Melden von Schwachstellen

Einleitung

SecureCloud versteht sich als Anbieter von Sicherheitslösungen und legt großen Wert auf sichere Softwareentwicklung sowie eine umfassende Qualitätssicherung in den eigenen Prozessen und Strukturen. Trotz aller Bemühungen können Schwachstellen in unseren Diensten und Anwendungen nicht vollständig ausgeschlossen werden. Daher führen wir regelmäßig Penetrationstests durch und bearbeiten Hinweise von Sicherheitsforschern, Kunden und Partnern nach dieser Richtlinie.

Gültigkeitsbereich

Diese Richtlinie gilt für alle digitalen Assets, die SecureCloud gehören, von SecureCloud betrieben oder kontrolliert werden, einschließlich, aber nicht beschränkt auf:

Webseiten (Inhalte und Anwendungen, nicht die Infrastruktur unserer Hosting-Dienstleister)
Applikationen, einschließlich unserer Desktop- und Mobil-Clients
APIs
Netzwerke

Nicht umfasst sind Systeme unserer Dienstleister, etwa Website-Hosting, Rechenzentren, Trust Center und Vertrauensdiensteanbieter. Bitte testen Sie nur mit eigenen Konten und Testdaten.

Meldung einer Schwachstelle

Wenn Sie glauben, eine Sicherheitslücke entdeckt zu haben, sollten Sie uns dies so schnell wie möglich mitteilen. Die bevorzugte Methode zur Übermittlung von Informationen über mögliche Sicherheitslücken ist die Meldung an [email protected]. Wenn Sie verschlüsselt kommunizieren möchten, nennen Sie das bitte in Ihrer ersten Nachricht; wir stimmen den Weg dann mit Ihnen ab. Die Kontaktdaten stehen zusätzlich maschinenlesbar in unserer security.txt nach RFC 9116.

Die Angabe von Kontaktinformationen zusammen mit Ihrem Bericht ist freiwillig. SecureCloud wird alle eingereichten Meldungen berücksichtigen, unabhängig davon, ob diese anonym oder mit Kontaktdaten eingereicht werden. Wenn Sie Ihre Kontaktdaten angeben, werden diese ausschließlich genutzt, um bei Bedarf Rückfragen zu klären und, wenn Sie es wünschen, Sie nach der Behebung als Melder zu nennen. Hinweise zur Verarbeitung Ihrer Daten finden Sie in unserer Datenschutzerklärung. Bitte teilen Sie uns auch mit, ob Sie öffentlich genannt werden möchten, falls wir das gemeldete Problem bestätigen und beheben.

Die Meldung von Ereignissen, die sich im Nachhinein als Falschmeldungen herausstellen, hat keine negativen Konsequenzen für Sie. Selbstverständlich bitten wir um genaue Prüfung und möglichst viele Details bei der Meldung.

Bedingungen

Wenn Sie SecureCloud per E-Mail oder auf andere Weise Schwachstellen und Fehler melden, stimmen Sie den folgenden Bedingungen zu:

Sie räumen SecureCloud ein einfaches, zeitlich und räumlich unbeschränktes Nutzungsrecht an den übermittelten Texten, Bildern und Programmcodes ein, soweit es nötig ist, um die Schwachstelle zu analysieren, zu beheben, zu dokumentieren und an betroffene Hersteller, Kunden und zuständige Behörden weiterzugeben.
Die Einräumung ist unentgeltlich; Prämien zahlen wir nur nach gesonderter Zusage.

Unser Engagement

Wir danken Ihnen für Ihre Unterstützung bei der Gewährleistung der Sicherheit unserer Kunden. Wir bestätigen den Eingang Ihrer Meldung, halten Sie über den Stand der Bearbeitung auf dem Laufenden und beheben oder mindern bestätigte Schwachstellen unverzüglich, priorisiert nach Risiko. Falls Sie öffentlich genannt werden möchten, wenn wir das gemeldete Problem bestätigen und beheben, informieren Sie uns bitte bei der Meldung der Schwachstelle.

Um verantwortungsvolles Melden zu fördern, sagen wir Forschern Folgendes zu, wenn sie:

Tests durchführen, die dieser Richtlinie entsprechen,
uns Schwachstellen unverzüglich und vertraulich melden,
die Schwachstelle nicht über das Maß hinaus ausnutzen, das notwendig ist, um ihre Existenz zu bestätigen, und
SecureCloud, unseren Kunden oder unseren Mitarbeitenden keinen Schaden zufügen.

Wir stellen in diesem Fall keinen Strafantrag, machen keine zivilrechtlichen Ansprüche geltend und erteilen für unsere eigenen Systeme die Zustimmung zum Test. Auf eine Strafverfolgung von Amts wegen und auf Rechte Dritter haben wir keinen Einfluss.

