Richtlinie zur koordinierten Offenlegung von Schwachstellen

Coordinated Vulnerability Disclosure Policy

EFE Elektronik-Forschungs- und Entwicklungsgesellschaft m.b.H., Mühltal

Version 1.0, gültig ab 01.09.2026

1. Zweck und Geltungsbereich

Die Sicherheit unserer Produkte hat für uns hohe Priorität. Unsere Systeme werden z.B. in Krankenhäusern, Pflegeeinrichtungen und Justizvollzugsanstalten eingesetzt, also in Umgebungen, in denen ein Ausfall Menschen gefährden kann. Wir sind deshalb auf Hinweise von Sicherheitsforschern, Kunden, Errichtern und Dritten (nachfolgend „Melder“) angewiesen.

Diese Richtlinie beschreibt, wie Schwachstellen in unseren Produkten und Diensten gemeldet werden und wie wir damit umgehen. Sie setzt die Anforderungen des Art. 13 Abs. 8 in Verbindung mit Anhang I Teil II Nr. 5 und 6 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, „CRA“) um.

1.1 Erfasste Produkte und Systeme (In Scope)

• Rufanlagen der Produktfamilie Multicall (einschließlich Multicall Combi und Multicall Safe IP) sowie zugehörige Komponenten
• Zellenterminal ZEI und weitere Komponenten der JVA-Kommunikationstechnik
• comstop Detektions- und Blockiersysteme einschließlich der zugehörigen Auswerte- und Servicesoftware
• Von uns bereitgestellte Firmware, Konfigurations- und Servicesoftware sowie Update-Pakete
• Die Webpräsenz www.efe-gmbh.de sowie die dort erreichbaren Formulare

1.2 Nicht erfasst (Out of Scope)

• Systeme und Anlagen im Betrieb bei unseren Kunden. Diese unterliegen der Verfügungsgewalt des jeweiligen Betreibers. Wir können und dürfen für Tests an solchen Anlagen keine Erlaubnis erteilen.
• Produkte Dritter, die in Kundenanlagen mit unseren Komponenten zusammenwirken (z. B. Telefonanlagen, Netzwerkkomponenten, Gebäudeleittechnik)
• IT-Systeme unserer Lieferanten und Dienstleister sowie von Dritten betriebene Plattformen

2. Meldung einer Schwachstelle

Maschinenlesbar sind diese Kontaktdaten zusätzlich in unserer security.txt nach RFC 9116 unter https://www.efe-gmbh.de/.well-known/security.txt hinterlegt.

Wenn Sie nicht direkt an uns melden möchten, können Sie sich auch an das BSI als nationale Koordinierungsstelle für die koordinierte Offenlegung von Schwachstellen wenden. Wir arbeiten mit Koordinierungsstellen zusammen.

Hilfreiche Angaben in Ihrer Meldung

• Betroffenes Produkt, Hardware- und Softwarestand bzw. betroffene URL oder Komponente
• Art der Schwachstelle (z. B. Authentifizierungsumgehung, Rechteausweitung, unsicherer Update-Mechanismus, Injection, XSS)
• Schritte zur Reproduktion, nach Möglichkeit mit Proof of Concept
• Mögliche Auswirkungen, insbesondere auf die Verfügbarkeit von Ruf- und Alarmfunktionen
• Ihre Kontaktdaten für Rückfragen

Anonyme Meldungen sind möglich. Wir können Ihnen dann allerdings weder eine Eingangsbestätigung noch eine Rückmeldung zum Bearbeitungsstand geben und keine Abstimmung zur Offenlegung treffen.

Bitte übermitteln Sie uns keine personenbezogenen Daten Dritter, keine Patienten- oder Insassendaten und keine Auszüge aus Kundendatenbeständen. Beschreiben Sie stattdessen den Zugriffsweg.

3. Unser Bearbeitungsprozess

Werktage sind Montag bis Freitag mit Ausnahme der gesetzlichen Feiertage am Sitz des Unternehmens in Hessen.

