Die Sicherheit unserer Maschinen und Anlagen ist uns wichtig. Trotz sorgfältiger Planung und Umsetzung lassen sich Sicherheitslücken nie vollständig ausschließen. Wenn Sie als Betreiber, Servicepartner oder Sicherheitsforscher eine Schwachstelle in einer Anlage oder Maschine der EMDE Automation GmbH entdecken, bitten wir Sie, uns darüber zu informieren. Wir prüfen jede Meldung und arbeiten gemeinsam mit Ihnen und, falls erforderlich, mit den Herstellern der betroffenen Komponenten an einer Lösung.
Diese Richtlinie gilt für alle von der EMDE Automation GmbH hergestellten Maschinen und Anlagen mit digitalen Elementen. Dazu gehören insbesondere die von uns erstellten Steuerungsprogramme, die Konfiguration der eingesetzten Komponenten sowie Fernwartungszugänge, die wir als Bestandteil unserer Anlagen liefern.
Betrifft eine Meldung eine in unseren Anlagen verbaute Komponente eines Lieferanten, bewerten wir die Auswirkungen auf die betroffenen Anlagen, leiten die Meldung an den jeweiligen Hersteller weiter und sind bemüht, zeitnah gemeinsam mit diesem eine Lösung zu erarbeiten.
So melden Sie eine Schwachstelle
Senden Sie Ihre Meldung an schwachstellenmeldung@emde.de. Hilfreich sind für uns:
- Betroffene Anlage, sofern bekannt mit Auftrags- oder Anlagennummer (z. B. vom Typenschild)
- Betroffene Komponenten mit Hersteller, Typ bzw. Modell sowie, soweit bekannt, Firmware- oder Softwareversion und Seriennummer
- Beschreibung der Schwachstelle und Einschätzung ihrer möglichen Auswirkungen
- Nachvollziehbare Schritte zur Reproduktion, gerne mit Screenshots oder Logauszügen
- Ihre Kontaktdaten für Rückfragen
- Falls Sie eine Veröffentlichung oder die Weitergabe an Dritte (z. B. an ein CERT) planen: den vorgesehenen Zeitpunkt
Bitte übermitteln Sie nur die Informationen, die zur Nachvollziehung der Schwachstelle erforderlich sind. Angaben zu Ihrer eigenen Anlage, etwa Konfigurations- oder Protokolldaten, helfen uns bei der Prüfung. Personenbezogene Daten Dritter, die Sie bei Ihrer Untersuchung eingesehen haben, senden Sie bitte nicht mit. Für umfangreiche oder vertrauliche Daten stimmen wir auf Wunsch einen geschützten Übertragungsweg mit Ihnen ab.
- Wir bestätigen den Eingang Ihrer Meldung üblicherweise innerhalb von drei Werktagen.
- Innerhalb von zehn Werktagen erhalten Sie in der Regel eine erste Einschätzung, ob wir die Schwachstelle bestätigen können und wie wir weiter vorgehen.
- Wir halten Sie über den Bearbeitungsstand informiert und melden uns, sobald eine Lösung oder eine Übergangsmaßnahme bereitsteht. Betrifft die Schwachstelle eine Lieferantenkomponente, hängt der Zeitplan auch von der Rückmeldung des Herstellers ab.
- Auf Wunsch nennen wir Sie in unserer Kommunikation zur Schwachstelle als Finder, etwa gegenüber dem betroffenen Komponentenhersteller.
Wir behandeln Ihre Meldung vertraulich und stimmen das weitere Vorgehen mit Ihnen ab. Da viele Schwachstellen Komponenten unserer Lieferanten betreffen, hängt der Zeitraum bis zur Behebung auch von deren Rückmeldung ab. Bitte veröffentlichen Sie Informationen zur Schwachstelle erst, nachdem wir uns mit Ihnen über den Zeitpunkt verständigt haben, und geben Sie uns sowie gegebenenfalls dem Komponentenhersteller angemessen Zeit zur Behebung. Informationen zur Schwachstelle und zu Abhilfemaßnahmen stellen wir den Betreibern der betroffenen Anlagen direkt zur Verfügung. Unsere gesetzlichen Meldepflichten gegenüber den zuständigen Behörden bleiben davon unberührt.
Zusage an Meldende
Wenn Sie sich bei Ihrer Untersuchung an diese Richtlinie und an das geltende Recht halten, werten wir Ihre Meldung als Beitrag zur Sicherheit unserer Produkte. Wir werden in diesem Fall keine rechtlichen Schritte gegen Sie einleiten und keine Strafanzeige stellen. Nicht von dieser Zusage gedeckt sind insbesondere:
- Eingriffe, welche Beeinträchtigungen der Verfügbarkeit, Integrität oder Sicherheit von Maschinen, Anlagen oder IT-Systemen verursachen
- Last- oder Denial-of-Service-Tests
- Zugriff auf, Veränderung oder Weitergabe von Daten Dritter
- Social Engineering gegenüber unseren Mitarbeitenden, Kunden oder Lieferanten
- physische Angriffe auf unsere Standorte sowie auf Maschinen und Anlagen
- Eingriffe in produktive Kundenanlagen oder Tests an Maschinen und Anlagen ohne ausdrückliche Zustimmung des Betreibers
Diese Zusage betrifft ausschließlich Ansprüche der EMDE Automation GmbH. Rechte der Betreiber unserer Anlagen und sonstiger Dritter bleiben davon unberührt.
Kein Bug-Bounty-Programm
Wir betreiben derzeit kein Vergütungsprogramm für Schwachstellenmeldungen. Eine Zahlung ist mit einer Meldung nicht verbunden.
Maschinenlesbarer Kontakt
Unseren Sicherheitskontakt finden Sie zusätzlich maschinenlesbar unter https://www.emde.de/.well-known/security.txt gemäß RFC 9116.
Kontakt
Newsletter
Bleiben Sie in Kontakt! Wir informieren Sie über unsere News und Events bei EMDE.