Sicherheitslücke melden.

Die Sicherheit unserer Produkte, Systeme und Kunden ist uns wichtig. Wenn Sie eine potenzielle Sicherheitslücke in einem digitalen Produkt oder einem damit verbundenen Dienst von BRUMBERG entdecken, informieren Sie uns bitte vertraulich.

Wir unterstützen die koordinierte Offenlegung von Sicherheitslücken – Coordinated Vulnerability Disclosure (CVD). Meldungen von Sicherheitsforschern, Kunden, Partnern, Integratoren und Anwendern nehmen wir ernst und prüfen sie sorgfältig.

Bitte melden Sie Sicherheitslücken per E-Mail an:

cra@brumberg.com

Bitte verwenden Sie diese Adresse ausschließlich für sicherheitsrelevante Meldungen. Für allgemeine Produktfragen, technische Unterstützung, Retouren oder sonstige Anliegen nutzen Sie bitte unser allgemeines Kontaktformular.

Geltungsbereich

Diese Richtlinie gilt für Sicherheitslücken in:

• BRUMBERG-Produkten mit digitalen Elementen;
• Software, Firmware und mobilen Anwendungen von BRUMBERG;
• cloudbasierten Diensten, soweit sie für die bestimmungsgemäße Funktion eines BRUMBERG-Produkts erforderlich sind;
• Kommunikations-, Steuerungs- und Schnittstellensystemen, die Bestandteil eines BRUMBERG-Produkts sind;
• digitalen Komponenten, die in ein BRUMBERG-Produkt integriert oder für dessen Betrieb erforderlich sind.

Wenn Sie nicht sicher sind, ob eine Meldung in den Geltungsbereich fällt, melden Sie sie bitte trotzdem. Wir prüfen die Zuständigkeit und informieren Sie gegebenenfalls über das weitere Vorgehen.

Diese Richtlinie ist nicht der richtige Kanal für:

• allgemeine Produkt- oder Bedienungsfragen;
• nicht sicherheitsrelevante technische Fehler;
• Reklamationen, Retouren oder Garantieanfragen;
• Sicherheitslücken in vollständig unabhängigen Produkten oder Diensten Dritter.

Wenn eine Drittanbieterkomponente ein BRUMBERG-Produkt oder dessen Sicherheit betrifft, können Sie die Meldung dennoch an uns senden. Wir prüfen den Sachverhalt und stimmen uns bei Bedarf mit dem zuständigen Hersteller oder Dienstleister ab.

So melden Sie eine Sicherheitslücke

Senden Sie Ihre Meldung bitte an:

E-Mail: cra@brumberg.com

Verwenden Sie nach Möglichkeit einen aussagekräftigen Betreff, zum Beispiel:

Security vulnerability report – [Produktname] – [kurze Bezeichnung]

Ihre Meldung sollte nach Möglichkeit folgende Angaben enthalten:

• Produktname und, falls bekannt, Artikel- oder Modellnummer;
• Hardware-, Software-, Firmware- oder App-Version;
• betroffene Schnittstelle, Funktion oder Komponente;
• Beschreibung der Sicherheitslücke;
• mögliche Auswirkungen;
• Schritte zur Reproduktion;
• Proof of Concept, sofern vorhanden;
• Informationen dazu, ob die Sicherheitslücke bereits aktiv ausgenutzt wird oder eine solche Ausnutzung vermutet wird;
• gegebenenfalls Logdateien, Screenshots oder weitere technische Nachweise;
• Ihre Kontaktdaten für Rückfragen.

Bitte senden Sie nur Informationen, die für die technische Prüfung erforderlich sind. Bitte übermitteln Sie keine Passwörter, privaten Schlüssel, vollständigen Kundendaten oder sonstigen vertraulichen Daten, sofern dies nicht unbedingt erforderlich ist. Falls eine vertrauliche Dateiübertragung erforderlich ist, stimmen wir den sicheren Übertragungsweg mit Ihnen ab.

Regeln für Sicherheitstests

Wenn Sie eine Sicherheitsprüfung durchführen, beachten Sie bitte folgende Regeln:

• Testen Sie nur Produkte, Systeme und Konten, für deren Prüfung Sie berechtigt sind.
• Führen Sie Tests ausschließlich in dem Umfang durch, der erforderlich ist, um die Sicherheitslücke zu bestätigen.
• Greifen Sie nicht auf Daten anderer Personen zu und verändern, kopieren oder löschen Sie keine Daten.
• Verursachen Sie keine Unterbrechung, Überlastung oder sonstige Beeinträchtigung von Produkten, Diensten oder Geschäftsabläufen.
• Führen Sie keine Tests gegen Produktionssysteme durch, wenn dadurch eine Beeinträchtigung nicht ausgeschlossen werden kann.
• Installieren Sie keine Schadsoftware und führen Sie keine dauerhaften Änderungen an Systemen durch.
• Beenden Sie den Test, sobald Sie Zugriff auf vertrauliche Daten erhalten oder eine Beeinträchtigung nicht ausgeschlossen werden kann, und informieren Sie uns unverzüglich.
• Veröffentlichen Sie Einzelheiten zur Sicherheitslücke nicht, bevor die Untersuchung und die Abstimmung mit BRUMBERG abgeschlossen sind.

