ADS-TEC Schwachstellenmeldung
Sicherheitslücken verantwortungsvoll melden
Die Sicherheit unserer Produkte hat für uns höchste Priorität. Sollten Sie eine potenzielle Sicherheitslücke in einem Produkt von ADS-TEC Industrial IT entdecken, freuen wir uns über Ihre Meldung. Gemeinsam mit Sicherheitsforschern und Kunden sorgen wir für eine koordinierte und verantwortungsvolle Bearbeitung gemeldeter Schwachstellen.
Richtlinie zur koordinierten Offenlegung von Sicherheitslücken
Mit unserer Richtlinie zur koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD) haben wir einen klar definierten Prozess für die Meldung, Bewertung und Behebung von Sicherheitslücken etabliert.
Die Richtlinie gilt für alle von ADS-TEC Industrial IT entwickelten und vertriebenen Hard- und Softwareprodukte, einschließlich Firmware und Zubehörsoftware. Nicht in den Geltungsbereich fallen Produkte, die den von ADS-TEC Industrial IT offiziell bekannt gegebenen End-of-Life-Status erreicht haben. Meldungen zu Schwachstellen in Drittanbieterkomponenten, die Bestandteil unserer Produkte sind, nehmen wir ebenfalls entgegen. Wir leiten diese an den jeweiligen Hersteller weiter, koordinieren die weitere Bearbeitung und informieren die meldende Person über wesentliche Fortschritte.
Schwachstelle melden
Sie haben eine potenzielle Sicherheitslücke entdeckt? Senden Sie Ihre Meldung direkt an unser Product Security Incident Response Team (PSIRT).
E-Mail für Sicherheitsmeldungen
Maschinenlesbare Kontaktdaten
Unsere Kontaktdaten für Sicherheitsmeldungen sind auch als security.txt verfügbar.
Verschlüsselte Kommunikation
Für vertrauliche Kommunikation stellen wir Ihnen einen öffentlichen PGP-Schlüssel zur Verfügung.
Anonyme Meldung
Sie können Schwachstellen auch anonym melden. Meldungen werden auch ohne sicheren Kommunikationskanal akzeptiert.
Ihre Meldung sollte idealerweise enthalten
- Betroffenes Produkt und Versionsnummer
- Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen
- Schritte zur Reproduktion
- Optional einen Proof of Concept (wird selbstverständlich vertraulich behandelt)
Alternativer Meldeweg
Alternativ können Schwachstellen auch über unser CERT@VDE-Profil gemeldet werden.
Unser Prozess
Jede eingehende Meldung wird durch unser Product Security Incident Response Team bewertet. Unser Ziel ist eine schnelle Bearbeitung sowie eine transparente Kommunikation während des gesamten Coordinated-Vulnerability-Disclosure-Prozesses.
| Schritt | Frist |
| Eingangsbestätigung mit eindeutiger Tracking-ID | 5 Werktage |
| Erste Bewertung (CVSS-Einstufung, betroffene Versionen) | 20 Werktage |
| Koordinierte Veröffentlichung | Nach Bereitstellung des Patches |
Bei besonders komplexen Schwachstellen oder wenn mehrere Hersteller betroffen sind (Multi-Party CVD), können diese Fristen in Absprache mit dem Melder verlängert werden. Über Statusänderungen informieren wir den Melder selbstverständlich proaktiv.
Offenlegungsstrategie & Embargo
Wir folgen dem Prinzip der koordinierten Offenlegung (Coordinated Vulnerability Disclosure). Sicherheitslücken werden erst veröffentlicht, wenn eine Behebung verfügbar ist. Der Embargo-Zeitraum beträgt in der Regel bis zu 90 Tage. Bei besonders komplexen Schwachstellen oder wenn mehrere Hersteller betroffen sind (Multi-Party-CVD) kann dieser Zeitraum in Abstimmung mit der meldenden Person verlängert werden.
Security Advisories
Nach der Behebung einer Schwachstelle veröffentlichen wir ein menschenlesbares Security Advisory über unser CERT@VDE-Profil. Zusätzlich stellen wir die Informationen im maschinenlesbaren CSAF-Format (Common Security Advisory Framework) bereit.
Aktuelle Sicherheitsmeldungen, Patches und Advisories
CERT Advisories öffnen
Auf Wunsch nennen wir Melder, die sich an den koordinierten Offenlegungsprozess halten, im zugehörigen Security Advisory.
Safe Harbor
Wir begrüßen die verantwortungsvolle Meldung von Sicherheitslücken und werden keine rechtlichen Schritte gegen Personen einleiten, die Schwachstellen nach Treu und Glauben sowie im Einklang mit unserer CVD-Policy melden.
Voraussetzung hierfür ist, dass
- keine Daten unberechtigt eingesehen, verändert oder gelöscht werden,
- keine Schäden an Systemen oder Diensten verursacht werden,
- die Schwachstelle bis zur Bereitstellung eines Sicherheitsupdates beziehungsweise bis zum Ablauf des gemeinsam vereinbarten Embargo-Zeitraums vertraulich behandelt wird,
- keine vertraulichen Informationen an Dritte weitergegeben werden.