Sicherheit bei SCHMACHTL

Die Sicherheit unserer Produkte, Softwarelösungen, digitale Dienste und IT-Systeme hat für SCHMACHTL hohe Priorität. Trotz sorgfältiger Entwicklung, Prüfung und kontinuierlicher Verbesserungen können Sicherheitslücken nicht vollständig ausgeschlossen werden.

Wir begrüßen die Hinweise unserer Kund:innen, Partner:innen und anderen Personen, die potenzielle Schwachstellen verantwortungsvoll melden. Durch eine koordinierte Offenlegung von Sicherheitslücken tragen wir gemeinsam dazu bei, die Sicherheit unserer Produkte und die unserer Kund:innen kontinuierlich zu verbessern.

Geltungsbereich

Diese Richtlinie gilt für Schwachstellenmeldungen zu Produkten mit digitalen Elementen sowie zu digitalen Lösungen und Diensten, soweit diese von SCHMACHTL entwickelt, hergestellt, bereitgestellt, betrieben oder verantwortet werden und eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netzwerk aufweisen.

Dies umfasst insbesondere:

• Von SCHMACHTL bereitgestellte digitale Dienste, Kundenportale und Cloud-Lösungen;
• Software, Apps, Firmware sowie sonstige digitale Produktbestandteile von SCHMACHTL;
• Produkte mit digitalen Elementen, für die SCHMACHTL als Hersteller, Anbieter, Importeur oder sonstige verantwortliche Stelle auftritt;
• Vernetzte Geräte, Systeme, Komponenten und Steuerungen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine Datenverbindung zu anderen Geräten oder Netzwerken einschließt.

Wenn die Meldung ein Produkt eines Drittanbieters betrifft, das über SCHMACHTL bezogen wurde, prüfen wir die Zuständigkeit und koordinieren die weitere Bearbeitung gegebenenfalls mit dem jeweiligen Hersteller oder Anbieter.

Nicht vom Geltungsbereich erfasst

Diese Richtlinie gilt nicht für:

• Produkte, Systeme und Komponenten, die nicht von SCHMACHTL entwickelt, hergestellt, betrieben oder verantwortet werden;
• Produkte von Drittanbietern, sofern SCHMACHTL weder Hersteller noch verantwortliche Stelle ist;
• Produkte und Bereiche, die aufgrund gesetzlicher oder regulatorischer Vorgaben von der Richtlinie 2024/2847 ausgenommen sind, insbesondere bestimmte Medizinprodukte, In-vitro-Diagnostika, Fahrzeugsysteme, Luftfahrtprodukte, Schiffsausrüstung sowie Produkte, die ausschließlich für Zwecke der nationalen Sicherheit, der Verteidigung oder zur Verarbeitung von Verschlusssachen entwickelt wurden;
• Produkte und Systeme, für die gleichwertige oder vorrangige sektorspezifische Cybersicherheitsanforderungen gelten;
• Ersatzteile, die ausschließlich zum Austausch identischer Komponenten bestimmt sind und nach denselben Spezifikationen hergestellt wurden;
• Meldungen, die auf Sicherheitsprüfungen beruhen, bei denen Daten verändert, manipuliert, gelöscht oder entwendet wurden;
• Meldungen, die durch Prüfungen entstanden sind, welche die Verfügbarkeit von Systemen oder Diensten beeinträchtigt haben oder beeinträchtigen konnten.

Nicht in den Geltungsbereich fallen insbesondere

Folgende Systeme, Bereiche und Vorgehensweisen sind ausdrücklich vom Geltungsbereich dieser Richtlinie ausgenommen:

• Jegliche Netzwerkinfrastruktur der SCHMACHTL GmbH (z. B. Router, Switches, Firewalls und sonstige Netzwerkkomponenten);
• Systeme und Dienste, die nicht ausdrücklich vom Geltungsbereich dieser Richtlinie umfasst sind;

  • Social Engineering;
  • Phishing oder vergleichbare Täuschungsversuche;
  • Denial-of-Service-(DoS)- und Distributed-Denial-of-Service-(DDoS)-Angriffe;
  • Der Einsatz von Exploits, Skripten oder sonstigen Hilfsmitteln, die über den erforderlichen Nachweis einer Schwachstelle hinausgehen;
  • Sicherheitsprüfungen, die über einen Proof of Concept (PoC) hinausgehen;
  • Die Nutzung von Systemen oder Angriffsmethoden, die nicht ausdrücklich durch diese Richtlinie erfasst sind.

