Richtlinie zur koordinierten Offenlegung von Sicherheitslücken

Erlab verpflichtet sich, Meldungen über Sicherheitslücken verantwortungsvoll, zeitnah und transparent zu bearbeiten. Diese Richtlinie beschreibt, wie Sicherheitslücken an uns gemeldet werden können, welches Verhalten von Sicherheitsforschern erwartet wird und wie Erlab mit den erhaltenen Informationen umgeht.

1. Zweck

Diese Richtlinie gilt für die Meldung von Sicherheitslücken, die von Erlab betriebene Produkte, Dienstleistungen, Websites und Systeme betreffen.

2. Geltungsbereich

Diese Richtlinie gilt für Sicherheitslücken in Produkten mit digitalen Elementen, Software, Firmware, Online-Diensten, Websites und Systemen, die von Erlab betrieben werden.

Dazu gehören insbesondere:

  • von Erlab vertriebene oder gewartete Produkte und Software;

Systeme, Produkte oder Dienstleistungen Dritter fallen nicht unter diese Richtlinie, sofern sie nicht ausdrücklich als von Erlab betrieben ausgewiesen sind.

Wenn Sie sich nicht sicher sind, ob etwas in den Geltungsbereich fällt, oder bevor Sie Tests durchführen, die einen Dienst beeinträchtigen könnten, kontaktieren Sie uns bitte unter securitycra@erlab.net, um eine vorherige Genehmigung einzuholen.

3. So melden Sie eine Sicherheitslücke

Wenn Sie glauben, eine Sicherheitslücke in einem Produkt oder einer Dienstleistung von Erlab identifiziert zu haben, können Sie uns unter folgender Adresse kontaktieren: securitycra@erlab.net

Sie können auch das Meldeformular auf unserer Seite Cybersicherheit verwenden.

Sie können eine Sicherheitslücke anonym melden, auch über ein zuständiges CSIRT.

4. Erforderliche Informationen

Damit wir Ihre Meldung bestmöglich bewerten können, stellen Sie uns bitte so viele Informationen wie möglich zur Verfügung:

  • das betroffene Produkt oder die betroffene Dienstleistung;
  • eine klare Beschreibung der Sicherheitslücke;
  • die zur Reproduktion des Problems erforderlichen Schritte;
  • die festgestellten potenziellen Auswirkungen;
  • Screenshots, Protokolle, Dateien oder Proof-of-Concept-Material, sofern verfügbar;
  • Ihre Kontaktdaten, falls Sie kontaktiert werden möchten.

Übermitteln Sie keine personenbezogenen Daten, vertraulichen Informationen, Zugangsdaten, Schlüssel oder andere echte Geheimnisse, sofern dies nicht unbedingt erforderlich ist. Bitte schwärzen oder maskieren Sie sensible Daten in den von Ihnen bereitgestellten Nachweisen. Wenn die Übermittlung sensibler Informationen unerlässlich ist, kontaktieren Sie uns zunächst, damit wir einen sicheren Übertragungskanal vereinbaren können.

5. Regeln für verantwortungsvolle Sicherheitsforschung

Wir bitten Sicherheitsforscher:

  • in gutem Glauben zu handeln;
  • Tests auf das unbedingt Notwendige zu beschränken, um die Sicherheitslücke nachzuweisen;
  • nicht auf Daten zuzugreifen und diese nicht zu verändern, zu löschen oder zu exfiltrieren, soweit dies über das für den Nachweis des Problems unbedingt erforderliche Maß hinausgeht;
  • den Betrieb unserer Produkte, Dienstleistungen oder Infrastruktur nicht zu beeinträchtigen;
  • eine Sicherheitslücke nicht öffentlich offenzulegen, bevor die Offenlegung mit Erlab abgestimmt wurde.

6. Unzulässige Aktivitäten

Die folgenden Aktivitäten sind nicht zulässig:

  • Denial-of-Service-Angriffe;
  • die Ausnutzung oder Exfiltration realer Daten;
  • die Veränderung oder Löschung von Daten;
  • das Einrichten von Persistenz in Systemen;
  • die Verwendung destruktiver Werkzeuge oder Techniken;
  • jede Aktivität, die darauf abzielt, Benutzer, Kunden, Partner oder Dritte zu kompromittieren.

7. Unsere Verpflichtungen

Für jede eingegangene Meldung bemüht sich Erlab:

  • den Eingang der Meldung innerhalb eines Zielzeitraums von 5 Werktagen zu bestätigen;
  • eine erste Bewertung vorzunehmen und innerhalb eines Zielzeitraums von 10 Werktagen eine erste Rückmeldung zu geben;
  • während der Analyse und Behebung regelmäßig mit der meldenden Person zu kommunizieren, mindestens alle 30 Tage, sofern Kontaktdaten verfügbar sind;
  • die Sicherheitslücke zu analysieren, ihre Auswirkungen zu bewerten und eine geeignete Korrektur- oder Minderungsmaßnahme festzulegen;
  • die Offenlegung technischer Informationen mit der meldenden Person abzustimmen;
  • geeignete Sicherheitsinformationen für Benutzer zu veröffentlichen, sobald ein Fix oder eine Minderungsmaßnahme verfügbar ist;
  • die erhaltenen Informationen und Daten vertraulich und in Übereinstimmung mit den geltenden Vorschriften zu behandeln.

Die oben genannten Zeiträume sind Bearbeitungsziele. Sie können je nach Schweregrad der Sicherheitslücke, technischer Komplexität, Verfügbarkeit eines Fixes und Risikoniveau für die Benutzer variieren.

Wenn eine öffentliche Offenlegung in Betracht gezogen wird, vereinbaren Erlab und die meldende Person nach Möglichkeit einen Zeitplan für die koordinierte Offenlegung. Ein Richtwert von 90 Tagen kann als Referenz dienen, abhängig vom Schweregrad der Sicherheitslücke und davon, ob eine aktive Ausnutzung vorliegt.

8. Sicherheitsforschung in gutem Glauben

Jede Sicherheitsforschung, die in gutem Glauben und in Übereinstimmung mit dieser Richtlinie durchgeführt wird, wird als verantwortungsvoller Beitrag zur Verbesserung der Sicherheit der Produkte und Dienstleistungen von Erlab betrachtet.

9. Koordinierte Offenlegung

Wir bitten darum, Informationen über eine Sicherheitslücke nicht öffentlich zugänglich zu machen, bevor die Offenlegung mit Erlab abgestimmt wurde.

Dieser Ansatz stellt ausreichend Zeit zur Verfügung, um die Sicherheitslücke zu analysieren, geeignete Korrekturmaßnahmen umzusetzen und Risiken für unsere Kunden, Benutzer und Partner zu begrenzen.

10. Kontakt

Um eine Sicherheitslücke zu melden oder eine Frage zu dieser Richtlinie zu stellen, kontaktieren Sie uns bitte unter: securitycra@erlab.net

Sie können auch das Meldeformular auf unserer Seite Cybersicherheit verwenden.