VAHLE Richtlinie zur verantwortungsvollen Offenlegung von Sicherheitslücken

VAHLE entwickelt und liefert Produkte und Lösungen mit höchsten Ansprüchen an Qualität, Zuverlässigkeit und Cybersicherheit. Das VAHLE Computer Emergency Response Team (CERT) unterstützt diese Zielsetzung, indem es bei der Identifizierung, Bewertung und Behebung von Sicherheitslücken hilft, die von Sicherheitsforschern, Partnern, Kunden oder anderen externen Parteien in VAHLE Produkten und Lösungen entdeckt werden.

Das VAHLE CERT koordiniert im Falle potenzieller oder bestätigter Sicherheitsvorfälle die notwendigen Maßnahmen mit den zuständigen Entwicklungs-, Produkt- und Fachexperten. Dazu gehört die Bewertung der gemeldeten Schwachstelle, die Erstellung eines geeigneten Maßnahmenplans sowie eine regelmäßige Kommunikation mit dem Melder. VAHLE unterstützt den Grundsatz der koordinierten Offenlegung von Sicherheitslücken (Coordinated Vulnerability Disclosure) und bittet daher darum, gemeldete Schwachstellen vertraulich zu behandeln, bis eine angemessene Lösung oder Risikominderungsmaßnahme bereitgestellt wurde.

Unabhängig von Serviceverträgen oder dem Lebenszyklus eines Produkts sind alle Personen und Organisationen eingeladen, identifizierte Sicherheitslücken zu melden. Wir begrüßen Meldungen von Sicherheitsforschern, CERTs (Computer Emergency Response Teams), Branchenverbänden, Partnern, Kunden und allen weiteren verantwortungsvollen Quellen.

Dabei respektiert VAHLE die Interessen und Wünsche des Melders. Anonyme Meldungen werden ebenfalls entgegengenommen.

VAHLE prüft jede Meldung sorgfältig und wird angemessene Maßnahmen ergreifen, sofern die gemeldete Schwachstelle nachweislich mit einem VAHLE Produkt, einer VAHLE Software oder einer VAHLE Dienstleistung in Zusammenhang steht.

Eine vorschnelle öffentliche Bekanntgabe kann Kunden und Systeme unnötigen Risiken aussetzen. Deshalb empfehlen wir ausdrücklich eine koordinierte Vorgehensweise bei der Offenlegung.

Wir bitten Meldende, ungelöste Sicherheitslücken nicht an Dritte weiterzugeben oder öffentlich bekannt zu machen, solange keine abgestimmte Veröffentlichung erfolgt ist.

Bei Einhaltung dieser Richtlinie wird das VAHLE CERT gemeinsam mit den zuständigen Fachbereichen angemessene Anstrengungen unternehmen, um:

• den Eingang einer Schwachstellenmeldung zeitnah zu bestätigen,
• die Meldung zu bewerten und deren Bearbeitung einzuleiten,
• den Melder über wesentliche Fortschritte zu informieren,
• einen voraussichtlichen Zeitrahmen für die Bewertung und Behebung bereitzustellen, soweit dies möglich ist,
• den Melder zu informieren, sobald eine Lösung, Korrektur oder andere geeignete Maßnahme verfügbar ist.

Statusaktualisierungen werden bereitgestellt, sobald relevante Informationen verfügbar sind.

VAHLE wird keine rechtlichen Schritte gegen Personen oder Organisationen einleiten, die nach Treu und Glauben handeln und Sicherheitslücken verantwortungsvoll melden, sofern folgende Bedingungen eingehalten werden:

• Es werden keine Handlungen durchgeführt, die VAHLE, seinen Kunden oder Dritten Schaden zufügen.
• Die Privatsphäre, Vertraulichkeit und Sicherheit von Kunden-, Unternehmens- oder Personendaten werden jederzeit respektiert.
• Die Verfügbarkeit, Integrität oder Sicherheit von Systemen und Diensten wird nicht beeinträchtigt.
• Es werden keine geltenden Gesetze oder Vorschriften verletzt.
• Informationen zur Sicherheitslücke werden nicht veröffentlicht, bevor eine abgestimmte Offenlegung mit VAHLE erfolgt ist oder VAHLE die Behebung bestätigt hat.

VAHLE schätzt die Arbeit und das Engagement von Sicherheitsforschern, Kunden, Partnern und allen weiteren Beteiligten, die dazu beitragen, Schwachstellen zu identifizieren und verantwortungsvoll zu melden. Durch diese Zusammenarbeit leisten wir gemeinsam einen wichtigen Beitrag zur Sicherheit unserer Produkte, unserer Kunden und der gesamten vernetzten Industrie.

Wir bedanken uns für Ihre Unterstützung bei der kontinuierlichen Verbesserung der Cybersicherheit bei VAHLE.