Richtlinie zur koordinierten Offenlegung

Geltungsbereich

Diese Richtlinie gilt für alle Produkte von Telefonbau Behnke GmbH während ihres Supportzeitraums. Dazu gehören Firmware, Software und Dienste sowie die darin enthaltenen Komponenten Dritter. Unsere Websites und unsere interne IT gehören nicht dazu. Hinweise dazu nehmen wir trotzdem gern unter security@behnke.support entgegen.

So melden Sie

• Über das Formular auf https://security.behnke.support. Auf Wunsch melden Sie anonym.
• Oder per E-Mail an security@behnke.support. Bitte verschlüsseln Sie mit unserem OpenPGP-Schlüssel. Er ist auf der Meldeseite und in unserer security.txt verlinkt.

Bitte geben Sie das Produkt und die Version an, beschreiben Sie das Problem und die Schritte, um es nachzuvollziehen, und nennen Sie die beobachtete Auswirkung. Bloße Listen von CVE-Nummern und ungeprüfte Scanner-Ergebnisse können wir nicht bearbeiten.

Was wir zusagen

Wenn Sie Kontaktdaten angeben:

• Sie erhalten innerhalb von 5 Werktagen eine persönliche Eingangsbestätigung.
• Innerhalb von 10 Werktagen erhalten Sie eine inhaltliche Rückmeldung: bestätigt, nicht bestätigt mit Begründung, oder ein Zwischenstand mit dem nächsten Termin.
• Danach informieren wir Sie mindestens alle 10 Werktage, bis die Meldung abgeschlossen ist.

Werktage sind Montag bis Freitag ohne gesetzliche Feiertage im Saarland.

Den Termin der Veröffentlichung stimmen wir mit Ihnen ab. Wir veröffentlichen einen Sicherheitshinweis spätestens 90 Tage nach Bestätigung der Schwachstelle. Ist bis dahin keine Abhilfe möglich, können wir die Frist einmal um bis zu 90 Tage verlängern, in Abstimmung mit CERT-Bund (BSI).

Für anonyme Meldungen gelten diese Fristen nicht, weil wir Sie nicht erreichen können. Den Stand sehen Sie über Ihren Statuslink.

Was wir von Ihnen erwarten

• Greifen Sie nur so weit auf Daten zu, wie es zum Nachweis nötig ist. Verändern oder löschen Sie keine Daten.
• Beeinträchtigen Sie nicht den Betrieb anderer. Testen Sie nur an Installationen, die Ihnen gehören oder für die Sie eine Erlaubnis haben.
• Kein Social Engineering, keine physischen Angriffe, keine Denial-of-Service-Angriffe.
• Veröffentlichen Sie nichts, bevor der abgestimmte Termin erreicht ist.

Rechtliche Zusicherung

Wer in gutem Glauben und im Rahmen dieser Richtlinie sucht und meldet, gegen den gehen wir wegen dieser Suche und Meldung nicht rechtlich vor.

Komponenten Dritter

Liegt das Problem in einer Komponente, die wir verwenden, melden wir es deren Hersteller oder Wartenden und teilen unsere Korrektur mit ihnen. Ihren Namen geben wir nur mit Ihrer Zustimmung weiter.

Aktiv ausgenutzte Schwachstellen

Wird eine Schwachstelle aktiv ausgenutzt, melden wir sie nach Art. 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act). Die Offenlegung stimmen wir dann auch mit dem zuständigen CSIRT ab.

Sicherheitshinweise

Veröffentlichte Sicherheitshinweise finden Sie auf https://security.behnke.support/de/advisories. Maschinenlesbar stehen sie als CSAF 2.0 unter /.well-known/csaf/ bereit.

Belohnungen

Wir bieten kein Bug-Bounty-Programm und zahlen keine Belohnungen.