Cyber Security
Cyber-Security bei RSF Elektronik
Cyber-Security ist bei RSF Elektronik ein zentraler Bestandteil unserer Unternehmensphilosophie und fest in unseren Prozessen verankert.
Wir verstehen den Schutz unserer Produkte, Systeme und Daten als kontinuierliche Aufgabe entlang des gesamten Lebenszyklus.
Ein wesentliches Element unseres Sicherheitsansatzes ist der verantwortungsvolle Umgang mit potenziellen Schwachstellen. Die strukturierte Erfassung, Bewertung und Behebung von Schwachstellen ist eine integrale Komponente unseres Security-Managements.
Meldung von Schwachstellen
Wir begrüßen ausdrücklich die Zusammenarbeit mit Security-Forschenden, Kunden und weiteren Stakeholdern. Auf dieser Seite stellen wir klare Informationen zur Verfügung, wie identifizierte Schwachstellen gemäß unserer Disclosure Policy gemeldet werden können. Unser Ziel ist es, gemeldete Sicherheitslücken transparent, effizient und verantwortungsvoll zu bearbeiten, um die Sicherheit unserer Lösungen kontinuierlich zu verbessern.
Richtlinie zur koordinierten Offenlegung von Schwachstellen – Coordinated Vulnerability Disclosure (CVD) Policy
Die Sicherheit unserer Produkte hat für die RSF Elektronik Ges.m.b.H. höchste Priorität.
Wir betreiben einen strukturierten Prozess zur Entgegennahme, Bewertung und Bearbeitung von Sicherheitsmeldungen und arbeiten dabei vertrauensvoll mit Sicherheitsforschenden, Kunden, Partnern sowie anderen Hinweisgebenden zusammen.
Die Einhaltung gesetzlicher und regulatorischer Anforderungen, insbesondere des Cyber Resilience Act (CRA), sowie die kontinuierliche Verbesserung unserer Cybersicherheitsmaßnahmen sind wesentliche Bestandteile unseres Sicherheitsmanagements.
Diese Richtlinie beschreibt, wie potenzielle Sicherheitslücken gemeldet werden können und wie RSF Elektronik mit entsprechenden Meldungen umgeht.
Diese Richtlinie gilt für:
• sämtliche von RSF Elektronik entwickelten, hergestellten oder bereitgestellten Produkte,
• zugehörige Software, Firmware und digitale Komponenten, Meldungen werden unabhängig davon entgegengenommen,
ob sich das betroffene Produkt innerhalb oder außerhalb seines regulären Produktlebenszyklus befindet.
Wir begrüßen Hinweise von:
• Sicherheitsforschenden,
• Kunden,
• Lieferanten,
• CERTs und CSIRTs,
• Branchenverbänden,
• Behörden,
• sonstigen Dritten.
Für die Übermittlung einer Schwachstellenmeldung ist keine gesonderte Vertraulichkeitsvereinbarung erforderlich.
Sicherheitsrelevante Meldungen können an folgende Kontaktadresse übermittelt werden:
E-Mail: cebqhpg-frphevgl@efs.ng
Bitte verwenden Sie im Betreff nach Möglichkeit den Hinweis:
„Security Vulnerability Report“
RSF Elektronik erkennt die Bedeutung unabhängiger Sicherheitsforschung an und wird keine rechtlichen Schritte gegen Personen einleiten, die nach Treu und Glauben handeln und die nachstehenden Bedingungen einhalten:
• Untersuchungen erfolgen ausschließlich zur Identifikation und Bestätigung von Schwachstellen.
• Aktivitäten beschränken sich auf das zur Verifikation erforderliche Maß.
• Es werden keine Handlungen vorgenommen, welche die Verfügbarkeit von Systemen beeinträchtigen können (insbesondere Denial-of-Service-Angriffe).
• Es erfolgt kein Social Engineering gegenüber Mitarbeitern, Kunden oder Geschäftspartnern.
• Ein Zugriff auf Daten erfolgt ausschließlich im notwendigen Umfang zur Demonstration der Schwachstelle.
• Daten werden weder verändert, gelöscht, veröffentlicht noch an Dritte weitergegeben.
