Koordinierte Offenlegung von Sicherheitslücken

In der ISO-Gruppe nehmen wir die Sicherheit unserer Produkte, Dienstleistungen und Nutzer ernst. Wir legen Wert auf eine verantwortungsvolle Meldung von Sicherheitslücken und begrüßen Meldungen von Sicherheitsforschern, Kunden, Partnern und anderen Dritten, die in gutem Glauben handeln.

Diese Richtlinie zur koordinierten Offenlegung von Sicherheitslücken erläutert, wie Sie uns potenzielle Sicherheitslücken melden können, was Sie während des Prozesses von uns erwarten können und was wir im Gegenzug von Ihnen erwarten. Unser Ziel ist ein vertrauenswürdiger, vertraulicher und koordinierter Prozess, der Risiken für Kunden und Nutzer minimiert.

Was Sie von uns erwarten können

Wir begrüßen eine klare und konstruktive Kommunikation während des gesamten Offenlegungsprozesses.

Wir prüfen eingehende Meldungen so umfassend wie möglich, einschließlich solcher, die sich auf Schwachstellen beziehen, die möglicherweise bereits behoben wurden, um deren Relevanz zu überprüfen, potenzielle Wiederholungen zu identifizieren und unsere Sicherheitsprozesse zu verbessern.

Wir prüfen Sicherheitslücken-Meldungen im Rahmen eines internen Bewertungsprozesses, der darauf ausgelegt ist, das Risiko zu minimieren, dass berechtigte Meldungen übersehen oder fälschlicherweise abgewiesen werden.

Anfragen zum Status einer gemeldeten Sicherheitslücke sind willkommen.

Wenn Sie uns eine potenzielle Sicherheitslücke in gutem Glauben und im Einklang mit dieser Richtlinie melden, können Sie Folgendes erwarten:

• Wir behandeln jede eingehende Sicherheitslücke vertraulich, soweit dies nach geltendem Recht zulässig ist. Dies gilt nicht für Informationen, die im Rahmen der koordinierten öffentlichen Bekanntgabe der Sicherheitslücke offengelegt werden müssen.
• Wir geben Ihre personenbezogenen Daten ohne Ihre ausdrückliche Einwilligung nicht an Dritte weiter, es sei denn, wir sind gesetzlich dazu verpflichtet.
• Wir werden auf jede neue Sicherheitslücke und auf jede wesentliche Aktualisierung einer bestehenden Meldung reagieren.
• Wir stehen Ihnen während des gesamten koordinierten Offenlegungsprozesses als Ansprechpartner für einen vertrauensvollen Austausch zur Verfügung.
• Wir verlangen von Ihnen keine Unterzeichnung einer Geheimhaltungsvereinbarung als Voraussetzung für die Einreichung oder Erörterung eines Sicherheitslückenberichts.
• Wir empfehlen, vertrauliche Informationen per verschlüsselter und digital signierter E-Mail zu übermitteln. Unser öffentlicher Schlüssel und maschinenlesbare Informationen zur Meldung sind in unserer security.txt veröffentlicht.
• Wir werden keine strafrechtlichen Schritte gegen Sie einleiten, nur weil Sie eine Sicherheitslücke gemeldet haben, vorausgesetzt, Sie handeln in gutem Glauben, halten sich an diese Richtlinie und verfolgen keine erkennbaren kriminellen Absichten oder böswilliges Verhalten.

Wenn Sie sich während Ihrer Sicherheitsforschung nach bestem Wissen und Gewissen bemühen, diese Richtlinie einzuhalten, betrachtet die ISO-Gruppe Ihre Forschung als autorisiert, arbeitet mit Ihnen zusammen, um das Problem schnell zu verstehen und zu beheben, und wird keine rechtlichen Schritte im Zusammenhang mit Ihrer Forschung empfehlen oder einleiten. Sollten Dritte rechtliche Schritte gegen Sie wegen Aktivitäten einleiten, die in Übereinstimmung mit dieser Richtlinie durchgeführt wurden, werden wir diese Autorisierung bekannt geben.

Geltungsbereich

Diese Richtlinie gilt für:

• Produkte mit digitalen Elementen, die von der ISO-Gruppe hergestellt, entwickelt, vertrieben oder gewartet werden
• Zugehörige Software, Firmware, APIs, Cloud-Dienste, Update-Dienste und Support-Systeme, die unserer Kontrolle unterliegen
• Andere Systeme, die auf dieser Seite oder auf unseren Produktsicherheitsseiten ausdrücklich als im Geltungsbereich enthalten aufgeführt sind

Sofern nicht ausdrücklich anders angegeben, gilt diese Richtlinie nicht für:

• Die allgemeine IT-Infrastruktur des Unternehmens
• Systeme von Drittanbietern, die nicht unserer Kontrolle unterliegen
• Kundensysteme, die anhand kundenspezifischer IP-Bereiche, Domains, Mandanten oder anderer Identifikatoren identifizierbar sind
• Probleme, bei denen es sich ausschließlich um Beschwerden bezüglich der Verfügbarkeit, Supportanfragen oder Funktionswünsche ohne sicherheitsrelevante Bedeutung handelt

Wenn sich Ihre Meldung auf ein vom Kunden betriebenes System bezieht, wenden Sie sich bitte direkt an den jeweiligen Kunden, es sei denn, Sie haben Grund zu der Annahme, dass die Sicherheitslücke durch ein von der ISO-Gruppe bereitgestelltes Produkt oder eine Dienstleistung verursacht wird.

