Sicherheitslücke melden

Die Sicherheit unserer Produkte, Softwarelösungen und digitalen Services hat für SIKA eine hohe Priorität. Trotz sorgfältiger Entwicklung und Prüfung können Sicherheitslücken nicht vollständig ausgeschlossen werden.

Sollten Sie eine mögliche Sicherheitslücke in einem Produkt, einer Software oder einem digitalen Service von SIKA entdecken, bitten wir Sie, uns diese zu melden. Wir prüfen eingehende Hinweise sorgfältig und koordinieren notwendige Maßnahmen mit den beteiligten internen und externen Stellen.

Diese Richtlinie beschreibt, wie Sicherheitslücken an SIKA gemeldet werden können und welche Regeln bei der Untersuchung und koordinierten Veröffentlichung zu beachten sind.

Geltungsbereich

Diese Meldestelle ist insbesondere für mögliche Sicherheitslücken in folgenden Bereichen vorgesehen:

• Produkte mit digitalen Elementen, die unter dem Namen oder der Marke SIKA angeboten werden
• Firmware und eingebettete Software von SIKA Produkten
• PC-Software, Webanwendungen und mobile Anwendungen von SIKA
• digitale Schnittstellen und Kommunikationsfunktionen von SIKA Produkten
• Konfigurations-, Update- und Fernwartungsfunktionen
• von SIKA betriebene produktbezogene Online- und Cloud-Dienste
• Websites und sonstige digitale Dienste, die unmittelbar von SIKA betrieben werden

Dazu können beispielsweise Schwachstellen bei Authentifizierung, Zugriffsrechten, Datenübertragung, Verschlüsselung, Softwareupdates, Netzwerkschnittstellen oder der Verarbeitung von Eingaben gehören.

Nicht über diese Meldestelle bearbeitet werden:

• allgemeine Produktanfragen oder technische Supportfälle
• Funktionsfehler ohne sicherheitsrelevante Auswirkungen
• Datenschutzanfragen
• Compliance- oder Hinweisgebermeldungen
• Sicherheitsprobleme in Produkten und Diensten Dritter, für die SIKA nicht verantwortlich ist
• reine Ergebnisse automatisierter Scans ohne nachvollziehbare technische Bewertung

Für diese Anliegen nutzen Sie bitte die jeweils vorgesehenen Kontaktmöglichkeiten auf unserer Website.

So melden Sie eine Sicherheitslücke

Bitte senden Sie Ihre Meldung an:

E-Mail für auf Produkte bezogene Sicherheitsmeldungen: PSIRT(at)sika.net
E-Mail für auf IT-Infrastruktur bezogene Sicherheitsmeldungen: CSIRT(at)sika.net

Empfohlener Betreff: Sicherheitslücke – [Produkt oder Dienst] – [kurze Beschreibung]

Meldungen können auf Deutsch oder Englisch eingereicht werden.

Für vertrauliche oder besonders sensible Informationen empfehlen wir eine verschlüsselte Übermittlung. Unser öffentlicher OpenPGP-Schlüssel steht hier zur Verfügung:

OpenPGP-Schlüssel:folgt
Fingerabdruck: folgt

Bitte senden Sie ausführbare Dateien, Schadsoftware oder andere potenziell gefährliche Inhalte nicht unaufgefordert per E-Mail. Stimmen Sie deren sichere Übermittlung zunächst mit uns ab.

Besteht der Verdacht, dass eine Schwachstelle bereits aktiv ausgenutzt wird, kennzeichnen Sie Ihre Nachricht bitte im Betreff mit „KRITISCH“ und weisen Sie im ersten Absatz ausdrücklich darauf hin.

