Sicherheitslücken melden
Sicherheitslücken melden
Vulnerability Disclosure Policy für IT-Systeme, Webseiten, Onlineshops und Onlinedienste von Murrelektronik
Murrelektronik nimmt Hinweise auf Sicherheitslücken ernst und bearbeitet sie koordiniert. Diese Richtlinie beschreibt, was gemeldet werden kann, wie eine Meldung abläuft und welche Regeln für beide Seiten gelten. Meldungen sind auf Deutsch oder Englisch möglich.
Geltungsbereich
Diese Richtlinie gilt für alle aus dem Internet erreichbaren Systeme, die Murrelektronik betreibt, insbesondere:
- Webseiten und Onlineshops von Murrelektronik, insbesondere unter murrelektronik.com, murrelektronik.de und my.murrelektronik.com sowie die Onlineshops unter shop.murrelektronik.* einschließlich Länderdomains und Subdomains
- Kundenportale und weitere Onlinedienste von Murrelektronik
- IT-Infrastruktur und Cloud-Dienste, die Murrelektronik betreibt
Diese Richtlinie ist keine Aufforderung, Systeme von Murrelektronik aktiv zu prüfen.
Sicherheitslücken in Produkten und Lösungen von Murrelektronik (Hardware, Firmware, Software) bearbeitet das Product Security Incident Response Team (PSIRT).
Sicherheitslücken in Diensten Dritter, die Murrelektronik nur nutzt, zum Beispiel Social-Media-Plattformen, sind an den jeweiligen Betreiber zu richten.
Ausschlüsse
Nicht bearbeitet werden:
- Ergebnisse automatisierter Scanner ohne Nachweis, dass die Sicherheitslücke ausnutzbar ist
- fehlende Sicherheits-Header sowie Versions- oder Banneranzeigen ohne nachgewiesene Auswirkung
- Ergebnisse aus Überlastungsangriffen (Denial of Service), Spam, Social Engineering oder Phishing gegenüber Beschäftigten sowie aus physischem Zugriff
- Meldungen, die eine Vergütung zur Bedingung machen
Meldungen gehen an cert@murrelektronik.de. Ein Betreff, der mit [SECURITY] beginnt, beschleunigt die Zuordnung. Für eine verschlüsselte Übermittlung stimmt Murrelektronik auf Anfrage einen geeigneten Weg ab. Meldungen sind auch anonym möglich. Rückfragen und Rückmeldungen setzen eine Kontaktmöglichkeit voraus.
Hilfreiche Angaben:
- betroffenes System, betroffener Dienst oder betroffene Adresse (URL)
- Art der Sicherheitslücke und Schritte zur Reproduktion
- Datum der Feststellung
- Kontaktmöglichkeit für Rückfragen und Rückmeldungen, freiwillig
- Eingangsbestätigung in der Regel innerhalb von zwei Arbeitstagen.
- Prüfung und Bewertung durch das Team Informationssicherheit, bei Bedarf mit Rückfragen.
- Information über den Bearbeitungsstand, solange die Behebung läuft.
- Abstimmung des Zeitpunkts einer möglichen Veröffentlichung mit der meldenden Person. Richtwert sind 90 Tage nach Eingang der Meldung, abhängig von Schweregrad und Komplexität.
Murrelektronik bittet Meldende:
- keine Daten Dritter einzusehen, zu verändern oder zu speichern, soweit dies über den Nachweis der Sicherheitslücke hinausgeht,
- keine Aktionen auszuführen, die Systeme oder Dienste beeinträchtigen, insbesondere keine Überlastungsangriffe, kein Social Engineering und keinen physischen Zugriff,
- Erkenntnisse vertraulich zu behandeln, bis die Sicherheitslücke behoben ist, ein Veröffentlichungstermin abgestimmt wurde oder 90 Tage nach Eingang der Meldung vergangen sind,
- geltendes Recht einzuhalten.
Zusagen von Murrelektronik
Murrelektronik sichert zu:
- Meldungen ernst zu nehmen und zügig zu bearbeiten,
- die meldende Person über Ergebnis und Behebung zu informieren.
Murrelektronik beabsichtigt nicht, rechtliche Schritte gegen Meldende einzuleiten, die sich an diese Regeln halten, keinen Schaden verursachen und geltendes Recht einhalten.
Murrelektronik zahlt keine Prämien für Meldungen. Eine Nennung der meldenden Person in Veröffentlichungen erfolgt nur mit deren Zustimmung.
Personenbezogene Daten, die im Rahmen einer Meldung von Sicherheitslücken freiwillig übermittelt werden (zum Beispiel Name, E-Mail-Adresse und Inhalte der Meldung), werden ausschließlich zur Bearbeitung der Meldung sowie zur Kommunikation mit der meldenden Person verarbeitet. Die Verarbeitung erfolgt auf Grundlage des berechtigten Interesses von Murrelektronik an der Gewährleistung der Sicherheit ihrer IT-Systeme und Online-Dienste gemäß Art. 6 Abs. 1 lit. f DSGVO. Weitere Informationen zur Verarbeitung personenbezogener Daten finden Sie in der Datenschutzerklärung von Murrelektronik
Die Kontaktdaten stehen maschinenlesbar nach RFC 9116 unter https://my.murrelektronik.com/.well-known/security.txt bereit.