Vulnerability Disclosure
1. Richtlinie zur Meldung von Sicherheitslücken
Die imx Solutions GmbH legt großen Wert auf die Sicherheit ihrer Produkte, Dienstleistungen und digitalen Systeme. Diese Richtlinie beschreibt den Prozess zur verantwortungsvollen Meldung, Bewertung und Behebung von Sicherheitslücken sowie die Zusammenarbeit mit Sicherheitsforschenden, Kundinnen und Kunden sowie weiteren Hinweisgebenden.
Ziel unserer Richtlinie ist es, die koordinierte Offenlegung von Sicherheitslücken zu fördern und einen transparenten sowie rechtssicheren Meldeprozess bereitzustellen.
2. Geltungsbereich
Diese Richtlinie gilt für:
- alle von imx Solutions entwickelten, bereitgestellten oder betriebenen Produkte mit digitalen Elementen,
- zugehörige Software-, Firmware- und Cloud-Komponenten,
- öffentlich erreichbare Systeme und Dienste, soweit sie ausdrücklich in den Geltungsbereich dieser Richtlinie fallen.
Nicht vom Geltungsbereich umfasst sind interne Unternehmenssysteme, Büro-IT, Mitarbeiterendgeräte, Lieferantensysteme sowie sonstige Systeme, die nicht ausdrücklich zur Sicherheitsprüfung freigegeben wurden.
3. Kontakt für Sicherheitsmeldungen
Sicherheitslücken können über folgende Kontaktmöglichkeiten gemeldet werden:
E-Mail: psirt@imx-solutions.de
Security.txt: https://www.imx-solutions.de/.well-known/security.txt
- PGP-Schlüssel: A15513FD1C41B4E776A1F3455DD686C560D0D94C
Die Meldung sollte möglichst folgende Informationen enthalten:
- Beschreibung der Schwachstelle,
- betroffenes Produkt bzw. betroffene Komponente,
- Produktversion,
- Schritte zur Reproduktion,
- erwartetes und tatsächliches Verhalten,
- potenzielle Auswirkungen,
- Proof-of-Concept (PoC), sofern vorhanden,
- Kontaktdaten der meldenden Person.
4. Zusicherungen gegenüber meldenden Personen
Die imx Solutions GmbH unterstützt verantwortungsvolle Sicherheitsforschung.
Sofern Aktivitäten in Übereinstimmung mit dieser Richtlinie erfolgen, keine vorsätzliche Schädigung verursacht wird und geltende Gesetze eingehalten werden, betrachtet die imx Solutions GmbH diese Aktivitäten als in gutem Glauben durchgeführt und beabsichtigt grundsätzlich nicht, rechtliche Schritte gegen die meldende Person einzuleiten.
Bei Unsicherheiten über die Zulässigkeit geplanter Aktivitäten wird empfohlen, vorab Kontakt über die oben genannten Meldewege aufzunehmen.
Die imx Solutions GmbH verpflichtet sich darüber hinaus:
- Sicherheitsmeldungen vertraulich zu behandeln,
- personenbezogene Daten der meldenden Person nur mit deren Zustimmung oder aufgrund gesetzlicher Verpflichtungen offenzulegen,
- die Anforderungen der Datenschutz-Grundverordnung (DSGVO) einzuhalten,
- den Eingang einer Meldung innerhalb von fünf Arbeitstagen zu bestätigen.
5. Voraussetzungen für die Anerkennung einer Sicherheitsmeldung
Eine Meldung wird als gültige Sicherheitsmeldung betrachtet, wenn:
- die gemeldete Schwachstelle Produkte, Dienste oder Systeme im Geltungsbereich dieser Richtlinie betrifft,
- die Schwachstelle zum Zeitpunkt der Meldung nicht öffentlich bekannt ist,
- die bereitgestellten Informationen eine angemessene Bewertung und Reproduktion ermöglichen,
- die Meldung nicht ausschließlich aus automatisiert erzeugten Scan-Ergebnissen ohne nachvollziehbare Analyse besteht.
Unvollständige Meldungen können zur Ergänzung an die meldende Person zurückgegeben werden.
6. Verhaltensregeln für Sicherheitsforschende
Zur Minimierung möglicher Risiken sind folgende Grundsätze einzuhalten:
- Sicherheitslücken dürfen nur in dem Umfang untersucht werden, der für den Nachweis ihrer Existenz erforderlich ist.
