Sicherheitslücke melden

Über diesen Kanal können insbesondere mögliche Sicherheitslücken gemeldet werden, die folgende Bereiche betreffen:

• SmarAct Produkte mit digitalen Elementen
• Firmware und eingebettete Software
• von SmarAct bereitgestellte PC- oder Steuerungssoftware
• Kommunikationsschnittstellen und Netzwerkprotokolle
• APIs und Software-Schnittstellen
• Update- und Upgrade-Mechanismen
• Authentifizierungs- und Zugriffskontrollmechanismen
• mit unseren Produkten ausgelieferte oder in diese integrierte Softwarekomponenten

Auch Hinweise auf Schwachstellen in Drittanbieter- oder Open-Source-Komponenten, die Bestandteil eines SmarAct Produkts sind, können über diesen Kanal gemeldet werden.

Nicht für diesen Kanal vorgesehen sind allgemeine technische Supportanfragen, Funktionswünsche oder Produktfehler ohne erkennbaren Sicherheitsbezug. Nutzen Sie hierfür bitte unseren regulären Support.

Je genauer Ihre Angaben sind, desto schneller können wir die mögliche Schwachstelle untersuchen. Bitte übermitteln Sie nach Möglichkeit folgende Informationen:

• Produktname und genaue Produktbezeichnung
• Artikelnummer oder Modell, sofern relevant
• Hardware-Version
• Firmware- oder Software-Version
• Beschreibung der vermuteten Schwachstelle
• Schritte zur Reproduktion
• erforderliche Voraussetzungen für eine erfolgreiche Ausnutzung
• mögliche Auswirkungen einer erfolgreichen Ausnutzung
• Proof of Concept, sofern vorhanden
• relevante Logs, Screenshots oder Netzwerkaufzeichnungen
• Informationen dazu, ob die Schwachstelle bereits öffentlich bekannt ist
• Informationen dazu, ob Ihnen eine tatsächliche oder vermutete aktive Ausnutzung bekannt ist

Bitte übermitteln Sie keine personenbezogenen Daten oder vertraulichen Informationen Dritter, sofern diese für die Untersuchung der Schwachstelle nicht zwingend erforderlich sind.

Nach Eingang einer Meldung führen wir eine erste Prüfung und Bewertung durch. Unser Prozess umfasst typischerweise:

1. Eingangsbestätigung – Wir bestätigen den Eingang Ihrer Meldung nach Möglichkeit innerhalb von 2 Arbeitstagen.
2. Erste Bewertung – Wir prüfen die gemeldete Schwachstelle hinsichtlich Reproduzierbarkeit, betroffener Produkte, möglicher Auswirkungen und Kritikalität.
3. Technische Analyse – Falls erforderlich, kontaktieren wir Sie für zusätzliche Informationen.
4. Risikobewertung – Wir bewerten das mit der Schwachstelle verbundene Cybersicherheitsrisiko und prüfen gegebenenfalls regulatorische Meldepflichten.
5. Behebung – Sofern erforderlich, entwickeln und validieren wir geeignete Abhilfemaßnahmen, beispielsweise ein Firmware- oder Software-Update.
6. Koordinierte Offenlegung – Eine öffentliche Bekanntgabe der Schwachstelle wird, soweit möglich und angemessen, zwischen SmarAct und der meldenden Person koordiniert.

Die für Analyse und Behebung erforderliche Zeit hängt insbesondere von Komplexität, Kritikalität und Umfang der betroffenen Produkte ab.

SmarAct verfolgt einen Ansatz der koordinierten Offenlegung von Schwachstellen. Wir bitten Sicherheitsforschende und andere meldende Personen, uns angemessen Zeit für Untersuchung und Behebung einer gemeldeten Schwachstelle zu geben, bevor technische Details öffentlich bekannt gegeben werden.

Wir bitten Sie insbesondere:

• die Schwachstelle so früh wie möglich an uns zu melden;
• Informationen über die Schwachstelle bis zur abgestimmten Veröffentlichung vertraulich zu behandeln;
• nur Untersuchungen durchzuführen, die zur Verifizierung der Schwachstelle erforderlich sind;
• Beeinträchtigungen der Verfügbarkeit oder Funktionsfähigkeit von Produkten, Systemen oder Diensten zu vermeiden;
• nicht auf Daten Dritter zuzugreifen, diese zu verändern, zu löschen oder weiterzugeben;
• keine Social-Engineering-, Phishing- oder vergleichbaren Angriffe durchzuführen;
• keine Denial-of-Service- oder Belastungstests gegen produktiv genutzte Systeme durchzuführen;
• keine Schwachstelle aktiv auszunutzen, die über den zur Verifizierung erforderlichen Umfang hinausgeht;
• uns unverzüglich zu informieren, falls während der Untersuchung unbeabsichtigt auf vertrauliche Informationen oder personenbezogene Daten zugegriffen wurde.

Unser Umgang mit verantwortungsvoller Sicherheitsforschung

Wenn Sicherheitsforschende in gutem Glauben, verantwortungsvoll und im Rahmen dieser Richtlinie handeln, werden wir dies bei der Bearbeitung ihrer Meldung berücksichtigen.

SmarAct beabsichtigt nicht, rechtliche Schritte gegen Personen einzuleiten, die Sicherheitsuntersuchungen in gutem Glauben, innerhalb des beschriebenen Rahmens und ohne Schädigungsabsicht durchführen und kritische Ergebnisse anschließend melden.

Diese Erklärung stellt keine uneingeschränkte Genehmigung zum Zugriff auf Systeme, Daten oder Produkte Dritter dar und begründet keine Freistellung von gesetzlichen Verpflichtungen.

Soweit dies aufgrund der Art und Kritikalität einer Schwachstelle angemessen oder regulatorisch erforderlich ist, kann SmarAct Informationen über behobene Schwachstellen in Form eines Security Advisory veröffentlichen. Ein Security Advisory kann insbesondere folgende Informationen enthalten:

• betroffene Produkte
• betroffene Software- oder Firmware-Versionen
• Beschreibung der Schwachstelle
• mögliche Auswirkungen
• Schweregrad
• CVE-Kennung, sofern vorhanden
• verfügbare Abhilfemaßnahmen
• behobene Software- oder Firmware-Version
• empfohlene Maßnahmen für Anwender

Auf Wunsch und sofern dies mit der meldenden Person abgestimmt wurde, können wir Sicherheitsforschende in einem veröffentlichten Security Advisory namentlich erwähnen. Eine anonyme oder pseudonyme Meldung ist ebenfalls möglich.

Personenbezogene Daten, die im Zusammenhang mit einer Schwachstellenmeldung übermittelt werden, verarbeiten wir ausschließlich, soweit dies für die Bearbeitung, Kommunikation, Dokumentation und Erfüllung gesetzlicher Verpflichtungen erforderlich ist. Weitere Informationen finden Sie in unserer Datenschutzerklärung.