Richtlinie zur Offenlegung von Sicherheitslücken

Markenversprechen

Für die Cybex GmbH hat die Bereitstellung sicherer Produkte und Dienstleistungen oberste Priorität. Wir verpflichten uns dem Schutz der Kundschaft, der Partnerinnen und Partner, der Produkte und der digitalen Services vor Cybersicherheitsrisiken sowie dem Aufbau von Beziehungen, die auf Vertrauen und Zuversicht beruhen.

Datenschutz und digitale Produktsicherheit sind daher für die Cybex GmbH von größter Bedeutung.

Wir ermutigen die Kundschaft, Partnerunternehmen, Sicherheitsforschende und weitere Mitglieder der Sicherheits-Community, mögliche Cybersicherheitslücken, die sie in den Produkten, Anwendungen, Services oder der digitalen Infrastruktur von Cybex entdecken, in gutem Glauben zu melden.

Die Cybex GmbH schätzt und würdigt die verantwortungsvolle Meldung von Sicherheitslücken. Durch Meldungen aus der Sicherheits-Community können wir Sicherheitslücken identifizieren, die Kundschaft schützen, die Sicherheit sowie Zuverlässigkeit der Produkte und Dienstleistungen optimieren und den Prozess zum Sicherheitslücken-Management kontinuierlich weiterentwickeln.

Diese Richtlinie zur Offenlegung von Sicherheitslücken beschreibt:

die Produkte, Systeme und Dienstleistungen, für die diese Richtlinie gilt;
wie potenzielle Sicherheitslücken gemeldet werden sollten;
die Richtlinien für Sicherheitsforschung in gutem Glauben;
wie Cybex mit Meldungen zu Sicherheitslücken verfährt;
die voraussichtlichen Reaktionszeiten; und
wie die Offenlegung von Sicherheitslücken koordiniert werden kann.

Diese Richtlinie wird mindestens einmal jährlich überprüft und bei Bedarf aktualisiert, sodass Änderungen bei Produkten, Dienstleistungen und Sicherheitsmaßnahmen sowie geltende rechtliche und regulatorische Anforderungen stets Berücksichtigung finden.

Geltungsbereich

Diese Richtlinie gilt für Cybersicherheitslücken, die Cybex Produkte mit digitalen Komponenten sowie die dazugehörigen digitalen Dienste betreffen, für die die Cybex GmbH verantwortlich ist.

Dies umfasst gegebenenfalls:

mobile Anwendungen von Cybex;
vernetzte Cybex Produkte und dazugehörige digitale Funktionen;
Geräte-Software und Firmware;
Bluetooth und weitere digitale Schnittstellen;
von Cybex betriebene APIs;
Backend-Dienste und Remote-Datenverarbeitung zur Unterstützung von Cybex Produkten;
Dienste zur Authentifizierung und Kontoverwaltung, die Cybex Produkte unterstützen;
Cloud-basierte Komponenten, die im Auftrag von Cybex betrieben werden;
Webanwendungen sowie öffentlich zugängliche digitale Dienste von Cybex; und
Softwarekomponenten, die in Produkte von Cybex integriert sind und bei denen eine Sicherheitslücke die Sicherheit des Produkts beeinträchtigen könnte.

Zu den öffentlich zugänglichen Domains von Cybex zählen derzeit:

*.cybex-online.com
*.goodbabyprod.com
*.gb-online.com
*.columbustp.com
*.goodbaby.eu
*.rollplay.com
gbinternational.com.hk
mycbx.com
cybex.link
cybex-online.com

Die obenstehende Liste soll nicht dazu dienen, die Meldung von Sicherheitslücken zu verhindern, die ein anderes Cybex-Produkt mit digitalen Komponenten betreffen. Wenn Sie glauben, eine Sicherheitslücke in einem Produkt oder Dienst von Cybex entdeckt zu haben, das bzw. der nicht ausdrücklich aufgeführt ist, können Sie diese dennoch über die unten beschriebenen Meldewege melden.

Sollten Sie sich nicht sicher sein, ob ein Produkt, eine Anwendung, eine Dienstleistung oder eine digitale Ressource in den Geltungsbereich fällt, wenden Sie sich bitte an uns, bevor Sie weitere Tests durchführen.

Systeme und Komponenten von Drittanbietern

Die Produkte und Dienstleistungen von Cybex können Dienste, Software, Bibliotheken, Cloud-Plattformen oder andere Komponenten von Drittanbietern integrieren oder davon abhängig sein.

