Richtlinie zur koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure – CVD)
SUNCAR verpflichtet sich, die Sicherheit seiner Produkte kontinuierlich zu optimieren. Wir begrüssen die Unterstützung von Kunden, Partnern und unabhängigen Sicherheitsforschern, die uns dabei helfen, potenzielle Sicherheitslücken zu identifizieren.
1.
Schwachstellenrichtlinie & Kriterien
Damit eine Meldung als validierte Schwachstelle eingestuft und im Rahmen dieses CVD-Prozesses bearbeitet wird, müssen folgende Anforderungen erfüllt sein:
- Die Schwachstelle muss direkt eines der Produkte oder die digitale Infrastruktur von SUNCAR betreffen.
- Der Schwachstellenbericht muss sich auf öffentlich noch unbekannte Informationen beziehen.
- Der Bericht darf nicht das blosse Ergebnis automatisierter Tools oder Scans ohne unterstützende Dokumentation/Kontext sein.
2.
Zusicherungen von SUNCAR an die meldende Stelle
SUNCAR garantiert der meldenden Stelle die Einhaltung folgender Grundsätze:
- Vertraulichkeit: Jede eingehende Meldung wird im gesetzlich zulässigen Umfang vertraulich behandelt. Informationen, die zwingend für die öffentliche Bekanntgabe der Schwachstelle erforderlich sind, sind davon ausgenommen.
- Datenschutz: Personenbezogene Daten der meldenden Stelle werden ohne deren ausdrückliche Zustimmung nicht an Dritte weitergegeben (siehe hierzu unsere [Link: Datenschutzerklärung]).
- Keine NDA-Pflicht: SUNCAR verlangt von der meldenden Stelle zu keinem Zeitpunkt die Unterzeichnung einer Geheimhaltungsvereinbarung (NDA).
- Dialogbereitschaft: SUNCAR steht während des gesamten CVD-Prozesses als verlässlicher Partner für einen vertrauensvollen Austausch zur Verfügung.
- Rechtlicher Schutz (Safe Harbor): SUNCAR leitet keine strafrechtlichen Schritte gegen die meldende Stelle ein, solange diese Richtlinie und ihr Verhaltenskodex eingehalten wurden. Dies gilt ausdrücklich nicht, wenn erkennbare kriminelle Absichten verfolgt wurden oder werden.
Garantierte Reaktionszeiten (SLAs):
- Innerhalb von 5 Arbeitstagen: Sie erhalten eine erste, nicht-automatisierte Antwort auf Ihren Schwachstellenbericht oder auf eine Aktualisierung (gilt nicht bei anonymen Meldungen).
- Innerhalb von 10 Arbeitstagen: Nach erfolgter Analyse erhalten Sie eine detaillierte Rückmeldung. Diese umfasst mindestens:
- Eine Erklärung, ob SUNCAR die Sicherheitslücke bestätigt oder zurückweist, oder
- Aussagekräftige Rückfragen zum Verständnis der Lücke, oder
- Eine Begründung, warum die Untersuchung länger dauert, kombiniert mit der Zusage, innerhalb von weiteren 10 Arbeitstagen eine Aktualisierung zu liefern.
3.
Verhaltenskodex für die meldende Stelle
Um Melder zu schützen, die in gutem Glauben (Good Faith) handeln, erwarten wir die Einhaltung folgender Regeln. (Hinweis: Meldungen von Stellen, die sich nicht vollständig an diesen Kodex halten, werden von SUNCAR dennoch bestmöglich bearbeitet – ein Anspruch auf namentliche Nennung entfällt jedoch in diesem Fall).
- Kein Missbrauch: Die Schwachstelle darf nicht missbräuchlich ausgenutzt werden. Es darf kein Schaden entstehen.
- Keine aggressiven Angriffe: Angriffe wie Social Engineering, Spam, (Distributed) DoS- oder Brute-Force-Angriffe gegen IT-Systeme oder die Infrastruktur von SUNCAR sind strikt untersagt.
- Integrität Dritter: Es dürfen keine Manipulationen, Kompromittierungen oder Modifikationen an Systemen oder Daten Dritter vorgenommen werden.
- Kein Handel mit Exploits: Die meldende Stelle darf keine Tools zur Ausnutzung der Schwachstelle (weder entgeltlich noch kostenlos, z. B. auf Darknet-Märkten) anbieten, die Dritte für Straftaten nutzen könnten.
- Inhalte von Referenzen: Bei einer späteren Veröffentlichung dürfen keine unangemessenen Aliase oder Namen für die Nennung verwendet werden.
4.
Offene Kommunikation & Respekt
- Bereits behobene Schwachstellen: SUNCAR überprüft und empfängt auch Informationen zu bereits behobenen Schwachstellen, selbst wenn diese nicht mehr im CVD-Prozess behandelt werden können.
- Kontaktdaten: Zur Förderung einer offenen Kommunikation bitten wir um Angabe von Kontaktdaten (bevorzugt E-Mail-Adresse oder Telefonnummer).
- Respektvoller Umgang: Wir pflegen einen respektvollen Umgang. Unangemessenes Verhalten (z. B. Diskriminierung, Sexismus oder Beleidigungen) wird nicht toleriert.
- Status-Anfragen: SUNCAR begrüsst aktive Nachfragen zum aktuellen Stand der Bearbeitung ausdrücklich.
5.
Offenlegung von Schwachstellen (Public Disclosure)
- 90-Tage-Frist: Validierte und verifizierte Schwachstellen werden innerhalb von maximal 90 Tagen öffentlich bekannt gegeben.
- Ausnahme vor Inverkehrbringen: Dies gilt nicht, wenn SUNCAR Kenntnis von einer Schwachstelle erhält und diese behebt, bevor das betroffene Produkt überhaupt in Verkehr gebracht wird.
- Fristverlängerung: Bei stichhaltiger Begründung kann die Frist in enger Absprache mit dem zuständigen nationalen CSIRT einmalig um weitere 90 Tage verlängert werden. In Ausnahmefällen sind weitere Verlängerungen über das CSIRT möglich.
- EUVD-Registrierung: Die öffentliche Bekanntgabe erfolgt auf Antrag von SUNCAR in Absprache mit dem nationalen CSIRT oder der ENISA zumindest in der Europäischen Schwachstellendatenbank (European Vulnerability Database – EUVD).
6.
Ende des CVD-Prozesses
SUNCAR meldet das Ende des Verfahrens unverzüglich an die meldende Stelle (ausser bei anonymen Meldungen). Der Prozess gilt als abgeschlossen, wenn:
- die Angaben in der Meldung sich als unbegründet erweisen.
- die Schwachstelle eines Dienstes (z. B. eines Webdienstes) behoben und öffentlich bekannt gegeben wurde.
- die Schwachstelle durch einen geeigneten Patch behoben/gemildert und öffentlich bekannt gegeben wurde.
- die meldende Stelle mindestens 30 Tage lang nicht auf technische Rückfragen reagiert.
- die Schwachstelle öffentlich bekannt gegeben wurde und in Absprache mit dem nationalen CSIRT nicht mehr davon auszugehen ist, dass die Schwachstelle weiter gemildert oder behoben wird.