Sicherheitsmeldungen und Sicherheitshinweise für Kärcher-Produkte und -Services

1. Werte und Prinzipien

Cybersicherheit, also der Schutz von Produkten mit digitalen Elementen, der Schutz der Nutzer solcher Produkte und der Schutz anderer Personen vor Cyberbedrohungen, ist für unsere Produkte mit digitalen Elementen von enormer Bedeutung. Wir verfolgen einen Security-by-Design-Ansatz und setzen uns dafür ein, unsere Produkte mit digitalen Elementen während ihres gesamten Lebenszyklus sicher zu halten. Deshalb möchte Kärcher eng mit der Cybersicherheits-Gemeinschaft zusammenarbeiten. Wir ermutigen Forscher, Behörden, Geschäftspartner und andere private und öffentliche Akteure (im Folgenden “Reporter” oder “Sie”) uns bezüglich Schwachstellen in unseren Produkten mit digitalen Elementen zu kontaktieren (sog. “Vulnerability Report”). Derartige Sicherheitsinformationen von Dritten sind ein wertvoller Teil unserer Sicherheitsarchitektur.

2. Melde- und Offenlegungsbedingungen

Kärcher möchte die Kommunikation mit Reportern so einfach und zugänglich wie möglich gestalten. Wir bitten, dabei folgendes zu beachten:

2.1 Allgemeines:

• Vulnerability Reports können in Englisch und Deutsch gesendet werden.

• Kärcher wird Vulnerability Reports vertraulich behandeln, soweit gesetzlich zulässig. Hiervon ausdrücklich ausgenommen sind Informationen, die für die Offenlegung der Schwachstelle erforderlich sind, sowie verbundenene Unternehmen von Kärcher. Eine weitere Geheimhaltungsvereinbarung ist nicht erforderlich.

• Kärcher wird personenbezogene Daten der Reporter nicht ohne deren Zustimmung an Dritte weitergeben. Das gilt nicht für die Weitergabe an verbundene Unternehmen von Kärcher.

• Vulnerability Reports müssen sich auf ein Produkt mit digitalen Elmeneten von Kärcher beziehen, d.h. das Produkt trägt das Kärcher-Logo.

Kärcher wird keine rechtlichen Schritte (sei es zivilrechtlich oder strafrechtlich) im Zusammenhang mit Vulnerability Reports verfolgen, vorausgesetzt:

• der Reporter handelt im Rahmen dieser Policy in gutem Glauben ("good faith") und verfolgt keine kriminellen Absichten;

• der Reporter fügt Kärcher und/oder seinen verbundenen Unternehmen, Kunden, Lieferanten oder Partnern keinen Schaden zu;

• der Reporter beeinträchtigt weder die Privatsphäre oder Sicherheit von Kärcher und/oder seinen verbundenen Unternehmen, Kunden, Lieferanten oder Partnern noch den Betrieb der Dienstleistungen von Kärcher;

• der Reporter wird seine Ergebnisse nicht zu veröffentlichen, bis Kärcher in der Lage war, die Schwachstelle im Einklang mit den Fristen unter 2.3 zu beheben;

• das Vorgehen des Reporters verstösst nicht gegen ein Gesetz; oder

• das Vorgehen des Reporters stört oder kompromittiert keine Daten oder vertraulichen Informationen Dritter.

2.2 Empfohlene Inhalte für einen Vulnerability Report

Wir empfehlen, in einem Vulnerability Report die folgenden Informationen zur Verfügung zu stellen, soweit sie bekannt sind:

• Name des betroffenen IoT-Produkts oder digitalen Dienstes (vorzugsweise mit Typnamen, Seriennummer oder Domainnamen oder URL)

• Kontaktinformationen des Reporters zur weiteren Kommunikation (identifizierbar oder anonym)
• Beschreibung der Auswirkungen, Erkenntnisse oder Schwachstellen (wenn möglich mit Protokollen, Bildern oder anderem zusätzlichen Material, um den Befund zu reproduzieren)
• ID, Kennung oder Kategorie der Schwachstelle bzw. des Reportgegenstands (wenn möglich basierend auf CWE oder OWASP)
• Falls bekannt: Auswirkungen, Abhängigkeiten oder andere Einflüsse des Reportgegenstands
• Wenn bekannt: CVSS3-Score oder eine Schätzen von CVSS-ähnlichen Parameter (z. B. erforderliche Berechtigungen, erforderliche Benutzerinteraktion, Verfügbarkeit von Angriffstools usw.)
• Wenn bekannt: Bekanntheit oder Verbreitung der Schwachstelle oder des Exploits.

