Cybersicherheits-Schwachstellen melden

 
Sicherheitslücken verantwortungsvoll melden
 
BLEICHERT Automation GmbH & Co. KG nimmt die Sicherheit seiner Produkte, Systeme und digitalen Dienste ernst.

Wir begrüßen verantwortungsvolle Hinweise auf mögliche Sicherheitslücken und arbeiten mit Meldenden nach den Grundsätzen der koordinierten Schwachstellenoffenlegung zusammen.
Wenn Sie eine mögliche Sicherheitslücke in einem BLEICHERT-Produkt, einer BLEICHERT-Software, einer digitalen Schnittstelle oder einem von BLEICHERT bereitgestellten digitalen Dienst entdeckt haben,
senden Sie Ihre Meldung bitte an: security@bleichert.de

Bitte verwenden Sie nach Möglichkeit den Betreff „Security Vulnerability Report“.
Bei einem konkreten Hinweis auf eine laufende Ausnutzung können Sie den Betreff  „URGENT – Active Exploitation“  verwenden.

 
Welche Produkte und Systeme sind umfasst?
 
Diese Meldestelle betrifft insbesondere digitale oder vernetzte Funktionen von BLEICHERT-Produkten und -Lösungen, zum Beispiel:

– Steuerungs- und Automatisierungssysteme,
– Software, Firmware und Embedded Software,
– HMI- und Visualisierungssysteme,
– Fahrerlose Transportsysteme und deren digitale Komponenten,
– Schnittstellen, Gateways und Kommunikationskomponenten,
– Fernwartungs- und Diagnosefunktionen,
– digitale Komponenten von Portal-, Rollenbahn-, Palettenumlauf- und Staukettenfördersystemen sowie Schwerlasttechnik.

Bitte melden Sie uns auch Sicherheitslücken in Komponenten von Drittanbietern oder Open-Source-Komponenten, wenn diese in ein von BLEICHERT bereitgestelltes Produkt integriert sind oder dessen Sicherheit beeinflussen.

Eine rein mechanische Abweichung ohne Bezug zu einer digitalen Funktion fällt grundsätzlich nicht in den Anwendungsbereich dieser Meldestelle. Wenn Sie unsicher sind, melden Sie den Sachverhalt trotzdem.

 
Welche Angaben sollte eine Meldung enthalten?

Damit wir Ihre Meldung schnell prüfen können, sollte sie – soweit bekannt – folgende Informationen enthalten:

– Ihren Namen oder ein Pseudonym sowie einen Rückkanal,
– Daten zur Identifizierung der betroffenen Sache, soweit vorhanden, zum Beispiel Ihre Bestellnummer, unsere Projekt- oder Auftragsnummer, Angaben vom BLEICHERT-Typenschild, das Betriebsmittelkennzeichen des Geräts oder Angaben vom Typenschild des Geräts,
– die Bezeichnung und Version des betroffenen Produkts, der Software oder der Firmware,
– betroffene Komponenten, Schnittstellen oder Konfigurationen,
– eine verständliche Beschreibung der vermuteten Sicherheitslücke,
– Schritte zur reproduzierbaren Nachstellung,
– eine Einschätzung der möglichen Auswirkungen,
– einen möglichst kleinen und ungefährlichen Proof of Concept oder geeignete Protokollauszüge,
– Informationen dazu, ob eine aktive Ausnutzung beobachtet wurde,
– den Zeitpunkt der Entdeckung sowie gegebenenfalls weitere relevante Zeitangaben,
– Hinweise auf bereits erfolgte Meldungen an Dritte oder Hersteller von Komponenten.

Bitte schwärzen oder entfernen Sie personenbezogene Daten, Zugangsdaten, private Schlüssel, Kundengeheimnisse und sonstige nicht erforderliche vertrauliche Informationen. Senden Sie keine funktionsfähigen Schadprogramme oder unnötigen Datenkopien.

 
Verhalten bei der Sicherheitsprüfung

Bitte führen Sie Tests nur im erforderlichen Umfang durch und beachten Sie dabei folgende Grundsätze:

– Testen Sie nach Möglichkeit nur Systeme, für die Sie eine ausdrückliche Berechtigung haben.
– Verwenden Sie bevorzugt Test-, Demo- oder Laborumgebungen.
– Greifen Sie nicht auf Daten anderer Personen oder Unternehmen zu.
– Verändern oder löschen Sie keine Daten.
– Verursachen Sie keine Dienstunterbrechungen, Überlastungen oder Denial-of-Service-Effekte.
– Führen Sie keine Social-Engineering-, Phishing-, physischen Einbruchs- oder vergleichbaren Tests gegen BLEICHERT, Kunden oder andere Dritte durch.
– Beenden Sie den Test, sobald die Sicherheitslücke bestätigt ist und weitere Schritte nicht mehr erforderlich sind.
– Informieren Sie uns unverzüglich, wenn Sie eine laufende Ausnutzung oder eine akute Gefährdung feststellen.

