PSIRT
Produkte und Firmware
Schwachstellen in Rommelag-Produkten, Firmware, Apps und produktbezogenen Diensten.
Sicherheitslücke melden
Dies ist die zentrale Anlaufstelle von Rommelag SE & Co. KG für die Meldung von Sicherheitslücken in unseren Produkten und Diensten. Vielen Dank, dass Sie dazu beitragen, unsere Nutzenden zu schützen.
Bitte lesen Sie vor Ihrer Meldung unsere Richtlinie zur koordinierten Offenlegung von Schwachstellen. Sie beschreibt den Geltungsbereich, die Spielregeln, unsere Reaktionszeiten und unsere Safe-Harbour-Zusage für Sicherheitsforschende, die in gutem Glauben handeln.
Wir bestätigen jede Meldung innerhalb von 3 Werktagen.
Aktive Ausnutzung oder laufender Vorfall? Senden Sie Ihre Meldung an psirt@rommelag.com mit dem Betreff DRINGEND und vermerken Sie den Hinweis auf die aktive Ausnutzung deutlich am Anfang Ihrer Meldung.
So erreichen Sie uns
Wir betreiben eine zentrale Anlaufstelle für alle Schwachstellenmeldungen. Das PSIRT-Postfach erreicht unser Product Security Incident Response Team, das für Schwachstellen in unseren ausgelieferten Produkten zuständig ist. Schwachstellen in unserer eigenen IT-Infrastruktur und in unseren Webangeboten bearbeitet unser Corporate Security Incident Response Team. Wenn Sie unsicher sind, welcher Weg der richtige ist, schreiben Sie an das PSIRT-Postfach – wir leiten die Meldung intern weiter.
CSIRT
Unternehmens-IT
Schwachstellen und Vorfälle in unserer eigenen IT-Infrastruktur und unseren Webangeboten.
RFC 9116
Maschinenlesbar
Unsere Kontaktdaten und diese Richtlinie in maschinenlesbarer Form.
Security Team
Post
Rommelag SE & Co. KG
Security Team
Talstraße 22-30
74429 Sulzbach-Laufen, Germany
Meldungen können auf Deutsch oder Englisch eingereicht werden. Anonyme Meldungen akzeptieren wir; bitte beachten Sie jedoch, dass wir Ihnen dann weder Rückfragen stellen noch das Ergebnis mitteilen können.
Bitte beachten Sie, dass E-Mail unverschlüsselt übertragen wird.
Bitte nutzen Sie nicht unsere allgemeinen Support-Kanäle, Vertriebskontakte, Social Media oder öffentliche Issue-Tracker für Schwachstellenmeldungen. Eine Veröffentlichung vor Bereitstellung einer Korrektur gefährdet unsere Nutzenden.
Was Ihre Meldung enthalten sollte
Je präziser Ihre Meldung ist, desto schneller können wir nachvollziehen und beheben. Hilfreich sind:
- betroffenes Produkt, genaue Version bzw. Firmware-Stand und betroffene Komponente;
- Konfiguration und Umgebung, in der Sie das Problem beobachtet haben;
- Art der Schwachstelle (z. B. CWE-Klasse) und technische Beschreibung;
- Schritt-für-Schritt-Beschreibung, mit der wir das Problem reproduzieren können;
- Proof of Concept: Request/Response-Beispiele, Logauszüge, Screenshots, Skripte oder ein kurzes Video;
- Ihre Einschätzung der Auswirkungen und – falls vorhanden – ein CVSS-v3.1- oder v4.0-Vektor;
- Voraussetzungen für die Ausnutzung (Netzwerkposition, Authentifizierung, Nutzerinteraktion);
- ob die Schwachstelle bereits öffentlich bekannt ist oder aktiv ausgenutzt wird;
- ob Sie sie bereits einer anderen Stelle gemeldet haben (z. B. einem CERT/CSIRT oder einem Koordinator);
- ein von Ihnen geplantes Veröffentlichungsdatum sowie Ihr Wunsch zur Nennung als Meldende bzw. Meldender;
- Kontaktdaten für Rückfragen.
Anlagen wie Proof of Concept, Skripte, Logauszüge, Screenshots, Mitschnitte oder ein kurzes Video sind willkommen. Bitte senden Sie keine personenbezogenen Daten oder Kundendaten über das für das Verständnis unvermeidbare Maß hinaus. Für große Dateien sprechen Sie uns bitte vorab unter psirt@rommelag.com an, damit wir eine Übermittlung vereinbaren können.
Nennung und Veröffentlichung
Wir nennen Sie im Security Advisory gern mit Namen, Pseudonym, Organisation und Link – genau so, wie Sie es wünschen. Bitte teilen Sie uns in Ihrer Meldung mit, wie Sie genannt werden möchten, oder dass Sie nicht genannt werden wollen.
Planen Sie eine eigene Veröffentlichung, nennen Sie uns bitte das vorgesehene Datum. Unser Standard-Abstimmungsfenster beträgt 90 Tage; wir sprechen Sie an, wenn wir mehr Zeit benötigen.
Umgang mit Ihren Daten
Wir verarbeiten Ihre Angaben ausschließlich zur Bearbeitung Ihrer Meldung, zur sicherheitsbezogenen Kommunikation mit Ihnen und zur Erfüllung unserer gesetzlichen Pflichten. Einzelheiten stehen in Abschnitt 10 der CVD-Richtlinie und in unserer Datenschutzerklärung.