Wir werden jeden Vulnerability Report nach dem unten beschriebenen Prozess bearbeiten. Je mehr Informationen wir erhalten, desto besser können wir auf den Vulnerarbility Report reagieren. Wenn wir nicht genügend Informationen erhalten, kann es sein, dass wir den Bericht zurückstellen oder nicht weiterverfolgen.

2.3 Offenlegungsprozess

Vulnerability Reports werden wie folgt von uns bearbeitet:

• Wir prüfen jeden Vulnerability Report sofort nach Eingang bei uns auf Hinweise auf aktiv genutzte Schwachstellen.

• Wir prüfen, ob der Vulnerability Report im Geltungsbereich dieser Policy liegt.

• Wir senden binnen drei Werktagen (Montag bis Freitag) eine erste Antwort.

• Innerhalb von 3 Werktagen nach Eingang des Vulnerability Reports antworten wir mit einer ersten Analyse oder weiteren Rückfragen.

• Nach spätestens 10 Werktagen senden wir eine detaillierte Rückmeldung, die Folgendes enthalten kann: eine Bestätigung oder Ablehnung der gemeldeten Schwachstelle, weitere Fragen zum Sachverhalt oder eine Erklärung, warum die Ermittlung / Behandlung der Schwachstelle noch andauert.

• Kärcher wird validierte und verifizierte Schwachstellen innerhalb von 90 Tagen öffentlich offenlegen, es sei denn, Kärcher erkennt die Schwachstelle und behebt sie, bevor das betroffene Produkt auf den Markt gebracht wird. Diese Frist kann in begründeten Ausnahmefällen in enger Abstimmung mit dem zuständigen nationalen CSIRT von Kärcher einmalig um weitere 90 Tage verlängert werden. Ausnahmsweise kann darüber hinaus die Frist bis zur öffentlichen Offenlegung auf Antrag von Kärcher durch das zuständige nationale CSIRT weiter verlängert werden.

• Die öffentliche Offenlegung erfolgt in der von der ENISA geführten Europäischen Schwachstellendatenbank (EUVD).

Der Prozess gilt als beendet, wenn

• der Vulnerability Report unbegründet ist oder nicht in den Anwendungsbereich dieser Policy fällt;

• die Schwachstelle behoben und öffentlich offengelegt wurde;

• der Reporter auf Rückfragen seitens Kärcher für mindestens 30 Tage nicht reagiert oder weitere Rückfragen nicht möglich sind und die im Vulnerability Report enthaltene Informationen nicht ausreichen, um die Schwachstelle zur reproduzieren oder zu verifizieren; oder
• in Abstimmung mit der zuständigen CSIRT feststeht, dass die Schwachstelle nicht behoben werden kann, und die Offenlegung der Schwachstelle erfolgt ist.

Für den ganzen Prozess gilt Folgendes:

• Die Behebung von Schwachstellen erfolgt so schnell wie möglich.

• Die endgültige Rückmeldung sowie die Sicherheitsmassnahmen hängen von der Komplexität des jeweiligen Einzelfalls ab.

• Wir halten den Reporter über den Fortschritt auf dem Laufenden und benachrichtigen ihn, sobald die Schwachstelle behoben wurde. Das gilt nicht für anonym abgegebene Vulnerability Reports.

• Im Falle von aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen, die sich auf die Sicherheit des Produkts mit digitalen Elementen aus­wirken und von denen Kärcher Kenntnis erlangt, wird Kärcher das zuständige CSIRT und die ENISA innerhalb der gesetzlich festgelegten Fristen benachrichtigen und über alle neuen Informationen und Maßnahmen informieren.