Den Schweregrad bewerten wir anhand des Common Vulnerability Scoring System (CVSS v4.0) unter Berücksichtigung der tatsächlichen Ausnutzbarkeit in der jeweiligen Einsatzumgebung. Bei bestätigten Schwachstellen beantragen wir bei Bedarf eine CVE-ID.

Betrifft die Meldung eine Komponente eines Dritten, informieren wir zusätzlich den Hersteller bzw. die Stelle, die diese Komponente pflegt, und stellen dieser gegebenenfalls Korrekturen zur Verfügung.

4. Gesetzliche Meldepflichten gegenüber Behörden

Handelt es sich um eine aktiv ausgenutzte Schwachstelle oder um einen schwerwiegenden Sicherheitsvorfall im Sinne des Art. 14 CRA, sind wir als Hersteller unabhängig von dieser Richtlinie zur Meldung an das zuständige CSIRT und die ENISA über die einheitliche Meldeplattform verpflichtet:

• Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung
• Detaillierte Meldung innerhalb von 72 Stunden
• Abschlussbericht bei Schwachstellen innerhalb von 14 Tagen nach Verfügbarkeit einer Abhilfemaßnahme, bei schwerwiegenden Vorfällen innerhalb eines Monats nach der 72-Stunden-Meldung

Betroffene Nutzer informieren wir nach Art. 14 Abs. 8 CRA über die Schwachstelle und die erforderlichen Maßnahmen. Diese gesetzlichen Pflichten bestehen zusätzlich zu unserer Kommunikation mit dem Melder und können nicht durch eine Vertraulichkeitsabrede aufgeschoben werden. Wir stimmen Inhalt und Zeitpunkt einer Veröffentlichung jedoch soweit rechtlich möglich mit Ihnen ab.

5. Koordinierte Offenlegung

• Wir bitten Sie, Details zu einer Schwachstelle nicht zu veröffentlichen, bevor eine Abhilfemaßnahme bereitsteht oder eine gemeinsame Frist vereinbart wurde.
• Als Richtwert streben wir eine Offenlegung innerhalb von 90 Tagen ab Eingangsbestätigung an. Bei aufwendigen Korrekturen, insbesondere wenn Feldgeräte in Justizvollzugsanstalten oder Kliniken aktualisiert werden müssen, kann diese Frist einvernehmlich verlängert werden.
• Nach Bereitstellung einer Abhilfemaßnahme veröffentlichen wir gemäß Anhang I Teil II Nr. 4 CRA ein Security Advisory mit Beschreibung der Schwachstelle, betroffenen Versionen, Auswirkungen, Schweregrad und Handlungsempfehlung.
• Auf Wunsch nennen wir Sie im Advisory namentlich als Melder.
• In begründeten Fällen können wir die Offenlegung beschleunigen (z. B. bei aktiver Ausnutzung) oder aufschieben, bis Nutzer den Patch einspielen konnten.

6. Zusicherungen gegenüber Meldern (Safe Harbor)

Sicherheitsforschung, die in gutem Glauben und im Einklang mit dieser Richtlinie erfolgt, betrachten wir als von uns autorisiert.

Wir werden gegen Melder, die diese Richtlinie einhalten, keine zivilrechtlichen Ansprüche geltend machen und keinen Strafantrag stellen. Voraussetzung ist, dass Sie

• ausschließlich Systeme nach Ziffer 1.1 und dabei nur eigene Geräte in einer Testumgebung untersuchen,
• keine Daten Dritter abrufen, verändern, löschen oder weitergeben,
• Systeme nicht über das für den Nachweis erforderliche Maß hinaus beeinträchtigen,
• keine Schadsoftware, Hintertüren oder dauerhaften Zugänge hinterlassen,
• die Schwachstelle bis zur abgestimmten Offenlegung vertraulich behandeln,
• die Informationen nicht an Dritte verkaufen oder weitergeben.

