Produktsicherheit (PSIRT)

Meldung von Sicherheitslücken und Schwachstellen

Die Sicherheit unserer Maschinen, Steuerungen, Softwarelösungen und digitalen Dienste hat für die FOOKE GmbH einen hohen Stellenwert. Bereits bei der Entwicklung und Weiterentwicklung unserer Produkte berücksichtigen wir aktuelle Anforderungen an die Produkt- und Informationssicherheit.

Trotz sorgfältiger Entwicklungs-, Prüf- und Qualitätssicherungsmaßnahmen können potenzielle Sicherheitslücken jedoch nicht vollständig ausgeschlossen werden. Wir begrüßen daher Hinweise von Kunden, Geschäftspartnern, Sicherheitsforschern und anderen Dritten, die zur Identifikation und Behebung möglicher Schwachstellen beitragen.

Kontakt für Sicherheitsmeldungen

Wenn Sie eine potenzielle Sicherheitslücke in einem Produkt oder einer Dienstleistung der FOOKE GmbH festgestellt haben, können Sie diese an unser Product Security Incident Response Team (PSIRT) melden:

psirt[at]fooke.de

Bitte verwenden Sie diese Kontaktmöglichkeit ausschließlich für Meldungen zu produktsicherheitsrelevanten Schwachstellen.

Angaben zur Meldung

Um eine angemessene Prüfung zu ermöglichen, bitten wir Sie, soweit verfügbar, folgende Informationen bereitzustellen:

betroffenes Produkt oder System
Maschinen-, Anlagen- oder Seriennummer
installierte Software-, Firmware- oder Steuerungsversion
Beschreibung der vermuteten Schwachstelle
Informationen zur Nachvollziehbarkeit oder Reproduzierbarkeit
mögliche Auswirkungen der Schwachstelle
technische Nachweise, Screenshots oder Log-Dateien
Kontaktdaten für Rückfragen

Auch Meldungen, die nicht sämtliche Informationen enthalten, können geprüft werden.

Grundsätze der verantwortungsvollen Offenlegung

Die FOOKE GmbH unterstützt die verantwortungsvolle und koordinierte Offenlegung von Sicherheitslücken („Coordinated Vulnerability Disclosure“).

Wir bitten hinweisgebende Personen daher:

erkannte Schwachstellen zunächst vertraulich an uns zu melden,
von einer öffentlichen Offenlegung bis zur angemessenen Bewertung und Bearbeitung durch die FOOKE GmbH abzusehen,
keine Handlungen vorzunehmen, die zu einer Beeinträchtigung von Systemen, Anlagen, Dienstleistungen oder Daten führen können,
keine Daten einzusehen, zu verändern, zu löschen oder herunterzuladen, sofern hierfür keine ausdrückliche Berechtigung besteht,
geltende gesetzliche Vorschriften jederzeit einzuhalten.

Die Meldung einer Schwachstelle begründet keine Beauftragung, Vergütung oder sonstige vertragliche Beziehung.

Umgang mit eingehenden Meldungen

Nach Eingang einer Meldung erfolgt eine Prüfung durch die zuständigen Fachbereiche der FOOKE GmbH.

Der Bearbeitungsprozess kann insbesondere folgende Schritte umfassen:

Eingangserfassung der Meldung
technische Bewertung und Plausibilisierung
Risikobewertung
Prüfung möglicher Maßnahmen
Umsetzung geeigneter Korrektur- oder Schutzmaßnahmen
Information betroffener Kunden oder Partner, soweit dies erforderlich erscheint

Ein Anspruch auf Rückmeldung, Offenlegung von Untersuchungsergebnissen oder Umsetzung bestimmter Maßnahmen besteht nicht.

Geltungsbereich

Diese Richtlinie gilt ausschließlich für Produkte, Software und digitale Dienste, die durch die FOOKE GmbH bereitgestellt oder betrieben werden.

Nicht vom Geltungsbereich erfasst sind insbesondere:

Produkte und Dienstleistungen anderer Hersteller
Systeme Dritter
Komponenten, auf deren Entwicklung oder Betrieb die FOOKE GmbH keinen unmittelbaren Einfluss hat

Vertraulichkeit

Informationen, die im Rahmen einer Schwachstellenmeldung übermittelt werden, werden ausschließlich zur Bearbeitung des gemeldeten Sachverhalts verwendet, soweit keine gesetzlichen Aufbewahrungs-, Offenlegungs- oder Mitteilungspflichten entgegenstehen.

Datenschutz

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich im erforderlichen Umfang zur Bearbeitung der eingegangenen Meldung sowie auf Grundlage der geltenden datenschutzrechtlichen Vorschriften.

Nähere Informationen zur Verarbeitung personenbezogener Daten finden Sie in unserer Datenschutzerklärung.