- Nach erfolgreichem Nachweis der Schwachstelle ist die Untersuchung unverzüglich zu beenden.
- Daten dürfen nicht verändert, gelöscht, manipuliert oder unbefugt offengelegt werden.
- Es dürfen keine Systeme oder Dienste in ihrer Verfügbarkeit beeinträchtigt werden.
- Es dürfen keine Schadprogramme, Exploits oder Angriffswerkzeuge verbreitet oder bereitgestellt werden.
- Es dürfen keine Maßnahmen durchgeführt werden, die zu einer Gefährdung von Kundinnen, Kunden oder Dritten führen können.
7. Nicht zulässige Testaktivitäten
Folgende Aktivitäten sind ausdrücklich nicht Gegenstand dieser Richtlinie:
- Social Engineering,
- Phishing,
- physische Angriffe auf Einrichtungen oder Geräte,
- Denial-of-Service-(DoS)- und Distributed-Denial-of-Service-(DDoS)-Tests,
- Spam-Kampagnen,
- Angriffe gegen Systeme außerhalb des definierten Geltungsbereichs.
Sollte versehentlich gegen diese Vorgaben verstoßen worden sein, ist die imx Solutions GmbH unverzüglich zu informieren, damit mögliche Auswirkungen gemeinsam bewertet und begrenzt werden können.
8. Bearbeitung von Sicherheitsmeldungen
Nach Eingang einer Meldung erfolgt die Bearbeitung nach folgendem Verfahren:
Eingangsbestätigung
Die meldende Person erhält innerhalb von fünf Arbeitstagen eine Eingangsbestätigung.
Erste Bewertung
Innerhalb von zehn Arbeitstagen erfolgt eine erste fachliche Bewertung der Meldung. Dabei wird insbesondere geprüft:
- Relevanz der Meldung,
- Reproduzierbarkeit,
- potenzielle Auswirkungen,
- betroffene Produkte und Versionen.
Weitere Kommunikation
Während der Bearbeitung können zusätzliche Informationen angefordert werden.
Die imx Solutions GmbH bemüht sich, die meldende Person regelmäßig über den Fortschritt der Bearbeitung zu informieren.
Abschluss des Verfahrens
Ein Vorgang gilt insbesondere dann als abgeschlossen, wenn:
- die Meldung als unbegründet bewertet wurde,
- die Schwachstelle behoben oder angemessen reduziert wurde,
- betroffene Kundinnen und Kunden informiert wurden,
- eine Sicherheitsmitteilung (Security Advisory) veröffentlicht wurde.
Die meldende Person wird über den Abschluss informiert.
9. Koordinierte Offenlegung
Die imx Solutions GmbH unterstützt die koordinierte Offenlegung von Sicherheitslücken.
Informationen über eine Schwachstelle sollen grundsätzlich erst nach angemessener Möglichkeit zur Analyse, Risikobewertung und Bereitstellung geeigneter Gegenmaßnahmen veröffentlicht werden.
Zeitpunkt und Umfang einer Veröffentlichung werden nach Möglichkeit gemeinsam mit der meldenden Person abgestimmt.
10. Umgang mit Schwachstellen gemäß Cyber Resilience Act
Bestätigte Sicherheitslücken werden gemäß den internen Prozessen für Schwachstellenmanagement bewertet, priorisiert und behandelt.
Soweit gesetzlich erforderlich, werden aktiv ausgenutzte Schwachstellen oder sicherheitsrelevante Vorfälle gemäß den Vorgaben des Cyber Resilience Act (Verordnung (EU) 2024/2847) an die zuständigen Stellen gemeldet.
11. Sicherheitsinformationen und Advisories
Die imx Solutions GmbH kann Sicherheitsinformationen, Advisories oder Hinweise zu Schwachstellen veröffentlichen. Sofern angemessen, kann die Vergabe einer CVE-Nummer (Common Vulnerabilities and Exposures) unterstützt oder initiiert werden.
12. Änderungen der Richtlinie
Die imx Solutions GmbH behält sich vor, diese Richtlinie bei Bedarf anzupassen, um rechtliche, technische oder organisatorische Anforderungen zu berücksichtigen.
Die jeweils aktuelle Version wird auf der Unternehmenswebseite veröffentlicht.
