SECURITY REPORTING UND ADVISORIES FÜR KÄRCHER FUTURETECH PRODUKTE UND SERVICES

Offenlegungsgrundsätze

Präambel

Die Kärcher Futuretech GmbH (hier kurz „KFT“) ist für die IoT-Produkte nach dieser Richtlinie verantwortlich. KFT ist eine hundertprozentige Tochtergesellschaft der Alfred Kärcher SE & Co. KG (hier kurz „Kärcher“) und übernimmt für das Meldeverfahren die von Kärcher bestehende Richtlinie.

1. Werte und Prinzipien

Cybersicherheit (hier kurz "Sicherheit") ist für die IoT-Produkte und digitalen Dienste von KFT von enormer Bedeutung. Wir verfolgen einen Security-by-Design-Ansatz und verpflichten uns, die Sicherheit unserer IoT-Produkte und digitalen Dienste während ihres gesamten Lebenszyklus zu gewährleisten. Sicherheit ist jedoch ein bewegliches Ziel, und das Umfeld der Sicherheit entwickelt sich kontinuierlich weiter. So können neue Erkenntnisse, Angriffsmöglichkeiten und Schwachstellen jederzeit entdeckt werden. Obwohl wir Sicherheit in unseren Produkten von Anfang an berücksichtigen, können wir keine 100% perfekte Sicherheit erreichen.

KFT ist bestrebt, den Sicherheitszustand seiner IoT-Produkte und digitalen Dienste kontinuierlich zu unterstützen und zu verbessern. Deshalb möchte KFT eng mit der Cybersicherheits-Gemeinschaft zusammenarbeiten. Wir ermutigen Forscher, Behörden, Geschäftspartner und andere private und öffentliche Akteure uns bezüglich Probleme, Schwachstellen oder möglichen Exploits etc. in unseren IoT-Produkten und digitalen Diensten zu kontaktieren. Derartige Sicherheitsinformationen von Dritten sind ein wertvoller Teil unserer Sicherheitsarchitektur.

2. Melde- und Offenlegungsbedingungen

KFT will die Kommunikation mit Informationsbereitstellern und Akteuren der Cybersicherheits-Gemeinschaft so einfach und zugänglich wie möglich gestalten. Die folgenden Punkte sind wichtig, damit wir schnell und effektiv auf Berichte reagieren können:

2.1 Allgemeines:

Berichte können in Englisch und Deutsch gesendet werden
Es sind keine Verträge oder Geheimhaltungsvereinbarungen erforderlich
Berichte müssen sich auf folgendes beziehen:
- ein KFT IoT-Produkt, d.h. das Produkt trägt das KFT-Logo und verfügt über eine Art von Vernetzung (WLAN, Bluetooth, ZigBee usw.)
Wir empfehlen Reportern, verschlüsselte E-Mail-Kommunikation zu verwenden
KFT wird keine rechtlichen Ansprüche irgendwelcher Art im Zusammenhang mit der Meldung von Schwachstellen usw. im Rahmen dieses Reportings verfolgen, vorausgesetzt:
- Der/die Reporter/in fügt KFT und/oder seinen verbundenen Unternehmen, Kunden, Lieferanten oder Partnern keinen Schaden zu
- Der/die Reporter/in beeinträchtigt weder die Privatsphäre oder Sicherheit von KFT und/oder seinen verbundenen Unternehmen, Kunden, Lieferanten oder Partnern noch den Betrieb der Dienstleistungen von KFT
- Der/die Reporter/in wird seine/ihre Ergebnisse nicht zu veröffentlichen, bis KFT in der Lage war, den Fehler/die Schwachstelle zu beheben
- Das Vorgehen des Reporters/der Reporterin verstößt nicht gegen ein Gesetz oder stört oder kompromittiert keine Daten oder vertraulichen Informationen, die nicht seine/ihre eigenen sind

ein KFT IoT-Produkt, d.h. das Produkt trägt das KFT-Logo und verfügt über eine Art von Vernetzung (WLAN, Bluetooth, ZigBee usw.)
Der/die Reporter/in fügt KFT und/oder seinen verbundenen Unternehmen, Kunden, Lieferanten oder Partnern keinen Schaden zu
Der/die Reporter/in beeinträchtigt weder die Privatsphäre oder Sicherheit von KFT und/oder seinen verbundenen Unternehmen, Kunden, Lieferanten oder Partnern noch den Betrieb der Dienstleistungen von KFT
Der/die Reporter/in wird seine/ihre Ergebnisse nicht zu veröffentlichen, bis KFT in der Lage war, den Fehler/die Schwachstelle zu beheben
Das Vorgehen des Reporters/der Reporterin verstößt nicht gegen ein Gesetz oder stört oder kompromittiert keine Daten oder vertraulichen Informationen, die nicht seine/ihre eigenen sind

2.2 Erforderliche Inhalte für einen Bericht

Name des betroffenen IoT-Produkts oder digitalen Dienstes
(vorzugsweise mit Typnamen, Seriennummer oder Domainnamen oder URL)
Kontaktinformationen des Reporters zur weiteren Kommunikation
(identifizierbar oder anonym)
Beschreibung der Auswirkungen, Erkenntnisse oder Schwachstellen
(wenn möglich mit Protokollen, Bildern oder anderem zusätzlichen Material, um den Befund zu reproduzieren)
ID, Kennung oder Kategorie der Schwachstelle bzw. des Reportgegenstands
(wenn möglich basierend auf CWE oder OWASP)
Falls bekannt: Auswirkungen, Abhängigkeiten oder andere Einflüsse des Reportgegenstands
Wenn bekannt: CVSS3-Score oder eine Schätzen von CVSS-ähnlichen Parameter
(z. B. erforderliche Berechtigungen, erforderliche Benutzerinteraktion, Verfügbarkeit von Angriffstools usw.)
Wenn bekannt: Bekanntheit oder Verbreitung der Schwachstelle oder des Exploits

Hinweis: Wir werden jeden Report analysieren. Je mehr Informationen wir erhalten, desto besser können wir auf den Report reagieren. Wenn wir nicht genügend Informationen erhalten, kann es sein, dass wir den Bericht zurückstellen oder nicht weiterverfolgen.

