Product Security / PSIRT

Diese Policy gilt für alle öffentlich zugänglichen Systeme, Anwendungen und Dienste von GRIMME, sofern nicht ausdrücklich ausgeschlossen. 

Nicht im Scope: 

• Denial-of-Service (DoS) oder Lasttests
• Social Engineering
• Physische Angriffe
• Angriffe auf Dritte oder Lieferanten 

Die Bearbeitung eingehender Schwachstellenmeldungen erfolgt zentral durch das GRIMME Product Security Incident Response Team (PSIRT). 

Das PSIRT ist verantwortlich für: 

• die Entgegennahme und Dokumentation von Meldungen
• die fachliche Bewertung und Priorisierung von Schwachstellen
• die interne Koordination von Analyse‑ und Abhilfemaßnahmen
• die abgestimmte externe Kommunikation sicherheitsrelevanter Informationen 

Wir unterstützen verantwortungsvolle Sicherheitsforschung und verpflichten uns, keine rechtlichen Schritte gegen Personen einzuleiten, die in gutem Glauben handeln und diese Richtlinie einhalten. 

Dies gilt insbesondere unter folgenden Bedingungen: 

• Es werden keine Daten von Dritten eingesehen, verändert oder exfiltriert, außer, soweit dies zur Demonstration der Schwachstelle unvermeidbar und minimal erforderlich ist.
• Es werden keine Systeme absichtlich beeinträchtigt (z. B. durch DoS, Datenlöschung oder Service-Unterbrechung).
• Gefundene Schwachstellen werden unverzüglich und vertraulich an uns gemeldet und nicht öffentlich offengelegt, bevor wir ausreichend Zeit zur Behebung hatten. 

Im Rahmen dieser Bedingungen betrachten wir Ihre Aktivitäten als autorisiert und werden keine zivil- oder strafrechtlichen Schritte einleiten. Sollten unbeabsichtigt sensible Daten betroffen sein, erwarten wir, dass Sie diese nicht speichern, weitergeben oder anderweitig verwenden und uns umgehend informieren. 

Bitte beachten Sie, dass dieser Safe Harbor nicht für Aktivitäten gilt, die gegen geltendes Recht verstoßen oder über die oben genannten Bedingungen hinausgehen. 

GRIMME folgt dem Grundsatz der koordinierten Behandlung von Schwachstellen. Alle eingehenden Hinweise werden vertraulich behandelt und durch das PSIRT geprüft, bewertet und priorisiert. Eine externe Veröffentlichung von sicherheitsrelevanten Informationen erfolgt koordiniert und erst nach Abschluss der Bewertung sowie Umsetzung geeigneter Abhilfemaßnahmen. Ziel ist es, Risiken für Kunden und Betreiber zu minimieren und ungeprüfte oder ungepatchte Offenlegungen zu vermeiden. 

Im Falle meldepflichtiger Schwachstellen oder Sicherheitsvorfälle behalten wir uns vor, Informationen an zuständige Behörden und Aufsichtsstellen gemäß geltenden gesetzlichen Anforderungen weiterzugeben.  

Bitte beachten Sie, dass wir aufgrund gesetzlicher Vorgaben, Vertraulichkeitsanforderungen oder laufender Untersuchungen möglicherweise nicht alle Details zu gemeldeten Schwachstellen offenlegen oder den vollständigen Bearbeitungsstatus mitteilen können.  

Es kann dadurch durchaus vorkommen, dass eine Rückmeldung an den Melder erst nach einer abschließenden Bewertung oder mit Veröffentlichung einer Sicherheitsinformation erfolgt.