Richtlinie zur koordinierten Offenlegung von Sicherheitslücken (Coordinated Vulnerability Disclosure Policy)

1. Zweck

Die R3 Solutions GmbH begrüßt Meldungen über potenzielle Sicherheitslücken in R3-Produkten und zugehörigen Diensten, sofern diese in gutem Glauben erfolgen.

Diese Richtlinie erläutert:

  • wie eine potenzielle Sicherheitslücke an R3 gemeldet werden kann;
  • den Geltungsbereich dieser Richtlinie und welche Arten von Sicherheitsmeldungen sie abdeckt;
  • welche Informationen R3 bei der Untersuchung einer Meldung unterstützen;
  • was meldende Personen von R3 erwarten können;
  • wie R3 die koordinierte Offenlegung von Sicherheitslücken handhabt;
  • welche Erwartungen für Sicherheitsforschung in gutem Glauben gelten.

2. Geltungsbereich

2.1 Produkte und Dienste im Geltungsbereich

Diese Richtlinie gilt für R3-Produkte und zugehörige Dienste, für die die R3 Solutions GmbH verantwortlich ist.

Eine Meldung kann sich unter anderem auf Folgendes beziehen:

  • eine Sicherheitslücke in Firmware oder Software eines R3-Produkts;
  • eine betroffene Software- oder Hardwarekomponente;
  • einen Mechanismus zur Aktualisierung eines Produkts;
  • einen produktbezogenen Dienst von R3;
  • von R3 bereitgestellte Sicherheitsinformationen oder Meldewege.

Betrifft eine Meldung eine Drittanbieter- oder Upstream-Komponente, die in einem R3-Produkt verwendet wird, prüft R3, ob das R3-Produkt betroffen ist, und kann sich mit dem zuständigen Lieferanten, Hersteller, Maintainer oder einer anderen betroffenen Partei abstimmen.

Wenn Sie unsicher sind, ob eine potenzielle Sicherheitslücke in den Geltungsbereich fällt, melden Sie diese trotzdem. R3 wird die Meldung entsprechend prüfen.

2.2 Aktivitäten außerhalb des vorgesehenen Geltungsbereichs

Sicherheitsforschende sollten Aktivitäten vermeiden, die R3, Kunden, Nutzern, Lieferanten, Partnern oder anderen Parteien schaden könnten.

Zu den Aktivitäten außerhalb des vorgesehenen Geltungsbereichs dieser Richtlinie gehören:

  • Tests an Kunden-, Drittanbieter- oder Produktionssystemen oder -umgebungen ohne entsprechende Genehmigung;
  • Social Engineering oder Phishing gegenüber Mitarbeitenden, Kunden oder Partnern von R3;
  • physisches Eindringen oder Versuche, sich Zugang zu Räumlichkeiten von R3 zu verschaffen;
  • Denial-of-Service- oder Ressourcenauslastungstests;
  • Störungen von Produktions- oder Kundenumgebungen;
  • unnötiger Zugriff auf Daten sowie deren Veränderung, Löschung oder Speicherung;
  • Installation persistenter Zugriffsmechanismen;
  • öffentliche Offenlegung ohne R3 eine angemessene Zeit zur Koordination einzuräumen;
  • Forderungen nach Zahlungen oder anderen Vorteilen als Bedingung für das Zurückhalten von Informationen über eine Sicherheitslücke.

Wenn Sicherheitsforschende unsicher sind, ob eine Aktivität im Rahmen dieser Richtlinie zulässig ist, sollten sie R3 vorab kontaktieren.

3. Meldung einer Sicherheitslücke

Meldungen zu Sicherheitslücken senden Sie bitte an:

security@r3.group

R3 akzeptiert Meldungen per gewöhnlicher unverschlüsselter E-Mail.

Eine Meldung wird nicht allein deshalb abgelehnt, weil sie über einen unverschlüsselten Kommunikationsweg eingereicht wurde.

Bei besonders sensiblen Informationen sollten meldende Personen zunächst nur eine kurze Beschreibung senden und vermeiden, unnötige Zugangsdaten, personenbezogene Daten, Kundeninformationen oder andere sensible Informationen zu übermitteln.

