Cybersicherheit

Diese Richtlinie zur Offenlegung von Sicherheitslücken gilt für Cybersicherheitsschwachstellen, die Produkte mit digitalen Elementen betreffen, welche unter der Marke HEINRICHS MESSTECHNIK GMBH vermarktet werden. Dies umfasst auch die zugehörige Software und Firmware, für die HEINRICHS MESSTECHNIK GMBH verantwortlich ist. 

Im Geltungsbereich

• Produkte der Heinrichs Messtechnik GmbH (z. B. Hardwarekomponenten, eingebettete Software, Softwaretools).
• Digitale Infrastruktur der Heinrichs Messtechnik GmbH (z. B. Websites, Servicestellen)  

Nicht im Geltungsbereich (nicht abschließend)

• Produkte von Drittanbietern, die von Heinrichs Messtechnik GmbH vermarktet werden, jedoch nicht unter der Marke Heinrichs Messtechnik GmbH.
• Produkte, die von anderen Unternehmen innerhalb der KOBOLD Group als Heinrichs Messtechnik GmbH vermarktet werden.
• Schwachstellen in Software, Bibliotheken oder Komponenten von Drittanbietern, die nicht speziell ein Produkt von Heinrichs Messtechnik betreffen.
• Allgemeine Produktqualitätsprobleme, Funktionsfehler, Garantieansprüche und technische Supportanfragen, die nicht mit Cybersicherheit in Zusammenhang stehen. 
• Physische Sicherheitsprobleme, die keine Cybersicherheitsschwachstelle beinhalten.
• Social Engineering, Phishing, Vishing oder andere Aktivitäten, die sich gegen Mitarbeiter von Heinrichs Messtechnik richten.
• Denial-of-Service-Angriffe, destruktive Tests oder sonstige Tests, die die Verfügbarkeit oder den Betrieb von Produkten von Heinrichs Messtechnik beeinträchtigen können.
• Schwachstellen in Kundennetzwerken oder -systemen, die nicht unter der Kontrolle von Heinrichs Messtechnik stehen.

Wir begrüßen Meldungen zu Schwachstellen, die die Sicherheit, Integrität oder den bestimmungsgemäßen Betrieb unserer Produkte beeinträchtigen können. Wenn Sie sich nicht sicher sind, ob eine potenzielle Schwachstelle in den Geltungsbereich dieser Richtlinie fällt, können Sie uns die Meldung dennoch übermitteln. Unser PSIRT-Team wird diese entsprechend bewerten.
Schwachstellen, die Websites, IT-Systeme oder andere Unternehmensinfrastrukturen von Heinrichs Messtechnik betreffen, werden nicht über den Meldeprozess für Produktsicherheit bearbeitet und sollten über unseren allgemeinen Meldekanal für Sicherheitsvorfälle gemeldet werden: CSIRT@heinrichs.eu

Um eine entdeckte oder potenzielle Schwachstelle in einem Produkt von Heinrichs Messtechnik zu melden, senden Sie bitte eine E-Mail an:

psirt@heinrichs.eu

Bei einer potenziellen Schwachstelle auf der Website von Heinrichs Messtechnik, in der Infrastruktur oder in Online-Diensten senden Sie bitte eine E-Mail an:

CSIRT@heinrichs.eu

Bitte geben Sie möglichst viele der folgenden Informationen an.

• Art der Schwachstelle; Produkt / Infrastruktur
• Name/Kontaktdaten — sofern gewünscht und angemessen auch anonym
• Betroffenes Produkt / System
• Produkt-/Firmware-/Softwareversion oder URL/IP/Host, sofern zutreffend und bekannt
• Beschreibung der vermuteten Schwachstelle und wie diese entdeckt wurde
• Schritte zur Reproduktion, sofern verfügbar
• Unterstützende Dateien/Screenshots/Protokolle, sofern verfügbar
• Ob Sie davon ausgehen, dass die Schwachstelle bereits ausgenutzt wurde
• Ob die Schwachstelle bereits an anderer Stelle offengelegt wurde (öffentlich?)
• Ihr bevorzugter Kommunikationsweg

Für die Übermittlung größerer Datenmengen stellen wir Ihnen einen Upload-Link zur Verfügung.

Sie können Ihre Meldung entweder auf Englisch oder Deutsch verfassen. Für Meldungen in anderen Sprachen können wir leider keine Antwort garantieren.

Wir werden innerhalb eines Geschäftstages nach Eingang Ihrer E-Mail antworten. Sollten Sie innerhalb eines Geschäftstages keine Antwort von uns erhalten, kontaktieren Sie uns bitte erneut.

Eingang und Bestätigung

>

Ersteinschätzung und Bewertung

>

Behebung

>

Verifizierung

>

Kommunikation und Offenlegung

Nach Eingang Ihrer Meldung wird der Fall mit einer eindeutigen Vorgangsnummer in unserem Schwachstellenregister erfasst und das PSIRT-Team von Heinrichs Messtechnik benachrichtigt. Wir bestätigen den Eingang der Meldung innerhalb von fünf Arbeitstagen und können die meldende Person kontaktieren, falls zusätzliche Informationen erforderlich sind.

Auf Grundlage der bereitgestellten Informationen wird das gemeldete Sicherheitsproblem validiert und im Hinblick auf die betroffenen Produkte, die Ausnutzbarkeit, den Schweregrad und die möglichen Auswirkungen bewertet. Sofern angemessen, werden wir versuchen, die Schwachstelle zu reproduzieren und eine geeignete Sicherheitskorrektur, Abhilfemaßnahme oder sonstige Korrekturmaßnahme festzulegen.

Sobald eine Korrekturmaßnahme festgelegt wurde, wird die Behebung getestet, um zu bestätigen, dass die Schwachstelle angemessen behoben wurde, ohne dabei unvertretbare Regressionen zu verursachen.

Nach Abschluss unserer Analyse informiert das PSIRT-Team von Heinrichs Messtechnik die meldende Person über das Ergebnis. Sofern angemessen, koordinieren wir den Behebungs- und Offenlegungsprozess mit der meldenden Person. Falls eine öffentliche Offenlegung erforderlich ist, kann Heinrichs Messtechnik einen Sicherheitshinweis veröffentlichen, in dem die betroffenen Produkte genannt und relevante Informationen zur Schwachstelle, ihrem Schweregrad sowie zu verfügbaren Behebungs- oder Abhilfemaßnahmen bereitgestellt werden.

Heinrichs Messtechnik veröffentlicht Sicherheitshinweise, wenn Informationen zu einer bestätigten Schwachstelle für die sichere Verwendung unserer Produkte relevant sind. Die Hinweise können Informationen zu betroffenen Produkten und Versionen, zum Schweregrad, zu verfügbaren Updates, Abhilfemaßnahmen und empfohlenen Maßnahmen enthalten.

Derzeit sind keine Sicherheitshinweise von Heinrichs Messtechnik veröffentlicht.