Richtlinie zur koordinierten Meldung und Offenlegung von Sicherheitslücken der Strama Group
Zweck
Die Strama Group verfolgt das Ziel, Sicherheitslücken in ihren Produkten, Systemen und Dienstleistungen verantwortungsvoll, koordiniert und mit möglichst geringem Risiko für Kunden, Geschäftspartner, Mitarbeitende sowie Dritte zu behandeln. Diese Richtlinie beschreibt den Prozess zur Meldung, Bearbeitung und Offenlegung von Sicherheitslücken.
Geltungsbereich
Diese Richtlinie gilt für sämtliche von Unternehmen der Strama Group entwickelten, hergestellten, integrierten, betriebenen, gewarteten oder bereitgestellten Produkte, Systeme und Dienstleistungen.
Sie gilt ferner für sämtliche Komponenten, Anwendungen, Technologien, Schnittstellen, Zugänge, Netzwerke und sonstigen technischen Einrichtungen, die Bestandteil dieser Produkte, Systeme oder Dienstleistungen sind oder zu deren Entwicklung, Bereitstellung, Betrieb, Wartung oder Verwaltung erforderlich sind. Dies umfasst insbesondere, jedoch nicht abschließend, Hardware, Software, Firmware, Webanwendungen, Kundenportale, APIs, Kommunikationssysteme, Netzwerkkomponenten, Remote- und Verwaltungszugänge sowie integrierte Drittanbieter-, Lieferanten- und Open-Source-Komponenten.
Sie gilt außerdem für sämtliche von der Strama Group betriebenen oder verwalteten IT-, OT- und Cloud-Infrastrukturen einschließlich der hierfür eingesetzten Systeme, Netzwerke, Plattformen, Dienste und Zugänge.
Nicht umfasst sind Systeme, Produkte oder Dienstleistungen Dritter, die außerhalb des Einfluss- oder Verantwortungsbereichs der Strama Group liegen.
Verantwortungsvolle Sicherheitsforschung
Die Strama Group begrüßt die verantwortungsvolle Meldung von Sicherheitslücken.
Ohne vorherige ausdrückliche Zustimmung der Strama Group sind Sicherheitsanalysen, Scans, Penetrationstests, Ausnutzungsversuche (Exploitation), Social Engineering, physische Angriffe oder sonstige Maßnahmen zur Identifizierung oder Ausnutzung von Schwachstellen an Produkten, Systemen oder Dienstleistungen der Strama Group nicht zulässig.
Die Meldung von Schwachstellen, die im Rahmen der bestimmungsgemäßen Nutzung, des Betriebs, der Wartung oder auf Grundlage öffentlich verfügbarer Informationen festgestellt wurden, bleibt hiervon unberührt.
Sicherheitsanalysen an Produkten oder Systemen, die sich im Besitz oder Verantwortungsbereich von Kunden oder sonstigen Dritten befinden, dürfen ausschließlich mit deren vorheriger ausdrücklicher Zustimmung durchgeführt werden. Diese Richtlinie stellt keine Autorisierung für Zugriffe auf oder Tests an Systemen Dritter dar.
Im Rahmen einer Schwachstellenmeldung dürfen Informationen ausschließlich in dem Umfang verarbeitet, gespeichert oder weitergegeben werden, der zur Dokumentation der Schwachstelle erforderlich ist.
Schwachstellenmeldungen, die mit Erpressungsversuchen, finanziellen Forderungen oder der Androhung einer vorzeitigen Veröffentlichung verbunden sind, gelten nicht als verantwortungsvolle Meldungen im Sinne dieser Richtlinie.
Zusammenarbeit (Safe Harbor)
Die Strama Group arbeitet nach Treu und Glauben mit Personen zusammen, die Sicherheitslücken verantwortungsvoll melden.
Für Schwachstellenmeldungen besteht derzeit kein Bug-Bounty-, Prämien- oder Vergütungsprogramm.
Sofern diese Richtlinie eingehalten wird und der Strama Group keine Anhaltspunkte für vorsätzliche oder grob fahrlässige Verstöße gegen geltendes Recht vorliegen, beabsichtigt die Strama Group grundsätzlich nicht, allein aufgrund einer verantwortungsvollen Schwachstellenmeldung rechtliche Schritte gegen die meldende Person einzuleiten oder zu unterstützen.
