Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD)

Version: 1.0
Zuletzt aktualisiert: 16.07.2026
Hersteller / Produzent: Gira Giersiepen GmbH & Co. KG (Gira)

1. Zweck

Gira verpflichtet sich, ein angemessenes Cybersicherheitsniveau für ihre Produkte und zugehörigen digitalen Elemente sicherzustellen. Im Rahmen dieser Verpflichtung unterstützt Gira die koordinierte Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD) und ermutigt Sicherheitsforscher, Kunden und andere Stakeholder, potenzielle Sicherheitslücken verantwortungsvoll zu melden.

Diese Richtlinie beschreibt, wie Schwachstellen an Gira gemeldet werden können, wie Meldungen bearbeitet werden und nach welchen Grundsätzen die koordinierte Offenlegung erfolgt.

2. Geltungsbereich

Diese Richtlinie gilt für Sicherheitslücken, die Folgendes betreffen:

Produkte mit digitalen Elementen, die von Gira entwickelt und/oder in Verkehr gebracht werden, einschließlich eingebetteter Software, Firmware und zugehöriger Anwendungen.
Zugehörige digitale Dienste, die von Gira bereitgestellt oder betrieben werden und direkt mit solchen Produkten verbunden sind.

Nicht in den Geltungsbereich fallen insbesondere:

Sicherheitsprobleme in Systemen oder Diensten, die nicht von Gira betrieben oder kontrolliert werden.
Schwachstellen, die ausschließlich aus Fehlkonfigurationen oder der Nutzung nicht unterstützter Drittanbieterkomponenten außerhalb der Verantwortung von Gira resultieren.
Denial-of-Service-Tests, Social Engineering, physische Angriffe oder nicht-technische Angriffe.

3. Meldung einer Schwachstelle

Potenzielle Schwachstellen können über einen der folgenden Kanäle gemeldet werden:

E-Mail: psirt@gira.de
Zum Schutz der Vertraulichkeit der übermittelten Informationen wird Meldenden dringend empfohlen, Verschlüsselung zu verwenden:
- OpenPGP: Öffentlicher Schlüssel verfügbar unter https://www.gira.de/.well-known/psirt-public.asc
Sicheres Webformular: https://partner.gira.de/cybersecurity

Meldungen sollten ausschließlich auf Englisch oder Deutsch eingereicht werden, um eine zeitnahe Bearbeitung zu ermöglichen.

4. In der Meldung anzugebende Informationen

Um eine effiziente Einstufung und Analyse zu ermöglichen, sollten Meldungen, soweit verfügbar, Folgendes enthalten:

Identifikation des betroffenen Gira-Produkts, der -Komponente oder des -Dienstes (einschließlich Versionsinformationen),
Eine klare Beschreibung der potenziellen Schwachstelle und ihrer potenziellen Auswirkungen,
Schritt-für-Schritt-Anweisungen zur Reproduktion des Problems unter Verwendung eines nicht-destruktiven Proof of Concept,
Alle relevanten Protokolle oder Testinformationen (ohne unnötige personenbezogene oder sensible Daten) und
Informationen darüber, ob die Schwachstelle bereits an andere Parteien gemeldet oder mit ihnen koordiniert wurde (z. B. CERTs oder Koordinatoren).

5. Regeln für verantwortungsbewusstes Testen – Verhaltenskodex

Bei der Untersuchung und Meldung von Schwachstellen wird von Meldenden erwartet, dass sie:

in gutem Glauben und in Übereinstimmung mit allen geltenden Gesetzen und Vorschriften handeln,
Handlungen vermeiden, die Nutzern, Kunden oder der Verfügbarkeit, Integrität oder Vertraulichkeit von Systemen schaden könnten,
davon absehen, auf Daten zuzugreifen, diese zu ändern oder zu löschen, soweit dies nicht zwingend erforderlich ist, um die Schwachstelle nachzuweisen
störende Testmethoden vermeiden, einschließlich Denial-of-Service-Angriffe oder Scans mit hoher Intensität,
Informationen über die Schwachstelle vertraulich behandeln, bis die Behebung und koordinierte Offenlegung abgeschlossen sind und
auf Anfragen nach weiteren Informationen innerhalb von 30 Tagen antworten; andernfalls kann der Fall geschlossen werden.

