Richtlinie zur Meldung von Sicherheitslücken
Meldung von Sicherheitslücken
Die Sicherheit unserer Maschinen, Steuerungen, Softwareprodukte und digitalen Komponenten hat für uns einen hohen Stellenwert.
Wir nehmen Hinweise auf mögliche Sicherheitslücken entgegen und bearbeiten diese in einem definierten Prozess durch unser PSIRT (Product Security Incident Response Team – Team zur Reaktion auf Produktsicherheitsvorfälle).
Diese Richtlinie gilt für die von uns bereitgestellten Produkte mit digitalen Elementen, insbesondere während des jeweils geltenden Unterstützungszeitraums.
Meldung einer Sicherheitslücke
Sicherheitslücken können von Kunden, Sicherheitsforschern, Lieferanten und anderen Dritten gemeldet werden.
Kontakt:
E-Mail: product-security(at)dorst.de
Meldungen können in deutscher oder englischer Sprache erfolgen. Auch anonyme Meldungen werden entgegengenommen.
Eine NDA (Non-Disclosure Agreement – Vertraulichkeitsvereinbarung) ist für die Meldung einer Sicherheitslücke nicht erforderlich.
Welche Informationen sollte eine Meldung enthalten?
Eine Meldung über eine Sicherheitslücke sollte – soweit möglich – folgende Informationen enthalten:
- betroffenes Produkt, betroffene Maschine oder Komponente
- Produkt-, Software- oder Firmware-Version
- Beschreibung der Sicherheitslücke
- mögliche Auswirkungen
- technische Nachweise, beispielsweise Screenshots, Logdateien oder ein PoC (Proof of Concept – Machbarkeitsnachweis)
- Information darüber, ob die Sicherheitslücke bereits öffentlich bekannt gemacht wurde
- Kontaktdaten für Rückfragen
Koordinierte Offenlegung von Sicherheitslücken (CVD)
Wir unterstützen die koordinierte Offenlegung von Sicherheitslücken nach den Grundsätzen der CVD (Coordinated Vulnerability Disclosure – koordinierte Offenlegung von Sicherheitslücken).
Wir bitten Meldende insbesondere darum:
- nur solche Tests durchzuführen, die erforderlich sind, um die Sicherheitslücke nachzuweisen,
- nicht auf Daten Dritter zuzugreifen und diese nicht zu kopieren, zu verändern oder zu löschen,
- Maschinen, industrielle Anlagen oder Dienste nicht zu beeinträchtigen,
- Sicherheitsmechanismen nicht unnötig zu umgehen,
- die Sicherheit von Personen, Maschinen oder industriellen Anlagen nicht zu gefährden und
- Informationen über die Sicherheitslücke vertraulich zu behandeln, bis eine koordinierte Offenlegung erfolgt ist.
Tests an Maschinen oder industriellen Anlagen, die von unseren Kunden betrieben werden, sind ausschließlich mit Zustimmung des jeweiligen Betreibers zulässig.
Die Meldung einer Sicherheitslücke an uns stellt keine Genehmigung zur Durchführung von Penetrationstests an Kundenanlagen oder Systemen Dritter dar.
Wir beabsichtigen nicht, allein aufgrund verantwortungsvoller Sicherheitsforschung rechtliche Schritte gegen Personen einzuleiten, die nach Treu und Glauben handeln, diese Grundsätze beachten und die geltenden gesetzlichen Vorschriften einhalten.
Wie wir Meldungen zu Sicherheitslücken bearbeiten
Unser PSIRT (Product Security Incident Response Team – Team zur Reaktion auf Produktsicherheitsvorfälle) bearbeitet Meldungen über Sicherheitslücken in einem definierten Prozess.
1. Eingang
Wir erfassen die Meldung über die Sicherheitslücke und bestätigen deren Eingang.
2. Analyse
Wir analysieren die gemeldete Sicherheitslücke, identifizieren das betroffene Produkt beziehungsweise die betroffenen Produkte mit digitalen Elementen und bewerten die möglichen Auswirkungen.
Falls erforderlich, kontaktieren wir den Meldenden, um zusätzliche Informationen einzuholen.
3. Behebung
Gemeinsam mit den zuständigen Produkt- und Entwicklungsteams bewerten wir geeignete Behebungs- oder Risikominderungsmaßnahmen.
Diese können beispielsweise umfassen:
- ein Sicherheitsupdate oder einen Patch,
- eine Konfigurationsänderung,
- eine Umgehungslösung (Workaround) oder
- zusätzliche Schutz- oder Risikominderungsmaßnahmen.
4. Veröffentlichung
Soweit erforderlich und angemessen, informieren wir über behobene Sicherheitslücken und notwendige Maßnahmen für unsere Kunden über unsere Security Advisories (Sicherheitsmeldungen).
Security Advisories (Sicherheitsmeldungen):
Security Advisories können Informationen zu betroffenen Produkten und Versionen, möglichen Auswirkungen einer Sicherheitslücke, verfügbaren Sicherheitsupdates, Patches, Umgehungslösungen oder Risikominderungsmaßnahmen enthalten.
Die Veröffentlichung erfolgt mit dem Ziel, Risiken für Kunden, Maschinen und industrielle Anlagen zu minimieren.
Gesetzliche Meldepflichten
Soweit gesetzlich erforderlich, erfüllen wir unsere Meldepflichten gemäß dem CRA (Cyber Resilience Act – Verordnung (EU) 2024/2847).
Insbesondere werden bei Vorliegen der jeweiligen gesetzlichen Voraussetzungen aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit von Produkten mit digitalen Elementen über die jeweils vorgesehenen Meldewege gemeldet, einschließlich der ENISA (European Union Agency for Cybersecurity – Agentur der Europäischen Union für Cybersicherheit) Single Reporting Platform (SRP – zentrale Meldeplattform).
Die gesetzlich vorgeschriebene Meldung an die zuständigen Behörden und die Veröffentlichung eines Security Advisory sind voneinander getrennte Prozesse und jeweils unabhängig zu bewerten.
Vertraulichkeit und Datenschutz
Meldungen über Sicherheitslücken werden vertraulich behandelt.
Personenbezogene Daten werden nur in dem Umfang verarbeitet und weitergegeben, wie dies für die Bearbeitung der Sicherheitslücke erforderlich oder aufgrund geltender gesetzlicher Vorschriften vorgeschrieben ist.
Kein Bug-Bounty-Programm
Sofern nicht ausdrücklich anders angegeben, betreiben wir kein Bug-Bounty-Programm (Programm zur Vergütung qualifizierter Meldungen von Sicherheitslücken).
Aus der Meldung einer Sicherheitslücke entsteht daher grundsätzlich kein Anspruch auf finanzielle Vergütung, Belohnungen oder sonstige Gegenleistungen.