Wir bitten um eine verantwortungsvolle und vertrauliche Meldung. Eine Veröffentlichung von Details sollte erst nach Abstimmung mit BLEICHERT erfolgen, damit eine Korrektur oder geeignete Abhilfemaßnahme vorbereitet werden kann.

 
Unser Umgang mit Ihrer Meldung

Nach Eingang wird BLEICHERT die Meldung erfassen, plausibilisieren und hinsichtlich Auswirkung und Dringlichkeit bewerten. Soweit ein Rückkanal vorhanden ist, bemühen wir uns, den Eingang in der Regel innerhalb von fünf Arbeitstagen zu bestätigen.

Je nach Sachverhalt können wir:

  1. weitere Informationen oder einen sicheren Kommunikationsweg anfordern,
  2. die betroffene Produkt- oder Entwicklungseinheit einbeziehen,
  3. Hersteller oder Betreuer betroffener Dritt- oder Open-Source-Komponenten kontaktieren,
  4. eine Korrektur, ein Sicherheitsupdate oder eine andere Abhilfemaßnahme entwickeln,
  5. betroffene Kunden oder Nutzer informieren,
  6. gemeinsam mit dem Meldenden einen angemessenen Zeitpunkt für eine koordinierte Veröffentlichung vereinbaren.

Wir entscheiden über die technische Bewertung, die Priorisierung, die Abhilfemaßnahmen und eine mögliche Veröffentlichung nach einer Einzelfallprüfung. Wir bitten um Verständnis, dass wir aus Sicherheits- und Vertraulichkeitsgründen nicht zu jedem Detail laufender Untersuchungen Auskunft geben können.

Wenn Sie dies wünschen, können wir Ihren Namen bei einer späteren Veröffentlichung als Hinweisgeber nennen. Bitte teilen Sie uns hierfür ausdrücklich mit, ob und unter welcher Bezeichnung Sie genannt werden möchten.

 
Meldungen nach dem Cyber Resilience Act

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen unter anderem zu geeigneten Verfahren für die Behandlung gemeldeter Sicherheitslücken und zur koordinierten Schwachstellenoffenlegung.

Aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit eines betroffenen Produkts werden von BLEICHERT bewertet und – soweit die gesetzlichen Voraussetzungen erfüllt sind – über die dafür vorgesehene CRA Single Reporting Platform an die zuständige Stelle gemeldet.

Die Meldung einer Sicherheitslücke an BLEICHERT ersetzt keine gesetzlich vorgeschriebene Meldung durch den Hersteller. Umgekehrt ist diese Website nicht die CRA Single Reporting Platform. Sie dient der sicheren und strukturierten Annahme von Hinweisen aus der Öffentlichkeit.

Die einschlägigen Meldefristen können insbesondere eine Frühwarnung innerhalb von 24 Stunden und eine ausführliche Meldung innerhalb von 72 Stunden nach Kenntniserlangung vorsehen. Deshalb ist es wichtig, Hinweise auf eine aktive Ausnutzung oder einen schwerwiegenden Sicherheitsvorfall im Betreff deutlich zu kennzeichnen.

 
Vertrauliche Kommunikation

Bitte senden Sie zunächst nur die für die Prüfung erforderlichen Informationen. Wenn für die Übermittlung besonders vertraulicher Informationen eine verschlüsselte Kommunikation erforderlich ist, teilen Sie uns dies in Ihrer ersten Nachricht mit. Wir stimmen dann einen geeigneten sicheren Übertragungsweg mit Ihnen ab.
 
Datenschutz

Wir verarbeiten die in Ihrer Meldung enthaltenen personenbezogenen Daten ausschließlich, soweit dies für die Entgegennahme, Prüfung, Bearbeitung und Dokumentation des Sicherheitshinweises, die Kommunikation mit Ihnen sowie die Erfüllung gesetzlicher Pflichten erforderlich ist.

Weitere Informationen zur Verarbeitung personenbezogener Daten und zu Ihren Rechten finden Sie in unserer Datenschutzerklärung.

Bitte übermitteln Sie nur Daten, die für die Bearbeitung Ihres Hinweises erforderlich sind.
 
Kontakt

BLEICHERT Automation GmbH & Co. KG
Hans-Ulrich-Breymann-Straße 35
D-74706 Osterburken
Deutschland

E-Mail: security@bleichert.de
Website: www.bleichert.de

 
Weiterführende Informationen