Coordinated Vulnerability Disclosure Policy der Grenzebach Gruppe

Die Grenzebach Gruppe legt großen Wert auf die Sicherheit ihrer Produkte, Systeme, Anwendungen und digitalen Dienstleistungen. Unser mehrschichtiges Sicherheitskonzept wird regelmäßig durch anerkannte Zertifizierungen wie ISO 27001 und einer Anlehnung an IEC 62443 bestätigt. Trotz sorgfältiger Entwicklung und kontinuierlicher Sicherheitsmaßnahmen können Sicherheitslücken nicht vollständig ausgeschlossen werden.

Wenn Sie eine potenzielle Schwachstelle oder ein Sicherheitsproblem in einer von der Grenzebach Gruppe betriebenen Webseite, Anwendung, einem digitalen Service oder einem Produkt entdecken, bitten wir Sie, uns dies verantwortungsvoll zu melden. Durch Ihre Unterstützung helfen Sie uns, Risiken für unsere Kunden, Partner und Unternehmensgruppe zu reduzieren.

Meldung von Sicherheitslücken

Kontakt

Bitte melden Sie Sicherheitslücken über eine der folgenden Kontaktadressen:

E-Mail: secure@grenzebach.com

Telefon:  +49 906 982 2000

Online (anonym): Hinweisgebersystem

Bitte beschreiben Sie die Schwachstelle möglichst detailliert und fügen Sie relevante Informationen bei, beispielsweise:

  • Beschreibung der Schwachstelle
  • Betroffene Systeme, Produkte oder URLs
  • Schritte zur Reproduktion
  • Mögliche Auswirkungen
  • Screenshots oder Protokolle (sofern verfügbar)

Unser Umgang mit Meldungen

Nach Eingang einer Meldung werden wir:

  • den Eingang der Meldung zeitnah bestätigen,
  • die gemeldete Schwachstelle prüfen,
  • die Auswirkungen bewerten,
  • geeignete Maßnahmen zur Risikominimierung oder Behebung einleiten,
  • die meldende Person bei Bedarf kontaktieren.

Die Bearbeitungsdauer hängt von Komplexität, Kritikalität und den betroffenen Systemen ab.

Verantwortungsvolle Offenlegung

Wir bitten Sicherheitsforschende und Hinweisgebende, folgende Grundsätze einzuhalten:

  • Melden Sie Schwachstellen vertraulich und geben Sie uns angemessene Zeit zur Analyse und Behebung.
  • Veröffentlichen Sie keine Details zu einer Schwachstelle, bevor eine Behebung erfolgt ist oder eine abgestimmte Veröffentlichung vereinbart wurde.
  • Greifen Sie nicht auf Daten zu, die Ihnen nicht gehören.
  • Verändern, löschen oder beeinträchtigen Sie keine Daten oder Systeme.
  • Führen Sie keine Aktivitäten durch, die die Verfügbarkeit oder Integrität unserer Systeme beeinträchtigen könnten.
  • Nutzen Sie keine Schwachstellen zur Erlangung eines persönlichen Vorteils oder zur Schädigung Dritter.

Geltungsbereich

Diese Richtlinie gilt für öffentlich zugängliche Systeme, Websites, Anwendungen, Produkte und digitale Dienstleistungen der Grenzebach Gruppe. Dies umfasst ausdrücklich auch produktbezogene Software, Firmware, eingebettete Systeme und angeschlossene Komponenten.

Qualifizierte Schwachstellen

Jede Schwachstelle mit einem glaubwürdigen Angriffsszenario, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Produkten, Dienstleistungen oder Informationssysteme der Grenzebach Gruppe beeinträchtigen könnte, fällt in den Geltungsbereich. 

Beispiele hierfür sind:

  • Authentifizierungs- oder Autorisierungsprobleme
  • Cross-Site-Scripting
  • Ausführung von serverseitigem Code
  • Sicherheitslücken in Produkten, deren Softwarekomponenten, Schnittstellen oder Kommunikationsmechanismen.

Nicht-qualifizierte Schwachstellen

Einige Meldungen fallen möglicherweise nicht in den Geltungsbereich der Richtlinie, beispielsweise:

  • Bereits bekannte oder früher gemeldete Schwachstellen ("first come, first serve")
  • Befunde, die aus Aktivitäten resultieren, die gegen geltende Gesetze oder Compliance-Regeln verstoßen
  • Schwachstellen in Sandbox- oder Testdomänen ohne nachweisbare Auswirkungen
  • Offenlegung von Versionen ohne Auswirkung oder allgemeines E-Mail-Spoofing
  • Social-Engineering-Angriffe
  • Phishing-Kampagnen
  • Denial-of-Service-Tests (DoS/DDoS)
  • Physische Sicherheitsprüfungen
  • Angriffe auf Drittanbieter-Systeme außerhalb der Kontrolle der Grenzebach Gruppe

Safe-Harbor-Erklärung

Wir begrüßen Meldungen von Sicherheitslücken, die in gutem Glauben und im Einklang mit dieser Richtlinie erfolgen.

Sofern Sie die in dieser Richtlinie beschriebenen Grundsätze einhalten und keine gesetzlichen Vorschriften verletzen, wird die Grenzebach Gruppe keine rechtlichen Schritte aufgrund Ihrer Schwachstellenmeldung oder der damit verbundenen Sicherheitsforschung einleiten.

Diese Erklärung begründet keinen Verzicht auf gesetzliche Rechte und gilt nicht für Handlungen, die zu Schäden, Datenschutzverletzungen, Betriebsunterbrechungen oder sonstigen Beeinträchtigungen führen.

Hinweis

Diese Richtlinie stellt kein Bug-Bounty-Programm dar. Für gemeldete Schwachstellen besteht ausdrücklich kein Rechtsanspruch auf eine finanzielle Vergütung.

Vielen Dank

Wir danken allen Sicherheitsforschenden, Kunden, Partnern und Nutzenden, die durch verantwortungsvolle Meldungen zur Verbesserung der Sicherheit unserer Systeme und Produkte beitragen.

Download