PUBLIC INTAKE
Forscher melden. Nicht angreifen.
Der öffentliche CVD-Eingang ist vom internen Management getrennt. Meldungen werden validiert, begrenzt und mit einer eindeutigen Tracking- und Receipt-Struktur aufgenommen.
COORDINATED VULNERABILITY DISCLOSURE · GOVERNANCE · PROOF
Eine Schwachstellenmeldung ist kein Posteingang. Sie ist ein beweisbarer Sicherheitsprozess.
Sicherheitsforschung braucht einen sicheren Eingang. Institutionen brauchen darüber hinaus einen belastbaren Nachweis darüber, wann eine Meldung einging, wie sie bewertet wurde, wer einen Zustandswechsel autorisierte, wann die Behebung verifiziert wurde und unter welchen Bedingungen eine koordinierte Offenlegung erfolgte. immo.quick bindet diesen Lebenszyklus als governed CVD & Proof Closure.
Angriff ≠ Schwachstellenmeldung. Meldung ≠ Bestätigung. Status ≠ Wahrheit. Jede stärkere Aussage braucht einen autorisierten, beweisgebundenen Übergang.
GOVERNED STATE
Kein freies Statusfeld.
Zustandswechsel folgen einem serverseitig erzwungenen Transition Graph. Unzulässige Sprünge werden blockiert; zulässige Übergänge erzeugen unveränderliche Transition-Receipts beziehungsweise Governance Events.
PROOF CLOSURE
Nicht nur wann. Auch was und warum.
Canonical Submission Hash, Policy- und Receipt-Version, Integritätsbindung, Übergangsautorität, Begründung und Chain-Link machen aus dem Prozess einen forensisch nachvollziehbaren Beweispfad.
REPORT → ADMISSION → FORENSIC RECEIPT → GOVERNED STATE → AUTHORIZED TRANSITION → REMEDIATION → VERIFICATION → COORDINATED DISCLOSURE
IMMO.QUICK CORE
Governed CVD State & Causality
Core behandelt die Schwachstellenmeldung als governed institutionellen Zustand. Immutable Governance Events binden jeden relevanten Übergang an Akteur, Autorisierungsgrundlage, Ausgangszustand, Folgezustand und kryptografische Ereigniskette. Reporter-Angaben bleiben von intern validierten Tatsachen getrennt.
- Hard Gates und Advisory Checks bleiben semantisch getrennt.
- Manufacturer-first ist Routing, keine automatische Ablehnung.
- Severity: Reporter ≠ Machine Triage ≠ interne bindende Einstufung.
- Offizielle Reporting Channels werden abstrahiert statt nachgebaut.
SERVERLESS EDITION
CVD Governance & Proof Closure
Die Serverless Edition trennt den öffentlichen CVD-Eingang physisch vom internen Management, erzwingt Statusübergänge serverseitig und bindet jede zulässige Transition an ein unveränderliches Receipt. Öffentliche Meldungen werden gehärtet aufgenommen; Tracking benötigt Report-ID und hochentropisches Token.
- 100-KB Body Limit, Feldgrenzen, Enum- und Control-Character-Prüfung.
- HMAC-basierte IP-Pseudonymisierung mit serverseitigem Secret.
- Server-erzwungener Transition Graph; unzulässige Sprünge werden abgewiesen.
- Forensic Receipt bindet Inhalt, Policy-Version, Receipt-Version und Integrität.
Warum das für Aufsicht und Regulierung relevant ist.
Regulatorische Relevanz entsteht nicht dadurch, dass Software die Behörde ersetzt. Sie entsteht dadurch, dass ein Institut später nicht nur behaupten muss, eine Schwachstelle ordnungsgemäß behandelt zu haben. Der Eingang, die Governance des Falls, die Autorisierung kritischer Übergänge, die Remediation, die Verifikation des Fixes und die tatsächliche Einschaltung eines offiziellen Kanals können als getrennte, prüfbare Zustände behandelt werden.
Claim-Grenze: Die CVD-Infrastruktur ist an den CVD-Grundsätzen des BSI ausgerichtet. Daraus folgt keine Prüfung, Zertifizierung, Anerkennung, Konformitätsbescheinigung oder sonstige Bestätigung durch das BSI. Ein BSI-Koordinationsstatus darf nur gesetzt werden, wenn das BSI tatsächlich beteiligt ist. Die Serverless-Architektur wurde dem BSI am 28.07.2026 nachweislich vorgelegt; immo.quick Core wurde dem BSI nicht vorgelegt.
RESPONSIBLE DISCLOSURE
Sicherheitsforschung braucht einen sicheren, nachvollziehbaren Meldeweg.
Die operative CVD-Einreichung ist als eigener öffentlicher Systempfad vorgesehen und vom internen Management getrennt. Diese Website erläutert die Governance- und Beweislogik; sie ersetzt nicht die operative Einreichungsoberfläche des Systems.
FAQ · CVD GOVERNANCE
Kurz erklärt
Was ist CVD Governance & Proof Closure?
Ein beweisgebundener Lebenszyklus für Eingang, Triage, autorisierte Zustandswechsel, Remediation, Fix-Verifikation und koordinierte Offenlegung einer Schwachstellenmeldung.
Ist eine CVD-Meldung ein Angriff?
Nein. Angriffsforensik und kooperative Schwachstellenmeldung sind getrennte Prozesse und getrennte Ereignismodelle.
Ist die CVD-Infrastruktur vom BSI zertifiziert?
Nein. Sie ist an den CVD-Grundsätzen des BSI ausgerichtet. Daraus folgt keine Prüfung, Zertifizierung, Anerkennung oder Konformitätsbescheinigung durch das BSI.
Was ist extern überprüfbar?
Die Architektur trennt Eingangsbeleg, kanonischen Submission Hash, Policy- und Receipt-Version, Transition-Autorität und unveränderliche Zustandsfolge. Welche Artefakte öffentlich freigegeben werden, bleibt eine getrennte Disclosure-Entscheidung.