Responsible Disclosure / Meldung von Sicherheitslücken
Die Informationssicherheit ist ein wesentlicher Bestandteil unseres Managementsystems und wird gemäß den Anforderungen von TISAX (Trusted Information Security Assessment Exchange) umgesetzt.
Trotz umfangreicher Schutzmaßnahmen können Sicherheitslücken nicht vollständig ausgeschlossen werden. Wir begrüßen daher Hinweise von externen Personen zu möglichen Schwachstellen, Informationssicherheitsvorfällen sowie physischen Sicherheitsvorfällen und verpflichten uns zu einem strukturierten und vertraulichen Umgang mit solchen Meldungen.
Geltungsbereich (Scope)
Diese Richtlinie gilt für alle öffentlich zugänglichen Systeme, Anwendungen und Dienste sowie für die physischen Standorte und Einrichtungen der Wallstabe & Schneider Gruppe.
Meldung von Sicherheitsvorfällen und Schwachstellen
Bitte melden Sie festgestellte oder vermutete:
- IT-Sicherheitslücken oder Cyberangriffe
- Unbefugte Zugriffe auf Systeme oder Daten
- Auffälligkeiten, die auf einen Informationssicherheitsvorfall hindeuten
- Physische Sicherheitsvorfälle (z. B. unbefugter Zutritt, fehlende Sicherungsmaßnahmen, verdächtige Aktivitäten an Standorten)
an:
Um eine effiziente Bearbeitung sicherzustellen, bitten wir um folgende Informationen:
- Detaillierte Beschreibung der Schwachstelle bzw. des Vorfalls
- Zeitpunkt der Entdeckung
- Betroffene Systeme, Anwendungen, Standorte oder Bereiche
- Ggf. Schritte zur Reproduktion
- Optional: Kontaktdaten für Rückfragen
Sichere Kommunikation
Sofern Sie vertrauliche oder sensible Informationen übermitteln, empfehlen wir die Nutzung geeigneter Schutzmaßnahmen (z. B. verschlüsselte E-Mail). Auf Anfrage stellen wir geeignete Möglichkeiten zur sicheren Kommunikation bereit.
Bearbeitung und Reaktionszeiten
- Eingehende Meldungen werden dokumentiert und gemäß unserem ISMS bewertet
- Wir bestätigen den Eingang Ihrer Meldung in der Regel innerhalb von 5 Werktagen
- Wir informieren Sie – sofern Kontaktdaten vorliegen – über den Fortschritt in angemessenem Umfang
Verantwortungsvolles Vorgehen (Responsible Behaviour)
Wir erwarten, dass Sie:
- keine Daten unbefugt verändern, löschen oder exfiltrieren
- keine Systeme aktiv ausnutzen (Exploitation über das notwendige Maß hinaus)
- keine automatisierten oder lastintensiven Tests ohne vorherige Abstimmung durchführen
- keine physischen Sicherheitsmechanismen umgehen oder testen (z. B. Zutrittskontrollen)
- die Vertraulichkeit der entdeckten Schwachstelle wahren
Veröffentlichung von Informationen
Eine öffentliche Offenlegung von Schwachstellen darf erst nach Abstimmung mit uns und nach Behebung der Schwachstelle erfolgen.
Rechtlicher Rahmen
Wenn Sie in gutem Glauben handeln und diese Richtlinie einhalten, sehen wir von rechtlichen Schritten ab. Unzulässige Handlungen, insbesondere solche mit vorsätzlicher Schädigungsabsicht oder Verstoß gegen geltendes Recht, sind hiervon ausgenommen.
Dokumentation und Nachverfolgung
Alle Meldungen werden im Rahmen unseres Informationssicherheitsmanagementsystems (ISMS) erfasst, bewertet und nachverfolgt. Dies umfasst insbesondere:
- Klassifizierung des Vorfalls (inkl. physischer Sicherheitsereignisse)
- Bewertung von Risiken und Auswirkungen
- Einleitung und Nachverfolgung von Maßnahmen
Wir danken Ihnen für Ihre Unterstützung bei der kontinuierlichen Verbesserung unserer Informationssicherheit.
