Security

Richtlinie zur Offenlegung

Coordinated Vulnerability Disclosure (CVD-Policy)

Sicherheitslücken in WILKA-Produkten verantwortungsvoll melden

1. Zweck und Grundsätze

Die Sicherheit unserer elektronischen Zutritts- und Schließlösungen sowie der Schutz von Gebäuden, Systemen und Daten haben für WILKA hohe Priorität. Trotz sorgfältiger Entwicklung, Prüfung und Qualitätssicherung können Schwachstellen in Hardware, Firmware, Software oder zugehörigen Diensten nicht vollständig ausgeschlossen werden.

Diese Richtlinie beschreibt, wie Kunden, Partner, Sicherheitsforschende und andere Dritte potenzielle Sicherheitslücken melden können, welche Regeln für Prüfungen gelten und wie WILKA die Meldungen bearbeitet. WILKA behandelt Meldende respektvoll, schützt vertrauliche Informationen und strebt eine koordinierte Offenlegung an.

2. Geltungsbereich

Die Richtlinie gilt für alle von WILKA bereitgestellten elektronischen Produkte mit digitalen Elementen und Schnittstellen, insbesondere:

elektronische Schließzylinder einschließlich integrierter Firmware und Komponenten;
Wandleser einschließlich zugehöriger Steuereinheiten;
elektronische Beschläge;
Motormodule einschließlich Debug-, Service- und Programmierschnittstellen;
Programmier- und Konfigurationsgeräte;
Steuerungs-, Verwaltungs- und Konfigurationssoftware sowie Apps für mobile und stationäre Betriebssysteme;
Cloud-, Backend- und Remote-Datenverarbeitungsdienste, soweit sie für die Funktion eines WILKA-Produkts erforderlich sind;
von WILKA verantwortete Komponenten, Kommunikationsschnittstellen und Update-Mechanismen dieser Produkte.

Auch Meldungen zu nicht mehr unterstützten Produktversionen werden entgegengenommen und bewertet. Art, Umfang und Verfügbarkeit von Korrekturmaßnahmen können bei Produkten außerhalb des festgelegten Supportzeitraums eingeschränkt sein.

Allgemeine Supportanfragen ohne erkennbaren Sicherheitsbezug, beispielsweise zu Bedienung, Installation, Wartung oder Funktionsstörungen, richten Sie bitte an unseren Kunden- oder Produktsupport. Besteht Unsicherheit, ob eine Beobachtung sicherheitsrelevant ist, kann sie trotzdem an das PSIRT gemeldet werden.

3. Meldewege und sichere Übermittlung

Bitte richten Sie alle Berichte über potenzielle Schwachstellen an unser Product Security Incident Response Team (PSIRT).

Nutzen Sie dafür bevorzugt das Meldeformular. Die im Formular eingegebenen Daten werden verschlüsselt über HTTPS übertragen.

Alternativ erreichen Sie das PSIRT per E-Mail.
E-Mail: psirt(at)wilka.de

Bitte übermitteln Sie keine Passwörter, privaten Schlüssel, produktiven Zugangsdaten oder personenbezogenen Daten, sofern diese nicht zwingend erforderlich und zuvor mit dem PSIRT abgestimmt sind.

Sensible oder umfangreiche Anhänge, Exploit-Code und vertrauliche technische Informationen sollen nicht unverschlüsselt versendet werden. Teilen Sie dem PSIRT über das Formular oder per E-Mail mit, dass Sie Dateien bereitstellen möchten; Sie erhalten anschließend einen sicheren Upload-Link.

4. Anforderungen an den Bericht

Für eine belastbare Erstbewertung benötigen wir mindestens folgende Angaben – soweit sie Ihnen bekannt und verfügbar sind:

betroffenes WILKA-Produkt, Modell und – soweit ablesbar – Artikelnummer sowie Hardware-, Firmware-, Software- oder App-Version;
klare Beschreibung der Schwachstelle oder Beobachtung und der möglichen Sicherheitsauswirkung;
Ausgangssituation, relevante Schnittstelle und Umgebung, erforderlicher Zugriff und sonstige Voraussetzungen sowie vollständige Reproduktionsschritte;
erwartetes und tatsächliches Verhalten sowie eine Angabe, ob und wie zuverlässig sich die Beobachtung reproduzieren lässt;
bei Software oder Apps zusätzlich: eingesetztes Gerät mit Hersteller und Modell, Betriebssystem-Version und Build sowie Software- oder App-Version;
Angabe, ob Anzeichen für eine tatsächliche Ausnutzung der Schwachstelle oder eine Betroffenheit weiterer Nutzer oder Systeme bestehen; falls dies nicht beurteilt werden kann, genügt die Angabe „unbekannt“;
eine sichere Kontaktmöglichkeit für Rückfragen, sofern die Meldung nicht anonym erfolgen soll.

