Richtlinie zur Offenlegung von Schwachstellen

Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD) für iw.hub und das Idealworks Orchestration System (Idealworks OS)

So gehen wir mit Meldungen um

Geltungsbereich

Diese Richtlinie gilt für Schwachstellen, die die Vertraulichkeit, Integrität, Verfügbarkeit oder Betriebssicherheit folgender Produkte und Systeme beeinträchtigen könnten:

  • iw.hub (Roboterplattform) — Von Idealworks entwickelte oder integrierte Onboard-Hardware und -Firmware/-Software, darunter der IPC-Anwendungsstack, die Software für Robotersteuerung und Navigation sowie die von Idealworks entwickelte Konfiguration der Onboard-Netzwerke und sicherheitsnahen Komponenten.
  • Idealworks OS (Flottenorchestrierung) — Die mandantenfähige, cloudbasierte Plattform von Idealworks für die Flottenorchestrierung: APIs, MQTT-Broker und Messaging-Schicht, Web- und Bedienanwendungen, Authentifizierung und Mandantentrennung sowie die zugehörige, von Idealworks betriebene Cloud-Infrastruktur.
  • Schnittstellen zwischen iw.hub und Idealworks OS — Device-to-Cloud-Kanäle (MQTT, API, Bereitstellung von Zertifikaten und Zugangsdaten), über die Roboter mit der Plattform für die Flottenorchestrierung verbunden sind.
  • Unternehmens-IT von Idealworks (im Geltungsbereich, niedrigere Priorität) — idealworks.com und weitere Webauftritte des Unternehmens, sofern sich eine Schwachstelle gegen die Produktsicherheit oder Kundendaten ausnutzen ließe.

Nicht im Geltungsbereich / mit besonderer Vorsicht

  • Komponenten von Drittanbietern, die in iw.hub oder Idealworks OS eingebettet sind und deren Konformität mit dem Cyber Resilience Act (CRA) in der Verantwortung des jeweiligen Herstellers liegt. Bitte melden Sie diese Schwachstellen auch direkt beim jeweiligen Anbieter. Über eine Kopie an uns freuen wir uns. So können wir die Schwachstelle in unserem Komponentenregister erfassen und gegebenenfalls in unsere Sorgfaltsprüfung der Lieferkette aufnehmen.
  • Denial-of-Service-Tests, physische Angriffe auf Kundenstandorte oder Roboter im laufenden Betrieb, Social Engineering gegenüber Mitarbeitenden oder Kunden von Idealworks sowie alle Tests, die Personen gefährden könnten. Der iw.hub ist eine sicherheitsrelevante Maschine.
  • Schwachstellen in veralteten oder nicht mehr unterstützten Produktversionen, die durch keinen aktiven Supportvertrag mehr abgedeckt sind.

So melden Sie eine Schwachstelle

Wenn Sie eine Sicherheitslücke in iw.hub, Idealworks OS oder einer Schnittstelle zwischen beiden gefunden haben, melden Sie sie uns bitte wie folgt:

  • E-Mail: cybersecurity@idealworks.com, unsere überwachte Kontaktadresse für Sicherheitsthemen.
  • security.txt: https://idealworks.com/.well-known/security.txt gemäß RFC 9116, mit Verweis auf diese Richtlinie und die oben genannte Kontaktadresse.

Bitte melden Sie eine vermutete Schwachstelle so bald wie möglich nach der Entdeckung. Teilen Sie Details weder öffentlich noch mit Dritten, bis wir die Gelegenheit hatten, die Schwachstelle zu prüfen und zu beheben.

Idealworks nimmt Schwachstellenmeldungen aus allen Quellen entgegen, darunter von unabhängigen Sicherheitsforschenden, Kunden, Industriepartnern, Lieferanten und Beratern. Im Sinne dieser Richtlinie ist eine Schwachstelle eine Schwäche, Anfälligkeit oder Fehlfunktion eines Idealworks-Produkts mit digitalen Elementen oder eines zugehörigen Dienstes, die ausgenutzt werden kann, um die Vertraulichkeit, Integrität oder Verfügbarkeit dieses Produkts, seiner Daten oder seiner Funktionen zu beeinträchtigen.

Was Ihre Meldung enthalten sollte

Damit wir Ihren Fund schnell einordnen und nachvollziehen können, geben Sie bitte möglichst viele der folgenden Informationen an:

  • Eine klare Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen (z. B. was ein Angreifer unter welchen Bedingungen erreichen könnte).
  • Das betroffene Produkt, die Komponente, Version/Firmware, Umgebung oder URL bzw. den Endpunkt.
  • Eine Schritt-für-Schritt-Anleitung zur Reproduktion, einschließlich der verwendeten Tools, Skripte oder Anfragen.
  • Proof-of-Concept-Code, Paketmitschnitte, Screenshots oder Logs, sofern vorhanden (bitte schwärzen Sie personenbezogene Daten und Kundendaten, die für den Nachweis nicht nötig sind).
  • Ihre Einschätzung des Schweregrads und gegebenenfalls eine CVSS-Bewertung (optional).
  • Ob die Schwachstelle bereits anderweitig offengelegt wurde oder eine CVE-Kennung hat.
  • Ihre Kontaktdaten.

Unsere Zusage an Sie (Safe Harbor)

Wenn Sie in gutem Glauben und im Einklang mit dieser Richtlinie handeln, wird Idealworks:

  • keine rechtlichen Schritte gegen Sie einleiten oder unterstützen, die sich auf Sicherheitsforschung im Rahmen dieser Richtlinie beziehen.
  • Ihre Meldung gemeinsam mit Ihnen nachvollziehen und validieren und Rückfragen auf das Nötige beschränken.
  • den Eingang Ihrer Meldung bestätigen und Sie über den Fortschritt auf dem Laufenden halten.


Sicherheitsforschung in gutem Glauben bedeutet im Sinne dieser Richtlinie, dass Sie:

  1. Datenschutzverletzungen, die Zerstörung von Daten sowie Unterbrechungen oder Beeinträchtigungen unserer Dienste vermeiden.
  2. nur mit Konten, Daten und Systemen interagieren, die Ihnen gehören oder für die Sie eine ausdrückliche Erlaubnis haben, oder Test- und Demo-Umgebungen nutzen, sofern wir diese bereitstellen.
  3. eine Schwachstelle nur so weit ausnutzen, wie es für den Nachweis nötig ist (z. B. kein Lateral Movement, keine Exfiltration von Kundendaten über einen minimalen Nachweis hinaus).
  4. uns eine angemessene Frist zur Behebung einräumen, bevor Sie etwas veröffentlichen.

Anerkennung

Idealworks betreibt derzeit kein bezahltes Bug-Bounty-Programm.

Schwachstelle melden

Informationen dazu, wie wir personenbezogene Daten verarbeiten, finden Sie in unserer Datenschutzerklärung.