Dies setzt insbesondere voraus, dass die meldende Person:
- in gutem Glauben handelt,
- geltende Gesetze sowie diese Richtlinie einhält,
- keine Schäden oder Beeinträchtigungen an Produkten, Systemen, Dienstleistungen oder Daten verursacht,
- die Verfügbarkeit, Integrität oder Vertraulichkeit von Produkten, Systemen oder Informationen der Strama Group nicht gefährdet,
- Sicherheitslücken nicht vorzeitig oder unkoordiniert veröffentlicht,
- keine vertraulichen, personenbezogenen oder sonstigen nicht öffentlichen Informationen unbefugt speichert, verarbeitet, veröffentlicht oder weitergibt,
- die Rechte, Sicherheit und Privatsphäre Dritter respektiert.
Diese Richtlinie begründet weder ausdrücklich noch stillschweigend eine Erlaubnis, gegen geltende Gesetze, vertragliche Verpflichtungen oder Rechte Dritter zu verstoßen. Die Strama Group kann keinen Schutz vor Ansprüchen oder rechtlichen Maßnahmen Dritter gewähren, sofern deren Systeme oder Daten ohne deren Zustimmung betroffen wurden.
Bearbeitung von Schwachstellenmeldungen
Jede Schwachstellenmeldung wird sorgfältig geprüft.
Der Bearbeitungsprozess umfasst grundsätzlich folgende Schritte:
1. Meldung
Schwachstellen können über die in dieser Richtlinie genannten Kontaktmöglichkeiten gemeldet werden.
Die Strama Group bemüht sich, den Eingang einer Meldung zeitnah zu bestätigen.
Eine Meldung sollte nach Möglichkeit folgende Informationen enthalten:
- Beschreibung der Schwachstelle,
- betroffenes Produkt oder System,
- Software-, Firmware- oder Versionsstand (sofern bekannt),
- Schritte zur Reproduktion,
- mögliche Auswirkungen,
- Proof of Concept (PoC), Logdateien oder Screenshots (sofern vorhanden).
2. Analyse
Die STRAMAGROUP analysiert die Meldung, bewertet das Risiko und fordert bei Bedarf weitere Informationen an.
3. Bearbeitung
Geeignete Schutz-, Minderungs- oder Korrekturmaßnahmen werden entwickelt und umgesetzt.
Soweit möglich und angemessen hält die Strama Group die meldende Person über den Bearbeitungsstand informiert.
Aufgrund der technischen Komplexität von Sondermaschinen sowie kundenspezifischer Integrationen können längere Bearbeitungszeiten erforderlich sein.
4. Koordinierte Offenlegung
Die Strama Group verfolgt einen verantwortungsvollen und risikobasierten Ansatz zur Offenlegung von Sicherheitslücken.
Bei kundenspezifischen Anlagen oder Einzelinstallationen werden betroffene Kunden unmittelbar informiert und geeignete Schutz- oder Korrekturmaßnahmen bereitgestellt.
Eine öffentliche Offenlegung erfolgt grundsätzlich erst nach Bereitstellung geeigneter Schutz- oder Korrekturmaßnahmen und nur dann, wenn mehrere Systeme oder Kunden betroffen sein können, ein übergeordnetes Sicherheitsinteresse besteht oder gesetzliche Verpflichtungen eine Offenlegung erfordern.
Dabei werden keine kundenbezogenen, vertraulichen oder sonstigen sensiblen Informationen veröffentlicht.
Bei Bedarf können CVE-IDs vergeben und Schwachstellen nach der jeweils aktuellen Fassung des Common Vulnerability Scoring System (CVSS) bewertet werden. Soweit gesetzlich erforderlich, können zuständige Behörden oder Computer Emergency Response Teams (CERTs) informiert werden.
Meldung von Schwachstellen
Schwachstellenmeldungen können in deutscher oder englischer Sprache eingereicht werden. Anonyme Meldungen werden akzeptiert; Rückfragen sind in diesem Fall jedoch nur eingeschränkt möglich.
Für die Übermittlung sensibler Informationen wird die Verwendung des veröffentlichten PGP-Schlüssels ausdrücklich empfohlen.
E-Mail
security@strama-mps.de
PGP-Schlüssel
https://strama-mps.de/.well-known/security-strama-mps-de.asc
PGP-Fingerprint
D34B 29B1 5998 80E4 85D2 CA2B A7AF 913F D6FF D301
security.txt
https://strama-mps.de/.well-known/security.txt
Im Rahmen einer Schwachstellenmeldung übermittelte personenbezogene Daten werden ausschließlich zur Bearbeitung der Meldung sowie zur Erfüllung gesetzlicher Verpflichtungen verarbeitet.
Geltungsbereich der Richtlinie
Diese Richtlinie gilt für folgende Unternehmen der STRAMAGROUP:
- Strama-MPS Maschinenbau GmbH & Co. KG
- F & K DELVOTEC Bondtechnik GmbH
- AuE Kassel GmbH
Stand: 20.07.2026