6. Anonyme Meldung und Kommunikation

Meldungen können ohne Angaben zur Identität des Meldenden eingereicht werden.

Allerdings kann es insbesondere bei komplexen Schwachstellen möglich sein, dass während der Analyse zusätzliche Erläuterungen oder Dokumentationen erforderlich sind. Bei einer anonymen Meldung kann die Bearbeitung eingeschränkt sein.

Da die erfolgreiche Durchführung des CVD-Prozesses in hohem Maße auf vertrauensbasierter und kontinuierlicher Kommunikation mit der meldenden Person beruht, können Meldungen, die ohne gültige Kontaktdaten eingereicht werden, möglicherweise nur eingeschränkt bearbeitet werden.

Die Angabe von Kontaktinformationen erhöht daher erheblich die Wahrscheinlichkeit einer wirksamen Validierung, Behebung und koordinierten Offenlegung der gemeldeten Schwachstelle.

Gira behandelt Informationen zur meldenden Person vertraulich und verwendet sie ausschließlich zum Zweck der Schwachstellenbearbeitung gemäß den Datenschutzinformationen für das Gira Vulnerability Management:

https://www.gira.de/cybersecurity/datenschutz

7. Bearbeitung von Meldungen durch Gira

Nach Eingang einer Schwachstellenmeldung, die sich nachvollziehbar auf Produkte oder Dienste innerhalb des Geltungsbereichs bezieht, wird Gira angemessene Anstrengungen unternehmen, um:

den Eingang der Meldung innerhalb von fünf (5) Werktagen[KT2.1], ausgenommen Wochenenden und gesetzliche Feiertage in Nordrhein-Westfalen, Deutschland, zu bestätigen,
die gemeldete Schwachstelle zeitnah zu bewerten und zu priorisieren,
bei Bedarf mit der meldenden Person zu kommunizieren, um technische Details zu klären,
die Schwachstelle zu validieren und geeignete Abhilfemaßnahmen einzuleiten und
bestätigte Schwachstellen zeitnah zu beheben, wobei Schweregrad, Auswirkungen und Ausnutzbarkeit berücksichtigt werden.

Wenn eine gemeldete Schwachstelle durch eine in ein Produkt integrierte Drittanbieterkomponente verursacht wird, kann sich Gira unter Wahrung angemessener Vertraulichkeit mit dem betreffenden Lieferanten koordinieren.

8. Koordinierte Offenlegung und Veröffentlichung

Gira unterstützt die koordinierte Offenlegung und bittet darum, die öffentliche Offenlegung von Schwachstellendetails mit Gira abzustimmen, um Risiken für Nutzer und Kunden zu verringern.

Informationen über behobene Schwachstellen können über aktualisierte Produktinformationen oder gleichwertige produktbezogene Kommunikationskanäle bereitgestellt werden.

Gira veröffentlicht keine gesonderten Sicherheitshinweise oder Schwachstellenkennungen.

9. Safe Harbour (Nichtverfolgung)

Sofern Meldende diese Richtlinie einhalten und in gutem Glauben handeln, wird Gira keine rechtlichen Schritte gegen sie wegen Aktivitäten einleiten, die mit der Entdeckung und Meldung von Sicherheitslücken zusammenhängen.

Dieser Safe Harbour gilt nicht für Handlungen, die:

gegen geltende Gesetze oder Vorschriften verstoßen,
Gira, ihren Kunden oder Dritten Schaden zufügen,
personenbezogene Daten oder die Privatsphäre beeinträchtigen oder
eine vorzeitige oder unkoordinierte öffentliche Offenlegung beinhalten.

10. Datenschutz und Vertraulichkeit

Meldende werden gebeten, keine personenbezogene Daten oder sensible Kundeninformationen zu übermitteln, sofern diese nicht zwingend erforderlich sind; in diesem Fall sollten solche Daten soweit wie möglich minimiert werden.

Vorbehaltlich geltender gesetzlicher Verpflichtungen behandelt Gira Informationen zu Schwachstellen vertraulich und verwendet sie ausschließlich für das Schwachstellenmanagement, die Behebung, Compliance und die Verbesserung der Produktsicherheit.