PGP-verschlüsselte Kommunikation ist auf Anfrage verfügbar.

Den öffentlichen PGP-Schlüssel von R3 können Sie über folgende Adresse anfordern:

security@r3.group

3.1 Anonyme Meldungen

R3 akzeptiert Meldungen über Sicherheitslücken, ohne dass meldende Personen ihren echten Namen oder andere identifizierende Informationen angeben müssen.

Da Meldungen per E-Mail eingereicht werden, ist für eine direkte Rückmeldung eine nutzbare Absender-E-Mail-Adresse erforderlich.

Meldungen ohne identifizierende Informationen werden nach demselben Vulnerability-Handling-Prozess wie andere Meldungen bearbeitet.

R3 stellt kein separates anonymes Meldeformular bereit.

3.2 Unterstützte Sprachen

R3 akzeptiert Meldungen über Sicherheitslücken in:

  • Englisch;
  • Deutsch.

4. Welche Informationen eine Meldung enthalten sollte

Eine Meldung sollte möglichst viele der folgenden Informationen enthalten, soweit diese verfügbar sind:

  • betroffenes Produkt oder betroffener Dienst;
  • betroffene Hardware-, Firmware- oder Softwareversion;
  • Beschreibung der potenziellen Sicherheitslücke;
  • Schritte zur Reproduktion oder Verifizierung des Problems;
  • Proof-of-Concept-Informationen, Logs, Screenshots oder andere Nachweise;
  • erforderliche Zugriffsrechte, Berechtigungen, Konfigurationen oder Umgebungsbedingungen;
  • potenzielle Auswirkungen auf Sicherheit oder Safety;
  • bekannte Ausnutzung der Sicherheitslücke oder bereits öffentlich verfügbare Informationen dazu;
  • verfügbare Abhilfemaßnahmen oder Workarounds;
  • gewünschter Name oder gewünschtes Pseudonym für eine Nennung oder Anerkennung, sofern gewünscht.

Falls die genaue Produkt- oder Firmwareversion nicht bekannt ist, sollten meldende Personen alle verfügbaren Informationen wie Produktname, Gerätekennung, Angaben auf dem Produktlabel, URL, Konfigurationsinformationen oder andere Details angeben, die R3 bei der Identifizierung des betroffenen Produkts unterstützen können.

Nicht alle oben genannten Angaben sind erforderlich.

Eine unvollständige Meldung ist besser als keine Meldung. R3 kann bei Bedarf zusätzliche Informationen zur Untersuchung anfordern.

Meldende Personen sollten die Übermittlung personenbezogener Daten, einschließlich persönlich identifizierbarer Informationen (PII), Kundeninformationen, Zugangsdaten oder vertraulicher Informationen vermeiden, sofern diese nicht zur Beschreibung der Sicherheitslücke erforderlich sind.

5. Was meldende Personen von R3 erwarten können

5.1 Eingangsbestätigung

R3 bestätigt den Eingang einer Meldung innerhalb von:

5 Arbeitstagen

Die Eingangsbestätigung enthält in der Regel:

  • eine Bestätigung, dass die Meldung eingegangen ist;
  • eine R3-Fallkennung im Format SEC-REPORT-<number>;
  • den nächsten erwarteten Schritt;
  • eine Anfrage nach fehlenden Informationen, sofern erforderlich.

Die Eingangsbestätigung bedeutet nicht, dass die Sicherheitslücke bereits bestätigt wurde.

5.2 Erste Triage

R3 führt die erste Triage innerhalb von:

10 Arbeitstagen

durch.

Bei der ersten Triage wird geprüft:

  • ob die Meldung für ein R3-Produkt oder einen zugehörigen Dienst relevant ist;
  • ob ausreichend Informationen für eine Untersuchung vorliegen;
  • ob eine dringende Bearbeitung erforderlich ist;
  • wer für die technische Bewertung verantwortlich ist.

Der Zeitraum für eine vollständige technische Verifizierung kann von der Komplexität der Meldung, dem betroffenen Produkt sowie von Abhängigkeiten zu Lieferanten oder Komponentenherstellern abhängen.