Benötigte Angaben

Je genauer Ihre Meldung ist, desto schneller können wir den Sachverhalt prüfen. Bitte geben Sie nach Möglichkeit folgende Informationen an:

• genaue Produkt- oder Dienstbezeichnung
• Artikelnummer, Modell oder Produktvariante
• verwendete Firmware- oder Softwareversion
• betroffene Schnittstelle, Komponente oder Funktion
• Beschreibung der Sicherheitslücke
• mögliche sicherheitsrelevante Auswirkungen
• Voraussetzungen für eine Ausnutzung
• nachvollziehbare Schritte zur Reproduktion
• gegebenenfalls ein nicht schädlicher Proof of Concept
• relevante Protokolldaten, Screenshots oder Fehlermeldungen
• Angaben zur betroffenen Konfiguration oder Systemumgebung
• Information, ob die Schwachstelle bereits veröffentlicht oder Dritten gemeldet wurde
• Information, ob Anzeichen für eine aktive Ausnutzung vorliegen
• Ihre Kontaktdaten und eine bevorzugte sichere Kontaktmöglichkeit

Bitte übermitteln Sie nur Daten, die für die technische Bewertung erforderlich sind. Passwörter, private Schlüssel, personenbezogene Daten oder vertrauliche Kundendaten sollten nicht Bestandteil der Meldung sein.

Eine anonyme Meldung ist grundsätzlich über unser Kontaktformular möglich. Ohne Kontaktmöglichkeit können wir jedoch keine Rückfragen stellen und Sie nicht über den Bearbeitungsstand informieren.

Regeln für verantwortungsvolle Sicherheitsforschung

Bitte beachten Sie bei der Untersuchung einer möglichen Sicherheitslücke folgende Grundsätze:

• Untersuchen Sie ausschließlich eigene Systeme oder Systeme, für deren Prüfung Sie ausdrücklich autorisiert wurden.
• Beschränken Sie Ihre Aktivitäten auf das notwendige Mindestmaß.
• Vermeiden Sie Beeinträchtigungen der Verfügbarkeit, Stabilität oder Sicherheit von Produkten und Diensten.
• Führen Sie keine Denial-of-Service-Angriffe oder Lasttests durch.
• Verwenden Sie keine Schadsoftware und richten Sie keine dauerhaften Zugänge ein.
• Nehmen Sie keine Veränderungen oder Löschungen an Daten oder Konfigurationen vor.
• Greifen Sie nicht auf Daten Dritter zu und laden Sie solche Daten nicht herunter.
• Beenden Sie die Untersuchung, sobald Sie unbeabsichtigt auf personenbezogene, vertrauliche oder produktive Daten zugreifen können.
• Führen Sie keine Social-Engineering-, Phishing- oder Täuschungsversuche gegenüber Beschäftigten, Kunden oder Partnern von SIKA durch.
• Nutzen Sie eine Sicherheitslücke nicht für eigene oder fremde wirtschaftliche Vorteile.
• Veröffentlichen Sie keine Details, bevor ein abgestimmter Offenlegungsprozess abgeschlossen ist.
• Beachten Sie alle anwendbaren gesetzlichen und vertraglichen Bestimmungen.

Die Veröffentlichung dieser Richtlinie stellt keine allgemeine Erlaubnis dar, Produkte, Systeme, Netzwerke oder Dienste von SIKA ohne Zustimmung zu testen.

Bei Sicherheitsforschung, die gutgläubig, verhältnismäßig und entsprechend dieser Richtlinie durchgeführt wird, beabsichtigt SIKA – soweit gesetzlich zulässig und keine Schädigungs- oder Bereicherungsabsicht erkennbar ist – nicht, allein aufgrund dieser Aktivitäten rechtliche Schritte einzuleiten.

Bearbeitung Ihrer Meldung

Nach Eingang einer Meldung erfolgt grundsätzlich folgender Ablauf:

1. Eingangsbestätigung
Wir bestätigen den Eingang Ihrer Meldung in der Regel innerhalb von einem Arbeitstag. Bei unklaren oder unvollständigen Meldungen können wir zusätzliche Informationen anfordern.

