Grässlin-Richtlinie zur verantwortungsvollen Offenlegung
Grässlin entwickelt und liefert Produkte und Lösungen, die hohen Standards in Bezug auf Qualität, Zuverlässigkeit und Sicherheit entsprechen. Das Grässlin Product Security Incident Response Team (PSIRT) unterstützt dieses Ziel, indem es Sicherheitsprobleme, die von externen Sicherheitsforschern, Partnern oder Kunden in Grässlin-Produkten, -Systemen oder -Dienstleistungen identifiziert wurden, verwaltet und behebt.
Das Grässlin PSIRT koordiniert die Bewertung und Behandlung von (potenziellen) Sicherheitslücken und Vorfällen in enger Zusammenarbeit mit internen Engineering- und Entwicklungsteams. Dazu gehören die Validierung gemeldeter Ergebnisse, die Bewertung von Auswirkungen und Risiken, die Festlegung geeigneter Abhilfemaßnahmen und die Erstellung eines strukturierten Reaktionsplans. Während des gesamten Prozesses pflegt Grässlin eine transparente und regelmäßige Kommunikation mit dem Meldenden.
Grässlin fördert die koordinierte Offenlegung von Sicherheitslücken. Wir bitten darum, gemeldete Sicherheitslücken vertraulich zu behandeln und nicht öffentlich bekannt zu geben, bis eine geeignete Korrektur, Abhilfe oder Empfehlung verfügbar ist. Eine vorzeitige öffentliche Bekanntgabe kann Kunden und Partner unnötigen Risiken aussetzen.
Alle identifizierten Sicherheitslücken sind willkommen, unabhängig vom Status des Produktlebenszyklus oder dem Bestehen eines Service- oder Wartungsvertrags. Grässlin akzeptiert Meldungen von unabhängigen Forschern, Branchenverbänden, CERTs (Computer Emergency Response Teams), Partnern, Kunden und anderen Interessengruppen. Anonyme Meldungen werden ebenfalls akzeptiert.
Grässlin verpflichtet sich, alle gemeldeten Sicherheitslücken, von denen vernünftigerweise angenommen werden kann, dass sie seine Produkte, Systeme oder Dienstleistungen beeinträchtigen, zu überprüfen und zu beheben, und setzt sich nachdrücklich für eine koordinierte Offenlegung ein, um eine verantwortungsvolle Risikominderung und den Schutz der Kunden zu gewährleisten.
Wie melde ich eine Sicherheitslücke?
Wenn Sie glauben, eine potenzielle Sicherheitslücke oder einen Sicherheitsvorfall im Zusammenhang mit einer Grässlin-Website, einem Grässlin-Produkt, einer Grässlin-Dienstleistung oder einem Datenschutzproblem entdeckt zu haben, befolgen Sie bitte das unten beschriebene Verfahren und informieren Sie uns über das entsprechende Kontaktformular.
Das Grässlin Product Security Incident Response Team (PSIRT) fördert die verantwortungsvolle Offenlegung von Sicherheitslücken. Unser Ziel ist es, identifizierte Schwachstellen zeitnah zu beheben, unseren Kunden und Partnern transparente und genaue Informationen zur Verfügung zu stellen und die Sicherheit und Widerstandsfähigkeit unserer Produkte und Dienstleistungen kontinuierlich zu verbessern.
Welche Informationen sollten übermittelt werden?
Um eine effiziente Analyse und Behebung zu ermöglichen, geben Sie bitte die folgenden Informationen an, wenn Sie eine potenzielle Schwachstelle melden, die ein Produkt, ein System, einen Dienst oder eine Website von Theben betrifft:
Um eine effiziente Analyse und Behebung zu ermöglichen, geben Sie bitte die folgenden Informationen an, wenn Sie eine potenzielle Schwachstelle melden, die ein Produkt, ein System, einen Dienst oder eine Website von Grässlin betrifft:
Betroffene Ressource:
Produktname, Modellbezeichnung, Hardware- und Firmware-/Softwareversion (falls verfügbar) oder die spezifische URL im Falle einer Website-Schwachstelle.
Technische Beschreibung der Sicherheitslücke:
Eine klare und reproduzierbare Beschreibung des Problems, einschließlich einer Bewertung der Auswirkungen, sofern möglich. Bitte fügen Sie Proof-of-Concept-Material, Exploit-Code, Konfigurationsdetails, Protokolldateien, Paketerfassungen oder Netzwerktraces bei, sofern verfügbar. Bei umfangreichen Datenmengen kann Grässlin auf Anfrage einen sicheren Datenübertragungsmechanismus zur Verfügung stellen.
Offenlegungsstatus und Referenzen:
Alle bekannten öffentlichen Referenzen (z. B. Links zu Hinweisen, Issue Tracker, CVE-Kennungen). Bitte geben Sie eindeutig an, ob die Sicherheitslücke bereits öffentlich bekannt gegeben wurde und wenn ja, von wem und zu welchem Zeitpunkt.
Verpflichtung von Grässlin
Wir bitten darum, dass alle gemeldeten Sicherheitslücken streng vertraulich behandelt und nicht an Dritte weitergegeben werden, bis die Behebung abgeschlossen ist und eine koordinierte Kommunikation mit Grässlin vereinbart wurde.
Im Rahmen des Responsible Disclosure-Konzepts von Grässlin verpflichtet sich das Grässlin Product Security Incident Response Team (PSIRT) in Zusammenarbeit mit den zuständigen Technik- und Entwicklungsabteilungen zu Folgendem:
- Zeitnahe Bestätigung des Eingangs eines Sicherheitslückenberichts
- eine strukturierte technische Bewertung durchzuführen und einen vorläufigen Zeitplan für die Behebung der Sicherheitslücke vorzulegen
- den Meldenden zu benachrichtigen, sobald Korrektur- oder Abhilfemaßnahmen umgesetzt wurden.
Die Standardfrist für die Bestätigung des Eingangs einer Sicherheitslücke beträgt zwei (2) Werktage, ausgenommen Wochenenden und Feiertage in Baden-Württemberg, Deutschland. Über den Fortschritt wird informiert, sobald wesentliche Erkenntnisse vorliegen.
Grässlin verzichtet auf rechtliche Schritte gegen Meldende, die in gutem Glauben und in Übereinstimmung mit dieser Richtlinie handeln, vorausgesetzt, dass:
- keine vorsätzliche Störung, Beschädigung oder Ausnutzung erfolgt
- Vertraulichkeit, Datenschutz, Systemintegrität und Betriebsbereitschaft gewahrt bleiben
- keine geltenden Strafgesetze verletzt werden
- die öffentliche Bekanntgabe mit Grässlin abgestimmt ist und erst nach Abschluss der Behebung oder Minderung erfolgt
Grässlin erkennt den Beitrag von Sicherheitsforschern und anderen Interessengruppen, die verantwortungsbewusst Schwachstellen melden, an und schätzt ihn. Eine solche Zusammenarbeit ist für die kontinuierliche Stärkung der Sicherheit, Robustheit und Vertrauenswürdigkeit unserer Produkte und Dienstleistungen von entscheidender Bedeutung.