Richtlinie zur koordinierten Offenlegung von Schwachstellen

(CVD Policy)

HERSTELLER: QUNDIS GMBH
VERSION: 1.0
ERSTELLT AM: 27. AUGUST 2026
ZULETZT GEÄNDERT: 27. AUGUST 2026
NÄCHSTE ÜBERPRÜFUNG: 27. AUGUST 2027

1. Überblick und Geltungsbereich

Die Qundis GmbH begrüßt verantwortungsvolle Meldungen über vermutete Sicherheitslücken, die ihre Produkte und Infrastruktur betreffen. Sicherheitsforscherinnen und Sicherheitsforscher sowie andere Personen, die eine potenzielle Schwachstelle identifizieren, können diese per E-Mail an unser Sicherheitsteam melden. Bitte stellen Sie ausreichend Informationen zur Verfügung, damit wir das gemeldete Problem verstehen, reproduzieren und bewerten können.

Diese CVD-Richtlinie gilt für Schwachstellen, die Produkte und die Infrastruktur der Qundis GmbH betreffen.

Die Qundis GmbH überprüft diese Richtlinie mindestens einmal jährlich und hält sie auf dem aktuellen Stand.

2. Meldung von Schwachstellen

Schwachstellen können über folgende Kontaktadresse gemeldet werden:
cyber-security@qundis.com

Die Qundis GmbH akzeptiert Schwachstellenmeldungen ausschließlich per E-Mail.

Die Qundis GmbH behandelt alle eingehenden Schwachstellenmeldungen nach bestem Wissen und Gewissen. Keine eingehende Meldung wird ausschließlich von einer einzelnen Analystin oder einem einzelnen Analysten abgeschlossen.

Eine gültige Schwachstelle ist eine Schwachstelle, die ein Produkt oder die Infrastruktur der Qundis GmbH betrifft.

3. Vertraulichkeit und Schutz der meldenden Person

Die Qundis GmbH behandelt jede Schwachstellenmeldung im gesetzlich zulässigen Umfang vertraulich. Hiervon ausgenommen sind Informationen, die für die öffentliche Offenlegung einer Schwachstelle erforderlich sind.

Personenbezogene Daten der meldenden Person werden ohne deren ausdrückliche Zustimmung nicht an Dritte weitergegeben.

Die Qundis GmbH wird keine strafrechtlichen Schritte gegen meldende Personen einleiten, sofern diese die Vorgaben und Grundsätze dieser Richtlinie einhalten. Dies gilt nicht, wenn erkennbare strafbare Absichten verfolgt wurden oder werden.

Die Qundis GmbH steht während des gesamten CVD-Prozesses als Ansprechpartner für einen vertrauensvollen Austausch zur Verfügung.

Die Meldung von Schwachstellen wird ausdrücklich begrüßt und trägt zur Verbesserung der Sicherheit unserer Produkte und Dienstleistungen bei. Aus der Einreichung einer Schwachstellenmeldung entsteht jedoch kein Anspruch auf eine finanzielle Belohnung, Prämie (Bug Bounty) oder sonstige Vergütung.

4. Inhalt einer Schwachstellenmeldung

Um die Bewertung und Untersuchung einer gemeldeten Schwachstelle effizient zu ermöglichen, sollten möglichst viele relevante Informationen bereitgestellt werden. Eine vollständige Meldung sollte, soweit zutreffend, Folgendes enthalten:

Identifikation des betroffenen Produkts, der Komponente, Firmware, Softwareversion oder Dienstleistung der Qundis GmbH.
Klare Beschreibung der vermuteten Schwachstelle, einschließlich ihrer Ursache und der identifizierten sicherheitsrelevanten Auswirkungen.
Beschreibung besonderer Konfigurationen, Einsatzbedingungen, Berechtigungen, Authentifizierungsanforderungen oder sonstiger Voraussetzungen, die zur Reproduktion des Problems erforderlich sind.
Klare und detaillierte Schritt-für-Schritt-Anleitung zur unabhängigen Reproduktion und Verifizierung der Schwachstelle.
Soweit verfügbar: Proof-of-Concept, Testfall, Screenshots, Protokolldateien (Logs) oder Exploit-Code zur Demonstration des Problems. Bei Ergebnissen aus Code-Scanning-Werkzeugen ist ein Nachweis der tatsächlichen Ausnutzbarkeit erforderlich.
Beschreibung der potenziellen Folgen einer erfolgreichen Ausnutzung, einschließlich der betroffenen Werte, Daten, Systeme oder Benutzer sowie des Zugriffsgrades, den ein Angreifer erlangen könnte.
Sonstige technische Details, Indikatoren, Protokolle oder unterstützende Nachweise, die bei der Validierung und Bewertung der Schwachstelle hilfreich sein können.

5. Nicht vom Geltungsbereich erfasste Sachverhalte

Die folgenden Sachverhalte gelten im Allgemeinen als außerhalb des Anwendungsbereichs dieses Prozesses zur koordinierten Offenlegung von Schwachstellen:

Schwachstellen, die bereits öffentlich bekannt gemacht wurden, denen bereits eine CVE-Nummer zugewiesen wurde oder die bereits durch ein Sicherheitsupdate oder andere Abhilfemaßnahmen behoben wurden, sofern die Meldung keine wesentlichen neuen Informationen enthält, bislang unbekannte Sicherheitsauswirkungen aufzeigt oder auf eine unvollständige bzw. unwirksame Behebung hinweist.
Schwachstellen in Produkten, Software, Dienstleistungen oder Versionen, die das Ende ihres Lebenszyklus (End-of-Life) erreicht haben oder von der Qundis GmbH nicht mehr unterstützt werden.
Schwachstellen in Versionen, bei denen die Qundis GmbH ihren Kunden bereits ein Upgrade oder eine Migration auf eine unterstützte Version empfohlen hat und das gemeldete Problem in der empfohlenen Version behoben wurde.
Feststellungen ohne relevante Sicherheitsauswirkungen, einschließlich rein informativer Hinweise, allgemeiner Sicherheitsempfehlungen oder Schwächen, die in der betroffenen Umgebung nicht sinnvoll ausgenutzt werden können.
Sachverhalte, die hauptsächlich auf Social Engineering, Phishing, Spam oder Angriffe gegen Mitarbeitende der Qundis GmbH, Kunden oder andere Dritte abzielen und nicht auf einer Schwachstelle in einem Produkt oder einer Dienstleistung der Qundis GmbH beruhen.
Meldungen, die ausschließlich durch automatisierte Scan-Werkzeuge generiert wurden und keine ausreichenden Informationen zur Reproduktion oder Validierung des Problems enthalten.
Schwachstellen in Produkten oder Dienstleistungen Dritter, die nicht von der Qundis GmbH entwickelt, gewartet oder betrieben werden. Solche Probleme sind dem jeweiligen Hersteller oder Dienstleister zu melden.