KORE-Richtlinie zur verantwortungsvollen Offenlegung
Einleitung
Sollten Sie eine Sicherheitslücke in einem System, Netzwerk oder einer Anwendung der KORE-Gruppe (zu der die Muttergesellschaft sowie alle verbundenen Unternehmen und Tochtergesellschaften gehören) entdeckt haben, möchten wir davon erfahren, damit wir geeignete Maßnahmen ergreifen können, um das Problem so schnell wie möglich zu beheben. Im Folgenden legen wir die Regeln für die Zusammenarbeit dar, an die sich sowohl KORE als auch Sie halten müssen.
Richtlinie
Bei KORE nehmen wir die Informationssicherheit sehr ernst. Wir sind uns bewusst, dass kein System jemals vollkommen sicher sein kann, und sind uns daher stets bewusst, dass in unseren Systemen Schwachstellen bestehen können. Da die Vertraulichkeit und Integrität unserer Kundendaten für uns oberste Priorität haben, bitten wir Sie, uns zu benachrichtigen, falls Sie eine Schwachstelle in unseren Systemen feststellen sollten.
Unsere Richtlinie zur verantwortungsvollen Offenlegung umfasst eine Reihe von Regeln, an die sich sowohl KORE als auch die Person, die die Sicherheitslücke meldet, halten sollte. Bitte beachten Sie, dass KORE kein sogenanntes „Bug-Bounty-Programm“ unterhält, im Rahmen dessen dem Entdecker einer Sicherheitslücke (hohe) finanzielle Belohnungen gewährt werden.
Was wird KORE tun?
- Wir werden jede Meldung stets prüfen und darauf reagieren.
- Wir werden innerhalb von 3 Werktagen auf eine Meldung reagieren und die personenbezogenen Daten des Finders vertraulich behandeln.
- Sollten wir das Vorliegen einer Sicherheitslücke bestätigen, werden wir den Entdecker über den angemessenen Zeitrahmen informieren, innerhalb dessen wir das Problem beheben möchten.
- Sollten wir uns entscheiden, die Sicherheitslücke öffentlich zu machen, werden wir uns mit der Person beraten, die die Sicherheitslücke entdeckt hat. Wir werden den Entdecker öffentlich würdigen, sofern er dies wünscht.
- Sofern diese Richtlinie eingehalten wird, wird KORE davon absehen, (versuchte) Hackerangriffe bei der Polizei anzuzeigen.
Was wir von Ihnen erwarten
- Sie werden die festgestellte Sicherheitslücke ausschließlich an KORE melden und daher nicht an Dritte.
- Ihr Bericht sollte so viele Informationen wie möglich enthalten, damit die Sicherheitslücke identifiziert werden kann. Zu diesen Informationen gehören unter anderem: IP-Adressen, Protokolldateien, URLs, Zeitstempel, Screenshots usw.
- Sie werden dafür sorgen, dass Ihre Handlungen während und nach dem Prozess der Identifizierung von Schwachstellen stets in gutem Glauben erfolgen, was bedeutet, dass Sie:
- Die Sicherheitslücke darf zu keinem anderen Zweck als zur Überprüfung ihres Vorhandenseins genutzt oder ausgenutzt werden;
- Keine Informationen aus dem betreffenden System kopieren, ändern, verschieben oder entfernen;
- Es werden keine Änderungen am betreffenden System selbst vorgenommen; und
- Wird in keiner Weise und in keiner Form Zugang zu dem betreffenden System gewähren oder dabei helfen, diesen zu gewähren.
- Der Entdecker kann die festgestellte Sicherheitslücke anonym melden. Für die weitere Kommunikation benötigen wir jedoch eine gültige E-Mail-Adresse von Ihnen.
Wie kann man einen Vorfall melden?
Um uns eine in einem unserer Systeme festgestellte Sicherheitslücke zu melden, wenden Sie sich bitte an [email protected]. Um die Vertraulichkeit und Integrität der Daten zu gewährleisten, bitten wir Sie, diese zu verschlüsseln. Unser öffentlicher Schlüssel ist unten aufgeführt oder kann von den üblichen PGP-Schlüsselservern abgerufen werden. Unsere Schlüssel-ID lautet 1BAF317C, 4096 Bit RSA, erstellt am 03.05.2019, gültig bis zum 02.07.2027, mit folgendem Schlüssel-Fingerabdruck:Key fingerprint = 7E080B7582A490431019B4B2FF842ABC1BAF317C
So rufen Sie unseren Schlüssel am einfachsten ab:gpg --recv-keys 1BAF317C
Nachfolgend finden Sie unseren öffentlichen Schlüssel:-----BEGIN PGP PUBLIC KEY BLOCK-----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=/ZV6
-----END PGP PUBLIC KEY BLOCK-----
Wenn Sie sich nicht an die Einsatzregeln halten
Sollten Sie eines unserer Systeme hacken und sich nicht an die in diesem Verfahren festgelegten Verhaltensregeln halten, wird KORE den Vorfall in jedem Fall der Polizei melden.