Diese Richtlinie gestattet keine Sicherheitstests an Infrastrukturen, Anwendungen, Konten oder Systemen, die von Dritten betrieben werden, sofern keine ausdrückliche Zustimmung vorliegt.

Sicherheitslücken, die ein Cybex Produkt betreffen und deren Ursache in einer Softwarekomponente oder Abhängigkeit eines Drittanbieters liegt oder diese mit einbezieht, können Cybex jedoch weiterhin über diesen Prozess gemeldet werden.

In entsprechenden Fällen kann Cybex die Fehlerbehebung mit dem zuständigen Zulieferer, Dienstleister, Open-Source-Projekt oder einer anderen betroffenen Partei koordinieren.

Safe-Harbor-Regelung

Die Cybex GmbH unterstützt Sicherheitsforschung, die in gutem Glauben und im Einklang mit dieser Richtlinie durchgeführt wird.

Cybex verzichtet darauf, rechtliche Schritte gegen Sicherheitsforschende einzuleiten oder zu unterstützen, sofern die Forschung in gutem Glauben und im Einklang mit dieser Richtlinie erfolgt.

Diese Zusicherung gilt, sofern die Forschenden:

sich angemessen um die Einhaltung dieser Richtlinie bemühen;
mit dem Ziel handeln, eine Cybersicherheitslücke zu identifizieren und zu melden;
unnötigen Schaden für Cybex, die Kundschaft, Mitarbeitende, Partnerunternehmen und Dritte vermeiden;
nicht vorsätzlich auf Daten zugreifen, diese speichern, verändern, löschen oder offenlegen, sofern dies über das für den Nachweis der Schwachstelle erforderliche Maß hinausgeht; und
die Sicherheitslücke unverzüglich an Cybex melden.

Diese Safe-Harbor-Regelung gilt nicht, wenn erkennbare böswillige, betrügerische, kriminelle oder nachrichtendienstliche Absichten vorliegen.

Sollten Dritte rechtliche Schritte gegen eine forschende Person einleiten, die im Einklang mit dieser Richtlinie gehandelt hat, kann Cybex, sofern angemessen und gesetzlich zulässig, bestätigen, dass die betreffenden Aktivitäten konform mit dieser Richtlinie durchgeführt wurden.

Diese Richtlinie stellt keine Berechtigung für Verstöße gegen geltende Gesetze oder Vorschriften dar.

Forschende, die sich über die Zulässigkeit bestimmter Forschungsaktivitäten im Unklaren sind, laden wir herzlich ein, sich vorab an Cybex zu wenden.

Leitlinien zur Sicherheitsforschung

Bei der Durchführung von Sicherheitsforschung im Rahmen dieser Richtlinie erwarten wir von den Forschenden ein verantwortungsvolles Handeln, bei dem potenzielle Auswirkungen auf Cybex, die Kundschaft sowie Dritte auf ein Minimum reduziert werden.

Forschende sollten:

Untersuchungen auf Produkte, Systeme und Dienstleistungen innerhalb des Geltungsbereichs dieser Richtlinie beschränken;
soweit möglich Konten, Geräte und Daten nutzen, die ihren gehören oder für deren Nutzung sie ausdrücklich autorisiert sind;
nur die Tests durchführen, die unbedingt notwendig sind, um eine potenzielle Sicherheitslücke zu überprüfen und nachzuweisen;
die Tests einstellen, wenn diese die Verfügbarkeit, Sicherheit, Vertraulichkeit oder Integrität eines Produkts, einer Dienstleistung, eines Systems oder von Kundendaten beeinträchtigen könnten;
einen gezielten Zugriff auf die persönlichen Daten anderer Personen vermeiden;
die Tests unverzüglich einstellen und Cybex benachrichtigen, falls unbeabsichtigt auf sensible oder personenbezogene Daten zugegriffen wurde;
das Kopieren, Herunterladen, Speichern oder Weiterleiten von Daten vermeiden, sofern dies nicht zum Nachweis der Sicherheitslücke erforderlich ist;
keinen dauerhaften Zugriff einrichten oder unbefugten Zugriff aufrechterhalten;
nicht auf weitere Systeme übergreifen;
keinen unbefugten Code oder Schadsoftware hochladen;
keine Kunden-, Geschäfts-, Konfigurations- oder Produktionsdaten ändern oder löschen;
keine Denial-of-Service- oder Distributed-Denial-of-Service-Angriffe durchführen;
keine Phishing-, Spam-, Social-Engineering- oder physischen Sicherheitsangriffe durchführen;
keine Brute-Force- oder Password-Spraying-Angriffe durchführen, die Konten oder die Verfügbarkeit von Diensten beeinträchtigen könnten;
keine von Dritten betriebenen Systeme testen, sofern keine gesonderte Autorisierung der jeweiligen Dritten vorliegt;
festgestellte Sicherheitslücken umgehend über die offiziellen Cybex-Meldekanäle melden; und
mit Cybex zusammenarbeiten, wenn zusätzliche Informationen erforderlich sind, um die gemeldete Sicherheitslücke zu überprüfen oder zu beheben.

