Als verantwortungsvoller Hersteller von Produkten mit digitalen Elementen nehmen wir die Sicherheit unserer Produkte und den Schutz unserer Nutzer sehr ernst. In Übereinstimmung mit dem europäischen Cyber Resilience Act (CRA) haben wir diese Richtlinie etabliert, um Sicherheitsforschern und Nutzern einen klaren, sicheren und transparenten Weg zur Meldung potenzieller Sicherheitslücken zu bieten.
Wie Sie eine Schwachstelle melden
Wenn Sie eine Sicherheitslücke in einem unserer Produkte oder Dienste entdeckt haben, bitten wir Sie, uns diese unverzüglich mitzuteilen.
- Bevorzugter Meldeweg: Senden Sie uns eine E-Mail an
Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein. - Sprachen: Wir akzeptieren Meldungen in deutscher und englischer Sprache.
Was Ihre Meldung enthalten sollte
Damit unser IT-Sicherheitsteam die Schwachstelle schnellstmöglich validieren und beheben kann, sollte Ihre Meldung folgende Informationen beinhalten:
- Das betroffene Produkt einschließlich der genauen Software-/Firmware-Version.
- Eine detaillierte Beschreibung der Schwachstelle sowie der potenziellen Auswirkungen.
- Eine verständliche Schritt-für-Schritt-Anleitung (oder ein Proof-of-Concept-Skript) zur Reproduktion des Fehlers.
Unsere Zusage an Sie (Umgang mit Meldungen)
Wir verpflichten uns zu einem fairen, transparenten und zügigen Prozess:
- Eingangsbestätigung: Wir bestätigen den Erhalt Ihrer Meldung innerhalb von 48 Stunden (an Werktagen).
- Validierung & Statusupdates: Wir prüfen die Schwachstelle und halten Sie über die wesentlichen Fortschritte bei der Behebung regelmäßig auf dem Laufenden.
- Transparente Fehlerbehebung: Sobald ein Sicherheitsupdate (Patch) bereitsteht, veröffentlichen wir dieses zusammen mit einer transparenten Beschreibung der behobenen Schwachstelle (einschließlich CVE-Kennung, falls zutreffend).
Grundsätze der sicheren Offenlegung (Safe Harbor)
Wenn Sie bei der Erkennung und Meldung der Schwachstelle nach den Grundsätzen des guten Glaubens handeln, sichern wir Ihnen Folgendes zu:
- Keine rechtlichen Schritte: Wir werden keine zivil- oder strafrechtlichen Schritte gegen Sie einleiten oder veranlassen (z. B. wegen des Vorwurfs des Ausspähens von Daten), solange Sie unsere Systeme nicht beschädigt, keine Daten exfiltriert und uns die Lücke direkt gemeldet haben.
- Vertraulichkeit: Wir behandeln Ihre Identität streng vertraulich und geben Ihre Daten nicht ohne Ihre explizite Zustimmung an Dritte weiter, es sei denn, wir sind gesetzlich (z. B. gegenüber nationalen CSIRTs/BSI oder der ENISA) dazu verpflichtet.
- Verzicht auf vorzeitige Veröffentlichung: Im Gegenzug erwarten wir, dass Sie Details der Schwachstelle nicht öffentlich machen, bevor wir die Möglichkeit hatten, ein entsprechendes Sicherheitsupdate bereitzustellen, um unsere Nutzer nicht zu gefährden.
Gültigkeit
Die Firma Krempien+Petersen Qualitäts-Kontrollsysteme GmbH behält sich das Recht vor, diese Richtlinie jederzeit unter Beachtung der geltenden Gesetze zu ändern.
Hamburg, den 01.10.2026
