitergegeben werden. Das schützt Sicherheitsforscher, die Schwachstellen melden. [N-BSIG-5]
Was geschieht mit den gemeldeten Schwachstellen?
Das BSI leitet sie zur Behebung weiter. Nach § 5 Abs. 3 BSIG gibt das Bundesamt Informationen zu gemeldeten Schwachstellen unverzüglich an den verantwortlichen Hersteller oder Produktverantwortlichen weiter, damit die Lücke geschlossen werden kann — sofern sie nicht bereits öffentlich bekannt ist. [N-BSIG-5]
Welche Rolle hat das Bundesamt?
Die des nationalen Koordinators. § 5 Abs. 1 BSIG weist dem Bundesamt die Rolle des nationalen Koordinators für die Zwecke einer koordinierten Offenlegung von Schwachstellen zu. Es bündelt damit die Meldungen und die Abstimmung mit den Betroffenen. [N-BSIG-5]
Worauf beruht die Koordinatorenrolle?
Auf der NIS-2-Richtlinie. § 5 Abs. 1 BSIG nimmt ausdrücklich auf Artikel 12 Absatz 1 der NIS-2-Richtlinie Bezug. Die nationale Regelung setzt damit eine europäische Vorgabe um. [N-BSIG-5]
Was macht das Bundesamt mit den Informationen?
Es nimmt sie entgegen und wertet sie aus. Als zentrale Stelle nimmt das Bundesamt Informationen über Sicherheitsrisiken entgegen und wertet sie aus, um zur Behebung beizutragen und die Lage einordnen zu können. [N-BSIG-5]
Häufige Fehlannahmen
- „Schwachstellen sollte man ohne Koordination sofort öffentlich machen.“ Im koordinierten Verfahren steht zuerst die geordnete Meldung und Einbindung der Verantwortlichen im Vordergrund. [N-BSIG-5]
- „Meldungen sind immer namentlich.“ Nein. Anonyme Meldungen sind ausdrücklich möglich. [N-BSIG-5]
- „Das BSI behält Schwachstellen für sich.“ Nein. Es leitet sie zur Behebung an die Hersteller weiter. [N-BSIG-5]
- „Es gibt keine gesetzliche Grundlage für die koordinierte Offenlegung.“ Doch. Das Bundesamt ist nach § 5 BSIG nationaler Koordinator für die koordinierte Offenlegung von Schwachstellen im Sinne der NIS-2-Richtlinie. [N-BSIG-5]
- „Wer nicht anonym meldet, verliert jeden Schutz seiner Daten.“ Nein. Wer nicht anonym meldet, kann verlangen, dass seine personenbezogenen Daten nur anonymisiert weitergegeben werden. [N-BSIG-5]
Was die Geschäftsleitung tun sollte
- Meldewege kennen. Die zentrale Meldestelle des Bundesamtes nutzen.
- Eigene Prozesse schaffen. Ein internes Schwachstellenmanagement etablieren.
- Verantwortungsvoll offenlegen. Schwachstellen koordiniert statt unkontrolliert melden.
- Als Hersteller reagieren. Weitergeleitete Schwachstellen zügig beheben.
Für die Geschäftsleitung
§ 5 BSIG verankert die koordinierte Schwachstellenoffenlegung mit dem Bundesamt als nationalem Koordinator: Schwachstellen werden gemeldet — auch anonym — und zur Behebung an die Hersteller weitergeleitet. Für Unternehmen ist das ein wichtiger Baustein der Cyber-Abwehr, sei es als Melder oder als Produktverantwortlicher.
Quellen
- [N-BSIG-5] § 5 BSIG (Zentrale Stelle für Meldungen; koordinierte Schwachstellenoffenlegung), Abs. 1 bis 3. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__5.html
