Hinweise zur vertraulichen Offenlegung von Schwachstellen in den Produkten der VIVAVIS

1. Zweck und Geltungsbereich

Die VIVAVIS AG nimmt Hinweise auf mögliche Schwachstellen in ihren Software-, Firmware- und Hardwareprodukten sowie in den von ihr verantworteten zugehörigen Komponenten, Anwendungen und Schnittstellen entgegen.

Diese Nutzungshinweise beschreiben:

• wie Schwachstellen sicher an VIVAVIS gemeldet werden können,
• welche Informationen für eine Prüfung hilfreich sind,
• wie VIVAVIS mit Meldungen umgeht,
• und welche Grundsätze bei der Untersuchung und einer gegebenenfalls koordinierten Veröffentlichung gelten.

Die Hinweise gelten nicht für:

• allgemeine Supportanfragen,
• Funktionswünsche,
• gewöhnliche Produktfehler ohne Sicherheitsbezug,
• oder Sicherheitsprobleme in Produkten Dritter, für die VIVAVIS weder Hersteller noch verantwortlicher Produktanbieter ist.

Solche Anfragen richten Sie bitte an support@vivavis.com.

2. Meldestelle

Mögliche Schwachstellen können an folgende Adresse gemeldet werden:

vulnerability@vivavis.com

Für sensible technische Informationen kann die Mail mit Hilfe eines S/MIME Zertifikats verschlüsselt werden.
Das Zertifikat können Sie hier herunterladen: https://www.vivavis.com/download/vulnerability-certificate/

Bitte verwenden Sie nach Möglichkeit eine aussagekräftige Betreffzeile, beispielsweise:

„Vertrauliche Schwachstellenmeldung – [Produktname] – [Version]“

3. Inhalt der Meldung

Bitte übermitteln Sie möglichst die folgenden Informationen:

• eine kurze Zusammenfassung in wenigen Worten
• Produktbezeichnung und vollständige Versionsangabe
  Wir benötigen die genaue Produktbezeichnung (z. B. aus dem Produkthandbuch) und die vollständige Nummer der von Ihnen verwendeten Version der Software.
• betroffene Komponenten
  Komplexe Produkte verfügen meist über mehrere Komponenten. Sofern bekannt nennen Sie bitte die von der Schwachstelle betroffene Komponente.
• Beschreibung des Befunds
  eine detaillierte Beschreibung der Schwachstelle
• nachvollziehbare Schritte zur Reproduktion
  Bitte erklären Sie mit welchen Werkzeugen bzw. Methoden es möglich ist die Schwachstelle aufzudecken (ggf. Screenshot oder andere Abbildungen)
• relevante System- und Umgebungsinformationen
  Bitte beschreiben Sie möglichst detailliert die Betriebsumgebung der Software bzw. des Geräts.
• Mögliche Auswirkungen
  Hier möchten wir sie bitten die Auswirkungen der Ausnutzung zu beschreiben bzw. eine Einschätzung abzugeben, welchen Schaden ein Angreifer anrichten kann bzw. bereits konnte.
• gegebenenfalls sofern bekannt CVE-, CWE- oder CVSS-Informationen
• sowie eine Kontaktmöglichkeit für Rückfragen.

Wir prüfen die Meldung zeitnah und melden uns bei Ihnen. Je vollständiger und nachvollziehbarer die Angaben sind, desto besser kann VIVAVIS die Meldung prüfen. Eine Schwachstellenmeldung wird nicht zurückgewiesen, weil einzelne dieser Informationen fehlen.

Reine, automatisiert erzeugte Berichte, beispielsweise aus einem Scan, ohne Erläuterung des konkreten Befunds, des betroffenen Produkts und der möglichen Auswirkungen können regelmäßig nicht abschließend bewertet werden. In solchen Fällen kann VIVAVIS ergänzende Informationen anfordern.

