ICP Group

1. Einleitung

Dieses Dokument legt den offiziellen Rahmen der Vulnerability Disclosure Policy (VDP) für ICP Group fest. Ziel dieser Richtlinie ist es, Sicherheitsforschern, ethischen Hackern und Nutzern klare Vorgaben zu geben, um mögliche Sicherheitslücken in unseren Produkten, Systemen und Diensten sicher zu identifizieren und zu melden. Gemäß Artikel 14 des Cyber Resilience Act (CRA) stellt diese Richtlinie einen strukturierten Prozess sicher, um aktiv ausgenutzte Schwachstellen innerhalb der vorgeschriebenen Fristen zu erfassen, zu bewerten und an europäische Behörden (ENISA und nationale CSIRTs) zu melden.

2. Vulnerability Disclosure

2.1 Verhaltensregeln

Zum Schutz unserer Infrastruktur und unserer Nutzer bitten wir alle Personen, die Sicherheitsforschung durchführen, die folgenden Grundsätze einzuhalten:

• Sicheres Testen: Melden Sie entdeckte Schwachstellen direkt an uns und veröffentlichen Sie diese nicht, bevor eine Lösung erfolgreich bereitgestellt wurde (Coordinated Disclosure).
• Keine Ausnutzung: Vermeiden Sie Handlungen, die über das strikt Notwendige zur Demonstration der Schwachstelle hinausgehen. Exfiltrieren Sie keine Daten, stören Sie keine operativen Systeme und setzen Sie keine Malware ein.
• Schutz der Privatsphäre: Wenn Sie während Ihrer Forschung versehentlich personenbezogene Daten oder vertrauliche Geschäftsdaten einsehen, löschen Sie diese sofort und beenden Sie die weitere Untersuchung.

2.2 Meldeverfahren

Wenn Sie ein Sicherheitsproblem feststellen, erstellen Sie bitte einen Bericht und übermitteln Sie diesen sicher an unser Product Security Incident Response Team (PSIRT) über Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!. Ihr Bericht sollte die folgenden kritischen Punkte enthalten:

• Produktdaten: Produktname, Hardwarerevision sowie Firmware- oder Softwareversion.
• Technische Beschreibung: Eine umfassende Beschreibung der Schwachstelle, ergänzt durch eine reproduzierbare Schritt-für-Schritt-Proof-of-Concept (PoC), Screenshots oder Rohprotokolle.
• Ausnutzungsstatus (CRA-kritisch): Geben Sie ausdrücklich an, ob es sich um eine neu entdeckte theoretische Schwachstelle handelt oder ob Sie Hinweise darauf haben, dass die Schwachstelle derzeit durch Angreifer aktiv „in the wild“ ausgenutzt wird.

⚠️ KRITISCHER ESKALATIONSHINWEIS (CRA Artikel 14): Wenn Ihre Erkenntnisse zeigen, dass die Schwachstelle in Produktionsumgebungen aktiv ausgenutzt wird, stellen Sie bitte die folgende Kennzeichnung an den Anfang der Betreffzeile Ihrer E-Mail: [URGENT: CRA ACTIEF MISBRUIK]. Dadurch wird Ihre Meldung in unserer 24-Stunden-Response-Triage priorisiert behandelt.

2.3 Was Sie erwarten können

Nach Eingang einer Meldung aktiviert unser PSIRT einen Incident-Management-Prozess, der auf die Erfüllung europäischer gesetzlicher Anforderungen ausgelegt ist:

• Eingangsbestätigung: Innerhalb von 5 Werktagen erhalten Sie eine Bestätigung des sicheren Eingangs und eine vorläufige Bewertung der Gültigkeit.
• Gesetzliche Triage: Wir bewerten unverzüglich, ob die Schwachstelle als aktiv ausgenutzte Schwachstelle oder als schwerwiegender Vorfall gemäß Artikel 14 des CRA einzustufen ist. Falls dies zutrifft, wird innerhalb von 24 Stunden eine Meldung an ENISA und die zuständigen nationalen Aufsichtsbehörden gesendet.
• Behebung und Zusammenarbeit: Unser Team arbeitet eng mit Ihnen zusammen, um die Ursache zu beheben, und hält Sie über unsere Zeitplanung für Mitigationsmaßnahmen und bevorstehende Sicherheitsupdates informiert.
• Safe Harbor: Wenn Sie die in dieser VDP beschriebenen Regeln vollständig einhalten, verpflichten wir uns, wegen Ihrer Forschungstätigkeiten keine rechtlichen Schritte, weder zivil- noch strafrechtlich, einzuleiten.