Sicherheit und Offenlegung von Schwachstellen

1. Geltungsbereich

Diese Richtlinie gilt für Sicherheitsschwachstellen in Produkten und Diensten von EpiSensor: EpiSensor Edge (einschließlich der kostenlosen Edition auf einem Raspberry Pi), System Manager, Core, EpiSensor Gateways, EpiSensor-Geräte und deren Firmware sowie die Websites und Online-Dienste von EpiSensor. Sie gilt außerdem für Software Dritter, die EpiSensor in seine Produkte aufnimmt.

Eine Schwachstelle im Produkt eines anderen Herstellers, das an ein EpiSensor-Produkt angeschlossen ist, sollte diesem Hersteller gemeldet werden. Teilen Sie sie zusätzlich uns mit, wenn sie sich darauf auswirkt, wie unsere Produkte mit diesem Produkt zusammenarbeiten.

2. Meldung einer Schwachstelle

Senden Sie eine E-Mail an security@episensor.com. Bitte schreiben Sie nach Möglichkeit auf Englisch. Wenn Sie nicht sicher sind, ob es sich um eine Schwachstelle handelt, melden Sie es trotzdem.

Dieselbe Kontaktadresse ist in maschinenlesbarer Form in unserer Datei security.txt veröffentlicht.

3. Inhalt der Meldung

• Das Produkt und die Version, die Sie getestet haben, zum Beispiel die Edge-Version und die Hardware, auf der Edge läuft, oder die Adresse der Webseite.
• Worin die Schwachstelle besteht und was ein Angreifer damit tun könnte.
• Die Schritte zu ihrer Reproduktion, mit etwaigem Proof-of-Concept-Code, Protokollen oder Screenshots.
• Ob Sie annehmen, dass sie ausgenutzt wird.
• Ob und wie Sie namentlich genannt werden möchten.

Fügen Sie keine personenbezogenen Daten bei, die Sie nicht benötigen, um das Problem darzulegen.

4. Unsere Zusagen

• Wir bestätigen den Eingang Ihrer Meldung innerhalb von fünf Arbeitstagen.
• Wir bewerten die Meldung, teilen Ihnen mit, ob wir die Schwachstelle reproduzieren können, und halten Sie bis zum Abschluss der Bearbeitung auf dem Laufenden.
• Wir beheben bestätigte Schwachstellen und stellen Sicherheitsaktualisierungen kostenlos bereit, auch für die kostenlose Edition von Edge.
• Sobald eine Fehlerbehebung verfügbar ist, veröffentlichen wir einen Sicherheitshinweis, der die Schwachstelle, die betroffenen Versionen und die Möglichkeiten beschreibt, sie zu beheben oder abzuschwächen, und nennen Sie auf Wunsch namentlich.
• Wir melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle dem als Koordinator benannten CSIRT und der ENISA, wie es die Cyberresilienzverordnung der EU (Verordnung (EU) 2024/2847) vorschreibt, und teilen den betroffenen Nutzern mit, was sie zur Minderung des Risikos tun können.

Wir bieten für Meldungen keine Vergütung an.

5. Koordinierte Offenlegung

Bitte geben Sie uns die Gelegenheit, eine Schwachstelle zu beheben, bevor ihre Einzelheiten öffentlich gemacht werden. Wenn Sie eine Schwachstelle melden, verpflichten Sie sich, ihre Einzelheiten nicht zu veröffentlichen, bis wir eine Fehlerbehebung veröffentlicht haben oder seit Ihrer Meldung 90 Tage vergangen sind, je nachdem, was früher eintritt. Wir können mit Ihnen einen anderen Termin vereinbaren, zum Beispiel einen späteren, wenn eine Fehlerbehebung im Feld installierte Geräte erreichen muss, oder einen früheren, wenn die Schwachstelle ausgenutzt wird.

Sie dürfen Ihre Erkenntnisse dem Eigentümer der von Ihnen getesteten Installation mitteilen, und Sie dürfen eine Schwachstelle jederzeit einem nationalen Computer-Notfallteam (CSIRT) oder einer anderen zuständigen Behörde melden.

6. Regeln für Sicherheitstests

• Testen Sie nur Installationen, deren Eigentümer oder Betreiber Sie sind oder deren Eigentümer Sie zum Testen ermächtigt hat.
• Testen Sie keine Systeme, Netzwerke, Geräte oder Daten anderer Personen. Führen Sie keine Scans oder Angriffe gegen die Websites und Online-Dienste von EpiSensor durch: Wenn Ihnen dort ein Problem auffällt, melden Sie es, ohne weiter zu testen.
• Stören oder beeinträchtigen Sie keine Dienste, Netzwerke oder Geräte, zum Beispiel durch Denial-of-Service-Tests, und achten Sie darauf, keine Anlagen zu beeinträchtigen, die Edge überwacht oder steuert.
• Greifen Sie auf Daten, die nicht Ihnen gehören, nicht über das Mindestmaß hinaus zu, das zum Nachweis des Bestehens einer Schwachstelle erforderlich ist, und kopieren, speichern, verändern, löschen oder offenbaren Sie solche Daten nicht über dieses Maß hinaus. Wenn Sie auf solche Daten stoßen, brechen Sie Ihr Vorgehen ab, informieren Sie uns und löschen Sie jede Kopie, die sich in Ihrem Besitz befindet.
• Setzen Sie weder Social Engineering noch Phishing oder physische Angriffe gegen EpiSensor, seine Mitarbeiter, seine Kunden oder seine Räumlichkeiten ein.
• Halten Sie die Gesetze ein. Der Lizenzvertrag erlaubt die Dekompilierung und sonstiges Reverse Engineering nur in dem gesetzlich zulässigen Umfang.

7. Verzicht auf rechtliche Schritte

Wegen Sicherheitsforschung und Meldungen, die Sie in gutem Glauben und im Einklang mit dieser Richtlinie durchführen, werden wir weder Ansprüche gegen Sie geltend machen noch eine Behörde ersuchen, gegen Sie vorzugehen. Dieselben Regelungen sind in Abschnitt 2.3 des Lizenzvertrags für EpiSensor Edge enthalten.

Diese Richtlinie kann keine Tests an Systemen gestatten, die einer anderen Person gehören. Fragen Sie im Zweifel bei uns nach, bevor Sie testen.

8. Sicherheitsaktualisierungen und Unterstützungszeitraum

Wir stellen Sicherheitsaktualisierungen für die Software und Firmware von EpiSensor kostenlos bereit, und zwar für mindestens zwei Jahre ab der Veröffentlichung einer Version oder dem Ende des Verkaufs des Produkts, je nachdem, welcher Zeitpunkt später liegt, oder länger, wenn das Gesetz dies verlangt, zum Beispiel für den Unterstützungszeitraum, den die Cyberresilienzverordnung der EU für Produkte vorschreibt, die ab dem 11. Dezember 2027 auf dem EU-Markt in Verkehr gebracht werden. Eine Sicherheitsaktualisierung kann eine neue Version der Software oder Firmware sein.

Edge wird als Snap-Paket oder über die Desktop-App System Manager aktualisiert, und die Firmware von Zigbee-Geräten, die dies unterstützen, wird von Edge aus drahtlos (Over the Air) aktualisiert. Installieren Sie Sicherheitsaktualisierungen unverzüglich: Eine Version außerhalb ihres Unterstützungszeitraums erhält keine Sicherheitsaktualisierungen mehr.