Automatisierte Sicherheitsscans allein reichen für einen Bericht zu Sicherheitslücken in der Regel nicht aus. Automatisierte Ergebnisse sollten mit ausreichenden Belegen und technischen Hintergrundinformationen versehen sein, damit Cybex das Problem nachvollziehen und reproduzieren kann.

Koordinierte Offenlegung von Sicherheitslücken

Cybex unterstützt die koordinierte Offenlegung von Sicherheitslücken (Coordinated Vulnerability Disclosure, CVD).

Wir bitten Sicherheitsforscher, Cybex eine angemessene Frist einzuräumen, um die Sicherheitslücke zu untersuchen, zu beheben, deren Auswirkungen zu mindern und, falls erforderlich, den betroffenen Nutzern Sicherheitsupdates zur Verfügung zu stellen, bevor detaillierte Informationen zur Sicherheitslücke öffentlich bekannt gegeben werden.

Forschende sollten den Zeitpunkt und die Inhalte einer öffentlichen Bekanntgabe mit Cybex abstimmen.

Cybex verzichtet bei Forschenden, die im Einklang mit dieser Richtlinie handeln, auf den Abschluss einer Geheimhaltungsvereinbarung als Voraussetzung für die Meldung einer Sicherheitslücke.

Cybex wird vertrauensvoll mit der meldenden Person zusammenarbeiten und unter Berücksichtigung der folgenden Aspekte einen angemessenen Zeitplan für die Bekanntgabe festlegen:

Schweregrad der Sicherheitslücke;
Ausnutzbarkeit;
Nachweise einer Ausnutzung;
mögliche Auswirkungen auf die Sicherheit;
betroffene Produkte und Produktversionen;
Anzahl der potenziell betroffenen Nutzenden;
Verfügbarkeit von Schutzmaßnahmen;
Verfügbarkeit und Bereitstellung von Sicherheitsupdates; sowie
Risiken, die mit der öffentlichen Bekanntgabe technischer Details einhergehen.

Cybex kann darum bitten, die Veröffentlichung von Details zu Sicherheitslücken vorübergehend zurückzustellen, sollte eine sofortige Offenlegung das Cybersicherheitsrisiko für die Kundschaft oder für betroffene Produkte erheblich steigern, bevor angemessene Schutzmaßnahmen zur Verfügung stehen.

Dies räumt Cybex kein unbefristetes Recht ein, eine Offenlegung zu verhindern. Unser Anliegen ist eine koordinierte Offenlegung, sodass betroffene Personen angemessen geschützt sind.

Unser Verfahren zum Umgang mit Sicherheitslücken

Gemeldete Sicherheitslücken werden im Rahmen des Cybex Prozesses zum Sicherheitslücken-Management bearbeitet.

Je nach Art der Meldung kann dieses Verfahren die folgenden Schritte umfassen:

Eingang
Der Bericht über die Sicherheitslücke wird erfasst und für eine sorgfältige Prüfung weitergeleitet.
Erste Sichtung
Cybex identifiziert das betroffene Produkt, die jeweilige Anwendung, den Service, die Komponente oder die Infrastruktur und betraut die entsprechende technische Fachverantwortung mit der Bearbeitung.
Validierung
Das technische Team prüft die Reproduzierbarkeit der gemeldeten Sicherheitslücke und stellt fest, ob es sich bei dem Sachverhalt um ein tatsächliches Sicherheitsrisiko handelt.
Bewertung von Sicherheits- und Produktrisiken
Cybex bewertet unter anderem folgende Faktoren:
- Schweregrad;
- Ausnutzbarkeit;
- mögliche Auswirkungen;
- betroffene Versionen;
- Auswirkungen auf die Kundschaft;
- Vertraulichkeit, Integrität und Verfügbarkeit der Daten;
- mögliche Auswirkungen auf die Produktsicherheit;
- Nachweise einer aktiven Ausnutzung; und
- ob Komponenten oder Abhängigkeiten von Drittanbietern beteiligt sind.
Behebung oder Risikominderung
Das zuständige Produkt- oder Entwicklungsteam prüft und implementiert eine geeignete Lösung, ein Sicherheitsupdate, eine Konfigurationsänderung oder eine Maßnahme zur Risikominderung.
Überprüfung
Gegebenenfalls überprüft Cybex, ob die implementierte Lösung die festgestellte Sicherheitslücke angemessen behebt.
Sicherheitsupdates und Kundenkommunikation
Sollte ein Sicherheitsupdate oder eine andere Maßnahme seitens der Kundschaft erforderlich sein, stellt Cybex den betroffenen Personen alle entsprechenden Informationen zur Verfügung.
Koordinierte Offenlegung
Gegebenenfalls stimmt Cybex die Offenlegung mit der meldenden Stelle ab.
Abschluss
Der Sicherheitslückenfall wird geschlossen, sobald die entsprechenden Maßnahmen zur Behebung, Offenlegung, Kommunikation und Dokumentation abgeschlossen sind.

