1. Zweck und Anwendungsbereich

Diese Policy beschreibt, wie Matthias Schernikau GmbH Hinweise auf mögliche Cybersecurity-Schwachstellen in Produkten mit digitalen Elementen entgegennimmt, bewertet und koordiniert weiterbearbeitet.

Produkte mit digitalen Elementen können insbesondere Software- oder Hardwareprodukte sowie zugehörige Remote-Data-Processing-Lösungen umfassen. Im Aufzugskontext betrifft dies zum Beispiel Steuerungen, Gateways, IoT-Geräte, eingebettete Software/Firmware, mobile Anwendungen, APIs, Cloud- oder Backend-Services sowie Kommunikations-, Diagnose- oder Parametrierlösungen.

Diese Policy gilt für Hinweise zu Produkten, Lösungen oder produktbezogenen Services, für die Matthias Schernikau GmbH verantwortlich ist oder bei denen Matthias Schernikau GmbH im Rahmen eines definierten Melde- und Koordinationswegs unterstützt.

Nicht im Anwendungsbereich dieser Policy sind allgemeine Corporate-IT-Systeme, interne Unternehmensservices, Marketing-Websites oder Test-/Entwicklungsumgebungen, sofern sie nicht Bestandteil eines freigegebenen Produkts oder produktbezogenen Services sind.

Matthias Schernikau GmbH prüft, ob gemeldete Vorfälle in den Geltungsbereich dieser Policy fallen. Meldungen, die Sachverhalte außerhalb dieses Geltungsbereichs betreffen, können an andere zuständige Stellen weitergeleitet oder im Rahmen anderer entsprechender Verfahren bearbeitet werden

2. Grundsatz

Matthias Schernikau GmbH nimmt Hinweise auf mögliche Sicherheitslücken ernst und unterstützt eine verantwortungsvolle, koordinierte Offenlegung von Schwachstellen.

Ziel ist es, potenzielle Risiken für Nutzer, Kunden, Anlagen und Produkte geordnet zu bewerten, geeignete Maßnahmen zu koordinieren und relevante Parteien angemessen zu informieren.

Wir bitten darum, mögliche Schwachstellen nicht öffentlich offenzulegen, bevor sie bewertet und geeignete Maßnahmen abgestimmt wurden. Koordination dient dem Schutz von Nutzern und Kunden, nicht der Einschränkung berechtigter Sicherheitsforschung.

3. Rollen

Im Rahmen dieser Policy können insbesondere folgende Rollen relevant sein:

• Reporter: Person oder Organisation, die eine mögliche Schwachstelle meldet.
• Koordinator: Eine vermittelnde Instanz, die die Kommunikation zwischen Matthias Schernikau GmbH und anderen Anbietern oder Meldenden unterstützt, insbesondere bei Sicherheitslücken, die mehrere Parteien betreffen.
• Hersteller / Verantwortlicher Produktanbieter: Partei, die für Bewertung, Behebung und Kommunikation einer Schwachstelle verantwortlich ist.
• Nutzer / Kunde: Partei, die Informationen zu betroffenen Produkten, Risiken und Maßnahmen erhält.

4. Meldeweg

Hinweise auf mögliche Sicherheitslücken können an folgende Adresse gemeldet werden: cybersecurity@liftfabrik.de

5. Inhalt einer Meldung

Um eine mögliche Schwachstelle prüfen zu können, sollte eine Meldung möglichst folgende Informationen enthalten:

• Produkt- oder Servicename
• betroffene Version, Software-/Firmwarestand oder Konfiguration, soweit bekannt
• technische Beschreibung der möglichen Schwachstelle
• Schritte zur Reproduktion
• Proof-of-Concept, Screenshots, Logs oder sonstige Nachweise, soweit vorhanden
• Einschätzung zu Auswirkung und Schweregrad
• Angaben dazu, ob die Schwachstelle bereits ausgenutzt wurde oder öffentlich bekannt ist
• betroffene Anlage, Standort oder Kunde, soweit bekannt
• Kontaktdaten des Reporters, sofern Rückfragen möglich sein sollen
• Hinweise zu geplanten Veröffentlichungen oder Embargofristen

6. Monitoring

Matthias Schernikau GmbH berücksichtigt und verarbeitet relevante Schwachstelleninformationen aus den folgenden Quellen, soweit diese für Produkte mit digitalen Elementen im Anwendungsbereich dieser Policy relevant sind.

• Externe Quellen
  • öffentliche Schwachstellendatenbanken,
  • veröffentlichte Security Advisories,
  • Schwachstellenmeldungen, die über den definierten Meldeweg eingehen.
• Lieferantenumfeld
  • Schwachstellenmeldungen und Advisories von Lieferanten, Herstellern oder Maintainern von Produkten oder Komponenten, die von Matthias Schernikau GmbH eingesetzt, installiert oder unterstützt werden.
• Interne Quellen
  • Security Testing,
  • Produkt- oder Komponentenbewertungen,
  • Lifecycle Reviews,
  • Rückmeldungen aus Service, Installation, Modernisierung oder Support.
• Automatisiertes Monitoring
  • Überwachung von Drittanbieter- und Open-Source-Komponenten, die in Produkten mit digitalen Elementen eingesetzt werden, soweit entsprechende Mechanismen verfügbar sind.

