Externer Cybersicherheitsstandard und Meldeverfahren

cellumation setzt sich für die Sicherheit, Zuverlässigkeit und Integrität unserer modularen Förderanlagen (celluveyor), unserer Softwarelösungen und unserer digitalen Infrastrukturen ein. Wir schätzen die wichtige Rolle, die Sicherheitsforscher, Kunden und die gesamte Cybersicherheitsgemeinschaft dabei spielen, Systeme sicher zu halten.

Wenn Sie glauben, eine Sicherheitslücke in einem unserer Produkte, Dienste oder Webauftritte entdeckt zu haben, bitten wir Sie, uns diese so bald wie möglich zu melden. Wir verpflichten uns, gemeinsam mit Ihnen schnell und verantwortungsvoll an der Behebung des Problems zu arbeiten.

1. Geltungsbereich

Diese Richtlinie gilt für alle digitalen Vermögenswerte, Produkte und Dienste, die der cellumation GmbH gehören oder von ihr betrieben werden, einschließlich:

• Webauftritte: die Domain cellumation.com und alle zugehörigen Subdomains.
• Produktsoftware (celluveyor): Softwarekomponenten, Firmware und Cloud-Schnittstellen, die auf unseren modularen Förderanlagen ausgeführt werden oder diese steuern (einschließlich cv.SINGULATE, cv.CROSSDOCK, cv.DEPAL/cv.PAL, cv.GO und cmile.SORT).
• APIs und Dienste: öffentlich zugängliche APIs, Kundenportale und von cellumation bereitgestellte Integrationsdienste.

2. Meldung einer Sicherheitslücke

Bitte senden Sie Ihre Erkenntnisse so bald wie möglich an unser eigens dafür eingerichtetes Sicherheits-Postfach:

Damit wir das Problem schnell bewerten und beheben können, geben Sie bitte möglichst viele der folgenden Informationen an:

• Ziel: die konkrete URL, IP-Adresse, der betroffene Produktname sowie die betroffene Firmware- oder Softwareversion.
• Art der Sicherheitslücke: eine kurze Beschreibung der Sicherheitslücke (z. B. SQL-Injection, Remote Code Execution oder Rechteausweitung).
• Reproduktionsschritte: klare, schrittweise Anleitungen, Proof-of-Concept-(PoC-)Code oder Screenshots, die den Exploit veranschaulichen.
• Mögliche Auswirkungen: eine Einschätzung des Schweregrads und der Frage, wie ein Angreifer die Sicherheitslücke ausnutzen könnte.
• Offenlegungsabsicht: ob Sie beabsichtigen, die Erkenntnisse zu veröffentlichen, und welcher Zeitplan dafür vorgesehen ist.

3. Regeln für verantwortungsvolle Sicherheitsforschung

Wir begrüßen Sicherheitsforschung, die nach bestem Wissen und Gewissen durchgeführt wird. Damit Ihre Forschung sicher, konstruktiv und rechtmäßig bleibt, sind die folgenden Vorgaben einzuhalten:

• Keine Schäden oder Betriebsunterbrechungen: Führen Sie keine Tests durch, die zu Ausfallzeiten, Leistungseinbußen oder Betriebsunterbrechungen führen (z. B. Denial-of-Service-/DDoS-Angriffe).
• Datenschutz: Greifen Sie nicht auf Kundendaten, Transaktionsdaten oder personenbezogene Daten zu und verändern, laden oder löschen Sie diese nicht. Sollten Sie versehentlich Zugriff auf sensible Daten oder Daten Dritter erhalten, beenden Sie die Tests unverzüglich, löschen Sie lokale Kopien und informieren Sie uns.
• Kein Social Engineering: Richten Sie keine Phishing-, Social-Engineering- oder physischen Sicherheitsangriffe gegen Mitarbeiter, Auftragnehmer oder Kunden von cellumation.
• Nicht-Produktivumgebungen bevorzugen: Führen Sie Tests nach Möglichkeit mit Testkonten, lokalen Installationen oder in simulierten Umgebungen statt in produktiven Live-Netzwerken durch.
• Vertraulichkeit: Behandeln Sie alle Details der Sicherheitslücke vertraulich, bis wir gemeinsam eine Lösung entwickelt und bereitgestellt haben.

4. Unsere Verpflichtung gegenüber Ihnen

Wenn Sie diese Richtlinie einhalten und nach bestem Wissen und Gewissen handeln, verpflichten wir uns zu folgendem Vorgehen:

• Bestätigung des Eingangs: Wir bestätigen den Eingang Ihrer Meldung innerhalb von 3 Geschäftstagen.
• Bewertung: Wir führen innerhalb von 10 Geschäftstagen eine erste Risikobewertung und Triage durch und halten Sie über den Fortschritt auf dem Laufenden. Meldungen über eine aktive Ausnutzung oder einen potenziell schwerwiegenden Sicherheitsvorfall werden unverzüglich eskaliert und unterliegen nicht der regulären Triage-Frist von 10 Geschäftstagen.
• Behebung: Wir arbeiten abhängig von Schweregrad und Komplexität zeitnah und risikobasiert an der Behebung bestätigter Sicherheitslücken.
• Keine rechtlichen Schritte (Safe Harbor): Wenn Sie diese Richtlinie einhalten und nach bestem Wissen und Gewissen handeln, wird cellumation im Zusammenhang mit Ihrer Forschung keine rechtlichen Schritte einleiten und keine Strafanzeige erstatten.
• Anerkennung: Mit Ihrer ausdrücklichen Zustimmung nennen wir Sie nach Behebung der Sicherheitslücke gern als Mitwirkende bzw. Mitwirkenden und bedanken uns öffentlich für Ihren Beitrag zu unserer Sicherheit.

5. Einhaltung des europäischen Cyber Resilience Act (CRA)

Als Hersteller von Produkten mit digitalen Elementen hält cellumation die im Cyber Resilience Act (CRA) der Europäischen Union festgelegten Melde- und Managementpflichten eng ein. Wenn cellumation Kenntnis von einer aktiv ausgenutzten Sicherheitslücke in einem Produkt mit digitalen Elementen oder von einem schwerwiegenden Vorfall erlangt, der die Sicherheit eines solchen Produkts beeinträchtigt, leitet cellumation parallel zu den internen Verfahren zur Reaktion auf Sicherheitsvorfälle den regulatorischen Meldeprozess ein:

• Frühwarnung innerhalb von 24 Stunden: Eine Frühwarnmeldung wird unverzüglich und in jedem Fall innerhalb von 24 Stunden nach Kenntniserlangung von einer aktiv ausgenutzten Sicherheitslücke über die ENISA-Meldeplattform an die Agentur der Europäischen Union für Cybersicherheit (ENISA) und das zuständige nationale CSIRT (z. B. das BSI in Deutschland) übermittelt.
• Detaillierte Meldung innerhalb von 72 Stunden: Innerhalb von 72 Stunden wird ein Bericht mit Angaben zur Sicherheitslücke, ihren ersten Auswirkungen und den unter Berücksichtigung aller verfügbaren Informationen vorgesehenen Abhilfemaßnahmen übermittelt.
• Behebung und Abschluss: Innerhalb von 14 Tagen (bei einem schwerwiegenden Vorfall innerhalb eines Monats) wird eine formelle Aktualisierung und ein Abschlussbericht übermittelt, in dem die bereitgestellten dauerhaften Patches oder Workarounds beschrieben werden.