CVD-Richtlinie der Kern AG
Koordinierte Offenlegung von Sicherheitslücken
Die Sicherheit unserer Produkte und unserer IT-Infrastruktur hat für die Kern AG hohe Priorität. Uns ist bewusst, dass sich Schwachstellen auch in sorgfältig entwickelter Software nicht vollständig vermeiden lassen. Deshalb schätzen wir den Beitrag von Sicherheitsforscherinnen und -forschern sowie allen, die uns dabei helfen, solche Schwachstellen aufzudecken und zu beheben.
So erreichen Sie uns
Die Kern AG begrüßt Sicherheitsmeldungen von jedermann unabhängig von einem bestehenden Servicevertrag. Eine Geheimhaltungsvereinbarung (NDA) als Voraussetzung für eine Meldung ist nicht erforderlich. Meldungen nehmen wir auf Deutsch oder Englisch entgegen. Enthält Ihre Meldung vertrauliche Details, empfehlen wir eine verschlüsselte und digital signierte E-Mail.
Wer anonym bleiben möchte, kann eine Meldung auch über unser Online-Formular einreichen. Bitte beachten Sie dabei, dass wir anonyme Meldungen nur eingeschränkt bearbeiten können, da Rückfragen oder eine Rückmeldung zum Ergebnis in diesem Fall nicht möglich sind.
Eine Meldung sollte Folgendes enthalten:
- Beschreibung der Schwachstelle und ihrer potenziellen Auswirkungen
- Schritte zur Reproduktion oder Proof-of-Concept-Code/Screenshots, sofern verfügbar
- Produkt, Produktversion und Systemumgebung
- Angabe, ob der Sachverhalt bereits anderweitig offengelegt wurde
Das dürfen Sie von uns erwarten
Jede Meldung behandeln wir streng vertraulich. Personenbezogene Daten geben wir nur mit Ihrer ausdrücklichen Zustimmung an Dritte weiter. Sie erhalten innerhalb von fünf Werktagen eine persönliche Eingangsbestätigung und innerhalb von zehn Werktagen eine inhaltliche Rückmeldung, sei es eine Bestätigung des Sachverhalts, eine begründete Ablehnung oder eine Einschätzung unsererseits. Darüber hinaus stehen wir Ihnen für die gesamte Dauer des Verfahrens als fester Ansprechpartner zur Verfügung.
Solange Meldende sich an folgende Grundsätze halten, verzichtet die Kern AG auf rechtliche Schritte:
- Sicherheitsforschung und -tests werden so durchgeführt, dass Dritten kein Schaden entsteht.
- Getestet wird ausschließlich auf eigenen Systemen oder auf Systemen, für die zuvor die ausdrückliche Zustimmung der betroffenen Kundin bzw. des betroffenen Kunden eingeholt wurde.
- Alle geltenden gesetzlichen Vorgaben werden eingehalten.
- Der Grundsatz der koordinierten Offenlegung wird respektiert, d. h. die Details zur Schwachstelle werden nicht vor dem vereinbarten Veröffentlichungstermin publik gemacht.
- Verfügbarkeit, Integrität und Vertraulichkeit von Kundensystemen und -daten werden zu keinem Zeitpunkt beeinträchtigt.
Unser Umgang mit Meldungen
- Eingang der Meldung: Sie kontaktieren uns über einen der im Abschnitt "Sicherheitskontakt bei der Kern AG" genannten Kanäle.
- Prüfung und Analyse: Unser Team sichtet die Meldung und versucht, das beschriebene Verhalten nachzuvollziehen. Bei Bedarf melden wir uns für Rückfragen oder zusätzliche technische Details bei Ihnen.
- Behebung: Gemeinsam mit den zuständigen Entwicklungsteams arbeiten wir an einer Lösung oder Abhilfemaßnahme. Wir halten Sie über den Fortschritt auf dem Laufenden und stellen Ihnen, wo sinnvoll, vorab Fixes zur Überprüfung zur Verfügung.
- Abstimmung mit Behörden: Wird eine Schwachstelle aktiv ausgenutzt, informieren wir unverzüglich das zuständige nationale CSIRT (etwa CERT-Bund) und halten es fortlaufend über neue Erkenntnisse, Gegenmaßnahmen und Zeitpläne auf dem Laufenden.
- Veröffentlichung: Ist eine Schwachstelle bestätigt und verifiziert, streben wir an, sie innerhalb von 90 Tagen öffentlich zu machen. In Abstimmung mit dem nationalen CSIRT ist eine Verlängerung um weitere 90 Tage möglich, wenn dies tatsächlich erforderlich ist. Auf Wunsch veranlassen wir zudem die Aufnahme in die europäische Schwachstellendatenbank (EUVD/ENISA).
Ein Fall gilt für uns als abgeschlossen, sobald die Schwachstelle behoben und, soweit vorgesehen, offengelegt wurde, oder sobald wir der meldenden Person eine nachvollziehbare Begründung dafür gegeben haben, warum keine weiteren Schritte folgen. Außer bei anonymen Meldungen, bei denen uns schlicht kein Kontaktweg zur Verfügung steht, informieren wir Sie in jedem Fall unverzüglich über den Abschluss.
Sicherheitskontakt bei der Kern AG
Fragen zur Sicherheit unserer Produkte oder Infrastruktur sowie neue Schwachstellenmeldungen können über folgende Wege an uns gesendet werden.
Sicherheitslücke in einem Produkt, Dienst oder System der Kern AG
- per E-Mail melden
- PGP-Schlüssel & Fingerabdruck 055A 44B4 6617 ED1F 8843 5E72 13C6 E758 06EC 9F8A
Sicherheitslücke in der Computerinfrastruktur der Kern AG
- per E-Mail melden
- PGP-Schlüssel & Fingerabdruck 9C1D AE31 D780 1FB5 9EA5 5E5F 86C9 A99A F7DD D678