• Die Vertraulichkeit und Privatsphäre betroffener Personen werden jederzeit gewahrt.
• Alle geltenden gesetzlichen Bestimmungen werden eingehalten.
• Die meldende Person unterstützt eine koordinierte Offenlegung der Schwachstelle.
Bitte informieren Sie RSF Elektronik möglichst frühzeitig über erkannte oder vermutete Sicherheitslücken.
Wir bitten darum:
• Schwachstellen vertraulich zu behandeln,
• die Veröffentlichung von Details bis zur Abstimmung mit RSF Elektronik zurückzustellen,
• reproduzierbare Informationen bereitzustellen,
• auf unnötige Ausnutzung der Schwachstelle zu verzichten.
Eine unkoordinierte Veröffentlichung kann Kunden und Geschäftspartner unnötigen Risiken aussetzen. Daher bevorzugen wir ausdrücklich eine koordinierte Offenlegung.
Um eine effiziente Bearbeitung zu ermöglichen, sollte die Meldung nach Möglichkeit folgende Informationen enthalten:
• Betroffenes Produkt oder Software (inkl. Identnummer und Firmware-/Versionsstand)
• Beschreibung der Schwachstelle, wo diese gefunden wurde und welche möglichen Auswirkungen zu erwarten sind
• Reproduzierbare Schritte (PoC, Skripte, Screenshots, Netzwerkdaten)
• Ob die Schwachstelle bereits öffentlich bekannt ist
• Zugehörige Dokumente (CVE, Mitteilungen, Release Notes)
• Idealerweise Beschreibung in deutscher oder englischer Sprache
7.1 Eingang der Meldung
Nach Eingang einer Meldung bestätigt RSF Elektronik deren Erhalt innerhalb einer angemessenen Frist.
7.2 Analyse
Die gemeldete Schwachstelle wird bewertet und hinsichtlich ihrer Reproduzierbarkeit, Relevanz und Auswirkung untersucht.
Gegebenenfalls werden zusätzliche Informationen beim Meldenden angefordert.
7.3 Behebung
Wird die Schwachstelle bestätigt, werden geeignete Maßnahmen zur Risikominderung und Behebung eingeleitet.
7.4 Koordinierte Offenlegung
Soweit angemessen, erfolgt die Veröffentlichung der Schwachstelle erst nach:
• Bereitstellung einer Korrekturmaßnahme,
• Veröffentlichung eines Updates oder
• Abstimmung mit dem Meldenden.
Ein Security Advisory kann insbesondere folgende Informationen enthalten:
• Beschreibung der Schwachstelle,
• Betroffene Produkte und Versionen
• Informationen zu Workarounds und Maßnahmen zur Risikominimierung
• Hinweise auf verfügbare Updates/Fixes
Diese Richtlinie begründet keinen Anspruch auf Vergütung oder Teilnahme an einem Bug-Bounty-Programm.
Nicht vom Anwendungsbereich umfasst sind insbesondere:
• allgemeine Supportanfragen,
• Meldungen ohne sicherheitsrelevanten Bezug,
• Schwachstellen in Produkten oder Systemen Dritter, die nicht von RSF Elektronik betrieben oder verantwortet werden,
• automatisierte Massenmeldungen ohne ausreichende technische Nachweise.
Alle eingehenden Meldungen werden vertraulich behandelt und ausschließlich zur Bearbeitung der gemeldeten Sicherheitslücke verwendet.
Personenbezogene Daten werden ausschließlich im erforderlichen Umfang verarbeitet und entsprechend den geltenden datenschutzrechtlichen Bestimmungen behandelt.
Kontakt für Schwachstellenmeldungen
RSF Elektronik Ges.m.b.H. Product Security Team E-Mail: cebqhpg-frphevgl@efs.ng
„Gemeinsam mit Sicherheitsforschenden, den Kunden und Partnern tragen wir zur kontinuierlichen Verbesserung der Cybersicherheit unserer Produkte und Systeme bei.“
Kontakt
Sie möchten eine Schwachstelle melden, sich informieren oder haben noch Rückfragen, dann kontaktieren Sie uns gerne.