Meldung von Schwachstellen

Einleitung

Die Megger-Gruppe (zusammen „Megger“ oder die „Gruppe“ bzw. „wir“ oder „uns“) verpflichtet sich, die Sicherheit, Vertraulichkeit, Integrität, Verfügbarkeit und rechtmäßige Verarbeitung ihrer Systeme, Dienste, Anwendungen und Daten zu gewährleisten, einschließlich personenbezogener Daten, die im Auftrag von Kunden, Mitarbeitern, Partnern und anderen Interessengruppen verarbeitet werden.

Diese Richtlinie zur koordinierten Meldung von Schwachstellen („Richtlinie“) stellt einen Mechanismus bereit, über den Einzelpersonen vermutete Sicherheitslücken in Systemen oder Diensten melden können, die sich im Eigentum von Megger befinden oder von Megger betrieben werden.

Diese Richtlinie soll eine sichere Behandlung von Schwachstellen unterstützen und zugleich die Vertraulichkeit, Integrität und Verfügbarkeit von Informationswerten schützen sowie die Einhaltung geltender gesetzlicher, regulatorischer, datenschutzrechtlicher und die Privatsphäre betreffender Pflichten sicherstellen.

Diese Richtlinie orientiert sich an einschlägigen Branchenleitlinien und Standards, darunter:

Leitfaden zur Coordinated Vulnerability Disclosure der Cybersecurity and Infrastructure Security Agency
National Institute of Standards and Technology SP 800-216
Internationale Organisation für Normung ISO/IEC 29147 – Vulnerability Disclosure
Internationale Organisation für Normung ISO/IEC 30111 – Vulnerability Handling Processes
RFC 9116

Diese Richtlinie ist zusammen mit den Nutzungsbedingungen von Megger, dem Supply Chain Code of Conduct, der Datenschutzerklärung, den Informationssicherheitsrichtlinien, den Datenschutzrichtlinien sowie allen sonstigen anwendbaren rechtlichen oder vertraglichen Bestimmungen zu lesen.

Geltungsbereich

Diese Richtlinie gilt für über das Internet erreichbare Systeme, Anwendungen, Websites und APIs sowie, soweit anwendbar, für Produktsoftware von Megger-Produkten, Firmware, Mobil- oder Desktop-Anwendungen, Cloud-Dienste, Lösungen zur Fernverarbeitung von Daten und andere digitale Komponenten, die sich im Eigentum von Megger befinden oder von Megger betrieben, geliefert oder unterstützt werden

Sofern nicht ausdrücklich schriftlich etwas anderes festgelegt ist, liegen die folgenden Punkte außerhalb des Geltungsbereichs dieser Richtlinie:

Systeme oder Dienste Dritter, die nicht im Eigentum oder unter der Kontrolle von Megger stehen#
Social-Engineering- oder Phishing-Angriffe
Angriffe auf die physische Sicherheit
Denial-of-Service-Tests (DoS/DDoS)
Spam oder übermäßiges automatisiertes Scannen
Credential Stuffing, Password Spraying oder Brute-Force-Angriffe
Einsatz von Schadsoftware
Schwachstellen, die eine unrealistische Benutzerinteraktion erfordern
Fehlende HTTP-Sicherheitsheader ohne nachweisbare Ausnutzbarkeit
Beobachtungen zur TLS/SSL-Konfiguration ohne nachweisbare Sicherheitsauswirkung
Cookie-Flags ohne ausnutzbare Auswirkung
Self-XSS
Clickjacking, das ausschließlich nicht sensible Seiten betrifft
Best-Practice-Empfehlungen ohne identifizierbare ausnutzbare Bedingung
Bereits offengelegte oder öffentlich bekannte Schwachstellen

Megger behält sich das Recht vor zu bestimmen, ob ein gemeldetes Problem in den Geltungsbereich dieser Richtlinie fällt.

