Zweck
Exentec verpflichtet sich, die Sicherheit, Betriebssicherheit und Cyberresilienz seiner Produkte mit digitalen Elementen aufrechtzuerhalten.
Diese Richtlinie zur koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD) erläutert, wie Sicherheitsforscher, Kunden, Partner und andere Dritte Schwachstellen an Exentec melden können und wie wir diese behandeln, beheben und offenlegen.
Diese Richtlinie unterstützt Exentecs Prozess zum Umgang mit Schwachstellen und seine Verpflichtungen gemäß den geltenden Cybersicherheitsgesetzen, einschließlich der Verordnung (EU) 2024/2847 (Cyber Resilience Act).
Geltungsbereich
Diese Richtlinie gilt für vermutete Sicherheitslücken, die Exentec-Produkte mit digitalen Elementen betreffen, einschließlich Firmware, Software, eingebetteter Komponenten und gegebenenfalls digitaler Dienste, die erforderlich sind, damit ein Produkt seine vorgesehenen Funktionen erfüllen kann.
Vom Geltungsbereich ausgeschlossen sind:
- Physische Sicherheitslücken ohne Auswirkungen auf die Cybersicherheit
- Drittanbieterdienste, die nicht der Kontrolle von Exentec unterliegen
- Social Engineering, Phishing, Spam oder physische Angriffe
- Denial-of-Service-Tests, Lasttests oder störende Aktivitäten
Bezieht sich ein gemeldetes Problem auf eine Drittanbieterkomponente, die in ein Exentec-Produkt eingebettet ist, kann Exentec den Bericht bewerten und ihn gegebenenfalls mit dem relevanten Lieferanten oder Maintainer koordinieren.
So melden Sie eine Schwachstelle
Bitte melden Sie vermutete Schwachstellen per E-Mail an Exentec:
E-Mail: security@exentec.net
Berichte sollten nach Möglichkeit in englischer Sprache eingereicht werden.
Exentec behandelt Schwachstellenmeldungen und die damit verbundene Kommunikation vertraulich und verarbeitet Informationen in Übereinstimmung mit den geltenden rechtlichen, regulatorischen, vertraglichen und datenschutzrechtlichen Verpflichtungen.
Bitte melden Sie Sicherheitslücken nicht über öffentliche Foren oder soziale Medien.
Informationen, die Ihr Bericht enthalten sollte
Bitte fügen Sie so viele der folgenden Informationen wie möglich bei:
- Betroffenes Produkt, einschließlich Modell, Firmware- oder Softwareversion und Konfigurationsdetails, sofern verfügbar
- Beschreibung der Schwachstelle, einschließlich möglicher Auswirkungen und einer Schritt-für-Schritt-Anleitung zur Reproduktion
- Unterstützende Informationen, wie Proof-of-Concept-Code, Protokolle, Traces oder andere technische Nachweise
- Öffentliche Referenzen, falls vorhanden. Bitte geben Sie an, ob die Schwachstelle bereits öffentlich offengelegt wurde oder aktiv ausgenutzt wird
Ihre Kontaktdaten (optional)
So bearbeitet Exentec Schwachstellenmeldungen
Exentec betreibt einen Prozess zur koordinierten Offenlegung von Schwachstellen, der verantwortungsvolle Meldungen, zeitnahe Behebung, Risikoreduzierung und angemessene öffentliche Offenlegung unterstützen soll.
Gegebenenfalls kann Exentec:
- den Eingang der Meldung bestätigen
- die Schwachstelle validieren und bewerten
- den Schweregrad und die potenziellen Auswirkungen bestimmen
- Korrektur- oder Minderungsmaßnahmen entwickeln
- mit betroffenen Lieferanten, Maintainern oder Partnern koordinieren
gegebenenfalls eine Sicherheitswarnung veröffentlichen
Exentec kann während des Bewertungs- und Behebungsprozesses mit der meldenden Person kommunizieren, wenn zusätzliche Informationen oder Klarstellungen erforderlich sind.
Sicherheitswarnungen können betroffene Produkte, den Schweregrad, die CVE-Kennung, Hinweise zur Behebung, behobene Versionen sowie eine Danksagung an die meldende Person enthalten, sofern dies vereinbart wurde.
Meldepflichten nach dem EU Cyber Resilience Act
Soweit nach der Verordnung (EU) 2024/2847 (Cyber Resilience Act) erforderlich, wird Exentec aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die Produkte mit digitalen Elementen betreffen, innerhalb der geltenden gesetzlichen Fristen an das benannte CSIRT und die ENISA melden.
Safe Harbour
Exentec begrüßt und unterstützt verantwortungsvolle Sicherheitsforschung.
Exentec beabsichtigt nicht, rechtliche Schritte gegen Personen einzuleiten, die in gutem Glauben handeln, diese Richtlinie einhalten, Schäden für Nutzer und Systeme vermeiden und Exentec eine angemessene Gelegenheit geben, gemeldete Schwachstellen vor einer öffentlichen Offenlegung zu untersuchen und zu beheben.
Dieser Safe Harbour gilt nur für rechtmäßige, verantwortungsvolle und nicht störende Sicherheitsforschung und gilt nicht für Aktivitäten, die rechtswidrig, böswillig, fahrlässig, irreführend oder schädlich sind.
Koordination der Lieferkette
Wenn eine Schwachstelle eine Drittanbieter- oder Open-Source-Komponente betrifft, die in einem Exentec-Produkt verwendet wird, kann Exentec die Behebungs- und Offenlegungsaktivitäten mit dem relevanten Lieferanten, Maintainer, Hersteller oder Upstream-Projekt koordinieren.
Bitte geben Sie Komponentennamen, Versionen, Repositories oder Lieferantendetails an, sofern verfügbar.
Vertraulichkeit und Anerkennung
Exentec behandelt Schwachstellenmeldungen vertraulich und erwartet von den meldenden Personen, dass sie dies ebenfalls tun, bis die koordinierte Offenlegung erfolgt ist oder Exentec die öffentliche Offenlegung genehmigt hat.
Mit Zustimmung der meldenden Person kann Exentec Einzelpersonen oder Organisationen, die bestätigte Schwachstellen verantwortungsvoll gemeldet haben, öffentlich anerkennen.
Haftungsausschluss
Diese Richtlinie ist eine freiwillige Einladung zur Meldung von Schwachstellen und begründet keine vertraglichen Verpflichtungen über diejenigen hinaus, die sich aus dem geltenden Recht ergeben.
Nichts in diesem Haftungsausschluss soll die Verpflichtungen von Exentec nach geltendem Recht einschränken, einschließlich des Cyber Resilience Act, soweit anwendbar.