Diese Zusicherung bezieht sich ausschließlich auf Rechte, über die wir verfügen können. Sie erstreckt sich nicht auf Ansprüche Dritter, insbesondere nicht auf Betreiber von Anlagen, und sie hindert Strafverfolgungsbehörden nicht daran, von Amts wegen tätig zu werden. Sie gilt nicht für Handlungen, die über die Feststellung der gemeldeten Schwachstelle hinausgehen, etwa Datenabfluss, Erpressung, Denial-of-Service-Angriffe oder die Weitergabe an Dritte.

Sollten Dritte wegen einer Untersuchung, die im Einklang mit dieser Richtlinie erfolgt ist, rechtliche Schritte gegen Sie einleiten, werden wir auf Anfrage bestätigen, dass die Tätigkeit von uns autorisiert war.

7. Ausschlüsse und kein Bug-Bounty-Programm

Diese Richtlinie begründet kein Bug-Bounty-Programm. Ein Anspruch auf eine Vergütung besteht nicht.

Nicht von dieser Richtlinie erfasst sind unter anderem:

• Social Engineering und Phishing gegenüber Mitarbeitenden
• Physische Angriffe auf Standorte, Anlagen oder Geräte
• Denial-of-Service- und Spam-Angriffe
• Reine Best-Practice-Hinweise ohne Nachweis der Ausnutzbarkeit, etwa fehlende HTTP-Sicherheitsheader oder Ergebnisse automatisierter Scans ohne Verifikation
• Schwachstellen in Produkten, deren Unterstützungszeitraum abgelaufen ist. Wir nehmen solche Meldungen entgegen und informieren betroffene Nutzer, stellen aber in der Regel kein Update mehr bereit.

8. Unterstützungszeitraum und Sicherheitsinformationen

Den Unterstützungszeitraum legen wir für jedes Produkt anhand der voraussichtlichen Nutzungsdauer fest. Er beträgt mindestens fünf Jahre ab Inverkehrbringen und ist bei den langlebigen Anlagen unserer Produktfamilien entsprechend länger. Die verbindliche Angabe finden Sie in der jeweiligen Produktdokumentation.

Sicherheitsupdates halten wir nach ihrer Bereitstellung mindestens zehn Jahre oder für die verbleibende Dauer des Unterstützungszeitraums bereit, je nachdem, welcher Zeitraum länger ist.

Security Advisories und Informationen zu Sicherheitsupdates veröffentlichen wir unter https://www.efe-gmbh.de/security-advisories/.

Eine Software-Stückliste (SBOM) führen wir für unsere Produkte gemäß Anhang I Teil II Nr. 1 CRA. Sie wird Marktüberwachungsbehörden auf Verlangen zur Verfügung gestellt. Kunden stellen wir produktbezogene SBOM-Informationen im Rahmen der vertraglichen Vereinbarungen bereit.

9. Datenschutz

Personenbezogene Daten aus Ihrer Meldung verarbeiten wir ausschließlich zur Bearbeitung der Schwachstelle, zur Rückmeldung an Sie und zur Erfüllung gesetzlicher Meldepflichten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c und lit. f DSGVO. Eine Weitergabe Ihrer Kontaktdaten an das CSIRT oder die ENISA erfolgt nur, soweit dies für die Meldung nach Art. 14 CRA erforderlich ist. Meldungen und die zugehörige Korrespondenz bewahren wir als Nachweis der Schwachstellenbehandlung für die Dauer des Unterstützungszeitraums des betroffenen Produkts auf. Weitere Informationen finden Sie in unsere Datenschutzerklärung.

10. Kontakt

EFE Elektronik-Forschungs- und Entwicklungsgesellschaft m.b.H. An der Flachsröste 3 64367 Mühltal Deutschland

E-Mail: product-security@efe-gmbh.de Allgemeine Anfragen: info@efe-gmbh.de

11. Änderungshistorie

Version
Datum
Änderung
1.0
01.09.2026
Erstveröffentlichung