7. Eingangsbestätigung und Reaktion

Matthias Schernikau GmbH strebt an, den Eingang von Schwachstellenmeldungen innerhalb von 7Kalendertagen zu bestätigen und, soweit möglich, eine erste Statusinformation bereitzustellen.

Falls zusätzliche Informationen benötigt werden, kontaktiert Matthias Schernikau GmbH den Reporter über den vereinbarten Kommunikationsweg.

8. Bewertung und Untersuchung

Eine erste Triage wird durchgeführt, um Validität, Schweregrad und Umfang der Meldung zu bewerten. Doppelte Meldungen werden identifiziert und zusammengeführt. Wenn eine Meldung nicht als Schwachstelle bewertet wird oder nicht in den Anwendungsbereich dieser Policy fällt, wird der Reporter, soweit angemessen, informiert. Die Bewertung kann, soweit anwendbar, folgende Punkte umfassen:

• betroffenes Produkt, betroffener Service oder betroffene Komponente,
• betroffene Version oder Konfiguration,
• mögliche Auswirkungen,
• Schweregrad,
• Ausnutzbarkeit,
• betroffene Kunden oder Anlagen,
• verfügbare Updates, Workarounds oder Maßnahmen zur Risikominderung,
• Einbindung von Lieferanten, Herstellern oder weiteren Stakeholdern.

9. Laufende Kommunikation

Matthias Schernikau GmbH pflegt einen offenen und kooperativen Dialog mit Reportern und relevanten Stakeholdern. Statusupdates, wesentliche neue Informationen und Änderungen an geplanten Maßnahmen werden, soweit angemessen, zeitnah kommuniziert. Embargofristen und Offenlegungszeitpläne werden bei Bedarf mit Reportern und anderen relevanten Stakeholdern abgestimmt.

Matthias Schernikau GmbH strebt Offenlegungszeiträume an, die folgende Aspekte angemessen ausbalancieren:

• Risikoreduzierung,
• technische Komplexität,
• Produktsicherheit,
• Lieferkettenabhängigkeiten,
• Kundenimpact,
• Bedarf an koordinierter Offenlegung.

Matthias Schernikau GmbH strebt kein Veröffentlichungsverbot an.

10. Koordination

Bei Multi-Vendor- oder systemischen Schwachstellen kann eine Koordination mit Herstellern, Lieferanten, Maintainern oder vertrauenswürdigen Koordinatoren erforderlich sein.

Wenn eine Schwachstelle Drittanbieterprodukte oder -komponenten betrifft, kann Matthias Schernikau GmbH den relevanten Hersteller, Lieferanten oder eine andere verantwortliche Partei einbinden.

11. Veröffentlichung von Advisories

Matthias Schernikau GmbH informiert Nutzer oder Kunden angemessen über bestätigte Schwachstellen, wenn dies erforderlich ist, um Risiken zu verstehen und geeignete Maßnahmen umzusetzen.

Eine solche Information kann insbesondere enthalten:

• betroffene Produkte oder Versionen,
• kurze Beschreibung der Schwachstelle,
• mögliche Auswirkungen,
• verfügbare Updates, Workarounds oder andere Maßnahmen,
• empfohlene nächste Schritte,
• Kontaktinformationen.

Die Veröffentlichung oder Kommunikation erfolgt koordiniert und erst, wenn die Schwachstelle bewertet wurde und geeignete Maßnahmen verfügbar oder abgestimmt sind.

12. Rechtliche Erwägungen

Matthias Schernikau GmbH unterstützt gutgläubige und verantwortungsvolle Sicherheitsforschung. Reporter sollen Schwachstellen zeitnah melden, keine Daten Dritter gefährden, keine Systeme absichtlich stören und Tests auf das notwendige Minimum beschränken. Sofern Reporter verantwortungsvoll und in gutem Glauben handeln, wird Matthias Schernikau GmbH im gesetzlich zulässigen Umfang keine rechtlichen Schritte wegen der bloßen Meldung und koordinierten Offenlegung der Schwachstelle einleiten.

Anonyme Meldungen werden akzeptiert. Eine Geheimhaltungsvereinbarung ist für die Abgabe einer Meldung nicht erforderlich.

13. Offenlegungszeitplan

Matthias Schernikau GmbH unterstützt eine koordinierte Offenlegung von Schwachstellen. Der Zeitpunkt für Veröffentlichung, Kundeninformation oder weitere Kommunikation wird fallbezogen festgelegt. Dabei werden insbesondere Schweregrad, Ausnutzungsrisiko, Kundenimpact, Produktsicherheit, technische Komplexität und Verfügbarkeit von Updates oder Maßnahmen zur Risikominderung berücksichtigt.

Matthias Schernikau GmbH bemüht sich, Reporter und betroffene Stakeholder angemessen über den Fortschritt zu informieren. Eine öffentliche Offenlegung soll grundsätzlich erst erfolgen, wenn Risiken bewertet und geeignete Maßnahmen abgestimmt sind.

14. Überprüfung und Aktualisierung der Policy

Diese Policy wird jährlich überprüft und bei Bedarf aktualisiert, um Änderungen in Standards, regulatorischen Anforderungen und Praktiken von Matthias Schernikau GmbH zu berücksichtigen.