Wir akzeptieren Schwachstellenmeldungen ausschließlich per E-Mail.

Wir behandeln alle eingehenden Schwachstellenhinweise nach bestem Wissen und Gewissen. Kein Hinweis wird allein auf Grundlage der Bewertung einer einzelnen Person abgeschlossen.

Als gültig gilt eine Schwachstelle, wenn sie ein Produkt mit digitalen Elementen von QUNDIS GmbH betrifft.
 

3. Vertraulichkeit und Schutz der meldenden Person

Wir behandeln jeden Schwachstellenhinweis im gesetzlich zulässigen Umfang vertraulich. Davon ausgenommen sind Informationen, die für die koordinierte Offenlegung einer Schwachstelle erforderlich sind.

Personenbezogene Daten der hinweisgebenden Person werden ohne deren ausdrückliche Zustimmung nicht an Dritte weitergegeben, es sei denn, es handelt sich um behördliche Ermittlungen.

Wir werden keine strafrechtlichen Schritte gegen hinweisgebende Personen einleiten, sofern diese die Vorgaben und Grundsätze dieser Vorgehensweise einhalten. Dies gilt nicht, wenn erkennbar strafbare Absichten verfolgt wurden oder werden.

Wir stehen während des gesamten CVD-Prozesses für einen vertrauensvollen Austausch zur Verfügung.

Wir begrüßen die Meldung von Schwachstellen ausdrücklich, da sie uns hilft, die Sicherheit unserer Produkte zu verbessern. Aus der Einreichung eines Schwachstellenhinweises entsteht jedoch kein Anspruch auf eine finanzielle Belohnung, Prämie (Bug Bounty) oder sonstige Vergütung.
 

4. Diese Informationen sollte Ihre Meldung enthalten.

Damit wir eine gemeldete Schwachstelle effizient bewerten und untersuchen können, sollten Sie möglichst viele relevante Informationen bereitstellen. Eine vollständige Meldung sollte, soweit zutreffend, Folgendes enthalten:

• Bezeichnung des betroffenen Produkts, der Komponente, Firmware- oder Softwareversion von QUNDIS GmbH.
• Klare Beschreibung der vermuteten Schwachstelle einschließlich ihrer Ursache und der erkannten sicherheitsrelevanten Auswirkungen.
• Klare und detaillierte Schritt-für-Schritt-Anleitung, mit der sich die Schwachstellen unabhängig reproduzieren und überprüfen lässt.
• Beschreibung besonderer Konfigurationen, Einsatzbedingungen, Berechtigungen, Authentifizierungsanforderungen oder anderer Voraussetzungen, die zur Reproduktion des Problems erforderlich sind.
• Beschreibung der möglichen Folgen einer erfolgreichen Ausnutzung. Dazu gehören die betroffenen Werte, Daten, Systeme oder Nutzer sowie der Zugriffsgrad, den Angreifende erlangen könnten.
• Soweit verfügbar: Proof of Concept, Testfall, Screenshots, Protokolldateien (Logs) oder Exploit-Code, die das Problem belegen.
• Weitere technische Details, Indikatoren, Protokolle oder unterstützende Nachweise, die bei der Validierung und Bewertung der Schwachstelle helfen können.
   

5. Diese Sachverhalte sind ausgeschlossen.

Die folgenden Sachverhalte liegen im Allgemeinen außerhalb dieses Prozesses zur koordinierten Offenlegung von Schwachstellen:

• Schwachstellen, die bereits öffentlich bekannt gemacht wurden, denen bereits eine CVE-Nummer zugewiesen wurde oder die durch ein Sicherheitsupdate oder andere Abhilfemaßnahmen behoben wurden. Dies gilt nicht, wenn die Meldung wesentliche neue Informationen enthält, bislang unbekannte Sicherheitsauswirkungen aufzeigt oder auf eine unvollständige beziehungsweise unwirksame Behebung hinweist.
• Schwachstellen in Produkten, Software, Dienstleistungen oder Versionen, die das Ende ihres Lebenszyklus (End of Life) erreicht haben oder die wir nicht mehr unterstützen.
• Schwachstellen in Versionen, für die wir bereits ein Upgrade oder eine Migration auf eine unterstützte Version empfohlen haben und bei denen das gemeldete Problem in der empfohlenen Version behoben wurde.
• Feststellungen ohne relevante Sicherheitsauswirkungen. Dazu gehören rein informative Hinweise, allgemeine Sicherheitsempfehlungen oder Schwächen, die in der betroffenen Umgebung nicht sinnvoll ausgenutzt werden können.
• Sachverhalte, die hauptsächlich Social Engineering, Phishing, Spam oder Angriffe auf Mitarbeitende oder Kund:innen der QUNDIS GmbH oder andere Dritte betreffen und nicht auf einer Schwachstelle in einem Produkt oder einer Dienstleistung der QUNDIS GmbH beruhen.
• Hinweise, die ausschließlich durch automatisierte Scan-Werkzeuge erstellt wurden und keine ausreichenden Informationen zur Reproduktion oder Validierung des Problems enthalten.
• Schwachstellen in Produkten oder Dienstleistungen Dritter, die wir nicht entwickeln, warten, vertreiben oder betreiben. Solche Probleme sollten dem jeweiligen Hersteller oder Dienstleister gemeldet werden.