2. Technische Bewertung
Unsere zuständigen Fachbereiche prüfen, ob die gemeldete Sicherheitslücke nachvollziehbar ist, welche Produkte oder Versionen betroffen sind und welche Auswirkungen entstehen können. Je nach Sachverhalt können dabei auch verbundene Unternehmen, Lieferanten, Technologiepartner oder externe Sicherheitsexperten einbezogen werden.

3. Bewertung und Priorisierung
Bestätigte Sicherheitslücken werden nach ihrer technischen Ausnutzbarkeit, ihren möglichen Auswirkungen und der Wahrscheinlichkeit einer Ausnutzung bewertet und priorisiert.

4. Korrektur- und Schutzmaßnahmen
Abhängig von der Bewertung können geeignete Maßnahmen beispielsweise umfassen:

- ein Firmware- oder Softwareupdate
- eine geänderte Konfiguration
- eine technische Abhilfemaßnahme
- eine vorübergehende Risikominderung
- aktualisierte Sicherheitshinweise oder Dokumentationen
- eine Information betroffener Kunden und Anwender

5. Koordinierte Veröffentlichung
SIKA stimmt eine mögliche Veröffentlichung nach Möglichkeit mit der meldenden Person und weiteren betroffenen Parteien ab. Der Zeitpunkt richtet sich unter anderem nach der Kritikalität, der Verfügbarkeit einer Abhilfemaßnahme und den Risiken für Anwender.

Eine Veröffentlichung sollte erst erfolgen, wenn eine geeignete Korrektur oder Risikominderung zur Verfügung steht oder ein anderer Veröffentlichungstermin gemeinsam vereinbart wurde.

6. Abschluss
Nach Bereitstellung geeigneter Maßnahmen informieren wir die meldende Person nach Möglichkeit über den Abschluss der Bearbeitung. Bei geeigneten Sicherheitslücken kann zusätzlich die Vergabe oder Koordination einer CVE-Kennung geprüft werden.

Vertraulichkeit

SIKA behandelt Sicherheitsmeldungen und die Identität der meldenden Person grundsätzlich vertraulich.

Eine Weitergabe kann erforderlich sein, wenn dies für die Untersuchung, Behebung oder Erfüllung gesetzlicher Meldepflichten notwendig ist. Dies kann insbesondere zuständige Behörden, verbundene Unternehmen, Lieferanten, Entwicklungspartner oder beauftragte Sicherheitsexperten betreffen.

Eine namentliche Erwähnung oder öffentliche Anerkennung erfolgt nur nach vorheriger Zustimmung.

Vergütung und Bug-Bounty-Programm

SIKA betreibt derzeit kein öffentliches Bug-Bounty-Programm. Aus der Meldung einer Sicherheitslücke ergibt sich daher kein Anspruch auf eine finanzielle oder sonstige Vergütung.

Eine freiwillige Anerkennung besonderer Beiträge bleibt einer individuellen Entscheidung von SIKA vorbehalten.

Sicherheitshinweise

Veröffentlichte Sicherheitshinweise zu SIKA Produkten und digitalen Diensten werden in diesem Bereich bereitgestellt.

Aktuell liegen keine veröffentlichten Sicherheitshinweise vor.

Supportzeiträume und Sicherheitsupdates

Produktspezifische Informationen zum Supportzeitraum, zur Bereitstellung von Sicherheitsupdates und zu sicheren Produktkonfigurationen finden Sie in der jeweiligen Produktdokumentation, auf der entsprechenden Produktseite oder in den zugehörigen Sicherheitshinweisen.

Diese Seite ersetzt nicht die produktspezifischen Informationen und Anleitungen.

Andere Anliegen

Bitte nutzen Sie für andere Anliegen die dafür vorgesehenen Kontaktwege:

• Allgemeine Produktanfragen: Produktanfragen
• Datenschutz: Datenschutzerklärung
• Compliance und Hinweisgebersystem: Compliance
• Presseanfragen: Pressekontakt