Die ser elektronik GmbH freut sich über Rückmeldungen von Sicherheitsforschern und der Öffentlichkeit, die dazu beitragen, unsere Sicherheit zu verbessern. Wenn Sie glauben, eine Sicherheitslücke, ein Datenschutzproblem, ungeschützte Daten oder andere Sicherheitsprobleme in einem unserer Produkte, Systeme oder IT-Dienst-leistungen entdeckt zu haben, können Sie sich vertrauensvoll an uns wenden. Wir nehmen jede gemeldete Schwachstelle ernst. Diese Richtlinie beschreibt die Schritte zur Meldung von Sicherheitslücken an uns, was wir erwarten und was Sie von uns erwarten können.

Wir erwarten, dass sich an die in der Coordinated Vulnerability Disclosure (CVD) Richtlinie der ser elektronik GmbH aufgeführten Punkte gehalten wurde, damit Ihre Schwachstellenmeldung in unserem CVD-Prozess überführt werden kann. Wie die ser elktronik GmbH konkret mit Schwachstellenmeldungen im Rahmen eines CVD-Vulnerability-Disclosure-Prozesses umgeht, lesen Sie in unseren Leitlinien.

Betroffene Systeme

Diese Richtlinie gilt für alle digitalen Ressourcen, die sich im Besitz der ser elektronik GmbH befinden, von ihr betrieben bzw. gewartet oder von ihr gefertigt und vertrieben werden.

Nicht betroffene Systeme

Ressourcen oder sonstige Geräte, die nicht im Besitz der an dieser Richtlinie beteiligten Parteien sind.

In nicht betroffenen Systemen entdeckte oder vermutete Schwachstellen sind dem jeweiligen Anbieter oder der zuständigen Behörde zu melden.

Unsere Verpflichtungen

Wenn Sie im Rahmen dieser Richtlinie mit uns zusammenarbeiten, können Sie von uns Folgendes erwarten:

• Jeder Schwachstellenbericht wird innerhalb des gesetzlichen Rahmens vertraulich behandelt.
• Personenbezogene Daten werden nicht ohne Ihre ausdrückliche Zustimmung an Dritte weitergeben.
• Wir reagieren umgehend auf Ihre Meldung und arbeiten mit Ihnen zusammen, um den Sachverhalt zu verstehen und zu überprüfen.
• Wir bemühen uns, Sie während der Bearbeitung über den Fortschritt im Zusammenhang mit einer Sicherheitslücke auf dem Laufenden zu halten und zumindest zu jeder getätigten Schwachstellenmeldung eine Rückmeldung zu geben.
• Wir bemühen uns, entdeckte Sicherheitslücken im Rahmen unserer betrieblichen Möglichkeiten zeitnah zu beheben; und
• Wir werden keine strafrechtlichen Schritte gegen Sie einzuleiten, solange Ihrerseits die Richtlinie und Grundsätze eingehalten wurden. Wir gewähren Ihnen also im Rahmen dieser Richtlinie „Safe Harbor“ für Ihre Sicherheitslückenforschung. Dies gilt nicht, wenn erkennbare kriminelle Absichten verfolgt wurden oder werden.