Diese Richtlinie gilt für:

alle Mitarbeiter von Megger und sonstige Beschäftigte; sowie
alle Vertreter, Auftragnehmer, Vertriebspartner, verbundenen Personen, Lieferanten, Kunden und Joint-Venture-Partner, mit denen wir innerhalb der Megger-Gruppe Geschäfte tätigen („Geschäftspartner“); sowie
jede Person, die eine Sicherheitslücke in einem der in dieser Richtlinie beschriebenen Produkte oder Systeme entdeckt oder zu entdecken beabsichtigt

Verweise auf „Personen“ in dieser Richtlinie können sich auf jeden Mitarbeiter oder Vertreter von Megger oder eines Geschäftspartners beziehen. Geschäftspartner müssen sicherstellen, dass ihre Mitarbeiter und Vertreter diese Richtlinie einhalten.

Verantwortungsvolle Meldung

Megger ist sich der Bedeutung bewusst, Informationen über potenzielle Sicherheitslücken zu erhalten, die seine Systeme, Dienste oder Anwendungen betreffen.

Diese Richtlinie stellt ausschließlich einen Mechanismus für verantwortungsvolle Meldungen bereit. Nichts in dieser Richtlinie ist als Erlaubnis, Genehmigung, Lizenz oder Zustimmung auszulegen, auf Systeme, Dienste, Anwendungen, Konten, Datenbestände oder Umgebungen, die sich im Eigentum von Megger befinden oder von Megger betrieben werden, zuzugreifen, sie zu testen, zu scannen, auszunutzen, zu beeinträchtigen oder anderweitig mit ihnen zu interagieren.

Megger billigt, gestattet oder fördert nicht:

unbefugten Zugriff auf Systeme, Anwendungen, Umgebungen oder Daten
die Umgehung von Sicherheits- oder Datenschutzkontrollen
die Ausnutzung von Schwachstellen
aktive Sicherheitstests gegen Produktivsysteme
automatisiertes Scannen ohne vorherige schriftliche Genehmigung
den Zugriff auf sowie die Extraktion, Veränderung, Löschung oder Aufbewahrung personenbezogener Daten oder vertraulicher Informationen
Betriebsstörungen
die öffentliche Offenlegung von Schwachstellen ohne vorherige schriftliche Zustimmung

Alle Aktivitäten, die gegen Megger-Systeme gerichtet sind, unterliegen weiterhin den geltenden Gesetzen, Vorschriften, vertraglichen Verpflichtungen, Vertraulichkeitspflichten, Datenschutzanforderungen und Nutzungsbedingungen.

Personen, die potenzielle Schwachstellen feststellen, sollten jede weitere Aktivität unverzüglich einstellen und den Sachverhalt über die in dieser Richtlinie beschriebenen Kanäle melden.

Anforderungen an Datenschutz und Privatsphäre

Der Schutz personenbezogener Daten und vertraulicher Informationen ist eine zwingende Anforderung dieser Richtlinie.

Personen, die Schwachstellenmeldungen einreichen, müssen:

den Zugriff auf personenbezogene Daten vermeiden, sofern er nicht zwingend unvermeidbar ist, um das Vorliegen eines vermuteten Problems festzustellen
ihre Aktivität unverzüglich einstellen, sobald sie auf personenbezogene Daten, Daten besonderer Kategorien, vertrauliche Geschäftsinformationen, Authentifizierungsdaten oder regulierte Daten stoßen
personenbezogene Daten, die im Rahmen einer Aktivität im Zusammenhang mit einem gemeldeten Problem erlangt wurden, nicht kopieren, herunterladen, übertragen, aufbewahren, verarbeiten, offenlegen oder anderweitig verwenden
Megger umgehend benachrichtigen, wenn personenbezogene Daten oder vertrauliche Informationen möglicherweise offengelegt, abgerufen oder beeinträchtigt wurden
strikte Vertraulichkeit hinsichtlich aller Informationen wahren, die im Zuge der Identifizierung oder Meldung einer vermuteten Schwachstelle wahrgenommen wurden
alle geltenden Datenschutzgesetze und -vorschriften einhalten

Jeder unbefugte Zugriff auf personenbezogene Daten kann einen Verstoß gegen geltende Datenschutz-, Privatsphäre-, Cybersicherheits-, Vertraulichkeits- oder Strafgesetze darstellen.

