Cyber Security reporting
Trenz Electronic GmbH entwickelt und fertigt hochwertige FPGA-Module, System-on-Modules und kundenspezifische Elektroniklösungen. Die Sicherheit unserer Produkte ist für uns über deren gesamten Lebenszyklus hinweg von hoher Bedeutung.
Technische Produkte können trotz sorgfältiger Entwicklung Sicherheitslücken aufweisen. Daher begrüßen wir Hinweise von Sicherheitsforschern, Kunden, Anwendern und anderen Personen, die mögliche Schwachstellen in unseren Produkten, Diensten oder Infrastrukturen feststellen. Auf dieser Seite erläutern wir, wie Sicherheitslücken an uns gemeldet werden können und wie wir mit entsprechenden Hinweisen umgehen. Grundlage hierfür ist das Modell der koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD).
Wir bitten darum, potenzielle Schwachstellen zunächst direkt an uns zu melden und von einer Veröffentlichung abzusehen, bis wir Gelegenheit hatten, den Sachverhalt zu analysieren und gegebenenfalls geeignete Maßnahmen zum Schutz der Anwender einzuleiten.
Die vollständige Richtlinie zur koordinierten Offenlegung von Schwachstellen der Trenz Electronic GmbH steht als PDF-Dokument zum Download bereit. Sie enthält die geltenden Grundsätze und Rahmenbedingungen für die Meldung und koordinierte Offenlegung von Sicherheitslücken.
Wie Sie eine Schwachstelle melden
Für die Meldung möglicher Sicherheitslücken stehen Ihnen die nachfolgend aufgeführten Kontaktmöglichkeiten zur Verfügung. Diese dienen als zentrale Anlaufstellen der Trenz Electronic GmbH für Hinweise und Informationen zu möglichen Schwachstellen unserer Produkte.
Web-Meldeformular
Am Ende dieser Seite steht Ihnen ein Formular zur Verfügung, über das Sie das festgestellte Problem möglichst genau beschreiben können. Für eine strukturierte Übermittlung Ihrer Meldung empfehlen wir die Nutzung dieses Formular.
Dedizierte E-Mail
Wir beantworten Meldungen auf Deutsch und Englisch.
Was die Meldung enthalten sollte
Damit wir einen gemeldeten Sachverhalt möglichst schnell nachvollziehen, bewerten und reproduzieren können, sollte Ihre Meldung – soweit verfügbar – folgende Informationen enthalten:
- Das betroffene Produkt, einschließlich Handelsname bzw. Produktcode, Hardware- und/oder Firmware-Version sowie, falls vorhanden, Seriennummer
- Eine möglichst genaue Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen
- Die erforderlichen Schritte zur Reproduktion des Problems, beispielsweise Proof of Concept, Befehle, Anfragen oder Konfigurationen
- Mögliche Voraussetzungen oder Bedingungen, die für eine Ausnutzung der Schwachstelle notwendig sind
- Für die Analyse hilfreiche Logs, Screenshots, Fotos, Dateien oder Code
- Ihre Kontaktdaten für die weitere Kommunikation, sofern Sie über den Bearbeitungsstand informiert oder gegebenenfalls genannt werden möchten
- Einen Hinweis darauf, ob die Schwachstelle Ihrer Kenntnis nach bereits bekannt oder veröffentlicht wurde beziehungsweise ob bereits Dritte informiert wurden, beispielsweise CVE-Stellen, CSIRTs oder andere Anbieter
- Einen Hinweis darauf, ob nach Ihrer Einschätzung eine aktive Ausnutzung der Schwachstelle stattfindet
Ein vollständiger Exploit ist für eine Meldung nicht erforderlich. Auch eine nachvollziehbare und möglichst präzise Beschreibung des Problems kann für unsere Analyse bereits ausreichend sein.
Verhaltensregeln ("Safe Harbor")
Die Trenz Electronic GmbH betrachtet Sicherheitsforschung, die in gutem Glauben und verantwortungsvoll durchgeführt wird, als wertvollen Beitrag zur Verbesserung der Sicherheit unserer Produkte.