Unsere Erwartungen

• Nutzen Sie die gefundene Schwachstelle nicht missbräuchlich aus. D.h., dass keine Schäden über die gemeldete Schwachstelle hinaus angerichtet wurden.
• Halten Sie sich an die Regeln, einschließlich dieser Richtlinie und aller anderen relevanten Vereinbarungen. Bei Widersprüchen zwischen dieser Richtlinie und anderen geltenden Bestimmungen haben die Bestimmungen dieser Richtlinie Vorrang.
• Melden Sie alle von Ihnen entdeckten Sicherheitslücken unverzüglich;
• Vermeiden Sie es, die Privatsphäre anderer zu verletzen, unsere Systeme zu stören, Daten zu zerstören und/oder die Benutzererfahrung zu beeinträchtigen;
• Nutzen Sie ausschließlich die offiziellen Kanäle, um Informationen zu Sicherheitslücken mit uns zu besprechen;
• Bei der Schwachstellenmeldung darf es sich nicht um Ergebnisse aus automatisierten Tools oder Scans ohne erklärende Dokumentation handeln. Diese stellen keine gültigen Schwachstellenmeldungen dar.
• Bei der Schwachstellenmeldung muss es sich um bisher nicht bekannte Informationen handeln. Zu bereits behobenen Schwachstellen werden Ihre Informationen zwar entgegengenommen und geprüft, sie qualifizieren sich jedoch nicht für eine weiterführende Bearbeitung im Rahmen des CVD-Vulnerability-Disclosure-Prozesses.
• Geben Sie uns eine angemessene Frist (mindestens 90 Tage ab der ersten Meldung), um das Problem zu beheben, bevor Sie es öffentlich machen;
• Führen Sie Tests ausschließlich an den betroffenen Systemen durch und respektieren Sie Systeme und Aktivitäten, die nicht in den Geltungsbereich fallen;
• Falls eine Sicherheitslücke unbeabsichtigten Zugriff auf Daten ermöglicht: Beschränken Sie den Umfang der Daten, auf die Sie zugreifen, auf das für den effektiven Nachweis eines Proof of Concept erforderliche Minimum; und brechen Sie die Tests ab und reichen Sie unverzüglich einen Bericht ein, falls Sie während der Tests auf Benutzerdaten stoßen, wie z. B. personenbezogene Daten (PII), personenbezogene Gesundheitsdaten (PHI), Kreditkartendaten oder geschützte Informationen;
• Sie sollten nur mit Testkonten interagieren, deren Inhaber Sie sind oder für die Sie die ausdrückliche Erlaubnis des Kontoinhabers haben; und
• Begehen Sie keine Erpressung.
• Hinterlegen Sie grundsätzlich gültige Kontaktdaten (E-Mail-Adresse), damit wir Sie im Falle von Rückfragen kontaktieren können. Gerade bei komplexen Schwachstellen ist es nicht auszuschließen, dass wir weitere Erklärungen und Dokumentationen benötigen. Da wir sehr viel Wert auf eine gute Kommunikation legen, werden Schwachstellenmeldungen ohne Kommunikations-möglichkeiten (bspw. gültige Kontaktdaten) nur eingeschränkt bearbeitet.

Im Falle einer anonymen Meldung ist zu berücksichtigen, dass fachliche und inhaltliche Rückfragen des BSI und / oder des Herstellers nicht beantwortet und entsprechende Schwachstellenmeldungen daher nur eingeschränkt oder ggf. nicht bearbeitet werden können.

Offizielle Kanäle

Bitte melden Sie Sicherheitsprobleme über security@ser-elektronik.de und geben Sie dabei alle relevanten Informationen an. Je mehr Details Sie angeben, desto einfacher ist es für uns, das Problem einzugrenzen und zu beheben.

Safe Harbor

Bei der Durchführung von Schwachstellenuntersuchungen im Rahmen dieser Richtlinie betrachten wir diese Untersuchungen als:

• im Sinne aller geltenden Gesetze zur Bekämpfung von Hacking als zulässig, und wir werden keine rechtlichen Schritte gegen Sie einleiten oder unterstützen, wenn Sie versehentlich und in gutem Glauben gegen diese Richtlinie verstoßen;
• im Sinne aller relevanten Gesetze zur Bekämpfung der Umgehung von Sicherheitsmaßnahmen als zulässig, und wir werden keine Ansprüche gegen Sie wegen der Umgehung technischer Kontrollmaßnahmen geltend machen;
• von Einschränkungen in unseren Nutzungsbedingungen (AGB) und/oder unseren Richtlinien zur zulässigen Nutzung (AUP) ausgenommen sind, die die Durchführung von Sicherheitsforschung beeinträchtigen würden, und wir auf diese Einschränkungen in begrenztem Umfang verzichten; und
• rechtmäßig sind, der allgemeinen Sicherheit des Internets dienen und in gutem Glauben durchgeführt werden.

Wie immer wird von Ihnen erwartet, dass Sie alle geltenden Gesetze einhalten. Sollten Dritte rechtliche Schritte gegen Sie einleiten und Sie diese Richtlinie eingehalten haben, werden wir Maßnahmen ergreifen, um deutlich zu machen, dass Ihre Handlungen im Einklang mit dieser Richtlinie standen.

Sollten Sie zu irgendeinem Zeitpunkt Bedenken haben oder sich unsicher sein, ob Ihre Sicherheitsforschung mit dieser Richtlinie vereinbar ist, reichen Sie bitte einen Bericht über einen unserer offiziellen Kanäle ein, bevor Sie weitere Schritte unternehmen.

Bitte beachten Sie, dass die Safe-Harbor-Regelung nur für Rechtsansprüche gilt, die im Einflussbereich der an dieser Richtlinie beteiligten Organisation liegen, und dass die Richtlinie für unabhängige Dritte nicht bindend ist.