Hinweis zur Meldung von Produktsicherheitslücken

Einleitung

Wir verpflichten uns, die Sicherheit, den Schutz und die Zuverlässigkeit unserer Produkte, Lösungen und Dienstleistungen zu gewährleisten.Wir begrüßen Meldungen von Kunden, Sicherheitsforschern, Partnern, Lieferanten und anderen externen Parteien, die potenzielle Sicherheitslücken in unseren Produkten oder damit verbundenen Dienstleistungen identifizieren. Eine verantwortungsvolle Meldung hilft uns dabei, Sicherheitsprobleme zeitnah zu untersuchen, zu bewerten und zu beheben.Diese Richtlinie zur Meldung von Sicherheitslücken erläutert, wie eine potenzielle Sicherheitslücke gemeldet werden kann, welche Informationen eine Meldung enthalten sollte und wie wir mit Ihrer Meldung umgehen.Wir betreiben kein Bug-Bounty-Programm und bieten keine finanziellen Belohnungen für die Meldung von Sicherheitslücken an.

Vorfall im Zusammenhang mit einer Sicherheitslücke melden

Geltungsbereich

Diese Richtlinie gilt für potenzielle Cybersicherheitslücken, die unsere Produkte und deren zugehörige digitale Komponenten betreffen, einschließlich Software, Firmware und Hardware.Diese Richtlinie berechtigt nicht zu Sicherheitstests, Penetrationstests, Scans oder anderen Aktivitäten, die den Betrieb beeinträchtigen könnten, indem sie die Vertraulichkeit, Integrität oder Verfügbarkeit unserer Produkte, Dienstleistungen, Systeme, Kunden oder Daten gefährden.

Wie können Sie uns kontaktieren?

Wenn Sie glauben, eine Sicherheitslücke in einem unserer Produkte oder einer unserer Dienstleistungen entdeckt zu haben, reichen Sie bitte eine Meldung über das auf dieser Seite verfügbare Meldeformular ein. Ein Mitglied unseres Product Security Incident Response Teams (PSIRT) kann Sie kontaktieren, wenn zusätzliche Informationen erforderlich sind oder um Sie über den Status Ihrer Meldung zu informieren.Wir sind bestrebt, den Eingang von Meldungen innerhalb eines angemessenen Zeitraums zu bestätigen und die meldende Person während des Untersuchungsprozesses nach Möglichkeit auf dem Laufenden zu halten.

Welche Informationen sollte die Meldung enthalten?

Kontaktinformationen: Ihr Name, Ihre E-Mail-Adresse, Ihre Telefonnummer (optional) sowie Ihre Organisation bzw. Ihr Unternehmen (falls zutreffend).Art der Meldung: Wählen Sie je nach dem Sachverhalt, den Sie melden möchten, zwischen „Sicherheitslücke“ und „Sicherheitsvorfall“.

Betroffenes Produkt oder betroffene Dienstleistung: Name des Produkts oder der Dienstleistung sowie, sofern verfügbar, Produktnummer, SKU oder Seriennummer der Maschine.

Beschreibung: Eine detaillierte Beschreibung der identifizierten potenziellen Sicherheitslücke. Geben Sie nach Möglichkeit technische Details zum Problem, die zur Reproduktion der Sicherheitslücke erforderlichen Schritte, die Voraussetzungen für eine mögliche Ausnutzung sowie die potenziellen Auswirkungen der Sicherheitslücke an.

Anhänge: Stellen Sie nach Möglichkeit unterstützende Informationen wie Screenshots, Protokolldateien, Netzwerk-Traces, Proof-of-Concept-Code oder andere relevante Dokumentationen zur Verfügung.

Bitte übermitteln Sie mit dieser ersten Meldung keine personenbezogenen Daten oder andere sensible Informationen, es sei denn, Sie halten diese im Zusammenhang mit der Erläuterung der potenziellen Sicherheitslücke in dieser Erstmeldung für erforderlich. Sollte ein sicherer Austausch sensibler Dateien notwendig sein, wird das PSIRT-Team eine sichere Umgebung für den weiteren Informationsaustausch einrichten.

