INFORM Coordinated Vulnerability Disclosure (CVD) Policy

Sicherheitslücke melden

INFORM begrüßt Hinweise auf Sicherheitslücken in Produkten mit digitalen Elementen und zugehörigen, von INFORM verantworteten produktbezogenen Diensten. Diese Policy beschreibt, wie Schwachstellen verantwortungsvoll gemeldet werden können, welche Mindestinformationen eine Meldung enthalten sollte und wie INFORM eingehende Meldungen bearbeitet und – soweit angemessen – koordiniert offenlegt.

 

Geltungsbereich

Diese Policy gilt nur für von INFORM entwickelte, vertriebene oder gewartete Produkte mit digitalen Elementen sowie für zugehörige, von INFORM verantwortete Cloud-Dienste, soweit deren Fehlen die Produktfunktion beeinträchtigen oder verhindern würde.

 

Grundsätze

Meldende Personen, die entsprechend in den Grenzen dieser CVD Policy und in gutem Glauben handeln, müssen keine rechtlichen Konsequenzen aufgrund ihrer Schwachstellenmeldung befürchten. Bei Verstößen behält sich INFORM jedoch rechtliche Schritte vor.

 

So melden Sie eine Schwachstelle

Bitte melden Sie Schwachstellen über den von INFORM veröffentlichten Security-Kontaktweg. Die jeweils aktuellen Kontaktinformationen und Verweise auf diese Policy werden zusätzlich über die security.txt gemäß RFC 9116 veröffentlicht.

Security-Kontakt

Bevorzugte Sprachen: Deutsch, Englisch.

security-reports@inform-software.com

 

Angaben für eine gute Meldung

  1. Betroffenes Produkt, betroffene Komponente oder betroffener Dienst – ggf. mit Versionsangabe.
  2. Beschreibung der Schwachstelle und ihrer potenziellen Sicherheitsauswirkung.
  3. Schritte zur Reproduktion der Ausnutzung sowie ggf. technische Vorbedingungen.
  4. Angabe, ob eine aktive Ausnutzung lediglich vermutet oder bereits beobachtet wurde.
  5. Nennung einer Kontaktmöglichkeit für Rückfragen (optional, aber empfohlen).

 

Erwartungen an Meldende

  • Ausschließliches Handeln zum Zweck der Sicherheitsverbesserung – ohne betrügerische, schädigende oder erpresserische Absichten.
  • Kein unnötiger Zugriff, Veränderung oder Löschung von Daten.
  • Unterlassung jeglicher Beeinträchtigungen der Verfügbarkeit, hierzu zählen insbesondere aber nicht abschließend Last-, Stress- oder Denial-of-Service-Tests oder ähnlich wirkende Verfahren.
  • Unterlassung von Social-Engineering.
  • Keine Veröffentlichung und kein Teilen von Informationen mit Dritten ohne die vorherige Abstimmung mit INFORM.

INFORM verlangt für die Annahme einer Schwachstellenmeldung grundsätzlich nicht den Abschluss einer separaten Geheimhaltungsvereinbarung (NDA).

 

Bearbeitung durch INFORM

  • Eingangsbestätigung: soweit ein kommunikativer Rückkanal vorhanden ist oder angegeben wurde, grundsätzlich innerhalb von 5 Arbeitstagen.
  • Erste fachliche Rückmeldung: grundsätzlich innerhalb von 10 Arbeitstagen nach Eingangsbestätigung (Dies kann auch eine Validierung und/oder Rückfragen enthalten.)
  • Weitere Statusinformationen: Eine Aktualisierung erfolgt, sobald weitere geprüfte Informationen verfügbar sind. Der Zeitpunkt hierfür hängt von der individuellen Ausprägung des Vorfalls, der Bewertung des Schweregrads sowie möglichen externen Faktoren ab.
  • Kein Anspruch auf Vergütung: Diese Policy ist kein Bug-Bounty-Programm und begründet keinen Zahlungsanspruch.
  • Sofern sich nach einer Prüfung durch INFORM ergibt, dass es sich um eine meldepflichtige Schwachstelle oder um einen schwerwiegenden Sicherheitsvorfall handelt, kommt die INFORM fristgerecht ihren behördlichen Meldepflichten nach.
     

Vertraulichkeit, Datenschutz und koordinierte Offenlegung

INFORM behandelt eingehende Schwachstellenmeldungen grundsätzlich vertraulich.

Etwaig durch den Meldendenden bereitgestellte personenbezogene Daten werden ausschließlich zweckgebunden und DSGVO-konform verarbeitet. 

INFORM verfolgt den Grundsatz der koordinierten Offenlegung und strebt an, validierte und verifizierte Schwachstellen angemessen und risikogerecht offenzulegen.