Für die weitere Analyse sind – soweit vorhanden – außerdem hilfreich:

getestete, nach Ihrer Prüfung nicht betroffene Produkt- oder Softwareversionen;
Datum, Uhrzeit und Zeitzone der erstmaligen Feststellung;
aussagekräftige Nachweise wie Protokolle, Screenshots, Videos, Netzwerkmitschnitte oder Proof-of-Concept-Code;
ein gegebenenfalls geplanter Veröffentlichungszeitpunkt

5. So bearbeiten wir Ihre Meldung

Eingang: Wir bestätigen die Sichtung Ihrer Meldung in der Regel innerhalb von zwei Werktagen und vergeben eine eindeutige Vorgangsnummer.
Bewertung: Das PSIRT prüft die Angaben, die Betroffenheit unserer Produkte sowie Auswirkung und Dringlichkeit der Schwachstelle. Falls erforderlich, bitten wir Sie um ergänzende Informationen. Eine erste Rückmeldung zur Bewertung und zum weiteren Vorgehen erhalten Sie in der Regel innerhalb von sieben Werktagen nach Eingang.
Behebung und Rückmeldung: WILKA entwickelt und prüft risikobasiert ein Sicherheitsupdate, einen Workaround oder eine andere geeignete Korrektur- beziehungsweise Minderungsmaßnahme. Wir informieren Sie in angemessenen Abständen über wesentliche Ergebnisse und stimmen den Abschluss mit Ihnen ab.
Gesetzliche Meldungen: Soweit gesetzlich erforderlich, meldet WILKA aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale CRA-Meldeplattform an das zuständige koordinierende CSIRT; die Informationen werden der ENISA gemäß den gesetzlichen Vorgaben zugänglich gemacht. Diese Meldungen erfolgen unabhängig von einer Veröffentlichung.
Koordinierte Veröffentlichung: Wir veröffentlichen grundsätzlich erst, wenn ein Sicherheitsupdate oder eine geeignete risikomindernde Maßnahme für betroffene Nutzer bereitsteht. Erforderliche Sicherheitshinweise können bereits vorher erfolgen.

6. Verhaltensregeln und Safe Harbor

Safe Harbor: Wir schätzen die Arbeit von unabhängigen Sicherheitsforschern. Wenn Sie im Rahmen dieser Richtlinie mit lauteren Absichten (in good faith) handeln und sich an die folgenden Regeln halten, versichern wir Ihnen, dass wir keine rechtlichen Schritte gegen Sie einleiten werden. Ausgenommen hiervon bleiben vorsätzliche Straftaten.

Bedingungen für den Schutz :Um sich für diesen Schutz zu qualifizieren, verpflichten Sie sich, die folgenden Regeln strikt einzuhalten:

Verhältnismäßige Prüfung: Beschränken Sie Ihre Prüfung auf das zur Bestätigung und nachvollziehbaren Dokumentation der Schwachstelle erforderliche Maß.
Daten schützen: Greifen Sie nicht absichtlich auf fremde Daten zu. Werden personenbezogene oder vertrauliche Informationen sichtbar, kopieren, verändern oder veröffentlichen Sie diese nicht und beenden Sie den betreffenden Zugriff.
Keine Schäden oder Störungen: Gefährden Sie keine Personen und beeinträchtigen Sie keine fremden Daten oder produktiv genutzten Systeme. Unterlassen Sie insbesondere DoS- und DDoS-Tests, Social Engineering, Phishing, Spam, automatisierte Massenscans gegen Produktivsysteme, Persistenzmechanismen, Manipulationen an produktiv eingesetzten Anlagen sowie tatsächliche Zutrittsversuche an fremden Gebäuden oder Zutrittssystemen.
Keine Erpressung: Knüpfen Sie die Meldung oder das Zurückhalten von Informationen nicht an Geldforderungen, Drohungen oder andere unangemessene Bedingungen.
Koordinierte Offenlegung: Melden Sie die Schwachstelle zunächst direkt und vertraulich an WILKA. Veröffentlichen Sie technische Details erst, wenn ein Sicherheitsupdate oder eine risikomindernde Maßnahme für die betroffenen Nutzer bereitgestellt wurde oder ein anderer Zeitpunkt mit WILKA abgestimmt ist.

7. Vertraulichkeit und Anerkennung

WILKA behandelt Schwachstellenmeldungen und die Identität der Meldenden vertraulich. Soweit es für die Prüfung und Behebung oder zur Erfüllung gesetzlicher Pflichten erforderlich ist, können Informationen nur im notwendigen Umfang an beteiligte Lieferanten, Dienstleister, Behörden oder betroffene Nutzer weitergegeben werden. Die Identität der meldenden Person wird nur mit deren Einwilligung offengelegt, soweit keine gesetzliche Verpflichtung zur Offenlegung besteht.

Auf Wunsch und mit Einwilligung des Meldenden kann WILKA dessen Beitrag nach erfolgreichem Abschluss namentlich anerkennen. Ein Anspruch auf Vergütung besteht nicht; WILKA betreibt derzeit kein allgemeines Bug-Bounty-Programm.

____________________________________________________________________________________________