Philosophie zur koordinierten Offenlegung
Lapmaster Wolters ist der Ansicht, dass eine effektive koordinierte Offenlegung von Schwachstellen gegenseitiges Vertrauen, Respekt und Transparenz zwischen Lapmaster Wolters und Meldenden erfordert. Gemeinsam tragen wir mit unserem Fachwissen und unserer Wachsamkeit dazu bei, die Security und den Datenschutz der Kunden, Produkte und Dienstleistungen der Lapmaster Wolters dauerhaft zu gewährleisten.
Wir orientieren uns dabei am Prinzip der Coordinated Vulnerability Disclosure (CVD): Eine gemeldete Schwachstelle soll bewertet, bearbeitet und – sofern eine Veröffentlichung erfolgt – koordiniert offengelegt werden.
Geltungsbereich
Alle Hardwareprodukte einschließlich der zugehörigen Software und Konfigurationsprogramme, die unter den Marken von Lapmaster Wolters auf dem EU-Markt bereitgestellt werden.
Melden einer Schwachstelle
Bitte melden Sie vermutete Schwachstellen über das untenstehende Formular.
Bitte stellen Sie möglichst folgende Informationen bereit:
- Betroffenes Produkt und Version
- Beschreibung der Schwachstelle
- Schritte zur Reproduktion
- Potenzielle Auswirkungen
- Proof of Concept, Screenshots oder Log-Dateien (falls vorhanden)
- Ihre Kontaktdaten für Rückfragen
Meldungen können in deutscher oder englischer Sprache erfolgen. Der Eingang einer Schwachstellenmeldung wird innerhalb von drei Werktagen bestätigt. Soweit für die Bearbeitung erforderlich, halten wir während des CVD-Prozesses Kontakt mit der meldenden Person.
Wir bitten Sicherheitsforschende und Hinweisgebende, verantwortungsvoll zu handeln.
Insbesondere erwarten wir, dass:
keine Beeinträchtigung von Produktionsanlagen, Maschinen oder Kundenumgebungen erfolgt,
keine Systeme oder Daten Dritter manipuliert, kompromittiert oder verändert werden und keine Daten unnötig abgerufen oder exfiltriert werden,
keine Denial-of-Service-, Social-Engineering-, Spam-, Brute-Force- oder vergleichbaren Angriffe durchgeführt werden,
die Schwachstelle nicht missbräuchlich ausgenutzt wird und Tests auf das zur Nachweisführung erforderliche Maß beschränkt werden,
Ergebnisse automatisierter Tools oder Scans nur mit einer nachvollziehbaren technischen Dokumentation gemeldet werden,
Details der Schwachstelle bis zu einem abgestimmten Veröffentlichungszeitpunkt vertraulich behandelt werden.
Diese Richtlinie begründet keine Erlaubnis für Handlungen, die gegen geltende Gesetze, vertragliche Verpflichtungen oder Eigentumsrechte verstoßen.
Sofern Meldende diese Richtlinie einhalten, keine Schäden verursachen, die Privatsphäre oder Sicherheit Dritter nicht beeinträchtigen und keine strafbaren Handlungen begehen, wird die Lapmaster Wolters GmbH im Zusammenhang mit der ordnungsgemäßen Schwachstellenmeldung keine rechtlichen Ansprüche gegen die meldende Person verfolgen.
Nach Eingang einer Meldung werden wir:
den Eingang der Meldung innerhalb von drei Werktagen bestätigen,
die Meldung bewerten und validieren,
bei Bedarf Rückfragen stellen,
geeignete Patches oder Mitigationsmaßnahmen entwickeln und koordinieren und dabei einen gegebenenfalls abgestimmten Veröffentlichungszeitpunkt berücksichtigen,
betroffene Stakeholder informieren, sofern erforderlich,
die Schwachstelle im Rahmen einer koordinierten Offenlegung veröffentlichen und, sofern erforderlich, ein Security Advisory mit betroffenen Produkten bzw. Versionen sowie verfügbaren Patches oder Mitigationsmaßnahmen bereitstellen.
Wir verpflichten uns,
jede Meldung sorgfältig zu prüfen,
Meldende respektvoll und professionell zu behandeln,
Schwachstellen nach Risiko zu priorisieren,
eine koordinierte Offenlegung anzustreben,
jeden Schwachstellenbericht im gesetzlichen Rahmen vertraulich zu behandeln,
personenbezogene Daten der meldenden Person nicht ohne deren ausdrückliche Zustimmung an Dritte weiterzugeben,
eine Rückmeldung zu jeder Schwachstellenmeldung zu geben und während des Prozesses als Ansprechpartner zur Verfügung zu stehen.