Bosch PSIRT bestätigte den Eingang von 87 Sicherheitsbefunden. Sicherte vollständige Kooperation zu. Versprach schriftliche Safe-Harbor-Zusicherung. Ergebnis nach 90 Tagen: 1 von 6 Prioritätsbefunden behoben. Safe Harbor nie ausgestellt. Full Disclosure eingeleitet.
| Kriterium | Standard (ISO 29147) | Bosch PSIRT |
|---|---|---|
| Eingangsbestätigung | ≤ 5 Werktage | ✅ 2 Tage |
| Erstbewertung | ≤ 30 Tage | ⚠️ Teilweise (nur 1 Befund) |
| Safe Harbor | Bei Erstkontakt | ❌ 3 Monate ausstehend |
| Statusupdates | Regelmäßig | ❌ Keine nach Woche 2 |
| Behebung Critical | ≤ 30 Tage | ❌ 0/7 Critical behoben |
| Behebung High | ≤ 60 Tage | ❌ 0/14 High behoben |
| Koordinierte Offenlegung | Gemeinsam | ❌ Keine Rückmeldung |
Nach Ablauf der 90-Tage-Frist wurde ein vollständiges Reassessment durchgeführt:
Die Fix-Rate von 17% nach 90 Tagen liegt deutlich unter dem Industriestandard. Zum Vergleich: Google Project Zero gewährt 90 Tage; die meisten Unternehmen beheben Critical-Befunde innerhalb von 30 Tagen.
Full Disclosure ist der letzte Schritt in der koordinierten Schwachstellenoffenlegung — nach ISO 29147, nach FIRST Guidelines, und nach dem Verständnis jedes PSIRT weltweit.
Die Entscheidung wurde getroffen, weil: