Nach Ihrer Meldung antworten wir Ihnen spätestens zu den hier genannten Zeiten.
Sollte eine Behebung länger dauern, stimmen wir den Zeitplan mit Ihnen ab.

(Weitere Informationen)

Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD-Policy)
Tebis Technische Informationssysteme AG

Die Sicherheit unserer Produkte und unserer Kunden hat für uns hohe Priorität. Trotz aller Sorgfalt lassen sich Schwachstellen nicht vollständig ausschließen. Wir schätzen die Arbeit von Sicherheitsforschenden, Kunden und Partnern, die uns auf mögliche Schwachstellen hinweisen, und arbeiten mit ihnen zusammen, um diese verantwortungsvoll zu beheben und offenzulegen.

Diese Richtlinie beschreibt, wie Sie uns Schwachstellen melden, was Sie von uns erwarten dürfen und welche Regeln für eine koordinierte Offenlegung gelten. Sie dient zugleich der Umsetzung der Anforderungen der EU-Verordnung 2024/2847 (Cyber Resilience Act).

Diese Richtlinie gilt für:

• Tebis CAD/CAM Version 4.0 R9, Version 4.1 und zukünftige Releases einschließlich zugehöriger Komponenten wie Installer, Lizenzserver, Updater und Schnittstellen
• Tebis ProLeiS
• von Tebis bereitgestellte Online-Dienste und Webanwendungen unter tebis.com, tebis.cloud und deren Subdomains
  

Sicherheitsupdates stellen wir ausschließlich für die hier genannten Produkte und Versionen bereit.

Nicht im Geltungsbereich

• Produkte oder Versionen, die oben nicht aufgeführt sind
• Schwachstellen in Drittsoftware, sofern sie Tebis-Produkte nicht betreffen; bitte melden Sie diese direkt an den jeweiligen Hersteller
• Ergebnisse automatisierter Scans ohne nachvollziehbaren Sicherheitsbezug
• Social Engineering, Phishing oder physische Angriffe auf Tebis-Mitarbeitende oder -Standorte
• Denial-of-Service-Tests gegen Tebis-Infrastruktur

Senden Sie Ihre Meldung an security@tebis.com, für Tebis ProLeiS alternativ an security@tebisproleis.com.

Für sensible Details wie Proof-of-Concept-Code oder Exploit-Beschreibungen nutzen Sie bitte unseren verschlüsselten Upload. Senden Sie uns zusätzlich eine kurze E-Mail ohne technische Details, damit wir Ihre Meldung zuordnen können. Wir nehmen Meldungen auf Deutsch und Englisch entgegen.

Hilfreich sind folgende Angaben:

• betroffenes Produkt und Version(en)
• Art der Schwachstelle und mögliche Auswirkungen
• Schritte zur Reproduktion, gegebenenfalls ein Proof of Concept
• Ihre Einschätzung des Schweregrads, zum Beispiel als CVSS-Vektor
• ob die Schwachstelle nach Ihrem Kenntnisstand bereits aktiv ausgenutzt wird
• Ihre Kontaktdaten und ob Sie namentlich genannt werden möchten
• Auch unvollständige Meldungen sind willkommen. Bei Rückfragen melden wir uns.

Wir bewerten jede Meldung, informieren Sie über das Ergebnis und halten Sie über den Fortschritt auf dem Laufenden. Dauert eine Behebung länger, stimmen wir den Zeitplan mit Ihnen ab.

Für bestätigte Schwachstellen stellen wir kostenlose Sicherheitsupdates bereit, informieren betroffene Kunden und veröffentlichen nach der Behebung einen Sicherheitshinweis auf dieser Seite. Wo angemessen, beantragen wir eine CVE-Kennung.

Wir bitten Sie, Informationen über eine Schwachstelle erst zu veröffentlichen, wenn eine Korrektur verfügbar ist oder 90 Tage nach Ihrer Meldung vergangen sind, je nachdem, was früher eintritt. Den Veröffentlichungszeitpunkt stimmen wir gern gemeinsam mit Ihnen ab.

Wird eine Schwachstelle nachweislich aktiv ausgenutzt, behalten wir uns vor, Kunden früher zu informieren und Schutzmaßnahmen zu veröffentlichen.

Als Hersteller sind wir nach dem Cyber Resilience Act verpflichtet, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an das zuständige CSIRT und die ENISA zu melden. Dieser Pflicht kommen wir nach. Ihre persönlichen Daten geben wir dabei nur weiter, wenn dies erforderlich ist oder Sie zugestimmt haben.

Unabhängig davon steht es Ihnen frei, Schwachstellen auch direkt dem zuständigen CSIRT zu melden, in Deutschland dem Bundesamt für Sicherheit in der Informationstechnik (BSI).

Wir bitten Sie, bei Ihrer Forschung:

• nur so weit vorzugehen, wie es zum Nachweis der Schwachstelle nötig ist
• nicht auf Daten Dritter zuzugreifen und diese weder zu verändern, zu löschen noch zu speichern; versehentlich erlangte Daten löschen Sie bitte unverzüglich und informieren uns darüber
• keine Systeme zu beeinträchtigen oder deren Verfügbarkeit zu gefährden
• keine Hintertüren zu installieren und Zugänge nicht dauerhaft zu nutzen
• Informationen über die Schwachstelle vertraulich zu behandeln, bis sie koordiniert offengelegt wird
• keine Gegenleistung als Bedingung für die Offenlegung zu fordern
  

Wenn Sie in gutem Glauben und im Einklang mit dieser Richtlinie handeln, werden wir keine rechtlichen Schritte gegen Sie einleiten und keine Strafanzeige im Zusammenhang mit Ihrer Meldung erstatten. Diese Zusicherung bezieht sich ausschließlich auf Ansprüche von Tebis; Rechte Dritter können wir nicht ausschließen.

Wir bieten derzeit kein Bug-Bounty-Programm mit finanzieller Vergütung an. Mit Ihrem Einverständnis nennen wir Sie gern im jeweiligen Sicherheitshinweis.

Wir überprüfen diese Richtlinie regelmäßig und passen sie bei Bedarf an, insbesondere die Liste der unterstützten Versionen. Es gilt jeweils die unter www.tebis.com/de/security veröffentlichte Fassung. Bei Abweichungen zwischen den Sprachfassungen ist die deutsche Fassung maßgeblich.

Derzeit liegen keine veröffentlichten Sicherheitshinweise vor.