Die Sicherheit unserer Produkte und Systeme hat für uns einen hohen Stellenwert. Wir arbeiten kontinuierlich daran, mögliche Sicherheitsrisiken in unseren Produkten und den damit verbundenen digitalen Komponenten frühzeitig zu erkennen, zu bewerten und angemessen zu behandeln.

Sollten Sie eine potenzielle Sicherheitslücke in einer OCHSNER Wärmepumpe, deren Regelung, Bedieneinheit, Kommunikationsschnittstelle, App oder einem damit verbundenen digitalen Dienst vermuten, bitten wir Sie, uns diese verantwortungsvoll und vertraulich zu melden.

Ihre Hinweise helfen uns dabei, die Sicherheit und Zuverlässigkeit unserer Produkte kontinuierlich zu verbessern.

Nach Eingang einer Meldung prüfen wir die bereitgestellten Informationen, bewerten die potenzielle Schwachstelle und leiten – sofern erforderlich – geeignete Maßnahmen zur Behebung oder Risikominimierung ein.


Unsere Erwartungen

Damit eine Schwachstellenmeldung sachgerecht und effizient bearbeitet werden kann, erwarten wir, dass Sie:

  • die entdeckte Schwachstelle nicht über das zur Verifizierung erforderliche Maß hinaus ausnutzen;
  • keine Schäden an OCHSNER Wärmepumpen, deren Regelungen, digitalen Diensten, IT-Systemen oder Daten verursachen;
  • keine Anlagen oder Systeme von Kunden, Systempartnern oder sonstigen Dritten manipulieren, kompromittieren oder verändern;
  • keine Angriffe auf OCHSNER IT-Systeme, Wärmepumpen oder damit verbundene Infrastrukturen durchführen, insbesondere keine Social-Engineering-, Spam-, Denial-of-Service-, Distributed-Denial-of-Service- oder Brute-Force-Angriffe;
  • keine personenbezogenen, vertraulichen oder sonstigen schützenswerten Daten einsehen, kopieren, verändern oder weitergeben, sofern dies für die Verifizierung der Schwachstelle nicht zwingend erforderlich ist;
  • die Schwachstelle nachvollziehbar dokumentieren und ausreichende technische Informationen zur Reproduktion und Bewertung bereitstellen;
  • bei automatisierten Tests oder Scans die Ergebnisse entsprechend dokumentieren und konkrete Hinweise auf die vermutete Schwachstelle bereitstellen. Reine Scan-Ergebnisse ohne ausreichende technische Beschreibung können gegebenenfalls nicht sachgerecht bewertet werden;
  • uns möglichst Informationen zu bisher nicht bekannten oder noch nicht behobenen Schwachstellen zur Verfügung stellen;
  • eine gültige E-Mail-Adresse angeben, unter der wir Sie für Rückfragen und zur Abstimmung des weiteren Vorgehens erreichen können.


Unsere Zusagen

Im Rahmen unseres Coordinated-Vulnerability-Disclosure-Prozesses verpflichten wir uns:

  • Schwachstellenmeldungen vertraulich und unter Einhaltung der geltenden gesetzlichen Bestimmungen zu behandeln.
  • Personenbezogene Daten, die im Zusammenhang mit einer Schwachstellenmeldung übermittelt werden, nicht ohne Ihre Zustimmung an Dritte weiterzugeben, soweit keine gesetzliche Verpflichtung zur Weitergabe besteht.
  • den Eingang einer Schwachstellenmeldung zu bestätigen und Ihnen, soweit möglich, eine Rückmeldung zum Bearbeitungsstand zu geben.
  • bei einer verantwortungsvollen Meldung und Einhaltung der nachstehenden Grundsätze keine strafrechtlichen Maßnahmen gegen die meldende Person einzuleiten, soweit dies rechtlich zulässig ist. Dies gilt insbesondere nicht bei erkennbar kriminellen Absichten, vorsätzlichem Missbrauch oder Handlungen, die über die zur Verifizierung der Schwachstelle erforderlichen Maßnahmen hinausgehen.
  • während des Bearbeitungsprozesses einen Ansprechpartner für Rückfragen und den vertraulichen Austausch bereitzustellen.

Besonders relevante Informationen für die Meldung

Bitte geben Sie – soweit vorhanden – möglichst folgende Informationen an:

  • betroffene OCHSNER Wärmepumpe bzw. Produktbezeichnung;
  • betroffene Software-, Firmware- oder Regelungsversion;
  • betroffene digitale Komponente oder Schnittstelle;
  • Beschreibung der Sicherheitslücke;
  • Schritte zur reproduzierbaren Ausnutzung bzw. Verifizierung;
  • mögliche Auswirkungen der Schwachstelle;
  • gegebenenfalls technische Nachweise, Screenshots oder Logdateien;
  • Informationen darüber, ob die Schwachstelle bereits gegenüber Dritten veröffentlicht wurde.

Bitte übermitteln Sie keine unnötigen personenbezogenen Daten oder vertraulichen Kundendaten.

Umgang mit gemeldeten Schwachstellen

OCHSNER bewertet eingehende Meldungen nach ihrer technischen Relevanz und dem möglichen Risiko für die betroffenen Produkte und Anwender.
Abhängig von Art und Schwere der Schwachstelle können beispielsweise technische Anpassungen, Software- oder Firmware-Updates, Konfigurationsänderungen oder weitere geeignete Maßnahmen erforderlich sein.
Die Bearbeitung und Behebung einer Schwachstelle kann abhängig von ihrer Komplexität, der betroffenen Produktgeneration und den erforderlichen Entwicklungs- und Testmaßnahmen unterschiedlich lange dauern.

Schwachstellenmeldung
via E-Mail

Schwachstellenmeldende, die ein eigenes Meldungsformat verwenden (z. B. PDF oder TXT), können Schwachstellenmeldungen und Anfragen zur Koordinierung direkt per E-Mail an uns übermitteln: security(at)ochsner.com

Sprache der Meldung

Schwachstellenmeldungen können in deutscher oder englischer Sprache eingereicht werden.
Wir danken Ihnen für Ihre Unterstützung und für einen verantwortungsvollen Umgang mit Sicherheitslücken in OCHSNER Wärmepumpen und den damit verbundenen digitalen Systemen.

Schwachstellen in unseren Produkten

Meldungen zu Sicherheitslücken in OCHSNER Wärmepumpen, Regelungen, Bedieneinheiten, Apps, Kommunikationsschnittstellen oder sonstigen digitalen Produktkomponenten senden Sie bitte an: security(at)ochsner.com