Anforderungen an Meldungen

Personen, die Schwachstellenmeldungen einreichen, müssen:

verantwortungsvoll und in gutem Glauben handeln
Handlungen vermeiden, die die Vertraulichkeit, Integrität, Verfügbarkeit oder Widerstandsfähigkeit von Systemen oder Daten beeinträchtigen könnten
davon absehen, Daten, die ihnen nicht gehören, abzurufen, zu erlangen, zu verändern, zu löschen, zu übertragen oder aufzubewahren
eine Ausnutzung über das zur Identifizierung des vermuteten Problems erforderliche Mindestmaß hinaus vermeiden
ihre Aktivität bei der Entdeckung sensibler Informationen unverzüglich einstellen
strikte Vertraulichkeit hinsichtlich des gemeldeten Problems wahren, sofern Megger dies nicht ausdrücklich schriftlich genehmigt hat. Handelt der Melder im Auftrag eines Arbeitgebers oder einer anderen Organisation, sollte er sicherstellen, dass eine Weitergabe innerhalb dieser Organisation auf Personen mit einem berechtigten Informationsbedarf beschränkt bleibt und weiterhin angemessenen Vertraulichkeitspflichten unterliegt.

Die folgenden Aktivitäten sind strengstens untersagt:

die Ausnutzung von Schwachstellen
Rechteausweitung (Privilege Escalation)
Persistenz oder laterale Bewegung (Lateral Movement)
Einsatz von Schadsoftware
Denial-of-Service-Tests
Social Engineering oder Phishing
Angriffe auf Zugangsdaten
automatisiertes Schwachstellen-Scanning ohne vorherige schriftliche Genehmigung
die öffentliche Offenlegung von Schwachstellen
die Offenlegung gegenüber Dritten ohne schriftliche Genehmigung

So melden Sie eine Schwachstelle

Vermutete Sicherheitslücken sollten gemeldet werden an:

E-Mail: vulnerabilities@megger.com

Personen werden ermutigt, vermutete Schwachstellen so bald wie zumutbar möglich zu melden, insbesondere wenn personenbezogene Daten, vertrauliche Informationen, Authentifizierungsdaten, regulierte Informationen oder die Systemverfügbarkeit betroffen sein könnten. Eine zeitnahe Meldung unterstützt Megger dabei, geltende gesetzliche, regulatorische und vertragliche Pflichten sowie Meldepflichten bei Datenschutzverletzungen zu bewerten und, soweit erforderlich, einzuhalten, einschließlich der Fristen für die Bewertung und Meldung von Verletzungen des Schutzes personenbezogener Daten. Dies gilt unbeschadet etwaiger gesonderter Melde-, Benachrichtigungs- oder Eskalationspflichten, die sich aus Verträgen, Richtlinien, Gesetzen, Vorschriften oder Pflichten gegenüber Megger oder anderen Personen ergeben können.

Meldungen sollten nach Möglichkeit Folgendes enthalten:

eine Beschreibung der vermuteten Schwachstelle
die betroffene URL, das betroffene System, die betroffene API oder den betroffenen Dienst
die zur Reproduktion des Problems erforderlichen Schritte
Screenshots oder unterstützende Nachweise, sofern zweckmäßig
eine Einschätzung der potenziellen Auswirkungen
Angaben dazu, ob personenbezogene Daten, vertrauliche Informationen oder regulierte Informationen offengelegt worden sein könnten
Kontaktdaten des Melders

Megger kann zusätzliche Informationen anfordern, um Untersuchungs- oder Validierungsmaßnahmen zu unterstützen.

Wir empfehlen, Meldungen nach Möglichkeit verschlüsselt zu übermitteln.

