DATRON unterstützt die koordinierte Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD) und bittet Meldende, DATRON vor einer öffentlichen Offenlegung ausreichend Zeit zu geben, gemeldete Sicherheitslücken zu untersuchen, zu bewerten und geeignete Abhilfemaßnahmen umzusetzen. Soweit gesetzlich vorgeschrieben, insbesondere im Rahmen des EU Cyber Resilience Act (CRA), erfüllt DATRON seine Verpflichtungen hinsichtlich des Schwachstellenmanagements, der Dokumentation sowie der Meldung relevanter Sicherheitsvorfälle und Schwachstellen an zuständige Behörden.

Bitte senden Sie Meldungen zu Sicherheitslücken und sicherheitsrelevante Informationen an: product-security@datron.de

DATRON behandelt alle Meldungen vertraulich und in Übereinstimmung mit den geltenden gesetzlichen und regulatorischen Anforderungen, einschließlich des EU Cyber Resilience Act (CRA). Wir fördern die verantwortungsvolle und koordinierte Offenlegung von Schwachstellen, um unsere Kunden, Partner sowie unsere Produkte und Dienstleistungen bestmöglich zu schützen. Für die Meldung einer Sicherheitslücke oder die Zusammenarbeit im Rahmen der Analyse und Behebung einer Schwachstelle ist keine Vertraulichkeitsvereinbarung (NDA) erforderlich. Sofern nicht ausdrücklich anders angegeben, betreibt DATRON derzeit kein Bug-Bounty-Programm.

Informationen, die Ihre Meldung enthalten sollte

Um gelemdete Schwachstellen effizienter bewerten und bearbeiten zu können, bitten wir Sie, möglichst viele der folgenden Informationen bereitzustellen.

Angaben zur meldenden Person:

• Name der meldenden Person (optional; anonyme Meldungen werden akzeptiert)
• E-Mail-Addresse und Telefonnummer für Rückfragen
• Organisation, Unternehmen oder sonstige Zugehörigkeit (falls zutreffend)

 Angaben zur Schwachstelle:

• Art der Schwachstelle: Beschreiben Sie die Kategorie der Schwachstelle, beispielsweise Cross-Site Scripting (XSS), Buffer Overflow, Authentifizierungsumgehung, fest hinterlegte Zugangsdaten (Hard-Coded Credentials), Rechteausweitung (Privilege Escalation), Denial-of-Service oder ähnliche Sicherheitsprobleme.
• Proof of Concept (PoC): Fügen Sie nach Möglichkeit Code, Skripte, Screenshots, Log-Dateien, Netzwerkaufzeichnungen (PCAPs) oder eine Schritt-für-Schritt-Anleitung bei, mit deren Hilfe die Schwachstelle nachvollzogen oder reproduziert werden kann.
• Beobachtete Auswirkungen: Beschreiben Sie die tatsächlichen oder potenziellen Auswirkungen auf die Vertraulichkeit, Integrität, Verfügbarkeit oder Sicherheit sowie mögliche betriebliche Auswirkungen.
• Betroffene Produkte und Komponenten: Geben Sie an, welche DATRON Produkte, Softwareversionen, Firmwarestände, Dienstleistungen oder Komponenten betroffen sind. Bitte nennen Sie nach Möglichkeit Versionsnummern, Konfigurationen, Seriennummern (sofern relevant), URLs oder Angaben zur Betriebsumgebung.
• Reproduktionsschritte: Stellen Sie ausreichende Informationen zur Verfügung, damit die Schwachstelle zuverlässig nachvollzogen und reproduziert werden kann.
• Status der Offenlegung: Teilen Sie uns mit, ob die Schwachstelle bereits öffentlich bekannt gemacht wurde, an Dritte gemeldet wurde oder eine Veröffentlichung geplant ist.

DATRON wird den Eingang Ihrer Meldung innerhalb von drei (3) Arbeitstagen bestätigen. Wir bedanken uns bei Sicherheitsforschenden, Kunden, Partnern und allen weiteren Beteiligten, die durch die verantwortungsvolle Meldung von Schwachstellen zur Verbesserung der Cybersicherheit und Resilienz unserer Produkte und Dienstleistungen beitragen. Ihre Unterstützung hilft dabei, unsere Kunden zu schützen und DATRONs Engagement für Produktsicherheit, Cybersecurity und die Einhaltung europäischer Cybersecurity-Anforderungen weiter zu stärken.