1. Zweck und Anwendungsbereich

Diese Policy beschreibt, wie WEYMANN AUFZÜGE GmbH & Co. KG (nachfolgend „WEYMANN“) Hinweise auf mögliche Cybersecurity-Schwachstellen in Produkten mit digitalen Elementen entgegennimmt, bewertet und koordiniert weiterbearbeitet.

Produkte mit digitalen Elementen können insbesondere Software- oder Hardwareprodukte sowie zugehörige Remote-Data-Processing-Lösungen umfassen. Im Aufzugskontext betrifft dies zum Beispiel Steuerungen, Gateways, IoT-Geräte, eingebettete Software und Firmware, mobile Anwendungen, APIs, Cloud- oder Backend-Services sowie Kommunikations-, Diagnose- oder Parametrierlösungen.

Diese Policy gilt für Hinweise zu Produkten, Lösungen oder produktbezogenen Services, für die WEYMANN verantwortlich ist oder bei denen WEYMANN im Rahmen eines definierten Melde- und Koordinationswegs unterstützt.

Nicht im Anwendungsbereich dieser Policy sind allgemeine Corporate-IT-Systeme, interne Unternehmensservices, Marketing-Websites oder Test- und Entwicklungsumgebungen, sofern sie nicht Bestandteil eines freigegebenen Produkts oder produktbezogenen Services sind.

WEYMANN prüft, ob gemeldete Sachverhalte in den Geltungsbereich dieser Policy fallen. Meldungen, die Sachverhalte außerhalb dieses Geltungsbereichs betreffen, können an andere zuständige Stellen weitergeleitet oder im Rahmen anderer entsprechender Verfahren bearbeitet werden.

2. Grundsatz

WEYMANN nimmt Hinweise auf mögliche Sicherheitslücken ernst und unterstützt eine verantwortungsvolle, koordinierte Offenlegung von Schwachstellen.

Ziel ist es, potenzielle Risiken für Nutzer, Kunden, Anlagen und Produkte geordnet zu bewerten, geeignete Maßnahmen zu koordinieren und relevante Parteien angemessen zu informieren.

WEYMANN bittet darum, mögliche Schwachstellen nicht öffentlich offenzulegen, bevor sie bewertet und geeignete Maßnahmen abgestimmt wurden. Die Koordination dient dem Schutz von Nutzern und Kunden, nicht der Einschränkung berechtigter Sicherheitsforschung.

3. Rollen

Im Rahmen dieser Policy sind insbesondere folgende Rollen relevant:

• Reporter: Person oder Organisation, die eine mögliche Schwachstelle meldet.
• Koordinator: vermittelnde Instanz, die die Kommunikation zwischen WEYMANN und weiteren Anbietern oder Meldenden unterstützt, insbesondere bei Schwachstellen, die mehrere Parteien betreffen.
• Hersteller / verantwortlicher Produktanbieter: Partei, die für Bewertung, Behebung und Kommunikation einer Schwachstelle verantwortlich ist.
• Nutzer / Kunde: Partei, die Informationen zu betroffenen Produkten, Risiken und Maßnahmen erhält.

4. Meldeweg

Hinweise auf mögliche Sicherheitslücken können an folgende Adresse gemeldet werden: security@weymann-aufzuege.de

4.1 Inhalt einer Meldung

Um eine mögliche Schwachstelle prüfen zu können, sollte eine Meldung möglichst folgende Informationen enthalten:

• Produkt- oder Servicename,
• betroffene Version, Software- oder Firmwarestand oder Konfiguration, soweit bekannt,
• technische Beschreibung der möglichen Schwachstelle,
• Schritte zur Reproduktion,
• Proof of Concept, Screenshots, Logs oder sonstige Nachweise, soweit vorhanden,
• Einschätzung zu Auswirkung und Schweregrad,
• Angaben dazu, ob die Schwachstelle bereits ausgenutzt wurde oder öffentlich bekannt ist,
• betroffene Anlage, betroffener Standort oder betroffener Kunde, soweit bekannt,
• Kontaktdaten des Reporters, sofern Rückfragen möglich sein sollen,
• Hinweise zu geplanten Veröffentlichungen oder Embargofristen.

5. Monitoring

WEYMANN berücksichtigt und verarbeitet relevante Schwachstelleninformationen aus den folgenden Quellen, soweit diese für Produkte mit digitalen Elementen im Anwendungsbereich dieser Policy relevant sind.

5.1 Externe Quellen

• öffentliche Schwachstellendatenbanken,
• veröffentlichte Security Advisories,
• Schwachstellenmeldungen, die über den definierten Meldeweg eingehen.

5.2 Lieferantenumfeld

• Schwachstellenmeldungen und Advisories von Lieferanten, Herstellern oder Maintainern von Produkten oder Komponenten, die von WEYMANN eingesetzt, installiert oder unterstützt werden.

5.3 Interne Quellen

• Sicherheitstests,
• Produkt- und Komponentenbewertungen,
• Überprüfungen im Produktlebenszyklus,
• Rückmeldungen aus Service, Installation, Modernisierung oder Support.

5.4 Automatisiertes Monitoring

• Überwachung von Drittanbieter- und Open-Source-Komponenten, die in Produkten mit digitalen Elementen eingesetzt werden, soweit entsprechende Mechanismen verfügbar sind.

