Sicherheitshinweise
Software herstellen heißt Verantwortung übernehmen
Software seht nie für sich alleine. Software verarbeitet sensible, schützenswerte oder aus anderen Gründen wertvolle Daten, hat Zugriff auf andere Systeme und arbeitet oft rund um die Uhr.
Wir sind uns der besonderen Verantwortung bewusst, Software für eine vernetzte Welt herzustellen. Softwaresicherheit ist daher ein integraler Bestandteil unseres Entwicklungsprozesses. Wir verfolgen aktuelle Entwicklungen bei Angriffs- und Bedrohungsszenarien, bei den Methoden zur Erkennung und Abwehr von Angriffen sowie bei den Empfehlungen nationaler und internationaler Sicherheitsinstitutionen zur Vermeidung von Schwachstellen in Softwareprodukten.
Software aus der EU
Die Europäische Union (EU) hat mit zahlreichen Verordnungen und Gesetzen wie der Cyberresilienz-Verordnung, der zweiten Richtlinie zur Sicherung von Netz- und Informationssystemen, der Verordnung über künstliche Intelligenz und der Datenschutz-Grundverordnung einen umfassenden regulatorischen Rahmen für Cyber- und Software-Sicherheit geschaffen.
Software aus der EU steht daher im internationalen Vergleich für höchste Sicherheitsstandards.
Besser geht es aktuell nicht.
Schwachstellen
Eine Schwachstelle in einer Software meint eine Funktion oder Funktionalität, die durch Eingabe oder Handlung im nicht vorhergesehenen oder vorherbestimmten Umfang zu einer unerwarteten und ungewünschten Reaktion der Software führt, die sich für schädliche Handlungen nutzen lässt.
Eine „ausnutzbare Schwachstelle“ ist eine Schwachstelle, die von einem unbefugten Dritten unter praktischen Betriebsbedingungen wirksam genutzt werden kann, um Schaden zu verursachen.
Eine „aktiv ausgenutzte Schwachstelle“ ist eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur diese bereits in einem System ohne Zustimmung des Systemeigners ausgenutzt hat.
In einer komplexen Software lassen sich Schwachstellen insbesondere an den Schnittstellen zum Nutzerkreis oder zu anderen Systemen nicht garantiert ausschließen. Und als komplex kann heutzutage fast jeder Software angesehen werden, da selbst kleinste Produkte in der Regel aus einer überraschenden Vielzahl von unterschiedlichen technischen Komponenten bestehen.
Wichtig ist es, Schwachstellen zu erkennen und bestenfalls zu beseitigen, bevor sie aktiv ausgenutzt werden können. Das bedingt, den Kreis derer, die Kenntnis über eine Schwachstelle haben, möglichst klein zu halten.
Meldung von Schwachstellen
Ein sensibler und verantwortungsvoller Umgang mit entdeckten Schwachstellen ist der erste Schritt zur Minderung des damit verbundenen Risikos.
Bitte melden Sie uns Schwachstellen direkt per E-Mail an security@doctronic.de.
Um eine sinnvolle und zügige Behandlung zu unterstützen, übermitteln Sie dabei bitte
- Name des betroffenen Produktes
- Version des betroffenen Produktes
- Common Weakness Enumeration (CWE) Kategorie (Hilfestellung: CWE Liste)
- Common Vulneribility Scoring System (CVSS) Vektor (Hilfestellung: Rechner)
- Proof of Concept (PoC): Programmcode oder reproduzierbare Handlungsanweisungen zum Nachweis der Schwachstelle
- Beschreibung der Schwachstelle
- Optional: Ihren öffentlichen PGP-Schlüssel (ASCII armored) zum vertraulichen Austausch weiterer Informationen
Wir prüfen jeden Hinweis sorgfältig und zeitnah.
Vielen Dank für Ihren Beitrag!
Umgang mit Schwachstellenmeldungen
Wir prüfen und bewerten alle bei uns eingehenden Meldungen über Schwachstellen sorgfältig und zeitnah.
Entsprechend der jeweiligen Risikobewertung und Sachlage
- geben wir Meldungen über Schwachstellen an die ENISA (European Union Agency for Cybersecurity) und an die für Deutschland zuständige, zentrale Meldeplattform weiter
- informieren wir unsere betroffenen Kunden über die Schwachstelle und mögliche Maßnahmen zur Risikominderung
- beheben wir die Schwachstelle
- veröffentlichen wir eine Sicherheitsaktualisierung unseres betroffenen Produktes