Coordinated Vulnerability Disclosure (CVD)
Verantwortungsvolle Meldung von Sicherheitslücken
Bei Dimplex hat die Sicherheit unserer Produkte, Systeme und digitalen Services höchste Priorität. Hinweise auf potenzielle Schwachstellen helfen uns dabei, unsere Produkte, Anwendungen, digitalen Services und unsere IT-Infrastruktur kontinuierlich weiterzuentwickeln und die Cybersicherheit nachhaltig zu stärken.
Wir unterstützen die Grundsätze der koordinierten Offenlegung von Sicherheitslücken (Coordinated Vulnerability Disclosure, CVD) und fördern die konstruktive Zusammenarbeit mit Sicherheitsforschern, Kunden, Partnern und anderen verantwortungsvollen Hinweisgebern.
Unser Ansatz zur verantwortungsvollen Offenlegung von Sicherheitslücken basiert auf den Grundsätzen der Responsible Vulnerability Policy der Glen Dimplex Group.
Sicherheitslücke melden
Wenn Sie eine potenzielle Sicherheitslücke identifiziert haben, bitten wir Sie, uns diese möglichst zeitnah zu melden. Für eine effiziente Analyse und Bearbeitung empfehlen wir, folgende Informationen bereitzustellen:
- Betroffenes Produkt, System oder Service
- Beschreibung der Schwachstelle
- Potenzielle Auswirkungen
- Schritte zur Reproduktion des Problems
- Nachweise wie Screenshots, Log-Dateien oder Proof-of-Concept-Material
- Kontaktdaten für Rückfragen (optional)
Je detaillierter und präziser die bereitgestellten Informationen sind, desto schneller können wir die gemeldete Schwachstelle bewerten und beheben.
Kontaktmöglichkeiten
Product Security Incident Response Team (PSIRT)
Für Sicherheitslücken in Produkten, Software oder digitalen Services von Dimplex:
[email protected]Cyber Security Incident Response Team (CSIRT)
Für Sicherheitsvorfälle oder Schwachstellen, die die Unternehmens-IT oder Infrastruktur von Dimplex betreffen:
Häufig gestellte Fragen
Wir empfehlen, bei der Meldung einer Sicherheitslücke eine Kontaktmöglichkeit anzugeben, damit wir bei Bedarf Rückfragen stellen und Sie über den Fortschritt informieren können.
Falls Sie keine persönlichen Angaben machen möchten, berücksichtigen wir ausschließlich die von Ihnen freiwillig bereitgestellten Informationen. Bitte beachten Sie, dass die Untersuchung solcher Meldungen erschwert sein kann, wenn zusätzliche technische Informationen erforderlich sind.
Informationen können über die in der Policy genannten Kontaktwege an uns übermittelt werden. Die elektronische Kommunikation erfolgt über etablierte technische Sicherheitsmechanismen zum Schutz der Datenübertragung. Sollten besondere Anforderungen an die Vertraulichkeit bestehen, kontaktieren Sie uns bitte, damit wir gemeinsam einen geeigneten Übertragungsweg abstimmen können.
Wir bemühen uns, innerhalb von fünf Arbeitstagen eine persönliche Eingangsbestätigung zu senden und innerhalb von zehn Arbeitstagen eine erste qualifizierte Rückmeldung zu geben.
Diese Rückmeldung kann eine Bestätigung der gemeldeten Schwachstelle, Rückfragen für weitere Analysen oder Informationen zum aktuellen Bearbeitungsstand umfassen.
Meldungen zu Sicherheitslücken, die Produkte, digitale Services oder die IT-Infrastruktur von Riedel Kooling betreffen, insbesondere wenn sie Auswirkungen auf die Vertraulichkeit, Integrität, Verfügbarkeit oder Authentizität von Systemen und Diensten haben.
Um eine effiziente Bearbeitung zu ermöglichen, sollten Meldungen ausreichend technische Informationen enthalten und sich nach Möglichkeit auf bislang nicht öffentlich bekannte Schwachstellen beziehen.
Für eine schnelle Bearbeitung empfehlen wir die Angabe von:
- betroffenem Produkt, System, Service oder Website
- Beschreibung der Schwachstelle
- möglichen Auswirkungen
- Schritten zur Reproduktion
- technischen Nachweisen wie Screenshots, Log-Dateien oder Proof-of-Concept-Material
Je detaillierter die Informationen sind, desto schneller kann die gemeldete Schwachstelle bewertet und bearbeitet werden.
Wir bitten alle Hinweisgeber, verantwortungsvoll und nach Treu und Glauben zu handeln.
Bitte vermeiden Sie:
- Die Beeinträchtigung unserer Services oder Geschäftsprozesse
- Den Zugriff auf, die Veränderung oder Veröffentlichung von Daten, die Ihnen nicht gehören
- Social-Engineering-Aktivitäten
- Denial-of-Service-, Brute-Force- oder vergleichbare Angriffe
- Die öffentliche Offenlegung von Schwachstellen vor deren Behebung
Wir schätzen verantwortungsvolle Offenlegung und eine konstruktive Zusammenarbeit, die dazu beiträgt, die Sicherheit unserer Produkte und Services kontinuierlich zu verbessern.
Bestätigte Schwachstellen werden im Rahmen unseres Vulnerability-Management-Prozesses bewertet, priorisiert und bearbeitet.
Falls erforderlich, stellt Riedel Kooling Korrekturmaßnahmen, Software-Updates, Risikominderungsmaßnahmen oder Security Advisories bereit. Betroffene Kunden, Partner und weitere relevante Interessengruppen können entsprechend informiert werden.
Die öffentliche Bekanntgabe bestätigter Sicherheitslücken erfolgt nach den Grundsätzen einer verantwortungsvollen Offenlegung von Schwachstellen.