6. Eingangsbestätigung und Reaktion

WEYMANN strebt an, den Eingang von Schwachstellenmeldungen innerhalb von sieben Kalendertagen zu bestätigen und, soweit möglich, eine erste Statusinformation bereitzustellen.

Falls zusätzliche Informationen benötigt werden, kontaktiert WEYMANN den Reporter über den vereinbarten Kommunikationsweg.

7. Bewertung und Untersuchung

Eine erste Triage wird durchgeführt, um Validität, Schweregrad und Umfang der Meldung zu bewerten. Doppelte Meldungen werden identifiziert und zusammengeführt. Wird eine Meldung nicht als Schwachstelle bewertet oder fällt sie nicht in den Anwendungsbereich dieser Policy, wird der Reporter, soweit angemessen, informiert.

Die Bewertung kann, soweit anwendbar, folgende Punkte umfassen:

• betroffenes Produkt, betroffener Service oder betroffene Komponente,
• betroffene Version oder Konfiguration,
• mögliche Auswirkungen,
• Schweregrad,
• Ausnutzbarkeit,
• betroffene Kunden oder Anlagen,
• verfügbare Updates, Workarounds oder Maßnahmen zur Risikominderung,
• Einbindung von Lieferanten, Herstellern oder weiteren Beteiligten.

8. Laufende Kommunikation

WEYMANN pflegt einen offenen und kooperativen Dialog mit Reportern und weiteren Beteiligten. Statusinformationen, wesentliche neue Erkenntnisse und Änderungen an geplanten Maßnahmen werden, soweit angemessen, zeitnah kommuniziert. Embargofristen und Offenlegungszeitpläne werden bei Bedarf mit Reportern und weiteren Beteiligten abgestimmt.

WEYMANN strebt Offenlegungszeiträume an, die folgende Aspekte angemessen ausbalancieren:

• Risikominderung,
• technische Komplexität,
• Produktsicherheit,
• Abhängigkeiten in der Lieferkette,
• Auswirkungen auf Kunden,
• Bedarf an koordinierter Offenlegung.

WEYMANN verlangt von Reportern keinen Verzicht auf eine spätere Veröffentlichung.

9. Koordination

Bei Schwachstellen, die mehrere Hersteller betreffen (Multi-Vendor), oder bei systemischen Schwachstellen kann eine Koordination mit Herstellern, Lieferanten, Maintainern oder vertrauenswürdigen Koordinatoren erforderlich sein.

Betrifft eine Schwachstelle Produkte oder Komponenten von Drittanbietern, kann WEYMANN den relevanten Hersteller, Lieferanten oder eine andere verantwortliche Partei einbinden.

10. Veröffentlichung von Advisories

WEYMANN informiert Nutzer und Kunden angemessen über bestätigte Schwachstellen, wenn dies erforderlich ist, um Risiken zu verstehen und geeignete Maßnahmen umzusetzen.

Eine solche Information kann insbesondere enthalten:

• betroffene Produkte oder Versionen,
• kurze Beschreibung der Schwachstelle,
• mögliche Auswirkungen,
• verfügbare Updates, Workarounds oder andere Maßnahmen,
• empfohlene nächste Schritte,
• Kontaktinformationen.

Die Veröffentlichung oder Kommunikation erfolgt koordiniert und erst, wenn die Schwachstelle bewertet wurde und geeignete Maßnahmen verfügbar oder abgestimmt sind.

11. Rechtliche Erwägungen

WEYMANN unterstützt gutgläubige und verantwortungsvolle Sicherheitsforschung. Reporter sollen Schwachstellen zeitnah melden, keine Daten Dritter gefährden, keine Systeme absichtlich stören und Tests auf das notwendige Minimum beschränken. Sofern Reporter verantwortungsvoll und in gutem Glauben handeln, wird WEYMANN im gesetzlich zulässigen Umfang keine rechtlichen Schritte wegen der bloßen Meldung und der koordinierten Offenlegung der Schwachstelle einleiten.

Anonyme Meldungen werden akzeptiert. Eine Geheimhaltungsvereinbarung ist für die Abgabe einer Meldung nicht erforderlich.

12. Offenlegungszeitplan

WEYMANN unterstützt eine koordinierte Offenlegung von Schwachstellen. Der Zeitpunkt für Veröffentlichung, Kundeninformation oder weitere Kommunikation wird fallbezogen festgelegt. Dabei werden insbesondere Schweregrad, Ausnutzungsrisiko, Auswirkungen auf Kunden, Produktsicherheit, technische Komplexität und die Verfügbarkeit von Updates oder Maßnahmen zur Risikominderung berücksichtigt.

WEYMANN bemüht sich, Reporter und betroffene Beteiligte angemessen über den Fortschritt zu informieren. Eine öffentliche Offenlegung soll grundsätzlich erst erfolgen, wenn Risiken bewertet und geeignete Maßnahmen abgestimmt sind.

13. Überprüfung und Aktualisierung der Policy

Diese Policy wird jährlich überprüft und bei Bedarf aktualisiert, um Änderungen in Standards, regulatorischen Anforderungen und Praktiken von WEYMANN zu berücksichtigen.