Richtlinie zur Offenlegung von Schwachstellen

Diese Richtlinie gilt für alle aktuell unterstützten Endian Produkte und Versionen:

• Endian 4i und Endian UTM Security Gateways
• Endian Switchboard
• Endian Network (Cloud-Dienst)
• Endian Connect APP

Sie gilt auch für Komponenten von Drittanbietern und Open-Source-Komponenten, die in diesen Produkten enthalten sind (siehe Komponenten von Drittanbietern und Open Source).

Sie gilt nicht für Produkte oder Dienste anderer Anbieter, auch wenn diese zusammen mit einem Endian Produkt eingesetzt werden. Bitte melden Sie solche Fälle beim jeweiligen Anbieter.

Wenn eine Meldung es erfordert, beruft Endian ein Product Security Incident Response Team (PSIRT) ein. Das Team besteht aus Mitarbeitenden aus Qualitätssicherung, Entwicklung, Betrieb und Produktmanagement sowie den Verantwortlichen der betroffenen Produkte. Das PSIRT bestätigt und bewertet das Problem, koordiniert die Behebung, hält die meldende Person auf dem Laufenden und meldet den Behörden, wo der CRA dies verlangt.

Report security issues through the Endian Service Desk: https://services.endian.com

1.  Wählen Sie auf der Endian Service-Website „Product Security". Wählen Sie anschliessend:
   • „Report a security vulnerability" – wenn Sie einen Sicherheitsbefund entdeckt haben oder melden möchten.
   • „Report a security incident" – wenn ein Endian Produkt in Ihrem Netzwerk kompromittiert wurde oder möglicherweise kompromittiert wurde.
2. Füllen Sie die angeforderten Felder aus und hängen Sie unterstützende Dateien an.
3. Senden Sie die Meldung ab. Sie erhalten eine Referenznummer für die weitere Kommunikation.

Vertraulichkeit. Schwachstellenmeldungen werden in einem zugriffsbeschränkten Security-Tracker erfasst und sind nur für die Personen sichtbar, die den Fall bearbeiten. Wenn Ihre Meldung besonders sensibles Material enthält, etwa funktionsfähigen Exploit-Code oder Daten aus einem realen System, weisen Sie in Ihrer Anfrage darauf hin. Wir stimmen dann mit Ihnen ab, wie die Übermittlung erfolgt. 

Personenbezogene Daten. Bitte übermitteln Sie keine personenbezogenen Daten, ausser sie sind erforderlich, um das Problem zu belegen. Personenbezogene Daten, die wir erhalten, verarbeiten wir gemäss DSGVO und ausschliesslich zur Bearbeitung Ihrer Meldung.

Bitte melden Sie Schwachstellen nicht über öffentliche Kanäle wie Foren, soziale Medien, Community-Boards oder öffentliche Issue-Tracker. Öffentliche Beiträge können andere Nutzer gefährden, bevor eine Behebung vorliegt. Nutzen Sie immer den Service Desk. 

Wir halten Sie in jedem Schritt auf dem Laufenden. Meldungen von nationalen CERTs, CSIRTs und anderen koordinierenden Stellen bestätigen wir innerhalb von 24 Stunden und leiten sie direkt an ein PSIRT weiter.

Wir bewerten jede bestätigte Schwachstelle mit CVSS v4.0, dem von FIRST gepflegten Common Vulnerability Scoring System. Wir berechnen einen eigenen Score, auch wenn die meldende Person einen angibt, und berücksichtigen, wie das Produkt üblicherweise eingesetzt wird.

Jede Schwachstelle, die aktiv ausgenutzt wird, erhält höchste Priorität, unabhängig von ihrem Score.

Wir setzen die Schwelle für die öffentliche Offenlegung bei 4.0 an, niedriger als viele Anbieter. Unsere Produkte schützen Netzwerke, daher kann selbst ein mittleres Problem von Bedeutung sein, wenn es mit anderen kombiniert wird.