Diese Richtlinie stellt keine allgemeine Erlaubnis zu Tests an fremden Systemen dar. Gesetzliche Vorgaben, vertragliche Vereinbarungen sowie Rechte Dritter bleiben unberührt.

Unser Bearbeitungsprozess

Nach Eingang einer verwertbaren Meldung bemüht sich BRUMBERG um folgenden Ablauf:

Eingangsbestätigung

Wir streben an, den Eingang Ihrer Meldung innerhalb von zwei Werktagen zu bestätigen.

Erste Bewertung

Wir streben an, innerhalb von sieben Kalendertagen eine erste technische Bewertung oder eine Zwischeninformation zum Bearbeitungsstand zu geben.

Untersuchung und Behebung

Wir prüfen die Meldung, bewerten das Risiko und stimmen – soweit erforderlich – weitere Schritte mit betroffenen internen oder externen Partnern ab. Die Dauer der Untersuchung und Behebung hängt unter anderem von der technischen Komplexität, der Schwere der Sicherheitslücke, der betroffenen Produktversion und der Verfügbarkeit geeigneter Gegenmaßnahmen ab.

Bei bestätigten Sicherheitslücken prüfen wir geeignete Maßnahmen. Dazu können je nach Sachverhalt Sicherheitsupdates, Firmware- oder Softwarekorrekturen, Konfigurationshinweise, Workarounds oder weitere Schutzmaßnahmen gehören.

Wir informieren die meldende Person über wesentliche Fortschritte, soweit dies angemessen ist und keine Sicherheits-, Datenschutz-, Vertraulichkeits- oder sonstigen rechtlichen Gründe entgegenstehen.

Die genannten Zeiträume sind angestrebte Servicezeiten. Sie ersetzen keine gesetzlichen Fristen und schränken keine gesetzlichen Pflichten ein.

Koordinierte Offenlegung

Wir bitten meldende Personen, die Sicherheitslücke während der Untersuchung und bis zur Abstimmung geeigneter Maßnahmen vertraulich zu behandeln.

Wenn eine öffentliche Information sinnvoll oder erforderlich ist, stimmen wir den Inhalt und den Zeitpunkt der Veröffentlichung nach Möglichkeit mit der meldenden Person ab. Dabei berücksichtigen wir insbesondere die Verfügbarkeit einer Korrektur oder Schutzmaßnahme sowie das Risiko einer weiteren Ausnutzung.

Safe Harbor für verantwortungsvolle Sicherheitsforschung

BRUMBERG wird nicht beabsichtigen, rechtliche Schritte gegen Personen einzuleiten, die Sicherheitsforschung:

• in gutem Glauben;
• im Rahmen dieser Richtlinie;
• ausschließlich zur Identifizierung und vertraulichen Meldung einer potenziellen Sicherheitslücke;
• ohne Zugriff auf, Veränderung, Löschung oder Offenlegung fremder Daten;
• ohne Beeinträchtigung der Verfügbarkeit oder Sicherheit von Systemen;
• und im Einklang mit dem geltenden Recht

durchführen.

Dieser Safe-Harbor-Hinweis gilt nicht für Handlungen, die vorsätzlich Schäden verursachen, über den für die Überprüfung erforderlichen Umfang hinausgehen, Rechte Dritter verletzen oder gegen geltendes Recht verstoßen. Er begründet keine Rechte gegenüber Dritten und schränkt keine gesetzlichen Pflichten oder Maßnahmen zuständiger Behörden ein.

Hinweis zum Cyber Resilience Act

Diese Webseite ist der öffentliche Kontaktkanal von BRUMBERG für Hinweise auf potenzielle Sicherheitslücken. Die Meldung über diese Webseite ersetzt nicht etwaige gesetzliche Meldepflichten nach dem Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847.

Wenn BRUMBERG von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen Kenntnis erlangt, können zusätzliche Meldungen über die dafür vorgesehene CRA-Meldeplattform an die zuständigen Stellen erforderlich sein. Die CRA-Meldepflichten gelten ab dem 11. September 2026. Die übrigen wesentlichen CRA-Anforderungen gelten grundsätzlich ab dem 11. Dezember 2027.

Die öffentliche Meldung an BRUMBERG und die gesetzliche CRA-Meldung sind zwei unterschiedliche Prozesse. Die gesetzliche Bewertung und Meldung übernimmt BRUMBERG intern.

Datenschutz

Personenbezogene Daten, die Sie im Rahmen einer Sicherheitsmeldung übermitteln, verarbeiten wir ausschließlich zur Entgegennahme, Untersuchung, Bearbeitung und Nachverfolgung Ihrer Meldung sowie zur Kommunikation mit Ihnen.

Weitere Informationen zur Verarbeitung personenbezogener Daten finden Sie in unserer Datenschutzerklärung.