Richtlinie zur Offenlegung von Schwachstellen
Letzte Aktualisierung: November 2026
Maßgeblich ist die englische Fassung dieser Seite.
Diese Richtlinie erklärt, wie Sie eine Schwachstelle in einem ConnectMyAssets-Produkt melden, was wir mit Ihrer Meldung tun und was Sie von uns erwarten können. Sie ist die in unserer security.txt genannte Richtlinie.
1. Unsere Verpflichtung
ConnectMyAssets nimmt die Sicherheit seiner Produkte ernst. Wir begrüßen Schwachstellenmeldungen von Sicherheitsforschenden, Kunden und Partnern und behandeln jede Meldung mit Vorrang.
Uns eine Schwachstelle zu melden ist kein feindlicher Akt: Es ist der schnellste Weg, die Netze unserer Kunden zu schützen.
2. So melden Sie
Senden Sie Ihre Meldung an security@connectmyassets.com. Muss Ihre Meldung verschlüsselt werden, sagen Sie es in einer ersten Nachricht, und wir vereinbaren mit Ihnen einen Kanal.
Was gehört in die Meldung
- –Betroffenes Produkt und betroffene Version
- –Eine Beschreibung der Schwachstelle
- –Die Schritte zur Reproduktion
- –Die Auswirkungen, die Sie erwarten
- –Wie wir Sie erreichen können
3. Geltungsbereich
Im Geltungsbereich
- –Die ConnectMyAssets-Appliance, Betriebssystem und Anwendung
- –ConnectMyAssets Central
- –Diese Website, connectmyassets.com
Außerhalb des Geltungsbereichs
- –Volumetrische Denial-of-Service-Angriffe
- –Social Engineering gegen unsere Mitarbeitenden oder Kunden
- –Physische Angriffe auf unsere Räume oder die unserer Kunden
- –Schwachstellen in den Netzwerkgeräten unserer Kunden, die deren Herstellern obliegen
- –Bereits öffentliche Schwachstellen in Fremdsoftware, sofern unsere Integration sie nicht verschärft
4. Was wir zusagen
Nach Eingang Ihrer Meldung
- –Wir bestätigen den Eingang innerhalb von 3 Werktagen
- –Wir senden Ihnen innerhalb von 10 Werktagen eine erste Bewertung
- –Wir halten Sie während der Bearbeitung auf dem Laufenden
- –Wir beheben das Problem in einer Frist, die sich nach dem Schweregrad richtet
- –Wir informieren Sie, bevor wir etwas dazu veröffentlichen
5. Koordinierte Offenlegung
Wir bitten Sie, 90 Tage zu warten, bevor Sie Ihre Erkenntnisse veröffentlichen, damit unsere Kunden den Fix ausrollen können. Diese Frist ist einvernehmlich anpassbar: kürzer, sobald ein Fix ausgeliefert ist, länger bei komplexen Fällen oder wenn Dritte beteiligt sind.
Wir nennen die findende Person im Security Advisory unter dem Namen ihrer Wahl. Wer anonym bleiben möchte, wird nicht genannt.
6. Safe Harbour
Gegen Forschung in gutem Glauben, die dieser Richtlinie folgt, gehen wir nicht rechtlich vor. Dieser Richtlinie folgen heißt: nicht über das zum Nachweis unbedingt Nötige hinaus auf fremde Daten zugreifen, den Dienst nicht unterbrechen, zügig melden und vor dem vereinbarten Datum nichts offenlegen.
Führt eine Meldung Sie aus diesem Rahmen heraus, sagen Sie es uns: Wir besprechen das lieber, als es später zu erfahren.
7. Security Advisories
Jede behobene Schwachstelle, die eine ausgerollte Version betrifft, wird in einem Security Advisory beschrieben: betroffene Komponenten, Schweregrad, korrigierte Version und mögliche Behelfslösungen. Advisories gehen über den üblichen Supportkanal an die betroffenen Kunden.
Um in diesen Verteiler aufgenommen zu werden oder ein früheres Advisory anzufordern, schreiben Sie an security@connectmyassets.com.
8. Regulatorische Meldungen
Als Hersteller eines Produkts mit digitalen Elementen melden wir aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle dem koordinierenden CSIRT (in Frankreich der ANSSI) sowie der ENISA, innerhalb der Fristen der Verordnung (EU) 2024/2847, dem Cyber Resilience Act: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, danach ein Abschlussbericht.
Diese Meldung ist eine Pflicht gegenüber den Behörden. Sie ersetzt oder verzögert nicht, was wir Ihnen schulden: Die Fristen dieser Richtlinie gelten weiter.
9. Kein Bug-Bounty
Wir betreiben kein Bug-Bounty-Programm und zahlen nicht für Meldungen. Was wir bieten: eine ernsthafte Prüfung, einen Fix und auf Wunsch die Nennung im Advisory.
Meldungen: security@connectmyassets.com