Reaktionszeiten

CYBEX legt großen Wert auf eine klare und zeitnahe Kommunikation während der gesamten Bearbeitung einer Sicherheitslücke.

Sofern die meldende Stelle eine gültige Kontaktmöglichkeit hinterlassen hat, bemüht sich CYBEX im angemessenen Rahmen um Folgendes:

Aktivität	Reaktionsstrategie
Persönliche Bestätigung der gemeldeten Sicherheitslücke	Bestätigung des Eingangs zum frühestmöglichen Zeitpunkt
Erste Sichtung	Durchführung einer ersten Einschätzung auf Grundlage der vorliegenden Informationen
Detaillierte Rückmeldung im Anschluss an die erste Auswertung	Bereitstellung weiterer Rückmeldungen, sobald eine fundierte Analyse abgeschlossen ist
Status der Validierung, sofern im angemessenen Rahmen möglich	Information darüber, ob die Sicherheitslücke bestätigt werden konnte, sofern im angemessenen Rahmen möglich
Weitere Statusaktualisierungen	Bereitstellung angemessener Aktualisierungen während der Untersuchung und Fehlerbehebung
Öffentliche Bekanntgabe	Abstimmung der Bekanntgabe unter Berücksichtigung des Lösungsfortschritts, der Produktrisiken, relevanter Sicherheitsaspekte sowie weiterer maßgeblicher Faktoren

Die Zeitrahmen für die Reaktion, Untersuchung und Behebung können je nach Komplexität und Schweregrad der Sicherheitslücke, den betroffenen Produkten, technischen Abhängigkeiten, sicherheitsrelevanten Auswirkungen, der Verfügbarkeit von Abhilfemaßnahmen und der Einbeziehung Dritter variieren.

Sicherheitslücken, die tiefgreifende Änderungen an Produkten, Software, Firmware oder der Infrastruktur erfordern, können zusätzliche Zeit für Untersuchung, Tests und Fehlerbehebung in Anspruch nehmen.

CYBEX legt während der gesamten Bearbeitung der Sicherheitslücke großen Wert auf einen angemessenen Dialog mit der meldenden Stelle.

Meldung einer Sicherheitslücke

Bitte richten Sie die Meldung potenzieller Sicherheitslücken an: it-security@cybex-online.com

Bitte verwenden Sie einen aussagekräftigen Betreff, wie beispielsweise: Bericht über Sicherheitslücken – [Affected Product or Service]

Nach Möglichkeit sollte Ihr Bericht Folgendes umfassen:

das betroffene Produkt, die Anwendung, den Service, die Domain, die API oder die jeweilige Komponente;
die betroffene Produkt- oder Softwareversion;
eine Beschreibung der Sicherheitslücke;
die erforderlichen Schritte zur Reproduktion des Problems;
Proof of Concept, sofern angebracht;
erwartetes Verhalten im Vergleich zum beobachtetem Verhalten;
für die Tests relevante Zeitstempel;
Screenshots, Protokolle oder weitere ergänzende Nachweise;
potenzielle Auswirkungen auf die Sicherheit;
mögliche Auswirkungen auf die Kundschaft oder die Sicherheit;
Informationen zu einer potenziell betroffenen Abhängigkeit von Drittparteien;
Angaben darüber, ob Ihnen eine Ausnutzung bekannt ist, die über die eigenen Tests hinausgeht;
Vorschläge zur Behebung, sofern bekannt; und
eine Kontaktmöglichkeit für eventuelle Rückfragen.

