CVD-Richtlinie

Sollten Sie eine oder mehrere Schwachstellen in IT-Produkten, IT-Systemen oder IT-Dienstleistungen der DAMPSOFT GmbH gefunden haben, können Sie sich vertrauensvoll an uns wenden. Wir nehmen jede gemeldete Schwachstelle ernst.

Wir erwarten, dass Sie sich an die in der Coordinated Vulnerability Disclosure (CVD) Richtlinie aufgeführten Punkte halten, damit Ihre Schwachstellenmeldung in unserem CVD-Prozess überführt werden kann. Wie wir konkret mit Schwachstellenmeldungen im Rahmen des CVD-Prozesses umgehen, ist nachfolgend dargestellt.

Wir versprechen,

• jeden Schwachstellenbericht innerhalb des gesetzlichen Rahmens vertraulich zu behandeln.

• personenbezogene Daten nicht ohne Ihre ausdrückliche Zustimmung an Dritte weiterzugeben.

• eine Rückmeldung zu jeder getätigten Schwachstellenmeldung zu geben.

• keine strafrechtlichen Schritte gegen Sie einzuleiten, solange Ihrerseits die Richtlinie und Grundsätze eingehalten wurden. Dies gilt nicht, wenn erkennbare kriminelle Absichten verfolgt wurden oder werden.

• Ansprechpartner für den vertrauensvollen Austausch während des gesamten Prozesses zu sein.

• Eine persönliche Rückmeldung zum Schwachstellenbericht innerhalb von 3 Werktagen.

• Eine Verifikation und Bewertung der vorliegenden Schwachstellenmeldung innerhalb von 2 Wochen.

• Eine Schließung einer Schwachstelle innerhalb von 90 Tagen.

  • Abhängig von der Kritikalität und der Komplexität einer Schwachstelle kann die entsprechende Frist in Absprache mit der meldenden Person und dem BSI allerdings verkürzt oder verlängert werden.

• Eine koordinierte Offenlegung der Schwachstelle nach Behebung dieser in Form eines Security Advisories.

Bitte beachten Sie für den Fall, dass Sie personenbezogene Daten in der Meldung oder im Meldeformular angegeben haben, die Hinweise der DAMPSOFT GmbH zum Datenschutz.

Wir erwarten von Ihnen, dass

• die gefundene Schwachstelle ein Produkt oder die Infrastruktur der DAMPSOFT GmbH betrifft. Andernfalls wenden Sie sich bitte an den entsprechenden Hersteller oder das BSI.

• die gefundene Schwachstelle nicht missbräuchlich ausgenutzt wurde. D.h., dass keine Schäden über die gemeldete Schwachstelle hinaus angerichtet wurden.

• keine Angriffe (wie z.B. Social-Engineering-, Spam-, (Distributed) DoS- oder „Brute Force“-Angriffe, etc.) gegen IT-Systeme oder Infrastrukturen durchgeführt wurden.

• keine Manipulation, Kompromittierung oder Veränderung von möglichen Systemen oder Daten Dritter vorgenommen wurde;

• keine Tools zur Schwachstellenausnutzung, z.B. auf Darknet-Märkten entgeltlich oder unentgeltlich angeboten wurden, die Dritte zur Begehung von Straftaten nutzen können.

• es sich bei der Schwachstellenmeldung nicht um Ergebnisse aus automatisierten Tools oder Scans ohne erklärende Dokumentation handelt. Diese stellen keine gültigen Schwachstellenmeldungen dar.

• es sich bei der Schwachstellenmeldung um bisher nicht bekannte Informationen handelt. Zu bereits behobenen Schwachstellen werden Ihre Informationen zwar entgegengenommen und geprüft, sie qualifizieren sich jedoch nicht für eine weiterführende Bearbeitung im Rahmen des CVD-Prozesses.

• grundlegende gültige Kontaktdaten (E-Mail-Adresse) hinterlegt werden, damit wir Sie im Falle von Rückfragen kontaktieren können. Gerade bei komplexen Schwachstellen ist es nicht auszuschließen, dass wir weitere Erklärungen und Dokumentationen benötigen. Da wir sehr viel Wert auf eine gute Kommunikation legen, werden Schwachstellenmeldungen ohne Kommunikationsmöglichkeiten (bspw. gültige Kontaktdaten) nur eingeschränkt bearbeitet.