Wir werden keine rechtlichen Schritte gegen Personen einleiten oder unterstützen, die eine Schwachstelle entsprechend dieser Richtlinie melden, sofern bei der Untersuchung und Meldung folgende Grundsätze eingehalten werden:
- Diese Richtlinie wird eingehalten und die Untersuchung erfolgt in gutem Glauben
- Verletzungen der Privatsphäre, die Zerstörung oder Veränderung von Daten sowie eine Unterbrechung oder Beeinträchtigung unserer Dienste werden vermieden
- Personenbezogene oder vertrauliche Daten Dritter werden nicht über das für den Nachweis der Schwachstelle erforderliche Mindestmaß hinaus abgerufen, kopiert oder gespeichert. Entsprechende Daten sind nach Abschluss der Meldung zu löschen
- Die festgestellte Schwachstelle wird nicht über das zur Überprüfung ihres Vorhandenseins notwendige Maß hinaus ausgenutzt. Dazu zählen insbesondere Datenexfiltration, laterale Bewegungen in Systemen oder die Installation von Malware
- Die Schwachstelle wird nicht öffentlich bekannt gemacht, bevor sie behoben wurde und ein Zeitplan für eine mögliche Offenlegung mit uns abgestimmt wurde
- Die jeweils geltenden gesetzlichen Bestimmungen werden eingehalten
Nicht vom „Safe Harbor“ umfasst sind insbesondere Handlungen, die vorsätzlich Schäden verursachen, der Erpressung dienen, einen nicht erforderlichen Zugriff auf Daten beinhalten oder anderweitig rechtswidrig sind.
Sollten Sie unsicher sein, ob eine geplante Untersuchung mit diesen Vorgaben vereinbar ist, kontaktieren Sie uns bitte vorab. Wir können das weitere Vorgehen gemeinsam abstimmen.
Öffentliche Offenlegung
Wir verfolgen den Ansatz einer koordinierten Offenlegung. Details zu einer Schwachstelle sollen daher grundsätzlich erst veröffentlicht werden, wenn eine geeignete Korrektur oder Risikominderung für die Anwender zur Verfügung steht und die Veröffentlichung mit der meldenden Person abgestimmt wurde.
Als allgemeine Orientierung sehen wir ab Eingang einer Meldung einen Zeitraum von 90 Tagen vor, um eine geeignete Korrektur bereitzustellen. Bei komplexeren Sachverhalten kann dieser Zeitraum im gegenseitigen Einvernehmen verlängert werden.
Sofern dies im jeweiligen Fall sinnvoll ist, veröffentlichen wir ein Security Advisory auf unserer Website.
Danksagungen
Sofern Sie keine andere Angabe machen, möchten wir Personen, die durch ihre Meldung zur Verbesserung der Sicherheit unserer Produkte beigetragen haben, gerne öffentlich würdigen. Dabei kann Ihr Name oder ein von Ihnen gewähltes Pseudonym in einem entsprechenden Security Advisory genannt werden.
Wenn Sie anonym bleiben möchten, respektieren wir diesen Wunsch selbstverständlich.
Derzeit bieten wir kein finanzielles Belohnungsprogramm beziehungsweise Bug-Bounty-Programm an.
Geltungsbereich (Scope)
Diese Richtlinie gilt für Produkte mit digitalen Elementen, die von der Trenz Electronic GmbH hergestellt werden, sowie für Dienste und Infrastrukturen, die direkt von der Trenz Electronic GmbH betrieben oder verwaltet werden.
Sollte eine gemeldete Schwachstelle ein Kundenprodukt betreffen, in dem Komponenten von Trenz Electronic eingesetzt werden, oder eine Drittanbieterkomponente innerhalb unserer Produkte betreffen, können Sie sich ebenfalls an uns wenden. In diesen Fällen koordinieren wir die weitere Bearbeitung mit der jeweils verantwortlichen Stelle.
Web-Meldeformular
Willkommen beim Portal zur Übermittlung technischer Informationen an die Trenz Electronic GmbH.
Bitte füllen Sie die nachfolgenden Felder möglichst vollständig aus. Unser Support-Team wird sich innerhalb von maximal 24 Stunden um Ihre Anfrage kümmern.