Sicherheit

Die Sicherheit unserer Software ist uns wichtig. Wenn Sie eine Schwachstelle gefunden haben, teilen Sie sie uns bitte mit, damit wir sie beheben und unsere Nutzer schützen können. Diese Richtlinie beschreibt, wie Sie eine Schwachstelle melden und was Sie von uns erwarten können.

Geltungsbereich

Diese Richtlinie gilt für:

• die gesamte Software der LabCognition, Analytical Software GmbH & Co. KG, unter jedem Markennamen, einschließlich Software, die unsere Partner unter ihrer eigenen Marke anbieten („powered by LabCognition"),
• den License Leasing Server,
• unseren Lizenzserver und das Lizenzportal unter licensing.labcognition.com,
• unsere Webseite unter www.labcognition.com.

Nicht erfasst ist Software anderer Unternehmen, in die unsere Module integriert sind. Bitte melden Sie Schwachstellen in solcher Software dem jeweiligen Unternehmen. Wenn Sie vermuten, dass die Ursache in einem unserer Module liegt, können Sie sie zusätzlich uns melden.

Schwachstellen in Komponenten Dritter, die wir verwenden, fallen unter diese Richtlinie. Die Behebung stimmen wir mit den Verantwortlichen der Komponente ab.

So melden Sie eine Schwachstelle

Senden Sie Ihre Meldung per E-Mail an security@labcognition.com, auf Deutsch oder Englisch.

Bitte geben Sie an:

• das betroffene Produkt, die Marke und die Version,
• eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen,
• die Schritte zur Reproduktion und, falls vorhanden, einen Proof of Concept,
• wie wir Sie erreichen können und ob Sie namentlich genannt werden möchten.

Bitte nutzen Sie für Meldungen nicht unseren allgemeinen Support oder soziale Medien, und fügen Sie keine personenbezogenen Daten Dritter bei.

Unsere Zusagen

Wir halten Sie über den Fortschritt auf dem Laufenden und informieren Sie, sobald eine Behebung verfügbar ist. Benötigen wir länger, erklären wir Ihnen den Grund.

Sicherheitsupdates stellen wir während des gesamten in unseren Lizenzbedingungen genannten Supportzeitraums kostenlos bereit: 10 Jahre für Software mit Gerätesteuerung und 5 Jahre für Software ohne.

Koordinierte Offenlegung

Bitte geben Sie uns Gelegenheit, die Schwachstelle zu beheben, bevor Sie sie veröffentlichen. Wir bitten Sie, zu warten, bis eine Behebung verfügbar ist, längstens 90 Tage nach Ihrer Meldung. Den Zeitpunkt der Veröffentlichung stimmen wir mit Ihnen ab. Wird die Schwachstelle aktiv ausgenutzt, können wir früher eine Warnung veröffentlichen.

Mit der Behebung veröffentlichen wir einen Sicherheitshinweis und informieren die registrierten Nutzer. Mit Ihrer Einwilligung nennen wir Sie in dem Hinweis.

Nach dem EU Cyber Resilience Act melden wir aktiv ausgenutzte Schwachstellen dem zuständigen CSIRT und der ENISA. Sie können Schwachstellen auch selbst einem CSIRT melden; in Deutschland ist dies das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Regeln für Sicherheitsforschung

Wir werden keine rechtlichen Schritte gegen Sie einleiten und keine Strafanzeige erstatten, wenn Sie in gutem Glauben forschen und diese Regeln einhalten:

• Testen Sie nur Installationen und Lizenzen, die Ihnen gehören oder für die Sie berechtigt sind.
• Greifen Sie nicht auf Daten anderer zu und ändern oder löschen Sie diese nicht, außer im minimal nötigen Umfang, um die Schwachstelle nachzuweisen.
• Beeinträchtigen Sie weder unsere Dienste noch die unserer Kunden, etwa durch Denial-of-Service-Angriffe, Spam oder Lasttests gegen unsere Server.
• Nutzen Sie kein Social Engineering, Phishing und keine physischen Angriffe.
• Umgehen Sie keine Lizenzprüfung, geben Sie keine Lizenzschlüssel weiter und nutzen Sie keine Schwachstelle, um Lizenzen zu erlangen.
• Melden Sie uns die Schwachstelle unverzüglich und behandeln Sie sie vertraulich, bis sie behoben ist oder die oben genannte Frist abgelaufen ist.

Wenn Sie unsicher sind, ob eine Handlung erlaubt ist, fragen Sie uns vorher unter security@labcognition.com.

Wir betreiben kein Bug-Bounty-Programm und zahlen keine Vergütung für Meldungen.

Ihre Daten

Wir verarbeiten Ihre Kontaktdaten und Ihre Meldung, um die Schwachstelle zu bearbeiten. Einzelheiten finden Sie in unserer Datenschutzerklärung, Abschnitt „Softwarelizenzierung, Aktivierung und Support".