Meldung von Schwachstellen

Falls Sie Schwachstellen in unseren Produkten gefunden haben, so wenden Sie sich bitte vertrauensvoll an uns. Jede gemeldete Schwachstelle wird von uns gemäß der CRA-Verordnung unverzüglich bearbeitet.

Es besteht auch die Möglichkeit, eine Schwachstelle über die zentrale EU-Meldeplattform (Single Reporting Platform) der ENISA zu melden:

https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp

Bevor Sie uns eine Schwachstelle melden, bitten wir Sie, die folgenden Punkte zu prüfen:

1. Fällt die gefundene Schwachstelle in den Zuständigkeitsbereich unseres Unternehmens (d. h. die Schwachstelle wird nicht durch eine eingebundene Bibliothek eines Dritten ausgelöst)?

2. Wurde unsere CVD-Richtlinie von Ihnen eingehalten?

Wenn Sie beide Fragen mit Ja beantwortet haben, können Sie sich gerne über die folgende E-Mail-Adresse an uns wenden: report-vulnerabilities@resol.de

Formatvorlage zum CVD-Verfahren

Im Folgenden finden Sie unsere Formatvorlage zur einheitlichen Meldung einer Schwachstelle in einem unserer Produkte. Je ausführlicher Ihre Meldung ist, desto besser und schneller können wir die Schwachstelle identifizieren, bearbeiten und beheben. Wir bitten Sie daher, sich so gut wie möglich an diese Formatvorlage zu halten:

1. Bezeichnung der Schwachstelle (z. B. SQL-Injection, XSS, o. ä.)

   ➔ Wenn möglich, verwenden Sie hierfür eine CWE-Nummer.

2. Sachverhalt zur Schwachstelle (kurze Beschreibung)

3. Betroffenes Produkt

   ➔ Produkttyp und Seriennummer (Angaben auf dem Typenschild zu finden)

4. Umfassende Beschreibung der Schwachstelle (inkl. technischer Details)

   ➔ Verwenden Sie hierfür bitte zusätzlich eine CVSS-Berechnung der Schwachstelle (siehe https://www.first.org/cvss/calculator) und fügen Sie diese Informationen der Meldung bei.

5. Wenn vorhanden, ein “Proof of Concept”

6. Wenn bekannt, mögliche Gegenmaßnahmen

7. Ihre Kontaktdaten

Hinweis:

Die CWE-Nummer (Common Weakness Enumeration) beschreibt die Art der Schwachstelle (die Ursache). CWE ist ein formalisiertes Wörterbuch für Software- und Hardware-Schachstellen, das von der MITRE Corporation gepflegt wird.

CVD-Richtlinie (Coordinated Vulnerability Disclosure)

Wir versprechen Ihnen, jeden Schwachstellenbericht vertraulich zu behandeln. Personenbezogene Daten werden nicht ohne Ihre Zustimmung an Dritte weitergegeben.

Sobald Sie Ihre E-Mail mit der Schwachstellenmeldung an uns gesendet haben, werden Sie dazu eine Bestätigung von uns erhalten. Danach erhalten Sie so schnell wie möglich Informationen über den geplanten Zeitpunkt der möglichen Behebung der Schwachstelle. Gerne können wir dann noch weitere Maßnahmen mit Ihnen abstimmen. Bitte achten Sie darauf, dass gültige Kontaktdaten hinterlegt werden, damit wir Sie im Falle von Rückfragen kontaktieren können. Gerade bei komplexen Schwachstellen ist es nicht auszuschließen, dass wir weitere Erklärungen und Dokumentationen benötigen. Falls Sie anonym bleiben wollen, so können Sie auch gerne einen Alias angeben.

Alle uns bekannten Schwachstellen werden auf unserer Webseite veröffentlicht. Wenn es von Ihnen gewünscht ist, veröffentlichen wir Ihren Namen oder Alias zusammen mit der von Ihnen gemeldeten Schwachstelle. Dadurch möchten wir Ihnen danken und die gute Zusammenarbeit öffentlich zum Ausdruck bringen. Wir erwarten von Ihnen, dass es sich bei der Schwachstellenmeldung nicht um Ergebnisse aus automatisierten Tools oder Scans ohne erklärende Dokumentation oder um bereits behobene Schwachstellen handelt. Diese stellen keine gültigen Schwachstellenmeldungen dar und werden daher nicht auf unserer Webseite veröffentlicht.

Solange Ihrerseits die Richtlinien und Grundsätze eingehalten werden, werden keine strafrechtlichen Schritte gegen Sie unternommen. Dies gilt nicht, wenn folgende erkennbare kriminelle Absichten verfolgt wurden oder werden:

• Die gefundene Schwachstelle wurde ausgenutzt. Das heißt zum Beispiel, es wurden Daten heruntergeladen, verändert oder entfernt oder es wurde eigener Programmcode hochgeladen oder in Systemen hinterlegt.

• Es wurden Angriffe (wie z. B. Social-Engineering- (z. B. Phishing), Spam-, (Distributed) DoS- - Angriffe etc.) gegen unsere IT-Systeme, unsere Infrastruktur oder Systeme unserer Kunden/-innen durchgeführt. Hierzu gehört auch die Manipulation oder Kompromittierung von Kundensystemen.

• Es wurde auf ein angreifbares System mehrfach zugegriffen.

• Es hat eine Informationsweitergabe der Schwachstelle an Dritte, ohne unsere explizite Freigabe, stattgefunden.