3. Umgang mit Anfragen ausserhalb des Geltungsbereichs dieser Coordinated Vulnerability Disclosure Policy

• Anfragen, die nicht unter diese Policy fallen, können wir über diese Kontaktstelle leider nicht bearbeiten. Wir informieren Sie, falls Ihr Vulnerability Report außerhalb des Geltungsbereichs dieser Policy liegt. Bitte wenden Sie sich in diesem Fall an den Kundendienst, Ihren zuständigen Vertriebsmitarbeiter oder Händler.

4. Nutzungsrechte

Kärcher schätzt jeden Vulnerability Report und möchte, wo immer möglich, Lösungsvorschläge für Sicherheitsprobleme umsetzen. Um den Vulnerability Report sowie Code, Snippets, Images oder andere Quellen mit möglicherweise bestehendem geistigem Eigentum angemessen nutzen zu können, benötigen wir die unten folgenden Nutzungsrechte. Andernfalls können z.B. Sicherheitsupdates und Patches nicht bereitgestellt werden, selbst wenn sie das Sicherheitsproblem lösen.

Sämtliche Rechte am Vulnerability Report verbleiben beim Reporter. Durch Übermittlung eines Vulnerability Reports an Kärcher stimmen Sie jedoch Folgendem zu:

• Sie gewähren Kärcher ein nicht ausschliessliches, unwiderrufliches, zeitlich unbeschränktes, lizenzgebührenfreise, weltweites und unterlizenzierbares Nutzungsrecht in Bezug auf das im Vulnerability Report enthaltene geistige Eigentum, Know How oder Ähnliches zu folgenden Zwecken:

- um den Vulnerability Report zu verwenden, zu überprüfen, zu bewerten, zu testen und anderweitig zu analysieren;

- um den Vulnerability Report und/oder dessen Inhalte ganz oder teilweise zu reproduzieren, zu modifizieren, zu verbreiten, öffentlich zu zeigen, zu vermarkten und abgeleitete Werke daraus zu erstellen;

• Sie stimmen zu, bei Bedarf alle Unterlagen zu unterschreiben, die erforderlich sind, um die von Ihnen oben gewährten Rechte zu bestätigen;
• Sie sind sich bewusst und erkennen an, dass Kärcher möglicherweise Material entwickelt oder in Auftrag gegeben hat, das ähnlich oder identisch mit Ihrem Vulnerability Report ist, und Sie verzichten auf jegliche Ansprüche, die sich möglicherweise aus Ähnlichkeiten mit Ihrem Vulnerability Report ergeben;
• Sie sind sich bewusst und erkennen an, dass Ihnen keine Entschädigung gezahlt wird und dass Kärcher Sie nicht namentlich erwähnen muss (z.B. im Rahmen eines Bug Bounty Programms); und
• Sie bestätigen, dass Ihr Vulnerability Report von Ihnen stammt, dass Sie keine Informationen Dritter verwendet haben, und dass Sie befugt sind, den Vulnerability Report an Kärcher zu übermitteln.

5. Kontaktmöglichkeiten

Wenn Sie eine potenzielle Schwachstelle in einem unserer Produkte oder Dienste entdeckt haben, bitten wir Sie, uns diese über unsere zentrale Anlaufstelle über die unten stehenden Kontaktmöglichkeiten zu melden.

Gute Kommunikation ist wichtig für Vulnerability Reports und eine koordinierte Offenlegung von Schwachstellen. Daher regen wir an, uns zumindest eine Kontaktmöglichkeit, bevorzugt eine Emailadresse, zur Verfügung zu stellen.

Im Falle einer anonymen Meldung über unser Kontaktformular können wir keine Rückfragen stellen. Das kann dazu führen, dass ein Vulnerability Report nur eingeschränkt oder gar nicht bearbeitet wird. Zudem können wir keine Updates oder Feedback im Rahmen dieser Policy geben.

Sie erreichen Kärcher die zentrale Anlaufstelle von Kärcher wie folgt:

Mail: psirt@karcher.com