Im Falle einer anonymen Meldung ist zu berücksichtigen, dass fachliche und inhaltliche Rückfragen der DAMPSOFT GmbH nicht beantwortet und entsprechende Schwachstellenmeldungen daher nur eingeschränkt oder ggf. nicht bearbeitet werden können. Die DAMPSOFT GmbH betreibt derzeit kein Bug-Bounty-Programm und kann daher keine finanzielle Vergütung für gemeldete Schwachstellen anbieten. Dennoch wissen wir Ihren Beitrag und Ihre Unterstützung bei der Aufrechterhaltung der Sicherheit unserer Dienste sehr zu schätzen.

Ende des CVD-Prozesses

Unter den folgenden Bedingungen sehen wir den CVD-Prozess als beendet an:

• Die Hinweise auf die gemeldete Schwachstelle stellen sich als unbegründet heraus.

• Die gemeldete Schwachstelle wurde behoben und veröffentlicht.

• Die gemeldete Schwachstelle konnte nur in einem begrenzten Umfang oder gar nicht bearbeitet werden und die meldende Stelle antwortet nicht auf technische oder inhaltsbezogene Fragen innerhalb von 30 Tagen.

• Die gemeldete Schwachstelle wurde veröffentlicht und, nach Rücksprache mit dem BSI, kann angenommen werden, dass die Schwachstelle nicht abgemildert oder behoben wird.

Die meldende Stelle wird unverzüglich über das Ende des CVD-Prozesses informiert, sollte die Meldung nicht anonym eingegangen sein.

Ihnen ist eine Schwachstelle bei der Verwendung unserer Software aufgefallen? Um die Behebung und Veröffentlichung zu beschleunigen und die bestmögliche Qualität zu sichern haben wir verschieden Möglichkeiten für Sie, entsprechende Schwachstellen zu melden. Dabei wird ihre Meldung vollkommen anonym behandelt.

Schwachstellen können über dieses Formular gemeldet werden.

Die Meldung kann auf Wunsch auch anonymisiert erfolgen. Bitte beachten Sie in diesem Fall möglichst umfassende und präzise Angaben zu machen, die eine Verifikation und Bewertung des Sachverhalts ermöglichen, da Rückfragen durch die DAMPSOFT GmbH nicht möglich sind.

Sie können Schwachstellenmeldungen bzgl. unserer IT-Systeme/IT-Dienstleistungen auch direkt an die E-Mail-Adressen csirt@dampsoft.de der DAMPSOFT GmbH schicken. Mit diesem PGP-Key.

Für Schwachstellen in einem unserer Produkte verwenden Sie bitte die der Produktlinie entsprechende E-Mail-Adresse:

• psirt-dswin@dampsoft.de - Für alle Produkte/Erweiterungen der Produktlinie DS-Win. Mit diesem PGP-Key.

• psirt-ds4@dampsoft.de - Für alle Produkte/Erweiterungen der Produktlinie DS4. Mit diesem PGP-Key.

• psirt-athena@dampsoft.de - Für alle Produkte/Erweiterungen der Produktlinie Athena. Mit diesem PGP-Key.

• psirt-econnect@dampsoft.de - Für alle Produkte/Erweiterungen der Produktlinie e-connect. Mit diesem PGP-Key.

• psirt-aiva@dampsoft.de - Für alle Produkte/Erweiterungen der Produktlinie AIVA. Mit diesem PGP-Key.

 Dabei ist eine Schwachstellenmeldung wie folgt aufzubauen:

• Der Name des Produkts und die getestete Versionsnummer.

• Eine einfache Beschreibung (ggf. Screenshots oder andere Abbildungen für die bessere Nachvollziehbarkeit), aus der hervorgeht, wie die Schwachstelle entdeckt wurde (einschließlich evt. verwendeter Tools).

• Eine Zuordnung der Schwachstelle aus der CWE-Liste (siehe  https://cwe.mitre.org/data/index.html).

• Einen Proof-of-Concept-Code (PoC) oder Anweisungen, aus denen hervorgeht, wie die Schwachstelle ausgenutzt werden kann.

• Eine Risikoeinschätzung unter Beachtung der technischen Gegebenheiten zur Bestimmung des Schweregrads der Schwachstelle (bspw. durch Verwendung eines CVSS-Wertes und der dazugehörigen Matrix - präferiert in der aktuellsten Version) enthalten.

• Eine Beschreibung der Auswirkungen der gemeldeten Schwachstelle oder ein Bedrohungsmodell, das ein relevantes Angriffsszenario beschreibt.

Wir empfehlen eine verschlüsselte und signierte Kommunikation. Für eine verschlüsselte Kommunikation verwenden Sie bitte den jeweiligen PGP-Schlüssel, welcher über die obigen Links hinter den jeweiligen E-Mail-Adressen abgerufen werden kann.