Die Sicherheit unserer Produkte, Systeme und Online-Dienste hat für Big Dutchman einen hohen Stellenwert. Sollten Sie eine mögliche Sicherheitslücke entdecken, finden Sie auf dieser Seite alle Informationen dazu, wie Sie uns diese melden können und wie wir mit entsprechenden Hinweisen umgehen.

Sicherheit ist ein integraler Bestandteil davon, wie Big Dutchman seine Produkte entwickelt, gestaltet und wartet. Selbst bei sorgfältiger Entwicklung und Prüfung können Sicherheitslücken niemals vollständig ausgeschlossen werden – sei es in unseren eigenen Produkten und unserer Firmware, in von uns integrierten Drittanbieter- und Open-Source-Komponenten oder auf unseren Websites und in unseren Online-Diensten. Wenn Sicherheitslücken gefunden werden, ist entscheidend, dass sie uns schnell erreichen und koordiniert behoben werden können.

Wenn Sie der Ansicht sind, eine Sicherheitslücke in einem Produkt von Big Dutchman, in einer seiner Softwarekomponenten oder in unserer Online-Infrastruktur entdeckt zu haben, bitten wir Sie, uns diese zu melden. Auf dieser Seite wird beschrieben, wie Sie unser Produktsicherheitsteam erreichen, welche Informationen uns bei der Untersuchung helfen und was Sie im Gegenzug von uns erwarten können. Dieser Prozess und die auf dieser Seite beschriebenen Zusagen gelten für alle, die in gutem Glauben eine Meldung abgeben: Sicherheitsforscher, Kunden, Partner, koordinierende Stellen und Komponentenlieferanten gleichermaßen.

Bitte beachten Sie: Dieser Kanal ist ausschließlich für Sicherheitslücken vorgesehen. Bei Fragen zur Produktfunktionalität, Qualität, Garantie oder zum allgemeinen Support wenden Sie sich bitte an unseren Kundenservice unter Kontakt – dort erhalten Sie schneller eine Antwort, und dieser Kanal bleibt für Sicherheitsmeldungen frei.

Sie können unser Produktsicherheitsteam über den folgenden Kanal auf Englisch oder Deutsch erreichen:

E-Mail: customerhelpdesk@bigdutchman.com

Je genauer wir ein Problem reproduzieren können, desto schneller können wir es bestätigen und beheben. Soweit zutreffend, sollte eine Meldung Folgendes enthalten:

• Das betroffene Produkt, Gerätemodell, die Software oder den Dienst einschließlich der genauen Version oder des Firmwarestands.
• Eine Beschreibung der Sicherheitslücke und ihrer sicherheitsrelevanten Auswirkungen nach Ihrer Einschätzung.
• Sämtliche Konfigurationen, Einsatzbedingungen, Berechtigungen oder Authentifizierungen, die erforderlich sind, um das Problem auszulösen.
• Schritt-für-Schritt-Anweisungen, die es uns ermöglichen, das Problem unabhängig zu reproduzieren.
• Sofern verfügbar unterstützendes Material: Proof-of-Concept, Protokolle, Screenshots oder Netzwerkaufzeichnungen. Bei durch automatisierte Tools erzeugten Funden fügen Sie bitte einen Nachweis der tatsächlichen Ausnutzbarkeit bei.
• Ihre Einschätzung der möglichen Folgen – welche Systeme, Daten oder Nutzer betroffen sein könnten.
• Falls Sie beabsichtigen, den Fund zu veröffentlichen, Ihren vorgesehenen Zeitplan, damit wir die Offenlegung mit Ihnen koordinieren können.

Wir folgen dem Prinzip der koordinierten Offenlegung von Sicherheitslücken. Unser Ziel ist es, bestätigte Sicherheitslücken zu beheben und eine öffentliche Offenlegung innerhalb von 90 Tagen nach der Meldung zu ermöglichen. Wenn die Behebung nachweislich komplexer ist – beispielsweise wenn eine Korrektur für Produkte validiert werden muss, die in industriellen Umgebungen eingesetzt werden, oder wenn Drittanbieterkomponenten beteiligt sind –, kann dieser Zeitraum in Abstimmung mit dem Meldenden um bis zu weitere 90 Tage verlängert werden.