Grundsätze für Sicherheitsprüfungen

Alle gemeldeten Sicherheitslücken werden von Schmachtl sorgfältig geprüft und bewertet. Im Rahmen der Sicherheitsprüfungen sind folgende Vorgaben zu beachten:

• Handeln Sie ausschließlich in gutem Glauben und innerhalb des beschriebenen Geltungsbereichs.
• Prüfen Sie Schwachstellen nur im unbedingt erforderlichen Umfang. Eine Ausnutzung darf nicht über einen minimalen Proof of Concept hinausgehen.
• Beenden Sie weitere Testaktivitäten unverzüglich, sobald die Schwachstelle nachgewiesen wurde.
• Verändern, löschen, manipulieren, kopieren, veröffentlichen oder exfiltrieren Sie keine Daten.
• Beeinträchtigen Sie nicht die Verfügbarkeit, Integrität oder Vertraulichkeit von Systemen, Diensten oder Daten.
• Führen Sie keine Tests durch, die zu Betriebsunterbrechungen, Leistungseinbußen oder Sicherheitsrisiken für Dritte führen können.
• Verwenden oder verbreiten Sie keine Exploit-Tools, Skripte oder Informationen, die eine missbräuchliche Ausnutzung durch Dritte ermöglichen könnten. Proof-of-Concept-Informationen dürfen ausschließlich vertraulich an Schmachtl übermittelt werden.
• Nutzen Sie Schwachstellen nicht für unbefugten Zugriff, wirtschaftliche Vorteile, Erpressung, Reputationsschädigung oder sonstige rechtswidrige Zwecke.

Umgang mit unbeabsichtigten Auswirkungen

Sollte es im Zuge von Sicherheitsprüfungen unbeabsichtigt zu einer Verletzung dieser Richtlinien zu einem Zugriff auf Daten, zu einer Beeinträchtigung von Systemen oder zu einem anderen unerwünschten Effekt kommen, ersuchen wir um unverzügliche Kontaktaufnahme. Dadurch können mögliche Auswirkungen gemeinsam bewertet und geeignete Maßnahmen zur Schadensbegrenzung eingeleitet werden.

Rechtliche Zusicherung bei verantwortungsvoller Meldung

SCHMACHTL beabsichtigt nicht, zivilrechtliche Ansprüche geltend zu machen oder strafrechtliche Schritte zu initiieren, sofern die meldende Person in gutem Glauben handelt, diese Richtlinie einhält, ausschließlich im definierten Geltungsbereich testet und die Schwachstelle vertraulich an SCHMACHTL meldet.

Diese Zusicherung gilt nicht bei böswilligem Verhalten, unbefugter Datenverarbeitung, Datenveränderung, Datenabfluss, Erpressung, Veröffentlichung sensibler Informationen, Angriffen auf die Verfügbarkeit von Systemen, vorsätzlicher Schädigung oder sonstigen rechtswidrigen Handlungen. Gesetzliche Befugnisse von Behörden bleiben unberührt.

Vertraulichkeit und koordinierte Offenlegung

Wir ersuchen meldende Personen, Informationen zu potenziellen Sicherheitslücken nicht öffentlich offenzulegen, bevor SCHMACHTL die Meldung geprüft, angemessene Maßnahmen umgesetzt oder mit der meldenden Person einen geeigneten Offenlegungszeitpunkt abgestimmt hat.

SCHMACHTL bemüht sich um eine koordinierte Offenlegung innerhalb eines angemessenen Zeitraums. Bei komplexen Fällen kann eine längere Abstimmung erforderlich sein. Sofern erforderlich, kann eine zuständige Koordinierungsstelle oder eine Behörde eingebunden werden.

Bearbeitung und Rückmeldung

Nach Eingang Ihrer Meldung prüfen wir die übermittelten Informationen. Unser Product-Security Team bewertet die Relevanz, Reproduzierbarkeit und die Auswirkungen der Schwachstelle. Bei Bedarf kontaktieren wir Sie für Rückfragen.

Innerhalb von 5 Arbeitstagen erhalten Sie von uns eine Eingangsbestätigung Ihrer Meldung. Voraussetzung dafür ist die Angabe einer gültigen E-Mail Adresse.

Während der nächsten zehn Arbeitstage erhalten Sie einen Zwischenbericht von uns. Sollte die Prüfung mehr Zeit in Anspruch nehmen, definieren wir in dieser Nachricht einen festen Folgetermin, an dem wir Sie erneut unaufgefordert kontaktieren.

Nach der Bestätigung der Schwachstelle ermitteln wir deren Risikopotential anhand folgender Faktoren: dem potenziellen Schaden für unsere Kunden und der Wahrscheinlichkeit einer Ausnutzung. Basierend auf dieser Matrix teilen wir die Schwachstelle in eine Behebungs-Dringlichkeit ein.

Der Prozess gilt als abgeschlossen, sobald eine der folgenden Bedingungen erfüllt ist:

• Die Untersuchung zeigt, dass keine Sicherheitslücke vorliegt.
• Die Sicherheitslücke wurde durch technische Maßnahmen vollständig behoben.
• Betroffene Kundinnen und Kunden wurden direkt über das Risiko informiert.
• Eine offizielle Sicherheitsinformation wurde veröffentlicht.

Kann eine Meldung einen Sicherheitsvorfall, eine Datenschutzverletzung oder eine gesetzliche Meldepflicht betreffen, wird sie intern an die zuständige Stelle für IT-Security, Datenschutz, Compliance und Geschäftsführung eskaliert.

Offizieller Meldeweg

Wenn eine Sicherheitslücke oder eine vermutete Sicherheitslücke bei einem SCHMACHTL-Produkt, einer Softwarelösung, einem digitalen Dienst oder einer von SCHMACHTL bereitgestellten Anwendung festgestellt wird, bitten wir, uns diese über das nachfolgende Formular oder per E-Mail zu melden.

E-Mail: compliance@schmachtl.at