Wenn eine Schwachstelle in einer von uns ausgelieferten Drittanbieter- oder Open-Source-Komponente liegt, informieren wir deren Maintainer über den offiziellen Meldekanal für Sicherheitsfragen. Wir tun dies vertraulich und stimmen die Offenlegung mit ihnen ab. Ausserdem prüfen wir, welche Endian Produkte und Versionen die betroffene Komponente enthalten.

Wir verfolgen eine koordinierte Offenlegung: Wir beheben das Problem und stellen das Update den Kunden bereit, bevor Details öffentlich werden. Bitte veröffentlichen Sie keine Details zu einer Schwachstelle, bevor die Behebung verfügbar ist oder wir einen Termin mit Ihnen vereinbart haben. Wenn Sie Ihre eigene Forschung veröffentlichen möchten, teilen Sie uns dies mit, und wir stimmen den Zeitpunkt ab.

Wenn wir eine Behebung für eine offengelegte Schwachstelle veröffentlichen, nennen die Release Notes zum Sicherheitsupdate:

• die betroffenen Produkte und Versionen,
• eine Beschreibung der Schwachstelle und ihrer Auswirkungen,
• den Schweregrad (CVSS v4.0),
• die behobene Version sowie eine mögliche Umgehungslösung.

Wo Sie handeln müssen, etwa um ein Update oder eine Umgehungslösung anzuwenden, informieren wir betroffene Kunden zusätzlich direkt. Details, die vor allem einem Angreifer helfen würden, lassen wir weg.

Seit dem 11. September 2026 verpflichtet der CRA Hersteller, bestimmte Schwachstellen und Vorfälle an die Behörden zu melden. Endian übermittelt diese Meldungen über die zentrale EU-Meldeplattform an ENISA/CSIRT. Wir melden:

• aktiv ausgenutzte Schwachstellen in unseren Produkten und
• schwerwiegende Vorfälle, die die Sicherheit unserer Produkte betreffen.

Dieselbe dringende Behandlung wenden wir auf Schwachstellen an, die wir als schwerwiegend einstufen (CVSS 7.0 oder höher).

Diese Behördenmeldungen sind vertraulich. Sie ersetzen nicht die oben beschriebene Behebung und Kundenkommunikation.

Wenn Sie innerhalb von 2 Arbeitstagen keine Bestätigung erhalten haben oder mit der Bearbeitung Ihrer Meldung unzufrieden sind, fügen Sie Ihrer Service-Desk-Anfrage einen Kommentar mit der Bitte um Eskalation hinzu. Der Fall wird an die Leitung des zuständigen Teams weitergegeben.

Wir gehen nicht rechtlich gegen Personen vor, die eine Schwachstelle in gutem Glauben und im Rahmen dieser Richtlinie finden und melden. Forschung in gutem Glauben, die dieser Richtlinie folgt, betrachten wir als autorisiert. Im Gegenzug bitten wir Sie:

• testen Sie nur gegen Systeme und Daten, die Ihnen gehören oder zu deren Nutzung Sie berechtigt sind,
• vermeiden Sie Datenschutzverletzungen, Datenzerstörung und Dienstunterbrechungen; keine Denial-of-Service-Tests,
• setzen Sie kein Social Engineering und keine physischen Angriffe gegen Endian Mitarbeitende, Kunden oder Partner ein,
• greifen Sie nur auf die minimal nötigen Daten zu und speichern Sie nur diese, um das Problem zu belegen, und löschen Sie sie, sobald die Meldung abgeschlossen ist,
• geben Sie uns eine angemessene Gelegenheit, das Problem zu beheben, bevor Sie es öffentlich machen.

Handlungen, die böswillig sind, Schaden verursachen oder gegen das Gesetz verstossen, sind nicht abgedeckt.

Endian kann diese Richtlinie jederzeit aktualisieren; die hier veröffentlichte Version ist die aktuelle. Wir bearbeiten jede Meldung nach dieser Richtlinie, können jedoch kein bestimmtes Ergebnis und keinen bestimmten Zeitrahmen für jeden Fall garantieren.