5.3 Verifizierung und Statusaktualisierungen

Sofern ein nutzbarer Kommunikationsweg verfügbar ist, informiert R3 die meldende Person über:

  • das Ergebnis der Verifizierung;
  • Anfragen nach zusätzlichen relevanten Informationen;
  • wesentliche Statusaktualisierungen mindestens alle 30 Tage, solange der Fall aktiv ist;
  • die Verfügbarkeit einer Behebung oder geeigneter Schutzmaßnahmen;
  • Informationen zur geplanten Offenlegung, sofern relevant.

R3 kann Informationen einschränken, wenn deren Weitergabe:

  • ein unnötiges Sicherheitsrisiko verursachen würde;
  • vertrauliche Informationen offenlegen würde;
  • Kunden oder Nutzer beeinträchtigen könnte;
  • die Behebung der Sicherheitslücke beeinträchtigen könnte;
  • gesetzliche oder regulatorische Verpflichtungen beeinträchtigen könnte.

6. Koordinierte Offenlegung

R3 unterstützt die koordinierte Offenlegung von Sicherheitslücken.

R3 strebt eine Offenlegung innerhalb von:

90 Tagen nach Eingang der Meldung über die Sicherheitslücke

an.

Eine frühere Offenlegung kann erfolgen, wenn:

  • eine Behebung verfügbar ist;
  • geeignete Schutzmaßnahmen verfügbar sind;
  • eine aktive Ausnutzung bekannt ist oder vermutet wird;
  • ein dringender Schutz der Nutzer erforderlich ist;
  • die Sicherheitslücke bereits öffentlich bekannt ist;
  • eine weitere vertrauliche Behandlung keinen wirksamen Schutz mehr bietet.

Der Zeitraum für die Offenlegung kann verlängert werden, wenn:

  • die Behebung aufgrund technischer Komplexität mehr Zeit benötigt;
  • eine Abstimmung mit Lieferanten oder mehreren beteiligten Parteien erforderlich ist;
  • Release- oder Testbedingungen eine begründete Verzögerung verursachen;
  • eine vorzeitige Offenlegung ein größeres Sicherheitsrisiko verursachen würde.

Eine Verlängerung über den normalen Offenlegungszeitraum hinaus muss begründet, dokumentiert und hinsichtlich des Risikos bewertet werden. Soweit dies angemessen möglich ist, sollte die Verlängerung mit der meldenden Person und den betroffenen Parteien abgestimmt werden.

Betrifft eine Sicherheitslücke eine Upstream-Komponente oder mehrere Organisationen, kann R3 die Koordination mit dem zuständigen Lieferanten, Maintainer, anderen betroffenen Parteien oder einer geeigneten Koordinierungsstelle für Sicherheitslücken übernehmen.

Meldende Personen werden gebeten:

  • Details zur Sicherheitslücke während des vereinbarten Koordinierungszeitraums vertraulich zu behandeln;
  • Exploit-Code nicht zu veröffentlichen, bevor Nutzer eine angemessene Möglichkeit hatten, die Behebung anzuwenden;
  • R3 vor der Veröffentlichung von Details zur Sicherheitslücke zu informieren;
  • Änderungen am erwarteten Veröffentlichungszeitpunkt mit R3 abzustimmen;
  • Aussagen zu vermeiden, die den Status der Verifizierung oder Behebung falsch darstellen könnten.

Wenn eine frühere Offenlegung zum Schutz der Nutzer erforderlich ist, wird R3 Inhalt und Zeitpunkt soweit wie unter den gegebenen Umständen möglich koordinieren.

7. Sicherheitsforschung in gutem Glauben

R3 bittet meldende Personen und Sicherheitsforschende, verantwortungsvoll und in gutem Glauben zu handeln.

