LEITLINIEN ZUR OFFENLEGUNG VON SCHWACHSTELLEN

Die Software Company AMIC® GmbH (a CULTURA company) verpflichtet sich, die Sicherheit ihrer Kund:innen zu gewährleisten, indem sie deren Informationen vor unbefugter Offenlegung schützt. Diese Richtlinie soll Sicherheitsforscher:innen klare Vorgaben für die Durchführung von Schwachstellenerkennungsaktivitäten geben und unsere Präferenzen hinsichtlich der Einreichung entdeckter Schwachstellen vermitteln.

Diese Richtlinie beschreibt, welche Systeme und Arten von Forschung abgedeckt sind, wie Schwachstellenberichte gesendet werden können und wie lange Sicherheitsforscher:innen warten sollten, bevor sie Schwachstellen öffentlich offenlegen.

Wir möchten, dass Sicherheitsforscher:innen sich wohlfühlen, Schwachstellen zu melden, damit diese behoben werden können. Diese Richtlinie wurde entwickelt, um unsere Werte widerzuspiegeln und unser Verantwortungsbewusstsein gegenüber Sicherheitsforscher:innen zu wahren, die ihr Fachwissen in gutem Glauben mit uns teilen.

Wenn Sie sich während Ihrer Sicherheitsrecherche in gutem Glauben bemühen, diese Richtlinie einzuhalten, werden wir Ihre Forschung als autorisiert betrachten. Wir arbeiten mit Ihnen zusammen, um das Problem schnell zu verstehen und zu lösen, und werden keine rechtlichen Schritte im Zusammenhang mit Ihrer Forschung empfehlen oder einleiten.

Wir bieten jedoch keine finanziellen Prämien für die Offenlegung von Schwachstellen an.

Nach dieser Richtlinie bedeutet „Forschung“ Tätigkeiten, bei denen Sie:

• uns so schnell wie möglich benachrichtigen, sobald Sie ein echtes oder potenzielles Sicherheitsproblem entdecken,

• Datenschutzverletzungen, eine Verschlechterung der Nutzererfahrung, Störungen der Produktionssysteme sowie die Zerstörung oder Manipulation von Daten vermeiden,

• Exploits nur in dem Ausmaß nutzen, das notwendig ist, um das Vorhandensein einer Schwachstelle zu bestätigen,
• keinen Exploit nutzen, um Daten zu kompromittieren oder zu extrahieren,
• keinen Kommandozeilenzugriff und/oder keine Persistenz herstellen,
• keinen Exploit nutzen, um auf andere Systeme überzugreifen,
• uns eine angemessene Zeit geben, um das Problem zu lösen, bevor Sie es öffentlich offenlegen,
• die Privatsphäre oder Sicherheit von AMIC® Mitarbeiter:innen, Kund:innen oder Dritten nicht absichtlich gefährden,
• das geistige Eigentum oder andere kommerzielle oder finanzielle Interessen von AMIC®, AMIC® Mitarbeiter:innen, Kund:innen oder Dritten nicht absichtlich gefährden.

Sobald Sie festgestellt haben, dass eine Schwachstelle besteht, oder sobald Sie auf sensible Daten stoßen, müssen Sie Ihre Tests stoppen und uns sofort benachrichtigen. Dazu zählen insbesondere personenbezogene Daten, Finanzinformationen, proprietäre Informationen oder Geschäftsgeheimnisse.

Eine Weitergabe der gefundenen Informationen ist strengstens untersagt.

Alle mit den aufgeführten Domains verbundenen Systeme und Dienste fallen in den Anwendungsbereich dieser Richtlinie. Dazu gehören auch alle Subdomains und jede Website mit einem Link zu dieser Richtlinie.

Schwachstellen, die in Nicht-CULTURA-Systemen gefunden werden, liegen außerhalb des Anwendungsbereichs und sollten gemäß der jeweils eigenen Vulnerability Disclosure Program (VDP)-Richtlinie, sofern vorhanden, direkt dem Anbieter gemeldet werden.

Obwohl wir andere internetzugängliche Systeme oder Dienste entwickeln und pflegen, bitten wir darum, aktive Forschung und Tests nur an den Systemen und Diensten durchzuführen, die unter den Anwendungsbereich dieses Dokuments fallen.

Wenn es ein System gibt, das außerhalb des Umfangs liegt und das Ihrer Meinung nach einen Test notwendig macht, kontaktieren Sie uns bitte vorher, um dies zu besprechen.

• Systeme testen, die nicht im Abschnitt „Umfang“ genannt sind,
• Schwachstelleninformationen offenlegen, außer wie in den Abschnitten „Meldung einer Schwachstelle“ und „Offenlegung“ definiert,
• physische Tests von Einrichtungen oder Ressourcen durchführen,
• Social Engineering betreiben,
• unerwünschte E-Mails an AMIC® Mitarbeiter:innen oder Kund:innen senden, einschließlich Phishing-Nachrichten,
• Denial-of-Service- oder Ressourcenerschöpfungsangriffe ausführen oder versuchen, diese auszuführen,
• bösartige Software, also Malware, einführen,
• Tests durchführen, die den Betrieb der AMIC® Systeme absichtlich beeinträchtigen, stören oder deaktivieren könnten,
• Drittanbieter-Anwendungen, Websites oder Dienste testen, die mit AMIC® Systemen interagieren oder darauf verlinken,
• Daten löschen, verändern, teilen, behalten, zerstören oder unzugänglich machen,
• Exploits nutzen, um Daten zu extrahieren, Kommandozeilenzugriff herzustellen, eine dauerhafte Präsenz auf AMIC® Systemen zu etablieren oder auf andere Systeme überzugreifen.

