Richtlinie zur koordinierten Offenlegung von Schwachstellen
Geltungsbereich
Diese Richtlinie gilt für Sicherheitslücken in Produkten und Dienstleistungen der NewTec GmbH. Sie beschreibt, wie Sie eine Schwachstelle an uns melden, was Sie von uns erwarten können und wie wir gemeinsam mit der Veröffentlichung umgehen.
Sie gilt nicht für Angriffe auf die IT-Systeme von NewTec selbst. Dafür ist eine andere Stelle zuständig. Melden Sie einen solchen Fall dennoch über die in dieser Richtlinie genannten Wege, wir leiten ihn intern weiter.
So melden Sie eine Schwachstelle
Schreiben Sie an security@newtec.de oder nutzen Sie das Formular unter https://www.newtec.de/security.
Möchten Sie vertraulich melden, verschlüsseln Sie Ihre Nachricht mit unserem öffentlichen Schlüssel, den Sie unter https://www.newtec.de/security/openpgp-key_psirt.asc finden.
Sie können anonym melden. In diesem Fall können wir Ihnen allerdings nicht antworten.
Was wir zusagen
- Wir bestätigen den Eingang Ihrer Meldung: innerhalb von 5 Arbeitstagen
- Wir melden uns inhaltlich zurück, ob und welche Produkte betroffen sind: innerhalb von 10 Arbeitstagen
- Wir halten Sie über den weiteren Verlauf auf dem Laufenden: in angemessenen Abständen
- Wir veröffentlichen einen Sicherheitshinweis: in der Regel innerhalb von 90 Tagen nach Ihrer Meldung
Die Bestätigung des Eingangs erfolgt durch einen Menschen. Eine automatische Antwort allein betrachten wir nicht als Erfüllung dieser Zusage.
Diese Fristen gelten ab dem Eingang Ihrer Meldung bei uns. Arbeitstage sind Montag bis Freitag mit Ausnahme der gesetzlichen Feiertage am Sitz der bearbeitenden Stelle.
Offenlegung
Wir streben eine abgestimmte Veröffentlichung an. Der Regelfall ist eine Veröffentlichung innerhalb von 90 Tagen nach Eingang Ihrer Meldung.
Braucht die Behebung mehr Zeit, etwa weil eine Komponente eines Zulieferers betroffen ist oder weil ein Feldupdate koordiniert werden muss, sprechen wir eine Verlängerung mit Ihnen ab und begründen sie. Wir werden Sie nicht ohne Begründung hinhalten.
Wird eine Schwachstelle nachweislich bereits ausgenutzt, veröffentlichen wir gegebenenfalls früher, weil dann der Schutz der Anwender Vorrang hat. Wir informieren Sie darüber.
Auf Wunsch nennen wir Sie im Sicherheitshinweis namentlich. Wir tun das nur mit Ihrer ausdrücklichen Zustimmung.
Was wir von Ihnen erbitten
- Geben Sie uns genug Informationen, um das Verhalten nachzuvollziehen.
- Geben Sie uns Gelegenheit, die Schwachstelle zu beheben, bevor Sie sie veröffentlichen.
- Greifen Sie nicht auf Daten Dritter zu, verändern und löschen Sie keine Daten.
- Beeinträchtigen Sie nicht die Verfügbarkeit unserer Systeme oder der Systeme unserer Kunden. Verzichten Sie insbesondere auf Überlastungstests.
- Nutzen Sie keine Angriffe, die auf Personen zielen, also kein Vorspiegeln falscher Identitäten und keine Versuche, an Zugangsdaten von Mitarbeitenden zu gelangen.
- Testen Sie nur an Geräten und Installationen, für die Sie dazu berechtigt sind. Ein bei einem Kunden im Einsatz befindliches Gerät gehört nicht dazu.
Unsere Zusage an Sie
Wenn Sie sich an die oben genannten Punkte halten und uns eine gefundene Schwachstelle in gutem Glauben melden, werden wir gegen Sie keine rechtlichen Schritte einleiten und keine Strafanzeige stellen. Wir betrachten Ihre Meldung als Beitrag zur Sicherheit unserer Produkte.
Wir verlangen von Ihnen keine Verschwiegenheitserklärung als Voraussetzung dafür, Ihre Meldung entgegenzunehmen oder zu bearbeiten.
Diese Zusage kann uns nicht daran hindern, gesetzlichen Pflichten nachzukommen, und sie gilt nicht für Handlungen, die über das Auffinden und Melden einer Schwachstelle hinausgehen.
Was diese Richtlinie nicht ist
Diese Richtlinie ist kein Programm mit Belohnungszahlungen. Wir zahlen keine Prämien für gemeldete Schwachstellen.
Sie begründet keinen Anspruch auf eine bestimmte Behandlung Ihrer Meldung und keinen Anspruch auf Veröffentlichung.
Kontakt und Sprachen
Wir nehmen Meldungen auf Deutsch und auf Englisch entgegen und antworten in derselben Sprache.
NewTec GmbH, security@newtec.de