Prozess zur Behandlung von Schwachstellen

Megger wird sich in zumutbarem Umfang bemühen:

den Eingang von Meldungen zu bestätigen
gemeldete Probleme zu prüfen und zu bewerten
Abhilfemaßnahmen auf Grundlage von Risiko, betrieblichen Erwägungen, geschäftlichen Auswirkungen und potenziellen Auswirkungen auf personenbezogene Daten oder regulierte Informationen zu priorisieren
die Vertraulichkeit gemeldeter Informationen zu wahren, soweit angemessen
Sachverhalte mit potenzieller Offenlegung personenbezogener Daten erforderlichenfalls über interne Prozesse für Datenschutz, Recht, Sicherheitsvorfälle und regulatorische Bewertung zu eskalieren

Die Einreichung einer Meldung garantiert nicht:

dass das gemeldete Problem eine Sicherheitslücke darstellt
dass eine Behebung innerhalb eines bestimmten Zeitraums erfolgt
einen Anspruch auf Vergütung, öffentliche Anerkennung oder weitere Kommunikation

Megger kann nach eigenem Ermessen Behebungs- und Offenlegungsmaßnahmen im Zusammenhang mit gemeldeten Schwachstellen koordinieren.

Die öffentliche Offenlegung von Schwachstellen in Megger-Systemen ist untersagt, sofern Megger sie nicht ausdrücklich schriftlich genehmigt hat.

Keine Erteilung einer Genehmigung

Diese Richtlinie:

gewährt keine Erlaubnis zum Zugriff auf Systeme oder Daten
genehmigt keine Umgehung von Sicherheits- oder Datenschutzkontrollen
gestattet keine Test-, Scan- oder Ausnutzungsaktivitäten
gewährt keine Befreiung von zivil-, straf-, aufsichts-, vertrags- oder datenschutzrechtlicher Haftung
stellt keinen Verzicht auf Rechte oder Rechtsbehelfe dar, die Megger zustehen
begründet kein Vertragsverhältnis zwischen Megger und einer natürlichen oder juristischen Person

Megger behält sich alle rechtlichen Schritte im Zusammenhang mit unbefugten Aktivitäten gegen seine Systeme, Dienste, Anwendungen, Mitarbeiter, Daten oder Infrastruktur vor.

Rechtsvorbehalt

Megger behält sich das Recht vor:

zu bestimmen, ob gemeldete Probleme eine Sicherheitslücke oder einen Vorfall mit personenbezogenen Daten darstellen
den Schweregrad, die Risikoeinstufung und den Behebungsansatz für jedes gemeldete Problem festzulegen
auf Meldungen außerhalb des Geltungsbereichs dieser Richtlinie nicht zu reagieren
diese Richtlinie von Zeit zu Zeit zu ändern oder jederzeit ohne Vorankündigung zurückzuziehen. Wer eine Sicherheitslücke entdeckt, sollte diese Richtlinie vor Einreichung einer Meldung prüfen
rechtswidrige oder böswillige Aktivitäten gegebenenfalls an Strafverfolgungsbehörden, Regulierungsbehörden, Aufsichtsbehörden oder andere zuständige Stellen weiterzuleiten

Privatsphäre und Vertraulichkeit

Im Rahmen dieser Richtlinie übermittelte Informationen werden ausschließlich für Zwecke der Sicherheitsbewertung, Untersuchung, Behebung, Compliance und Prüfung sowie für regulatorische, rechtliche und defensive Zwecke verwendet.

Meldungen und zugehörige Informationen können intern sowie mit unseren Beratern (die ihrerseits an Vertraulichkeitsvereinbarungen gebunden sind) mit den Bereichen Informationssicherheit, Recht, Datenschutz, Compliance, Risiko, Interne Revision und anderen autorisierten Beteiligten nach dem Need-to-know-Prinzip geteilt werden.

Melder müssen Vertraulichkeit hinsichtlich gemeldeter Schwachstellen und aller zugehörigen Informationen wahren, sofern Megger die Offenlegung nicht ausdrücklich schriftlich genehmigt hat.

Megger verarbeitet alle im Rahmen dieser Richtlinie erhaltenen personenbezogenen Daten im Einklang mit den geltenden Datenschutzgesetzen und seiner Datenschutzerklärung.

Keine Vergütung

Megger betreibt kein Bug-Bounty-Programm und gewährt keine finanzielle Vergütung, Belohnungen oder Anreize für Schwachstellenmeldungen, sofern dies nicht ausdrücklich schriftlich vereinbart wurde.

Aktualisierungen der Richtlinie

Zuletzt aktualisiert: Mai 2026