Coordinated Vulnerability Disclosure (CVD) Richtline

Switch to English

Diese Richtlinie beschreibt, wie die SHF Communication Technologies AG mit gemeldeten Sicherheitsschwachstellen in ihren Produkten und ihrer Infrastruktur umgeht. Sie richtet sich an Sicherheitsforscherinnen und -forscher, Kundinnen und Kunden sowie alle weiteren Personen, die eine Schwachstelle melden möchten (im Folgenden die meldende Person).

Geltungsbereich

Diese Policy gilt für alle von der SHF Communication Technologies AG vertriebenen Messgeräte, Module und Laborverstärker inklusive integrierter Firmware, für die zugehörige Steuersoftware sowie für die IT-Infrastruktur des Unternehmens.

Kontakt und sichere Übermittlung

Bitte richten Sie Ihre Meldung an eine der folgenden Stellen:

Produktschwachstellen (PSIRT):
PublicKey: SMIME
Fingerprint: SHA-256 13:EA:5A:D2:C1:63:CF:DF:B9:FF:02:A3:5C:68:66:A6:7C:15:00:6A:24:E4:C1:B4:CF:89:2A:3D:B6:A8:3F:1C
Infrastruktur-/IT-Schwachstellen (CSIRT):
PublicKey: SMIME
Fingerprint: SHA-256 AB:61:F0:24:48:A0:D4:CC:DE:A9:B2:87:2E:8E:D9:F9:0E:92:23:93:B9:9C:52:0B:A6:AC:87:B4:2A:63:61:D4

Wir empfehlen, vertrauliche Informationen verschlüsselt und digital signiert per E-Mail zu übermitteln. Als Kontaktwege akzeptieren wir mindestens E-Mail-Adressen und Telefonnummern.

Unsere Zusagen an die meldende Person

Wir verpflichten uns:

jede eingehende Meldung im gesetzlich zulässigen Rahmen vertraulich zu behandeln (ausgenommen die zur öffentlichen Offenlegung erforderlichen Informationen);
personenbezogene Daten der meldenden Person nicht ohne deren ausdrückliche Einwilligung an Dritte weiterzugeben;
innerhalb der unten genannten Fristen zu antworten;
keine Strafanzeige gegen die meldende Person zu verfolgen, solange diese Policy und ihre Grundsätze eingehalten werden – dies gilt nicht bei erkennbar krimineller Absicht;
während des gesamten CVD-Prozesses als Ansprechpartner für einen vertrauensvollen Austausch zur Verfügung zu stehen;
von der meldenden Person keine Geheimhaltungsvereinbarung (NDA) zu verlangen.

Was wir als gültige Schwachstelle ansehen (Vulnerability Guideline)

Eine Meldung behandeln wir als gültige Schwachstelle, wenn:

sie eines unserer Produkte oder unsere Infrastruktur betrifft;
sie sich möglichst auf öffentlich noch nicht bekannte Informationen bezieht;
sie nicht ausschließlich das Ergebnis automatisierter Tools oder Scans ohne belegende Dokumentation ist.

Garantierte Reaktionszeiten

Wir sagen zu:

eine erste, nicht automatisierte Antwort innerhalb von 5 Arbeitstagen,
ein detailliertes Feedback nach näherer Analyse innerhalb von 10 Arbeitstagen.

Das detaillierte Feedback enthält mindestens entweder eine Bestätigung bzw. Ablehnung der gemeldeten Schwachstelle, sinnvolle Rückfragen zum Verständnis oder eine Begründung, warum die Prüfung länger dauert, verbunden mit der Zusage eines weiteren Updates innerhalb von 10 Arbeitstagen.

Gute Kommunikation

Ein respektvoller Umgang aller Beteiligten ist uns wichtig; für Diskriminierung, Beleidigungen oder ähnliches Verhalten ist kein Raum. Statusanfragen zur gemeldeten Schwachstelle sind ausdrücklich willkommen. Auch Meldungen zu bereits behobenen Schwachstellen werden entgegengenommen und geprüft. Bitte geben Sie mindestens einen gültigen Kontaktweg (vorzugsweise eine E-Mail-Adresse) für Rückfragen an.

Umgang mit aktiv ausgenutzten Schwachstellen

Wird eine aktiv ausgenutzte Schwachstelle bekannt, die eines unserer Produkte oder unsere Infrastruktur betrifft, benachrichtigen wir unverzüglich das zuständige nationale CSIRT und stimmen alle neuen Informationen, Gegenmaßnahmen und Zeitpläne mit diesem ab.

Offenlegung von Schwachstellen

Validierte und verifizierte Schwachstellen legen wir grundsätzlich innerhalb von 90 Tagen öffentlich offen. Bei berechtigtem Grund kann dieser Zeitraum in enger Abstimmung mit dem zuständigen nationalen CSIRT einmalig um weitere 90 Tage verlängert werden; darüber hinaus ist eine Verlängerung nur durch das nationale CSIRT auf unseren Antrag möglich. Auf Wunsch erfolgt die Offenlegung – in Abstimmung mit dem nationalen CSIRT oder der ENISA – mindestens über die von der ENISA betriebene europäische Schwachstellendatenbank (EUVD).

Ende des CVD-Prozesses

Wir betrachten einen CVD-Prozess als abgeschlossen, wenn einer der folgenden Fälle eintritt:

die Hinweise der Meldung erweisen sich als unbegründet;
die Schwachstelle eines Dienstes wurde behoben und öffentlich offengelegt;
die Schwachstelle wurde durch einen geeigneten Patch behoben oder gemindert und öffentlich offengelegt;
die meldende Person reagiert mindestens 30 Tage nicht auf technische oder inhaltliche Rückfragen (dann ggf. nur eingeschränkte Bearbeitung);
die Schwachstelle wurde öffentlich offengelegt und es ist – in Abstimmung mit dem nationalen CSIRT – nicht mehr davon auszugehen, dass sie behoben oder gemindert wird.

Wir teilen das Ende des CVD-Prozesses der meldenden Person ohne unangemessene Verzögerung mit.

Stand: September 2026. Verantwortlich: SHF Communication Technologies AG.