Sobald eine Korrektur oder Abhilfemaßnahme verfügbar ist, veröffentlichen wir eine Sicherheitshinweismeldung, in der die Sicherheitslücke, die betroffenen Produkte und Versionen, ihr Schweregrad und ihre Auswirkungen sowie die Schritte zur Behebung oder Risikominderung beschrieben werden. Auf Wunsch nennen wir außerdem den Meldenden (siehe unten). Soweit angemessen, beantragen wir für die Sicherheitslücke eine CVE-Kennung. Wir können die zuständige koordinierende Stelle – in Deutschland das CERT-Bund beim Bundesamt für Sicherheit in der Informationstechnik (BSI) – in die Koordination einer Offenlegung einbeziehen.

Um Sicherheitsforschung für alle Beteiligten sicher zu gestalten – einschließlich der Betreiber von Systemen, die auf unseren Produkten basieren –, bitten wir Sie, bei der Untersuchung potenzieller Sicherheitslücken Folgendes zu beachten:

• Testen Sie ausschließlich Ihre eigenen Geräte und Installationen oder innerhalb einer Laborumgebung. Testen Sie niemals Produktivsysteme unserer Kunden oder aktive Industrieanlagen: Unsere Produkte werden in betrieblichen Umgebungen eingesetzt, in denen Eingriffe physische Folgen haben können.
• Gehen Sie nicht weiter, als zur Demonstration der Sicherheitslücke erforderlich ist. Lesen, verändern, löschen oder übertragen Sie keine Daten, die Ihnen nicht gehören. Falls Sie versehentlich auf Daten Dritter oder personenbezogene Daten zugreifen, brechen Sie den Vorgang sofort ab und geben Sie dies in Ihrer Meldung an.
• Beeinträchtigen Sie nicht die Verfügbarkeit unserer Dienste oder Produkte (keine Denial-of-Service-Tests) und verwenden Sie kein Social Engineering, Phishing, Spam oder physische Angriffe gegen Mitarbeiter, Kunden oder Partner von Big Dutchman.
• Veröffentlichen Sie keine Details zur Sicherheitslücke, bevor ein Termin für die koordinierte Offenlegung vereinbart wurde.

Sofern Sie diese Regeln einhalten und ohne kriminelle Absicht handeln, wird Big Dutchman im Zusammenhang mit Ihrer Sicherheitsforschung und Ihrer Meldung keine rechtlichen Schritte gegen Sie einleiten. Diese Zusage kann keine Handlungen Dritter oder Verhaltensweisen außerhalb dieser Regeln abdecken.

Die folgenden Punkte fallen grundsätzlich nicht in den Geltungsbereich dieses Prozesses:

• Sicherheitslücken, die bereits öffentlich bekannt sind, denen eine CVE-Kennung zugewiesen wurde oder die bereits behoben wurden – es sei denn, Ihre Meldung zeigt neue Auswirkungen, wesentliche neue Informationen oder dass die Behebung unvollständig ist.
• Produkte, Dienste oder Versionen, deren Supportzeitraum abgelaufen ist, oder Probleme, die in der von uns zur Nutzung empfohlenen unterstützten Version behoben wurden.
• Funde ohne realistische Sicherheitsauswirkungen, beispielsweise rein informative Ergebnisse, fehlende Best-Practice-Härtungsmaßnahmen ohne ausnutzbare Schwachstelle oder unbearbeitete Ausgaben automatisierter Scanner ohne Nachweis der Ausnutzbarkeit.
• Probleme, die aus Social Engineering oder Phishing bestehen und nicht aus einer technischen Sicherheitslücke in einem Produkt oder Dienst von Big Dutchman.
• Sicherheitslücken in Produkten oder Diensten von Drittanbietern, die Big Dutchman nicht entwickelt, wartet oder betreibt. Bitte melden Sie diese dem jeweiligen Anbieter. Wenn eine Drittanbieterkomponente innerhalb eines unserer Produkte betroffen ist, melden Sie dies jedoch bitte an uns – wir leiten die Meldung bei Bedarf an den Komponentenhersteller weiter.

Wir schätzen die Arbeit von Sicherheitsforschern und nennen Meldende, die dies wünschen, nach Behebung und Offenlegung der Sicherheitslücke gerne öffentlich. Big Dutchman betreibt kein Bug-Bounty-Programm; durch das Einreichen einer Meldung entsteht kein Anspruch auf eine finanzielle Belohnung oder eine andere Vergütung.

Personenbezogene Daten, die Sie zusammen mit Ihrer Meldung bereitstellen (beispielsweise Ihren Namen und Ihre E-Mail-Adresse), werden ausschließlich zur Bearbeitung der Sicherheitslückenmeldung und zur Koordination ihrer Offenlegung verarbeitet. Weitere Informationen, einschließlich Ihrer Rechte als betroffene Person, finden Sie in unserer Datenschutzerklärung.