So melden Sie eine Sicherheitslücke

Bitte melden Sie vermutete Sicherheitslücken über einen der folgenden Kanäle:

• E-Mail: psirt@iso-gruppe.com
• Verschlüsselte E-Mail / öffentlicher Schlüssel: https://www.iso-gruppe.com/.well-known/pgp-key.txt
• Security.txt: https://www.iso-gruppe.com/.well-known/security.txt

Für vertrauliche Informationen empfehlen wir dringend die Verwendung verschlüsselter und digital signierter E-Mails.

Um uns bei der Bewertung und Einstufung Ihrer Meldung zu helfen, geben Sie bitte nach Möglichkeit Folgendes an:

• Betroffenes Produkt, betroffene Dienstleistung, Komponente, URL oder Schnittstelle
• Betroffene Version oder betroffener Build
• Eindeutige Beschreibung des Problems
• Mögliche Auswirkungen auf die Sicherheit
• Schritt-für-Schritt-Anleitung zur Reproduktion
• Proof of Concept, Protokolle, Screenshots, Beispielanfragen/-antworten oder andere relevante Nachweise
• Ihre Kontaktdaten, falls Sie eine direkte Antwort von uns wünschen

Meldungen können auch anonym eingereicht werden, was jedoch unsere Möglichkeiten zur Abstimmung mit Ihnen einschränken kann. Um eine effiziente Bearbeitung Ihrer Meldung zu gewährleisten, geben Sie bitte mindestens eine gültige Kontaktmöglichkeit für Rückfragen und die weitere Abstimmung an.

Vorgehensweise bei der Beantwortung

Wir sind bestrebt, Meldungen schnell und transparent zu bearbeiten. Sofern keine außergewöhnlichen Umstände vorliegen, können Sie mit folgendem Antwortverfahren rechnen:

• Eingangsbestätigung: innerhalb von 5 Werktagen
• Erste Triage-Antwort: nach einer vorläufigen Bewertung Ihrer Meldung
• Antwort auf wesentliche Aktualisierungen einer bestehenden Meldung: falls zutreffend
• Statusaktualisierungen während der Bearbeitung: je nach Dauer der Bearbeitung

Sollte ein Fall ungewöhnlich komplex sein oder von Dritten abhängen, werden wir Sie darüber informieren und Sie weiterhin regelmäßig auf dem Laufenden halten.

Sollten Sie innerhalb der oben genannten Antwortfrist keine Bestätigung von uns erhalten, wenden Sie sich bitte erneut an uns oder nutzen Sie einen alternativen Meldeweg. In seltenen Fällen kann es aufgrund technischer Probleme bei der Übermittlung oder Bearbeitung vorkommen, dass eine Meldung nicht bei uns eingeht oder nicht korrekt bearbeitet wird.

Was wir von Ihnen erwarten

Wir bitten Sie:

• In gutem Glauben handeln
• Verletzungen des Datenschutzes, Beeinträchtigungen des Dienstes, Störungen, Zerstörung oder Manipulation von Daten zu vermeiden
• Tests nur in dem Umfang durchzuführen, der zur Bestätigung des Vorliegens der Sicherheitslücke erforderlich ist
• Keine Daten zu exfiltrieren, keine Persistenz herzustellen und nicht auf andere Systeme zu wechseln
• Die Tests sofort einzustellen und uns unverzüglich zu benachrichtigen, falls Sie unbeabsichtigt auf sensible Daten zugreifen
• Geben Sie uns eine angemessene Gelegenheit, das Problem vor der öffentlichen Bekanntgabe zu überprüfen und zu beheben
• Beteiligen Sie sich nicht an Erpressung, Nötigung, Social Engineering oder anderem rechtswidrigen Verhalten.

Wir erwarten, dass die gesamte Kommunikation im Zusammenhang mit der Meldung von Sicherheitslücken respektvoll und professionell bleibt. Diskriminierendes, beleidigendes, bedrohliches oder herabwürdigendes Verhalten ist von keiner der am Prozess beteiligten Parteien akzeptabel.

Koordinierte Offenlegung

Sollte sich ein gemeldetes Problem als Sicherheitslücke bestätigen, werden wir uns bemühen, die Offenlegung so zu koordinieren, dass das Risiko für Kunden und Nutzer minimiert wird.

Je nach Fall kann die koordinierte Offenlegung Folgendes umfassen:

• Einen Sicherheitshinweis
• Anleitungen zur Behebung
• Informationen zu Workarounds oder Abhilfemaßnahmen
• Informationen zu betroffenen und behobenen Versionen
• Nennung der meldenden Stelle, sofern dies angefordert und vereinbart wurde

Wir können die öffentliche Bekanntgabe vorziehen, wenn dies zum Schutz der Kunden, aufgrund aktiver Ausnutzung der Schwachstelle, aufgrund gesetzlicher Verpflichtungen oder aus Gründen der öffentlichen Sicherheit erforderlich ist.

Rechtlicher Hinweis

Diese Richtlinie berechtigt nicht zu Handlungen, die rechtswidrig, unsicher oder unverhältnismäßig sind. Insbesondere berechtigt diese Richtlinie nicht zu:

• Denial-of-Service-Tests
• Destruktive Tests
• Unbefugten Zugriff, der über das zur Demonstration des Problems erforderliche Maß hinausgeht
• Das Kopieren, Ändern oder Löschen von Daten
• Änderungen am System
• Wiederholter Zugriff auf das System oder Weitergabe des Zugriffs auf das System an Dritte
• Einsatz von Malware
• Physische Angriffe
• Phishing oder Social Engineering
• Durchführung von Brute-Force-Angriffen, um Zugriff auf ein System zu erlangen

Sollten Sie sich nicht sicher sein, ob ein Test sicher ist oder in den Rahmen fällt, wenden Sie sich bitte zunächst an uns.

Fragen

Fragen zu dieser Richtlinie können Sie an die E-Mail-Adresse pisrt@iso.gruppe.com richten.