Wie gehen wir mit Ihrer Meldung um?

Eingangsbestätigung

Upon receipt of a Report submission, you will receive an automated email confirmation acknowledging that the report has been successfully submitted.

Untersuchung

Die gemeldete Sicherheitslücke wird von den zuständigen Teams innerhalb unserer Organisation untersucht. Abhängig von der Art des Problems können dabei Produktsicherheitsspezialisten, Entwicklungsteams, Product Owner sowie gegebenenfalls Datenschutz- und Datensicherheitsexperten einbezogen werden.Wir kontaktieren die meldende Person, falls zusätzliche Informationen zur Unterstützung der Untersuchung erforderlich sind.

Kommunikation

Das PSIRT-Team hält die meldende Person über den Status der Untersuchung und die ergriffenen Maßnahmen auf dem Laufenden.

Lösung

Das Ergebnis der Untersuchung sowie etwaige Abhilfemaßnahmen werden der meldenden Person und, sofern zutreffend, den zuständigen Behörden, betroffenen Nutzern und anderen relevanten Interessengruppen mitgeteilt.Wenn wir Kenntnis von einer aktiv ausgenutzten Sicherheitslücke oder einem schwerwiegenden Sicherheitsvorfall erhalten, der die Sicherheit eines Produkts betrifft, informieren wir die betroffenen Nutzer und gegebenenfalls alle Nutzer des betroffenen Produkts über die Sicherheitslücke bzw. den Vorfall sowie über mögliche Maßnahmen zur Risikominderung oder Fehlerbehebung.

Erwartungen an eine verantwortungsvolle Meldung

Wir bitten meldende Personen, bei der Meldung potenzieller Sicherheitslücken verantwortungsbewusst und nach Treu und Glauben zu handeln. Insbesondere bitten wir Sie darum:

• Maßnahmen zu vermeiden, die sich negativ auf Kunden, Produkte, Dienstleistungen oder Geschäftsabläufe auswirken könnten.

• Nicht absichtlich auf Daten zuzugreifen, diese zu verändern, zu kopieren, zu löschen oder offenzulegen, wenn diese nicht Ihnen gehören.

• Nicht zu versuchen, die Verfügbarkeit von Produkten, Systemen oder Dienstleistungen zu beeinträchtigen.

• Mit uns während des Untersuchungs- und Behebungsprozesses zusammenzuarbeiten, sofern Rückfragen oder zusätzliche Informationen erforderlich sind.

Koordinierte Offenlegung

Wir bitten meldende Personen, Details zu einer Sicherheitslücke nicht öffentlich bekannt zu geben, bevor wir unsere interne Untersuchung und die erforderlichen Behebungsmaßnahmen abschließen konnten, es sei denn, es wurde im gegenseitigen Einvernehmen ein Veröffentlichungsdatum vereinbart.

Gegebenenfalls veröffentlichen wir Sicherheitsempfehlungen, Patch Notes oder andere Mitteilungen, um Kunden über identifizierte Sicherheitslücken und verfügbare Maßnahmen zur Behebung zu informieren.e request that reporters do not publicly disclose details of a vulnerability until, we have been able to complete our internal investigation and remediation activities, unless a mutually agreed disclosure date has been established.
Where appropriate, we may publish security recommendations, patch notes, or other communications to inform customers about identified vulnerabilities and available remediation measures.

Safe Harbor

Datenschutz

Wir verarbeiten personenbezogene Daten, die im Rahmen von Meldungen zu Sicherheitslücken bereitgestellt werden, ausschließlich zum Zweck der Entgegennahme, Untersuchung, Koordinierung und Behebung gemeldeter Sicherheitslücken sowie zur Kommunikation mit den meldenden Personen.

Bei Fragen zum Datenschutz oder wenn Sie mehr darüber erfahren möchten, wie wir personenbezogene Daten verarbeiten und welche Datenschutzrechte Sie haben, lesen Sie bitte unsere Datenschutzerklärung.