4. Umgang mit eingehenden Meldungen

VIVAVIS wird:

• den Eingang einer Meldung bestätigen, soweit eine Kontaktmöglichkeit angegeben wurde;
• die Meldung auf Plausibilität und Relevanz prüfen;
• bei Bedarf ergänzende Informationen anfordern;
• die mögliche Betroffenheit von Produkten und Versionen untersuchen;
• erforderliche Abhilfe- oder Maßnahmen zur Minderung des Risikos bewerten;
• und die meldende Person, soweit möglich und angemessen, über wesentliche Statusänderungen informieren.

Bestätigt sich eine Schwachstelle, entscheidet VIVAVIS risikobasiert über geeignete Maßnahmen. Diese können insbesondere Sicherheitsupdates, Konfigurationshinweise, Workarounds oder Security Advisories umfassen.

Art und Umfang der Kommunikation hängen unter anderem von der Kritikalität, Ausnutzbarkeit, Produktbetroffenheit, Verfügbarkeit einer Abhilfemaßnahme und den schutzwürdigen Interessen betroffener Kunden und Dritter ab.

5. Vertraulichkeit und Datenschutz

VIVAVIS behandelt Schwachstellenmeldungen und darin enthaltene Informationen grundsätzlich vertraulich und beschränkt den Zugriff auf die Personen und Stellen, die für Prüfung, Bewertung, Behebung, rechtliche Einordnung oder erforderliche Kommunikation zuständig sind.

Personenbezogene Daten werden nur verarbeitet, soweit dies für die Bearbeitung der Meldung, die Kommunikation mit der meldenden Person, die Erfüllung gesetzlicher Pflichten oder die Wahrung berechtigter Interessen erforderlich ist.

Eine Übermittlung kann insbesondere erforderlich sein an:

• betroffene Unternehmen der VIVAVIS-Gruppe,
• Hersteller betroffener Komponenten,
• beauftragte technische Dienstleister,
• CERTs oder CSIRTs,
• zuständige Behörden,
• Rechts- oder Sicherheitsberater,
• oder betroffene Kunden.

Dabei werden nur die jeweils erforderlichen Informationen weitergegeben. Soweit möglich, werden die Identität der meldenden Person und nicht erforderliche personenbezogene Angaben nicht offengelegt.

Weitere Informationen enthält die Datenschutzerklärung https://www.vivavis.com/service/datenschutz/.

6. Grundsätze für Sicherheitsprüfungen

VIVAVIS begrüßt „White-Hat“-Sicherheitsforschung, die darauf gerichtet ist, Schwachstellen verantwortungsvoll zu identifizieren und VIVAVIS vertraulich mitzuteilen.

Bitte beachten Sie insbesondere folgende Grundsätze:

• Beschränken Sie Prüfungen auf das zur Feststellung und nachvollziehbaren Dokumentation eines möglichen Sicherheitsproblems erforderliche Maß.
• Vermeiden Sie Schäden, Betriebsunterbrechungen und Beeinträchtigungen der Verfügbarkeit.
• Greifen Sie nicht auf Daten zu, soweit dies nicht zur Bestätigung des Befunds unbedingt erforderlich ist.
• Verändern, löschen, kopieren oder veröffentlichen Sie keine Daten Dritter.
• Verwenden Sie keine erlangten Zugangsmöglichkeiten für andere Zwecke.
• Führen Sie keine Social-Engineering-, Phishing-, Spam-, Denial-of-Service-, Distributed-Denial-of-Service- oder unkontrollierten Brute-Force-Angriffe durch.
• Testen Sie keine Systeme oder Infrastrukturen Dritter ohne deren Berechtigung.
• Installieren Sie keine Schadsoftware und richten Sie keine dauerhaften Zugänge ein.
• Veräußern oder verbreiten Sie keine Exploits, Zugangsdaten oder Werkzeuge, die eine missbräuchliche Ausnutzung ermöglichen.
• Informieren Sie VIVAVIS unverzüglich, wenn Ihnen unbeabsichtigt personenbezogene Daten, Geschäftsgeheimnisse, Zugangsdaten oder sonstige sensible Informationen zugänglich werden.
• Löschen Sie unberechtigt erlangte Daten nach Abstimmung und sobald sie für die Dokumentation und Prüfung nicht mehr erforderlich sind.