2.3 Offenlegungsprozess

Wir sorgen für folgende Prozesse:

Bestätigung des Eingangs des Berichts innerhalb von 3 Werktagen
Antwort mit erster Bewertung oder zusätzlicher Frage(n) innerhalb von 10 Werktagen
Der genaue Zeitpunkt für die Information bezüglich der Reaktion und der Behebung hängt von der Komplexität des individuellen Sachverhaltes ab
Jeder Reporter wird benachrichtigt, wenn der Befund behoben wurde

Weitere geltende Bestimmungen

3. Fehler und/oder Reports außerhalb des Geltungsbereichs

Alle Probleme oder Reports ohne Bezug zur Cybersicherheit werden von dieser Kontaktstelle nicht bearbeitet. KFT wird den Reporter informieren, wenn der Report als nicht relevant im Sinne der Cybersicherheit bewertet wird. Bitte wenden Sie sich in diesem Fall an den Kundendienst oder Ihren zuständigen Vertriebsmitarbeiter oder Händler.

4. Lizenz

KFT schätzt jeden Report und möchte, wo immer möglich, Lösungsvorschläge für Sicherheitsprobleme umsetzen. Um Code, Snippets, Images oder andere Quellen mit potenziellem geistigem Eigentum integrieren zu können, müssen wir sicherstellen, dass diese nicht an gesetzliche Ansprüche gebunden sind. Andernfalls können Sicherheitsupdates und Patches nicht bereitgestellt werden, selbst wenn sie das Sicherheitsproblem lösen.

KFT erhebt keinerlei Anspruch auf Eigentumsrechte an Ihrem Report. Durch Übermittlung eines Reports an KFT stimmen Sie jedoch Folgendem zu:

Sie gewähren KFT die folgende nicht ausschließliche, unwiderrufliche, zeitlich unbeschränkte, lizenzgebührenfreie, weltweite, unterlizenzierbare Lizenz in Bezug auf das in Ihrem Report enthaltene geistige Eigentum, um Ihren Report:zu verwenden, zu überprüfen, zu bewerten, zu testen und anderweitig zu analysieren;den Report und/oder dessen Inhalte ganz oder teilweise zu reproduzieren, zu modifizieren, zu verbreiten, öffentlich zu zeigen, zu vermarkten und abgeleitete Arbeiten daraus zu erstellen; undden Report und/oder dessen Inhalte im Zusammenhang mit der Vermarktung, dem Verkauf oder der Werbung für dieses Programm oder andere Programme (einschließlich interner und externer Verkaufsmeetings, Konferenzpräsentationen, Messen und Screenshots der Einreichung in Pressemitteilungen) in allen Medien (aktuell bekannt oder später entwickelt) zu präsentieren;
Sie stimmen zu, bei Bedarf alle Unterlagen zu unterschreiben, die für uns oder unsere Vertreter erforderlich sind, um die von Ihnen oben gewährten Rechte zu bestätigen;
Sie sind sich bewusst und erkennen an, dass KFT möglicherweise Material entwickelt oder in Auftrag gegeben hat, das ähnlich oder identisch mit Ihrem Report ist und Sie verzichten auf jegliche Ansprüche, die sich möglicherweise aus Ähnlichkeiten mit Ihrem Report ergeben;
Sie sind sich bewusst und erkennen an, dass Ihnen keine Entschädigung gezahlt oder die Erwähnung für die Nutzung Ihrer Einreichung garantiert wird; und
Sie sichern zu und garantieren, dass Ihre Einreichung Ihre eigene Arbeit ist, dass Sie keine Informationen verwendet haben, die das Eigentum anderer natürlicher oder juristischer Personen sind, und dass Sie rechtlich befugt sind, die Einreichung an KFT zu übermitteln.
zu verwenden, zu überprüfen, zu bewerten, zu testen und anderweitig zu analysieren;
den Report und/oder dessen Inhalte ganz oder teilweise zu reproduzieren, zu modifizieren, zu verbreiten, öffentlich zu zeigen, zu vermarkten und abgeleitete Arbeiten daraus zu erstellen; und
den Report und/oder dessen Inhalte im Zusammenhang mit der Vermarktung, dem Verkauf oder der Werbung für dieses Programm oder andere Programme (einschließlich interner und externer Verkaufsmeetings, Konferenzpräsentationen, Messen und Screenshots der Einreichung in Pressemitteilungen) in allen Medien (aktuell bekannt oder später entwickelt) zu präsentieren;

Kontaktformular

Um eine schnelle und angemessene Reaktion zu gewährleisten, empfehlen wir die Verwendung unseres Kontaktformulars.