Bitte senden Sie keine Passwörter, privaten kryptografischen Schlüssel, Authentifizierungstoken, unnötige personenbezogene Daten oder andere sensible Informationen, es sei denn, diese Informationen sind für den Nachweis der Sicherheitslücke unerlässlich.

Vertraulichkeit und personenbezogene Daten

Cybex behandelt Berichte über Sicherheitslücken sowie Informationen zu noch nicht behobenen Sicherheitslücken so weit wie vernünftigerweise möglich und gesetzlich zulässig vertraulich.

Personenbezogene Daten der meldenden Partei werden ausschließlich für berechtigte Zwecke im Rahmen der Entgegennahme, Untersuchung, Behebung und Koordination der gemeldeten Sicherheitslücke verarbeitet, es sei denn, geltende Gesetze schreiben ein anderes Vorgehen vor.

Cybex ist darauf bedacht, die Weitergabe personenbezogener Daten der meldenden Partei streng auf den Personenkreis zu beschränken, der für die fachgerechte Bearbeitung der Sicherheitslücke zwingend einen entsprechenden Zugang benötigt.

Sofern Cybex gesetzlich verpflichtet ist, Informationen zu Sicherheitslücken an eine zuständige Cybersicherheitsbehörde, ein Computer Security Incident Response Team (CSIRT), eine Marktüberwachungsbehörde, die EU-Agentur für Cybersicherheit (ENISA), eine Strafverfolgungsbehörde oder eine andere zuständige Behörde weiterzugeben, erfolgen diese Weitergaben im Einklang mit den geltenden gesetzlichen Verpflichtungen.

Behördliche Meldepflichten

Der Prozess zur Offenlegung von Sicherheitslücken erfolgt unabhängig von den internen regulatorischen Meldepflichten für Vorfälle und Sicherheitslücken bei Cybex.

Sicherheitslücken, die im Rahmen dieser Richtlinie gemeldet werden, werden sorgfältig dahingehend geprüft, ob zusätzliche Benachrichtigungs- oder Meldepflichten gemäß der einschlägigen Cybersicherheitsgesetzgebung, einschließlich des EU Cyber Resilience Act, bestehen.

Sofern gesetzlich vorgeschrieben, kann Cybex die jeweils zuständige Behörde, ein CSIRT, die ENISA oder eine andere zuständige Instanz entsprechend informieren.

Die meldende Stelle trägt keine Verantwortung für die Beurteilung, ob eine Sicherheitslücke den regulatorischen Meldepflichten von Cybex unterliegt.

Sicherheitslücken bei Drittanbietern

Stammt eine gemeldete Sicherheitslücke von einer Komponente eines Drittanbieters, die in ein Cybex Produkt integriert ist oder von diesem verwendet wird, wird Cybex die Auswirkungen dieser Sicherheitslücke auf das Cybex Produkt bewerten.

Bei Bedarf stimmt sich Cybex für eine reibungslose Fehlerbehebung mit dem Zulieferunternehmen, dem Softwareanbieter, dem Open-Source-Projekt oder einer anderen zuständigen Partei ab.

Diese Richtlinie berechtigt Forschende nicht zu Tests an der eigenen Infrastruktur des Drittanbieters.

Anerkennung für Sicherheitsforschende

Cybex weiß verantwortungsbewusste Sicherheitsforschung sehr zu schätzen.

Gegebenenfalls und mit ausdrücklicher Zustimmung der Forschenden kann Cybex Forschende öffentlich würdigen, die gültige Sicherheitslücken verantwortungsbewusst melden.

Die Teilnahme an dieser Richtlinie zur Offenlegung von Sicherheitslücken bedeutet nicht, dass Cybex ein Bug-Bounty- oder Belohnungsprogramm betreibt, sofern nicht ausdrücklich anders angegeben.

Überprüfung der Richtlinie

Diese Richtlinie unterliegt der Zuständigkeit von Cybex IT Security unter Abstimmung externer Verpflichtungen mit Product Compliance.

Eine Überprüfung der Richtlinie erfolgt mindestens einmal jährlich sowie bei wesentlichen Änderungen an:

den Produkten oder Dienstleistungen von Cybex;
den Meldewegen für Sicherheitslücken;
den Prozessen zum Sicherheitslücken-Management;
geltenden Bestimmungen zur Cybersicherheit; oder
zuständigen organisatorischen Stellen.

Bei Fragen zu dieser Richtlinie oder bei Unklarheiten hinsichtlich der zulässigen Sicherheitsforschung wenden Sie sich bitte an: it-security@cybex-online.com