• die Tests beenden und uns sofort benachrichtigen, sobald sie eine Schwachstelle entdecken,
• die Tests einstellen und uns umgehend benachrichtigen, sobald eine Offenlegung von nicht öffentlichen Daten entdeckt wird,
• alle bisher gefundenen und bei ihnen gespeicherten AMIC® Informationen sowie nicht öffentliche Daten löschen, sobald sie eine Schwachstelle an uns gemeldet haben.

• nicht öffentliche Daten nur in dem Maße sichten oder speichern, das erforderlich ist, um das Vorhandensein einer potenziellen Schwachstelle zu dokumentieren.

Wir akzeptieren Schwachstellenmeldungen unter privacy-security[at]amic.services

Die im Rahmen dieser Richtlinie eingereichten Informationen werden ausschließlich zu defensiven Zwecken verwendet. Das bedeutet, dass wir sie nutzen, um Schwachstellen zu mindern oder zu beheben.

Wenn Ihre Ergebnisse neu entdeckte Schwachstellen umfassen, die alle Nutzer:innen eines Produkts oder einer Dienstleistung betreffen und nicht ausschließlich die Software Company AMIC® GmbH (a CULTURA company), können wir Ihren Bericht an das Bundesamt für Sicherheit in der Informationstechnik (BSI, Deutschland) oder an die Cybersecurity and Infrastructure Security Agency (CISA, USA) weitergeben. Dort wird er im Rahmen des koordinierten Offenlegungsverfahrens behandelt. Wir werden Ihren Namen oder Ihre Kontaktdaten ohne ausdrückliche Genehmigung nicht weitergeben.

Mit der Einreichung einer Schwachstellenmeldung erklären Sie, dass Sie die in dieser Richtlinie beschriebenen Vorgaben zur Durchführung von Sicherheitsforschung sowie zur Offenlegung von Schwachstellen oder Indikatoren für Schwachstellen im Zusammenhang mit Informationssystemen der Software Company AMIC® GmbH (a CULTURA company) gelesen und verstanden haben und ihnen zustimmen.

Außerdem stimmen Sie zu, dass der Inhalt Ihrer Kommunikation und Folgekommunikation auf einem System der Software Company AMIC® GmbH (a CULTURA company) gespeichert wird.

Um uns bei der Triage und Priorisierung der Einreichungen zu helfen, empfehlen wir, dass Ihre Berichte Folgendes beinhalten:

• Halten Sie sich an alle gesetzlichen Bedingungen.
• Beschreiben Sie die Schwachstelle, wo sie entdeckt wurde und welche möglichen Auswirkungen eine Ausnutzung haben kann.
• Bieten Sie eine detaillierte Beschreibung der notwendigen Schritte zur Reproduktion der Schwachstelle an. Proof-of-Concept-Skripte oder Screenshots sind hilfreich.

Die Software Company AMIC® GmbH (a CULTURA company) verpflichtet sich zur rechtzeitigen Behebung von Schwachstellen. Wir erkennen jedoch an, dass die öffentliche Offenlegung einer Schwachstelle ohne leicht verfügbare Korrekturmaßnahme das Risiko erhöht.

Daher verlangen wir, dass Sie für 90 Kalendertage nach Erhalt unserer Bestätigung Ihres Berichts darauf verzichten, Informationen über entdeckte Schwachstellen zu teilen.

Wenn Sie der Meinung sind, dass andere vor der Umsetzung von Korrekturmaßnahmen über die Schwachstelle informiert werden sollten, bitten wir Sie, sich im Voraus mit uns abzustimmen.

Wir können Schwachstellenmeldungen an das Bundesamt für Sicherheit in der Informationstechnik (BSI, Deutschland), an die Cybersecurity and Infrastructure Security Agency (CISA, USA) sowie an betroffene Anbieter weitergeben.

Wir werden keine Namen oder Kontaktdaten von Sicherheitsforscher:innen weitergeben, es sei denn, wir erhalten dazu die ausdrückliche Erlaubnis.

Nach Erhalt einer E-Mail ist der Geschäftsführer, beziehungsweise eine delegierte Person, der Software Company AMIC® GmbH (a CULTURA company) dafür verantwortlich, eine Teamsitzung einzuberufen und zu entscheiden, wer antworten soll und wie ausführlich die Antwort ausfällt.

Das Reaktionsniveau umfasst die Überprüfung der Bedrohung und die Kommunikation mit der Quelle.

Der Geschäftsführer, beziehungsweise eine delegierte Person, der Software Company AMIC® GmbH (a CULTURA company) ist ebenfalls verantwortlich für die Feststellung der Schwere der Bedrohung. Zum Beispiel kann die Schwachstelle einen Sicherheitsvorfall darstellen und die Einbindung weiterer Mitarbeiter:innen innerhalb der gesamten Volaris-Organisation erfordern.