Coordinated Vulnerability Disclosure Policy

Zweck

Die Bender GmbH & Co. KG setzt sich für die Gewährleistung der Sicherheit ihrer Produkte, Dienstleistungen und IT-Infrastruktur ein. Sicherheitslücken können erhebliche Risiken mit sich bringen, wenn sie nicht rechtzeitig und verantwortungsbewusst erkannt und behoben werden.

Diese Richtlinie zur koordinierten Offenlegung von Sicherheitslücken (Coordinated Vulnerability Disclosure, CVD) definiert einen klaren und strukturierten Prozess für die Meldung von Sicherheitslücken. Sie ermöglicht es Bender, gemeldete Probleme zu untersuchen, deren Auswirkungen zu bewerten und geeignete Abhilfemaßnahmen zu ergreifen, bevor eine öffentliche Bekanntgabe erfolgt.

Im Geltungsbereich

Die folgenden Komponenten werden ausdrücklich im Geltungsbereich dieser Richtlinie berücksichtigt:

• Produktsoftware und Firmware
• Backend-Systeme
• von Bender betriebene IT-Infrastruktur
• alle Cloud-Dienste und APIs von Bender
• Unternehmenswebsites (z. B. bender.de, bender.es, bender‑cn.com, …)

Außerhalb des Geltungsbereichs

Die folgenden Aktivitäten und Systeme sind von dieser Richtlinie ausgenommen und sollten nicht im Rahmen dieses CVD-Prozesses gemeldet werden:

• Denial-of-Service-Angriffe durch Datenflut
• fehlerhafte Konfigurationen auf Kundenseite
• Social-Engineering-Angriffe
• physische Angriffe, die direkten Zugriff auf das Gerät erfordern

Eine Sicherheitslücke melden

Bender fördert die verantwortungsvolle Offenlegung und stellt mehrere sichere Kanäle zur Meldung vermuteter Sicherheitslücken bereit.

Sichere Kommunikation

Für die vertrauliche Kommunikation stellt Bender einen öffentlichen PGP-Schlüssel zur Verfügung. Den Reportern wird dringend empfohlen, wann immer möglich verschlüsselte Kommunikation zu nutzen, insbesondere beim Austausch sensibler technischer Details.

Offenlegungsrichtlinien

Um einen verantwortungsvollen und effizienten Offenlegungsprozess zu gewährleisten, werden die Berichterstatter gebeten, die folgenden Richtlinien zu befolgen:

• Stellen Sie ausreichende technische Informationen zur Verfügung, damit das Problem reproduziert werden kann (z. B. Screenshots, Protokolle, Proof-of-Concept-Code).
• Geben Sie die Sicherheitslücke weder öffentlich noch gegenüber Dritten bekannt, bis Bender die Behebung bestätigt hat.
• Unterlassen Sie böswillige Handlungen, einschließlich Datenvernichtung, unbefugten Datenzugriffs oder Dienstunterbrechungen.

Einreichen eines Berichts – Allgemeine Anforderungen

Jeder Sicherheitslückenbericht sollte die folgenden Mindestanforderungen erfüllen:

• Eine klare, detaillierte und reproduzierbare Beschreibung der Sicherheitslücke und ihrer potenziellen Auswirkungen.
• Alle erforderlichen Testdaten, Testkonten und Schritte, die zur Überprüfung notwendig sind.
• Pro Bericht darf nur eine Sicherheitslücke aufgeführt werden; nicht damit zusammenhängende Probleme müssen separat eingereicht werden.
• Eine schriftliche, schrittweise Anleitung, in der beschrieben wird, wie das Problem reproduziert werden kann.

Bug-Bounty-Programm

Bender betreibt kein Bug-Bounty-Programm und kein Programm zur Vergütung von Sicherheitslücken.

Aufgrund einer steigenden Zahl automatisierter und unbegründeter Meldungen von Sicherheitslücken, darunter auch Berichte, die von automatisierten oder KI-basierten Tools ohne ausreichende technische Überprüfung erstellt wurden, konzentriert Bender seine Ressourcen ausschließlich auf koordinierte und verantwortungsvolle Offenlegung.

Die Einreichung eines Sicherheitslückenberichts im Rahmen dieser Richtlinie berechtigt den Melder nicht zu einer finanziellen Entschädigung. Die Berichte werden ausschließlich auf der Grundlage ihrer technischen Relevanz, ihrer Stichhaltigkeit und ihrer Auswirkungen bewertet.

Reaktion und Umgang

Bender ist bestrebt, auf Sicherheitslückenmeldungen innerhalb festgelegter Fristen zu reagieren:

• Bestätigung: innerhalb von 3 Werktagen
• Erste technische Prüfung: innerhalb von 15 Werktagen

Alle gemeldeten Sicherheitslücken werden im Rahmen eines etablierten internen Prozesses zum Management von Sicherheitslücken und Vorfällen bearbeitet. Die Einstufung des Schweregrads und die Priorisierung erfolgen intern auf der Grundlage des Risikos und der technischen Auswirkungen.

Koordination und Offenlegung

Bender verfolgt einen koordinierten Ansatz bei der Offenlegung, um Risiken zu minimieren und Transparenz zu gewährleisten:

• Sicherheitslücken werden nach Möglichkeit vor der öffentlichen Bekanntgabe behoben.
• Die Bekanntgabe wird, soweit möglich, mit dem Meldenden abgestimmt.
• Sofern nichts anderes vereinbart wurde, gilt eine maximale Frist von 90 Tagen für die Bekanntgabe.

Veröffentlichungen und Hinweise

Sicherheitshinweise und CVE-Informationen werden von Benders Partner CERT@VDE öffentlich veröffentlicht.

Safe-Harbor

Bender gewährt eine Safe-Harbor-Garantie für in gutem Glauben durchgeführte Sicherheitsforschung. Wir werden keine rechtlichen Schritte gegen Forscher einleiten, die:

• verantwortungsbewusst und in gutem Glauben handeln.
• Tests auf produktiven Kundensystemen vermeiden.
• keine Datenschutzgesetze verletzen.
• Sicherheitslücken nicht über das für die Überprüfung erforderliche Maß hinaus ausnutzen.

Anerkennung

Bender legt Wert auf verantwortungsvolle Sicherheitsforschung und kann Mitwirkende öffentlich würdigen, beispielsweise durch eine „Hall of Fame“, sofern nicht ausdrücklich Anonymität gewünscht wird.

Pflege der Richtlinien

Diese Richtlinie wird regelmäßig überprüft und bei Bedarf aktualisiert, um Änderungen bei Produkten, Dienstleistungen und gesetzlichen Anforderungen Rechnung zu tragen.