Coordinated Vulnerability Disclosure Policy SAT Electronic GmbH
Geltungsbereich
Diese Policy gilt für alle Produkte, Systeme und digitalen Dienste von SAT Electronic GmbH (sat.eu), die bereitgestellt werden. Wir nehmen Sicherheit ernst und begrüßen verantwortungsvolle Hinweise von Sicherheitsforschern, Kunden und der Öffentlichkeit.
Meldung einer Schwachstelle
Vermutete Sicherheitslücken in unseren Produkten melden Sie bitte an:
Bitte geben Sie nach Möglichkeit folgende Informationen an:
- Betroffenes Produkt / betroffene Version bzw. betroffener Dienst
- Beschreibung der Schwachstelle und ihrer potenziellen Auswirkung
- Schritte zur Reproduktion (Proof-of-Concept, sofern vorhanden)
- Verwendete Testumgebung / Konfiguration
- Ihre Kontaktdaten für Rückfragen
Was wir von Meldenden erwarten
- Sie handeln in gutem Glauben und nehmen keine Handlungen vor, die über das zur Bestätigung der Schwachstelle notwendige Maß hinausgehen (z. B. kein Zugriff auf, keine Veränderung oder Löschung von Daten Dritter).
- Sie geben uns angemessene Zeit zur Behebung, bevor Details öffentlich gemacht werden (siehe „Koordinierte Offenlegung" unten).
- Sie führen keine Denial-of-Service-Tests, kein Social Engineering gegenüber unseren Mitarbeitenden und keine physischen Angriffe auf unsere Standorte durch.
- Sie melden ausschließlich über den oben genannten Kanal, nicht über soziale Medien oder Dritte.
Meldungen, die diese Grundsätze einhalten, werden von uns nicht rechtlich verfolgt.
Unser Umgang mit eingehenden Meldungen und Reaktionszeiten
| Schritt | Frist |
|---|---|
| Eingangsbestätigung | innerhalb von 5 Werktagen |
| Erste Einschätzung / Priorisierung (Kritikalität, Betroffenheit) | innerhalb von 10 Werktagen |
| Statusupdate an den Melder | mindestens alle 30 Tage bis zur Behebung |
| Behebung / Bereitstellung eines Patches | risikobasiert, angestrebt innerhalb von 90 Tagen |
| Rückmeldung nach Behebung | zeitnah nach erfolgtem Fix |
Bei aktiv ausgenutzten Schwachstellen oder schwerwiegenden Sicherheitsvorfällen mit Auswirkung auf betroffene Nutzer erfüllen wir zusätzlich unsere gesetzlichen Meldepflichten nach Art. 14 CRA gegenüber dem zuständigen CSIRT und der ENISA (24-Stunden-Frühwarnung, 72-Stunden-Meldung, Abschlussbericht).
Koordinierte Offenlegung (Coordinated Disclosure)
Wir bitten darum, Details zu einer gemeldeten Schwachstelle bis zur Bereitstellung eines Fixes bzw. für maximal 90 Tage ab Eingangsbestätigung vertraulich zu behandeln. Bei Bedarf stimmen wir einen abweichenden Offenlegungstermin einvernehmlich mit dem Melder ab.
Veröffentlichung von Sicherheitsinformationen
Nach Bereitstellung einer Behebung veröffentlichen wir Informationen zur betroffenen Schwachstelle, den betroffenen Produktversionen, den Auswirkungen sowie Handlungsempfehlungen für Nutzer auf unserer Website (Link wird ergänzt, sobald die Seite eingerichtet ist).
Kontakt
SAT Electronic GmbH
Gewerbestr. 4
83043 Bad Aibling, Deutschland
E-Mail: psirt@sat.eu