Coordinated Vulnerability Disclosure

Geltungsbereich

Diese Richtlinie gilt für Produkte mit digitalen Elementen, die von Stercom Power Solutions GmbH unter eigenem Namen in Verkehr gebracht werden, einschließlich bereits ausgelieferter Produkte.

Schwachstelle melden

• Formular auf dieser Seite
• E-Mail: security@stercom.de, verschlüsselt mit dem unten veröffentlichten PGP-Schlüssel oder unverschlüsselt
• Post: Stercom Power Solutions GmbH, Stichwort „Security”, Anschrift siehe Impressum

Meldungen werden an Arbeitstagen gesichtet. Jede Meldung erhält eine Eingangsbestätigung und nach Erfassung eine Rückmeldung mit Fallnummer und Ansprechpartner. Anonyme Meldungen werden angenommen; eine Rückmeldung setzt eine Kontaktmöglichkeit voraus.

Hilfreiche Angaben
Soweit bekannt: Beschreibung und mögliche Auswirkung, betroffenes Produkt (Typbezeichnung vom Typenschild) und Softwarestand, Schritte zur Reproduktion, Hinweise auf öffentliche Bekanntheit oder aktive Ausnutzung, Kontaktdaten und gewünschte Form der Nennung.

Bearbeitung
Der Melder wird bei jeder Statusänderung informiert, einschließlich Abhängigkeiten von Komponenten Dritter. Schwachstellen werden unverzüglich behoben. Sicherheitsupdates werden unverzüglich und innerhalb des Unterstützungszeitraums kostenlos bereitgestellt. Bei aktiv ausgenutzten Schwachstellen werden betroffene Nutzer unverzüglich informiert und die Meldepflichten nach Art. 14 der Verordnung (EU) 2024/2847 erfüllt. Darüber hinausgehende Fristen werden nicht zugesagt.

Koordinierte Offenlegung
Ein Sicherheitshinweis mit Beschreibung, betroffenen Produkten und Versionen, Auswirkung, Schweregrad und Hinweisen zur Abhilfe wird mit Bereitstellung des Updates oder einer wirksamen Mitigation veröffentlicht. Der Zeitpunkt wird mit dem Melder abgestimmt. Bis dahin wird der Melder um Vertraulichkeit gebeten. Bei längerer Behebung wird dem Melder ein Veröffentlichungszeitpunkt vorgeschlagen. Bis zur Behebung einer aktiv ausgenutzten Schwachstelle kann die Information auf die betroffenen Kunden beschränkt werden.

Anerkennung und Safe Harbor
Melder werden auf Wunsch im Sicherheitshinweis genannt. Ein Bug-Bounty-Programm besteht nicht.

Gegen Melder, die in gutem Glauben handeln, werden keine rechtlichen Schritte eingeleitet. In gutem Glauben handelt, wer die Prüfung auf das zum Nachweis Erforderliche beschränkt, keine Daten Dritter ausliest oder verändert, keine produktiven Systeme beeinträchtigt, vor einer Veröffentlichung meldet und keine Forderungen stellt. Diese Zusage bindet keine Dritten.

PGP-Schlüssel
Die PGP-Verschlüsselung wird derzeit eingerichtet. Der öffentliche Schlüssel und der Fingerabdruck werden hier veröffentlicht, sobald sie verfügbar sind.

Fingerprint: ---

Schlüssel: ---

Stand: ---