Coordinated Vulnerability Handling and Disclosure Prozess

SMA verpflichtet sich, einen Beitrag zur Sicherheit ihrer Produkte und Dienstleistungen sowie deren Anwendung durch Anwender und Kunden zu leisten. SMA verfolgt einen ganzheitlichen und umfassenden Ansatz zur Absicherung ihrer Produkte, Lösungen, Services und IT-Infrastruktur.

Dieser Ansatz umfasst einen Prozess für den Umgang und die Behebung gemeldeter Sicherheitslücken in seinen Produkten, Lösungen, Diensten und seiner IT-Infrastruktur. SMA ist bereit, in gutem Glauben mit Einzelpersonen und Organisationen zusammenzuarbeiten, die Schwachstellenberichte auf die im Abschnitt "Kontaktinformationen" beschriebene Weise einreichen. SMA akzeptiert offen Meldungen für SMA Produkte, Lösungen, Dienstleistungen und IT-Infrastruktur, und SMA freut sich, Einzelpersonen und Organisationen zu würdigen, die ethisch einwandfreie Sicherheitsprobleme melden.

SMA beabsichtigt nicht, rechtliche Schritte gegen Hinweisgeber einzuleiten, die

• testen und forschen, ohne jemandem zu schaden,

• Tests durchführen, ohne die Kunden zu beeinträchtigen und die die Erlaubnis der Kunden einholen, bevor sie Schwachstellentests gegen deren Systeme durchführen,

• geltende Gesetze einhalten,

• eine koordinierte Offenlegung durchführen,

• Auswirkungen auf die Sicherheit und den Datenschutz aller vermeiden.

Um eine Sicherheitslücke zu melden, die ein Produkt, eine Lösung oder eine IT-Infrastrukturkomponente von SMA (oder der coneva GmbH) betrifft, wenden Sie sich bitte über die im Abschnitt "Kontaktinformationen" beschriebenen Wege an SMA. SMA bestätigt Ihnen den Eingang Ihrer Meldung innerhalb von drei Werktagen und informiert Sie rechtzeitig über relevante Statusänderungen. 

Bitte melden Sie folgende Informationen:

• betroffene Produkte, Dienstleistungen oder IT-Infrastrukturkomponenten, einschließlich Modell, Firmware-Version und Seriennummer,

• Eine detaillierte Beschreibung des Problems und die Schritte, die erforderlich sind, um das zu reproduzieren, was Sie beobachtet haben

• Wurde die Schwachstelle bereits öffentlich bekannt gegeben?

Wir freuen uns über Schwachstellenberichte von Forschern, Industriegruppen, CERTs, Partnern und anderen Quellen. SMA verlangt keine Geheimhaltungsvereinbarung (NDA) als Voraussetzung für den Erhalt von Meldungen und wird während des koordinierten Offenlegungsprozesses keine NDAs (Non Disclosure Agreements) anfordern..

SMA respektiert die Interessen des Berichtspflichtigen. Wir akzeptieren auch anonyme Meldungen. Wir verpflichten uns, alle Schwachstellen im Zusammenhang mit SMA Produkten, Lösungen oder IT-Infrastrukturkomponenten zu behandeln.

Die SMA fordert die meldenden Parteien auf, eine koordinierte Offenlegung vorzunehmen, da die unmittelbare Offenlegung eine "0-Tage-Situation" verursacht, die Systeme gefährden kann. Dies ist besonders wichtig, da solche Systeme Teil kritischer Infrastrukturen sein können.