Koordinierte Offenlegung von Schwachstellen (CVD): Verhaltensregeln

Ergosoft – Schwachstellen-Offenlegung: Verhaltensregeln

Version 1.0 · Gültig ab Juni 2026 · Ergänzung zur Ergosoft Richtlinie zur Offenlegung von Schwachstellen

Diese Regeln ergänzen die Ergosoft Richtlinie zur Offenlegung von Schwachstellen. Mit der Teilnahme an der koordinierten Offenlegung mit Ergosoft erklären Sie sich bereit, diese einzuhalten.

Vertraulichkeit und Offenlegung

• Behandeln Sie alle Informationen zu Schwachstellen vertraulich.
• Geben Sie keine Details ohne ausdrückliche schriftliche Zustimmung von Ergosoft an Dritte weiter.
• Halten Sie Ihre Erkenntnisse vertraulich, bis wir mit Ihnen ein Datum für die koordinierte Offenlegung vereinbart haben.

Verhalten während der Untersuchung

• Melden Sie uns ein reales oder potenzielles Sicherheitsproblem so bald wie möglich, nachdem Sie es entdeckt haben.
• Nutzen Sie Exploits nur in dem Umfang, der zum Nachweis des Vorhandenseins einer Schwachstelle erforderlich ist.
• Verwenden Sie einen Exploit nicht, um auf Daten zuzugreifen oder diese zu exfiltrieren, dauerhaften Zugang einzurichten oder zu anderen Systemen zu wechseln.
• Greifen Sie nicht auf Daten, Lizenzen oder Konten zu, die nicht Ihnen gehören, verändern Sie diese nicht und interagieren Sie nicht mit ihnen.
• Verwenden Sie ausschliesslich Ihre eigenen oder dedizierte Testkonten, Lizenzen und Geräte.
• Bemühen Sie sich nach Kräften, Datenschutzverletzungen, Datenverlust und Störungen von Systemen oder Benutzern zu vermeiden.
• Wenn Sie auf personenbezogene, Kunden- oder vertrauliche Daten stossen, beenden Sie den Test sofort, benachrichtigen Sie uns und kopieren oder offenbaren Sie diese Daten nicht.

Untersagte Handlungen

• Social Engineering (Phishing, Vishing, Identitätsvortäuschung) gegenüber Ergosoft-Mitarbeitenden, -Partnern oder -Kunden.
• Physische Angriffe oder nicht-technische Tests (z. B. Zutritt zu Büroräumen, Tailgating).
• Denial-of-Service (DoS/DDoS) oder Last- und Stresstests gegen Ergosoft- oder Kundensysteme.
• Installation von Schadsoftware oder unbefugte bzw. wiederholte Änderungen an Systemen.
• Weitergabe Ihres Zugangs, Ihrer Werkzeuge oder Ihrer Erkenntnisse an Dritte.
• Direkte Kontaktaufnahme mit Ergosoft-Mitarbeitenden zum Status einer Meldung ausserhalb von security@ergosoft.net.
• Jede Handlung, die gegen geltendes internationales, nationales oder lokales Recht verstösst.

Worauf wir uns konzentrieren

Damit wir unsere Reaktion fokussiert halten können, gelten die folgenden Punkte in der Regel nicht als Schwachstellen und erhalten möglicherweise keine detaillierte Antwort:

• Ausgaben von automatisierten Scannern, statischer Analyse oder Abhängigkeits-Scannern ohne nachgewiesene, ausnutzbare Auswirkung.
• Fehlende Best Practices zur Binary-Härtung oder Build-Konfiguration (z. B. ASLR/DEP, Code-Signierung) ohne konkreten Exploit.
• Erkenntnisse, die physischen Zugriff auf den Rechner erfordern oder voraussetzen, dass der Angreifer bereits über lokale Administratorrechte verfügt.
• Abstürze oder Ressourcenerschöpfung, die nur die eigene Sitzung der meldenden Person betreffen, ohne Codeausführung, Rechteausweitung oder Auswirkung auf andere Benutzer oder Daten.
• Probleme, die nur nicht unterstützte Betriebssysteme betreffen.
• Schwachstellen in Drittanbieter- oder gebündelten Komponenten (bitte melden Sie diese beim jeweiligen Hersteller).

Wenn Sie der Ansicht sind, dass ein ausgeschlossener Punkt eine echte Sicherheitsauswirkung hat, melden Sie ihn uns dennoch an security@ergosoft.net und erläutern Sie, warum.

Meldungen, auf die wir möglicherweise nicht reagieren

• Falschmeldungen oder betrügerische Meldungen.
• Anonyme oder nicht überprüfbare Einreichungen.
• Allgemeine Meldungen ohne verwertbare Nachweise.
• Meldungen ohne Bezug zu den Produkten, Diensten, Mitarbeitenden oder Kunden von Ergosoft.
• Anfragen nach konkreten Fristen für Behebung oder Offenlegung.
• Mitteilungen mit beleidigender Sprache.

Rechtlicher Schutz

Wir leiten keine rechtlichen Schritte gegen Sicherheitsforschende ein, die in gutem Glauben handeln und die Richtlinie zur Offenlegung von Schwachstellen sowie diese Regeln befolgen. Die Nichteinhaltung dieser Regeln kann jedoch zum Ausschluss von der koordinierten Offenlegung mit Ergosoft und zum Verlust einer etwaigen Nennung oder Anerkennung führen.