7. Koordinierte Veröffentlichung

Bitte behandeln Sie technische Einzelheiten zu einer gemeldeten Schwachstelle zunächst vertraulich und stimmen Sie eine beabsichtigte Veröffentlichung mit VIVAVIS ab.

VIVAVIS wird eine koordinierte Veröffentlichung nicht unangemessen verzögern. Zeitpunkt, Inhalt und Umfang einer Veröffentlichung sollen risikobasiert festgelegt werden und insbesondere berücksichtigen:

• die Verfügbarkeit wirksamer Abhilfe- oder Maßnahmen zur Minderung von Risiken,
• die Gefährdung betroffener Anwender,
• die Komplexität der Behebung,
• Abhängigkeiten von Drittkomponenten,
• und gegebenenfalls gesetzliche oder behördliche Vorgaben.

Eine Veröffentlichung des Namens oder Alias der meldenden Person erfolgt nur mit deren vorheriger Zustimmung.

8. Verantwortungsvolle Sicherheitsforschung

Soweit eine meldende Person:

• in gutem Glauben handelt,
• sich an diese Hinweise hält,
• nur im erforderlichen Umfang prüft,
• keine Schädigungs-, Bereicherungs- oder Erpressungsabsicht verfolgt,
• und VIVAVIS festgestellte Schwachstellen unverzüglich vertraulich meldet,

wird VIVAVIS wegen der bloßen Durchführung dieser verantwortungsvollen Sicherheitsforschung grundsätzlich keine eigene Strafanzeige erstatten und keine zivilrechtlichen Ansprüche geltend machen.

Diese Erklärung:

• stellt keine Erlaubnis zu rechtswidrigen Handlungen dar,
• gewährt keinen Zugriff auf Systeme oder Daten Dritter,
• bindet keine Strafverfolgungsbehörden oder sonstigen Dritten,
• und gilt nicht bei vorsätzlicher Schädigung, Erpressung, Datenmissbrauch, Veröffentlichung entgegen einer abgestimmten Vertraulichkeit oder sonstigem erkennbar missbräuchlichem Verhalten.

Hat eine meldende Person Zweifel, ob eine geplante Prüfung von dieser Richtlinie erfasst ist, sollte der vorgesehene Prüfungsumfang vorab mit VIVAVIS abgestimmt werden.

9. Anonyme Meldungen

Anonyme Meldungen werden entgegengenommen und nach Maßgabe der verfügbaren Informationen geprüft. Ohne Kontaktmöglichkeit können Rückfragen, Statusinformationen und eine abschließende technische Bewertung jedoch erschwert oder unmöglich sein.

10. Bereits bekannte oder behobene Schwachstellen

Auch Hinweise auf bereits bekannte oder behobene Schwachstellen werden entgegengenommen und auf ihre Relevanz für das konkret bezeichnete Produkt und die konkret bezeichnete Version geprüft.

Ist die Schwachstelle bereits behoben, wird VIVAVIS – soweit eine Kontaktmöglichkeit angegeben wurde und die Information freigegeben werden kann – insbesondere mitteilen, mit welcher Version oder Maßnahme die Behebung erfolgt ist.

Eine weitergehende Bearbeitung oder Anerkennung als neue Schwachstellenmeldung erfolgt in diesem Fall regelmäßig nicht.

11. Kein Bug-Bounty-Programm

Diese Richtlinie begründet keinen Anspruch auf Vergütung, Ersatz von Aufwendungen, Beauftragung oder sonstige Gegenleistung. Eine etwaige Anerkennung oder Danksagung erfolgt freiwillig und nur nach vorheriger Abstimmung.

12. Änderungen dieser Hinweise

VIVAVIS kann diese Hinweise an geänderte gesetzliche, technische oder organisatorische Anforderungen anpassen.

Stand: 05.08.2026
Verantwortliche Stelle: VIVAVIS AG, Nobelstraße 18, 76275 Ettlingen.