Sicherheitsforschung in gutem Glauben bedeutet, dass die betreffende Person:

  • Tests auf das Maß beschränkt, das angemessen erforderlich ist, um die potenzielle Sicherheitslücke zu identifizieren und nachzuweisen;
  • den Zugriff auf personenbezogene Daten, Kundeninformationen, vertrauliche Informationen und andere sensible Daten minimiert;
  • Tests beendet und R3 informiert, wenn sensible Daten festgestellt werden;
  • die Sicherheitslücke oder während der Tests erhaltene Informationen nicht für schädliche oder böswillige Zwecke verwendet;
  • die in Abschnitt 2 dieser Richtlinie beschriebenen Geltungsbereichs- und Aktivitätsbeschränkungen einhält;
  • R3 eine angemessene Möglichkeit zur Untersuchung, Behebung und Koordination der Offenlegung einräumt;
  • im Einklang mit den geltenden gesetzlichen Bestimmungen handelt.

Tests an Kunden- oder Produktionssystemen erfordern die Genehmigung des jeweiligen Systemverantwortlichen.

R3 wird keine rechtlichen Schritte gegen Sicherheitsforschende einleiten, die Sicherheitsforschung in gutem Glauben und im Einklang mit dieser Richtlinie durchführen.

8. Anerkennung von Meldenden und Bug Bounties

R3 kann eine meldende Person in einem veröffentlichten Security Advisory nennen, wenn:

  • die meldende Person eine Nennung wünscht;
  • die meldende Person der vorgesehenen Formulierung zustimmt;
  • durch die Nennung keine vertraulichen oder personenbezogenen Informationen offengelegt werden.

Wenn eine meldende Person anonym bleiben möchte, wird R3 keine identifizierenden Informationen über diese Person veröffentlichen.

Eine meldende Person, die unter ihrem Namen oder einem Pseudonym genannt werden möchte, kann dies vor der Veröffentlichung anfragen.

R3 betreibt kein Vulnerability-Bounty-Programm.

Die Meldung einer Sicherheitslücke begründet keinen Anspruch auf:

  • Zahlung;
  • Vergütung;
  • Beschäftigung;
  • eine andere Belohnung.

9. Vertraulichkeit und personenbezogene Daten

R3 verarbeitet nicht öffentliche Informationen über Sicherheitslücken in geeigneten zugriffsgeschützten Systemen.

Informationen können mit relevanten internen Teams, Lieferanten, Maintainern, Koordinierungsstellen für Sicherheitslücken oder Behörden geteilt werden, soweit dies erforderlich ist für:

  • Verifizierung;
  • Risikobewertung;
  • Behebung;
  • Release-Vorbereitung;
  • koordinierte Offenlegung;
  • Schutz von Kunden oder Nutzern;
  • Erfüllung gesetzlicher oder regulatorischer Verpflichtungen.

R3 veröffentlicht die Identität der meldenden Person nicht ohne deren Zustimmung, sofern eine Offenlegung nicht gesetzlich vorgeschrieben ist.

Meldende Personen sollten keine personenbezogenen Daten übermitteln, die keinen Bezug zur Sicherheitslücke haben.

Falls bei einer Meldung unbeabsichtigt personenbezogene, kundenbezogene oder vertrauliche Daten offengelegt werden, sollte die meldende Person:

  1. den Zugriff auf die Daten beenden;
  2. die Daten nicht kopieren oder speichern;
  3. R3 unverzüglich informieren;
  4. die Anweisungen von R3 zur sicheren Löschung oder Übermittlung der Daten befolgen.

10. Security Advisories

Wenn Informationen über eine behobene oder mitigierte Sicherheitslücke öffentlich oder gegenüber betroffenen Nutzern kommuniziert werden müssen, kann R3 ein allgemein verständliches Security Advisory veröffentlichen.

Ein Security Advisory kann unter anderem folgende Informationen enthalten:

  • Beschreibung der Sicherheitslücke;
  • Kennung der Sicherheitslücke, beispielsweise eine CVE, sofern vergeben;
  • betroffenes Produkt und betroffene Versionen;
  • potenzielle Auswirkungen;
  • Schweregrad;
  • Informationen zur Behebung oder Mitigation;
  • Veröffentlichungsdatum;
  • Datum einer Aktualisierung des Security Advisory;
  • Nennung der meldenden Person, sofern vereinbart.