Security-Kontaktseite gemäß Cyber Resilience Act (CVD-Kontaktstelle)

Verantwortungsvoller Umgang mit Sicherheitslücken

Die SHF Communication Technologies AG (SHF) entwickelt und vertreibt Messgeräte, Module sowie Laborverstärker, die über Firmware und/oder herunterladbare Steuersoftware verfügen. Die Sicherheit unserer Produkte hat für uns hohe Priorität. Wir nehmen unsere Pflichten aus dem Cyber Resilience Act (Verordnung (EU) 2024/2847) ernst und bieten daher eine zentrale Anlaufstelle für die Meldung von Sicherheitslücken (Coordinated Vulnerability Disclosure, CVD) an.

Wenn Sie eine Schwachstelle in einem unserer Produkte, in der zugehörigen Firmware oder in unserer Steuersoftware entdeckt haben, bitten wir Sie, uns diese über die unten genannten Kanäle mitzuteilen, bevor Sie die Information öffentlich machen.

Geltungsbereich 

Diese Meldestelle gilt für:

• alle von der SHF Communication Technologies AG vertriebenen Messgeräte und Module
• alle Laborverstärker inklusive integrierter Firmware
• die von uns bereitgestellte Steuersoftware (Download-Version sowie mitgelieferte Versionen)

Wie Sie eine Schwachstelle melden 

Bitte senden Sie Ihre Meldung an: 

• E-Mail:
• Optional – verschlüsselte Kommunikation
  PublicKey: SMIME
  Fingerprint: SHA-256 3F:1E:E7:1E:6A:1E:AD:30:D4:9F:94:7F:0A:6E:21:60:E1:39:C5:67:19:65:18:6D:13:46:AD:C3:4A:2F:74:8B
  

Damit wir Ihre Meldung schnell bearbeiten können, bitten wir um folgende Angaben:

• Betroffenes Produkt/Modell und, falls bekannt, Firmware-/Softwareversion
• Eine möglichst genaue Beschreibung der Schwachstelle
• Schritte zur Reproduktion (Proof of Concept, sofern vorhanden)
• Mögliche Auswirkungen (z. B. unbefugter Zugriff, Ausfall, Manipulation der Steuerung)
• Ihre Kontaktdaten für Rückfragen (optional)

Was Sie von uns erwarten können 

Handelt es sich um eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall, sind wir zusätzlich verpflichtet, dies gemäß Art. 14 CRA innerhalb gesetzlicher Fristen an das zuständige CSIRT und die ENISA zu melden. Diese behördliche Meldung ersetzt nicht die Kommunikation mit Ihnen als meldender Person. 

Koordinierte Offenlegung (Coordinated Disclosure) 

Wir bitten darum, Details zu einer gemeldeten Schwachstelle nicht öffentlich zu machen, bevor:

• wir die Schwachstelle bestätigt und, wo möglich, ein Update oder eine Abhilfemaßnahme bereitgestellt haben, oder
• eine gemeinsam vereinbarte Frist (in der Regel 90 Tage ab Eingang der Meldung) verstrichen ist.

Nach Verfügbarkeit einer Sicherheitsaktualisierung veröffentlichen wir – sofern die Risikolage dies zulässt – einen Sicherheitshinweis mit Informationen zur behobenen Schwachstelle, betroffenen Versionen und empfohlenen Maßnahmen. 

Guter Glaube / Safe Harbor 

Wir betrachten Sicherheitsforschung, die in gutem Glauben und im Einklang mit dieser Richtlinie durchgeführt wird, als autorisiert. Das bedeutet insbesondere:

• Sie testen ausschließlich an Geräten/Systemen, die Ihnen selbst gehören oder für die Sie eine ausdrückliche Erlaubnis haben.
• Sie vermeiden Beeinträchtigungen des laufenden Betriebs Dritter, Datenverlust oder Datenschutzverletzungen.
• Sie geben uns angemessene Zeit zur Behebung, bevor Details veröffentlicht werden (siehe oben).

Bei Einhaltung dieser Grundsätze werden wir keine rechtlichen Schritte gegen Sie einleiten.

Support-Zeitraum 

Für unsere Produkte stellen wir Sicherheitsaktualisierungen für einen Zeitraum von 5 Jahren ab dem Inverkehrbringen des jeweiligen Geräts bereit.

Stand: September 2026. Diese Seite wird regelmäßig überprüft und aktualisiert.