Sicherheit & Schwachstellen-Offenlegung (CVD)
Sicherheit & Schwachstellen-Offenlegung (CVD)
Wir nehmen die Sicherheit unserer Systeme und Produkte sowie den Schutz der Daten unserer Kunden und Partner sehr ernst. Wenn Sie eine mögliche Sicherheitslücke entdecken, bitten wir Sie um eine Meldung im Rahmen unserer Richtlinie zur koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD). Ihre Hinweise helfen uns, Risiken zu untersuchen und Sicherheitslücken gezielt zu schließen.
Unsere Richtlinien für Sicherheitstests
Wir schätzen den Beitrag unabhängiger Sicherheitsforschender. Bitte beachten Sie bei Ihren Untersuchungen die folgenden Regeln:
- Daten schützen: Greifen Sie nicht auf fremde Nutzerdaten zu. Löschen, verändern oder beschädigen Sie keine Daten.
- Den Betrieb aufrechterhalten: Unterlassen Sie Denial-of-Service-Angriffe (DoS/DDoS) sowie physische Tests, die den laufenden Betrieb beeinträchtigen.
- Keine Erpressung: Verknüpfen Sie Ihre Meldung nicht mit finanziellen Forderungen.
- Vertraulichkeit wahren: Räumen Sie uns angemessene Zeit zur Behebung ein, bevor Sie Informationen über die Schwachstelle veröffentlichen.
Unsere Zusagen: Safe Harbor
Wenn Sie die genannten Regeln bei Ihrer Untersuchung und Meldung einhalten, sichern wir Ihnen Folgendes zu:
- Rechtssicherheit: Wir betrachten Ihre Handlung als autorisiert und werden keine rechtlichen Schritte gegen Sie einleiten.
- Zeitnahe Eingangsbestätigung: Wir bestätigen den Erhalt Ihrer Meldung zeitnah. Bei kritischen Sicherheitslücken, die bereits aktiv ausgenutzt werden, erfolgt dies meist innerhalb von 24 Stunden.
- Transparente Kommunikation: Wir informieren Sie über den Fortschritt bei der Behebung.
Welche Angaben uns bei der Untersuchung helfen
Je genauer Sie Ihre Beobachtungen dokumentieren, desto gezielter können wir die mögliche Sicherheitslücke prüfen. Bitte übermitteln Sie uns, soweit für Ihren Fund relevant und verfügbar, die folgenden Angaben:
- Betroffener Gegenstand: Benennen Sie das betroffene Produkt oder die betroffene Komponente aus unserem Verantwortungsbereich. Geben Sie auch die eingesetzte Firmware- oder Softwareversion an.
- Technischer Befund: Erläutern Sie die vermutete Schwachstelle, ihre Ursache und die von Ihnen festgestellten Auswirkungen auf die Sicherheit.
- Nachvollziehbarer Ablauf: Beschreiben Sie die einzelnen Schritte so präzise, dass sich das Verhalten unabhängig nachstellen und überprüfen lässt.
- Erforderliche Voraussetzungen: Nennen Sie besondere Einstellungen, Einsatzbedingungen, Berechtigungen oder Anmeldeanforderungen, die für die Reproduktion erforderlich sind. Führen Sie auch weitere notwendige Rahmenbedingungen auf.
- Mögliches Schadensausmaß: Beschreiben Sie, welche Werte, Daten, Systeme oder Personen bei einer erfolgreichen Ausnutzung betroffen wären und welche Zugriffsmöglichkeiten Angreifende dadurch erhalten könnten.
- Praktische Belege: Ergänzen Sie Ihre Meldung nach Möglichkeit um einen Proof of Concept, einen Testfall, Screenshots, Protokolldateien oder Exploit-Code, der die Schwachstelle nachweist.
- Ergänzende Untersuchungsergebnisse: Stellen Sie weitere technische Einzelheiten, Indikatoren, Protokolle oder sonstige Nachweise bereit, die uns bei der Bestätigung und Bewertung Ihres Fundes unterstützen.
Welche Meldungen üblicherweise nicht unter diesen Prozess fallen
Der Prozess zur koordinierten Offenlegung ist grundsätzlich nicht für die nachstehenden Sachverhalte vorgesehen:
- Bereits bekannte oder behobene Sicherheitslücken: Hierzu zählen Schwachstellen, die bereits veröffentlicht wurden, eine CVE-Nummer erhalten haben oder durch ein Sicherheitsupdate beziehungsweise eine andere Maßnahme behoben wurden. Eine erneute Meldung ist jedoch relevant, wenn sie wesentliche neue Erkenntnisse liefert, bisher unbekannte Sicherheitsfolgen aufzeigt oder belegt, dass die bisherige Behebung unvollständig oder unwirksam ist.
- Produkte und Versionen außerhalb des Supports: Nicht erfasst sind Schwachstellen in Produkten, Software, Dienstleistungen oder Versionen, deren Lebenszyklus beendet ist oder für die wir keine Unterstützung mehr anbieten.
- Durch empfohlene Versionswechsel behobene Probleme: Ausgenommen sind Meldungen zu älteren Versionen, wenn wir bereits ein Upgrade oder eine Migration auf eine unterstützte Version empfohlen haben und die gemeldete Schwachstelle dort behoben ist.
- Hinweise ohne relevante Sicherheitsfolgen: Dazu gehören ausschließlich informative Feststellungen, allgemeine Empfehlungen zur Absicherung und Schwächen, die sich in der betroffenen Umgebung nicht sinnvoll ausnutzen lassen.
- Angriffe auf Personen ohne zugrunde liegende Produktlücke: Vorfälle, die überwiegend Social Engineering, Phishing, Spam oder Angriffe auf unsere Mitarbeitenden, unsere Kundschaft oder andere Dritte betreffen, fallen nicht unter diesen Prozess, sofern ihnen keine Schwachstelle in einem unserer Produkte oder einer unserer Dienstleistungen zugrunde liegt.
- Unzureichend belegte Ergebnisse automatisierter Prüfungen: Reine Ausgaben automatisierter Scan-Werkzeuge reichen nicht aus, wenn die enthaltenen Angaben keine Reproduktion oder zuverlässige Überprüfung des Problems ermöglichen.
- Angebote Dritter außerhalb unseres Verantwortungsbereichs: Schwachstellen in fremden Produkten oder Dienstleistungen sind ausgeschlossen, wenn wir diese weder entwickeln noch warten, vertreiben oder betreiben. Bitte wenden Sie sich in solchen Fällen an den zuständigen Hersteller oder Dienstleister.
Rechtliche Rahmenbedingungen
Diese Richtlinie orientiert sich an den gesetzlichen Vorgaben zur Cybersicherheit, insbesondere im Hinblick auf das BSI-Gesetz (NIS2), den Cyber Resilience Act (CRA) und die Datenschutz-Grundverordnung (DSGVO). Unser Prozess gewährleistet, dass Ihre Meldung sicher, vertraulich und nachvollziehbar bearbeitet wird.
Schwachstelle gefunden?
Bitte senden Sie uns eine E-Mail mit den Einzelheiten zu Ihrer Entdeckung. Orientieren Sie sich dabei möglichst an den oben aufgeführten Angaben.
E-Mail-Adresse:
Weitere Informationen finden Sie in unserer maschinenlesbaren security.txt nach RFC 9116 .