Ihre Verpflichtung

Wenn Sie eine Meldung an SecureCloud übermitteln, stimmen Sie den folgenden Richtlinien zu:

Keine Angriffe durchführen, die die Verfügbarkeit, Integrität oder Vertraulichkeit unserer Dienste oder der darin gespeicherten Informationen beeinträchtigen.
Keine Social-Engineering-Angriffe gegen unsere Mitarbeitenden, Kunden oder unsere Infrastruktur durchführen.
Nicht auf Daten anderer Nutzer oder Kunden zugreifen. Stoßen Sie dennoch auf solche Daten, brechen Sie den Test sofort ab, speichern Sie die Daten nicht und informieren Sie uns.
Sich nicht an Einschüchterung oder Erpressung beteiligen.
Keine vertraulichen Informationen ohne vorherige ausdrückliche Zustimmung von SecureCloud weitergeben.
Alle durch Tests erhaltenen, nicht öffentlich bekannten Informationen über die Produkte von SecureCloud vertraulich behandeln; sie können Geschäftsgeheimnisse enthalten. Eine Weitergabe an Dritte ist nur mit Zustimmung von SecureCloud in Textform (E-Mail genügt) gestattet. Für Veröffentlichungen nach der Behebung gilt der folgende Absatz; gesetzliche Melderechte, insbesondere Meldungen an das BSI, bleiben unberührt.
Keine geltenden Gesetze oder Vorschriften verletzen.

Ein Anspruch auf eine Belohnung oder einen sonstigen Vorteil besteht nicht. Wenn Sie Informationen über die Sicherheitslücke nach deren Beseitigung veröffentlichen möchten, bitten wir Sie, uns mindestens einen Monat vor der Veröffentlichung zu benachrichtigen und uns die Möglichkeit zur Stellungnahme zu geben. Bitte stimmen Sie Aussagen über SecureCloud in der Veröffentlichung vorab mit uns ab.

Meldepflichten für unsere Produkte

Für unsere Produkte mit digitalen Elementen, etwa die Desktop-Clients, melden wir aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkung auf die Produktsicherheit nach Art. 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act) über die einheitliche Meldeplattform der ENISA an das BSI als koordinierendes CSIRT; die ENISA erhält die Meldung gleichzeitig.

Betroffene Nutzer informieren wir. Schwachstellen in eingesetzten Open-Source-Komponenten melden wir zusätzlich an deren Entwickler.

Informationen zu behobenen Schwachstellen in unseren Clients veröffentlichen wir als maschinenlesbare Sicherheitshinweise im Format CSAF unter https://csaf.securecloud.de/.well-known/csaf/provider-metadata.json.

Änderungen an dieser Richtlinie

Diese Richtlinie kann gelegentlich aktualisiert werden. Die neueste Version wird immer auf unserer Website verfügbar sein. Maßgeblich ist die Fassung, die zum Zeitpunkt Ihrer Meldung veröffentlicht ist.

Kontaktinformationen

Bei Fragen zu dieser Richtlinie oder dem Verfahren zur Meldung von Sicherheitslücken wenden Sie sich bitte an

[email protected]

Vielen Dank, dass Sie dazu beitragen, SecureCloud und unsere Nutzer sicher zu halten.

Umgang mit sicherheitskritischen Ereignissen

Um sicherheitskritische Ereignisse schnell und effektiv behandeln zu können, hat SecureCloud die E-Mail-Adresse [email protected] eingerichtet. An diese Adresse gemeldete Ereignisse werden automatisch an das InfoSec-Team von SecureCloud weitergeleitet, das diese aufgrund ihrer Auswirkungen auf die Informationssicherheit bewertet und priorisiert.

Alle Kunden sind daher angehalten, kritische Sicherheitsereignisse umgehend an die E-Mail-Adresse [email protected] zu übermitteln. Die Meldung von Ereignissen, die sich im Nachhinein als Falschmeldungen herausstellen, hat keine negativen Konsequenzen für Sie. Alle übermittelten Informationen behandeln wir vertraulich; gesetzliche Meldepflichten bleiben unberührt.

Bei einer Verletzung des Schutzes personenbezogener Daten unserer Kunden informieren wir die betroffenen Auftraggeber unverzüglich und unterstützen sie bei ihren Pflichten nach Art. 33 und 34 DSGVO, wie in unserem Auftragsverarbeitungsvertrag geregelt.

Wichtige Quellen für Ihre Informationssicherheit & Online-Register von Bedrohungen

Folgende Informationen und Quellen sind für Ihre Informationssicherheit relevant:

Bei Fragen steht Ihnen unser Team sehr gerne zur Verfügung, siehe hierzu auch Wie sicher ist SecureCloud? und unser Trust Center.