Theben-Richtlinie zur verantwortungsvollen Offenlegung
Theben entwickelt und liefert Produkte und Lösungen, die hohen Standards in Bezug auf Qualität, Zuverlässigkeit und Sicherheit entsprechen. Das Theben Product Security Incident Response Team (PSIRT) unterstützt dieses Ziel, indem es Sicherheitsprobleme, die von externen Sicherheitsforschern, Partnern oder Kunden in Theben-Produkten, -Systemen oder -Dienstleistungen identifiziert wurden, verwaltet und behebt.
Das Theben PSIRT koordiniert die Bewertung und Behandlung von (potenziellen) Sicherheitslücken und Vorfällen in enger Zusammenarbeit mit internen Engineering- und Entwicklungsteams. Dazu gehören die Validierung gemeldeter Ergebnisse, die Bewertung von Auswirkungen und Risiken, die Festlegung geeigneter Abhilfemaßnahmen und die Erstellung eines strukturierten Reaktionsplans. Während des gesamten Prozesses pflegt Theben eine transparente und regelmäßige Kommunikation mit dem Meldenden.
Theben fördert die koordinierte Offenlegung von Sicherheitslücken. Wir bitten darum, gemeldete Sicherheitslücken vertraulich zu behandeln und nicht öffentlich bekannt zu geben, bis eine geeignete Korrektur, Abhilfe oder Empfehlung verfügbar ist. Eine vorzeitige öffentliche Bekanntgabe kann Kunden und Partner unnötigen Risiken aussetzen.
Alle identifizierten Sicherheitslücken sind willkommen, unabhängig vom Status des Produktlebenszyklus oder dem Bestehen eines Service- oder Wartungsvertrags. Theben akzeptiert Meldungen von unabhängigen Forschern, Branchenverbänden, CERTs (Computer Emergency Response Teams), Partnern, Kunden und anderen Interessengruppen. Anonyme Meldungen werden ebenfalls akzeptiert.
Theben verpflichtet sich, alle gemeldeten Sicherheitslücken, von denen vernünftigerweise angenommen werden kann, dass sie seine Produkte, Systeme oder Dienstleistungen beeinträchtigen, zu überprüfen und zu beheben, und setzt sich nachdrücklich für eine koordinierte Offenlegung ein, um eine verantwortungsvolle Risikominderung und den Schutz der Kunden zu gewährleisten.
Wie melde ich eine Sicherheitslücke?
Wenn Sie glauben, eine potenzielle Sicherheitslücke oder einen Sicherheitsvorfall im Zusammenhang mit einer Theben-Website, einem Theben-Produkt, einer Theben-Dienstleistung oder einem Datenschutzproblem entdeckt zu haben, befolgen Sie bitte das unten beschriebene Verfahren und informieren Sie uns über das entsprechende Kontaktformular.
Das Theben Product Security Incident Response Team (PSIRT) fördert die verantwortungsvolle Offenlegung von Sicherheitslücken. Unser Ziel ist es, identifizierte Schwachstellen zeitnah zu beheben, unseren Kunden und Partnern transparente und genaue Informationen zur Verfügung zu stellen und die Sicherheit und Widerstandsfähigkeit unserer Produkte und Dienstleistungen kontinuierlich zu verbessern.
Welche Informationen sollten übermittelt werden?
Um eine effiziente Analyse und Behebung zu ermöglichen, geben Sie bitte die folgenden Informationen an, wenn Sie eine potenzielle Schwachstelle melden, die ein Produkt, ein System, einen Dienst oder eine Website von Theben betrifft:
Betroffene Ressource:
Produktname, Modellbezeichnung, Hardware- und Firmware-/Softwareversion (falls verfügbar) oder die spezifische URL im Falle einer Website-Schwachstelle.
Technische Beschreibung der Sicherheitslücke:
Eine klare und reproduzierbare Beschreibung des Problems, einschließlich einer Bewertung der Auswirkungen, sofern möglich. Bitte fügen Sie Proof-of-Concept-Material, Exploit-Code, Konfigurationsdetails, Protokolldateien, Paketerfassungen oder Netzwerktraces bei, sofern verfügbar. Bei umfangreichen Datenmengen kann Theben auf Anfrage einen sicheren Datenübertragungsmechanismus zur Verfügung stellen.
Offenlegungsstatus und Referenzen:
Alle bekannten öffentlichen Referenzen (z. B. Links zu Hinweisen, Issue Tracker, CVE-Kennungen). Bitte geben Sie eindeutig an, ob die Sicherheitslücke bereits öffentlich bekannt gegeben wurde und wenn ja, von wem und zu welchem Zeitpunkt.
Verpflichtung von Theben
Wir bitten darum, dass alle gemeldeten Sicherheitslücken streng vertraulich behandelt und nicht an Dritte weitergegeben werden, bis die Behebung abgeschlossen ist und eine koordinierte Kommunikation mit Theben vereinbart wurde.
Im Rahmen des Responsible Disclosure-Konzepts von Theben verpflichtet sich das Theben Product Security Incident Response Team (PSIRT) in Zusammenarbeit mit den zuständigen Technik- und Entwicklungsabteilungen zu Folgendem:
- Zeitnahe Bestätigung des Eingangs eines Sicherheitslückenberichts
- eine strukturierte technische Bewertung durchzuführen und einen vorläufigen Zeitplan für die Behebung der Sicherheitslücke vorzulegen
- den Meldenden zu benachrichtigen, sobald Korrektur- oder Abhilfemaßnahmen umgesetzt wurden.
Die Standardfrist für die Bestätigung des Eingangs einer Sicherheitslücke beträgt zwei (2) Werktage, ausgenommen Wochenenden und Feiertage in Baden-Württemberg, Deutschland. Über den Fortschritt wird informiert, sobald wesentliche Erkenntnisse vorliegen.
Theben verzichtet auf rechtliche Schritte gegen Meldende, die in gutem Glauben und in Übereinstimmung mit dieser Richtlinie handeln, vorausgesetzt, dass:
- keine vorsätzliche Störung, Beschädigung oder Ausnutzung erfolgt
- Vertraulichkeit, Datenschutz, Systemintegrität und Betriebsbereitschaft gewahrt bleiben
- keine geltenden Strafgesetze verletzt werden
- die öffentliche Bekanntgabe mit Theben abgestimmt ist und erst nach Abschluss der Behebung oder Minderung erfolgt
Theben erkennt den Beitrag von Sicherheitsforschern und anderen Interessengruppen, die verantwortungsbewusst Schwachstellen melden, an und schätzt ihn. Eine solche Zusammenarbeit ist für die kontinuierliche Stärkung der Sicherheit, Robustheit und Vertrauenswürdigkeit unserer Produkte und Dienstleistungen von entscheidender Bedeutung.