Richtlinie zur koordinierten Offenlegung von Schwachstellen

Die Traeger GmbH Industry Components (nachfolgend „Traeger“) ist Hersteller industrieller Softwarelösungen. Die Sicherheit unserer Produkte hat für uns höchste Priorität.

Diese Richtlinie beschreibt, wie Sicherheitsforscher, Kunden und Dritte eine mögliche Schwachstelle in unseren Produkten melden können, wie wir mit solchen Meldungen umgehen, und unter welchen Bedingungen eine koordinierte Veröffentlichung erfolgt.

Wir orientieren uns an den Empfehlungen der ISO/IEC 29147:2018 (Vulnerability Disclosure), des BSI (BSI-CS_019) sowie am FIRST PSIRT Services Framework. Diese Richtlinie ist Bestandteil unserer CRA-Compliance gemäß der EU-Verordnung über horizontale Cybersicherheitsanforderungen (Cyber Resilience Act).

Geltungsbereich

Eingeschlossen

Alle von Traeger aktiv vertriebenen Softwareprodukte in der jeweils aktuellen sowie den innerhalb des Unterstützungszeitraums liegenden Versionen.

Ausgeschlossen

• Die Webseite traeger.de und alle damit verbundenen Webdienste (z.B. docs.traeger.de, share.traeger.de). Für Schwachstellen in unserer Webinfrastruktur wenden Sie sich bitte an info@traeger.de.
• Produkte, die ihr End-of-Life im Sinne unserer CRA-Compliance erreicht haben und nicht mehr aktiv vertrieben werden.
• Drittanbieter-Software, die in unseren Produkten enthalten ist (z.B. Open-Source-Bibliotheken). Schwachstellen in diesen Komponenten nehmen wir dennoch entgegen und leiten sie gegebenenfalls an den jeweiligen Upstream-Maintainer weiter.

Sicherheitsmeldungen richten Sie bitte ausschließlich an unseren PSIRT-Kanal. Dieser ist von unserem allgemeinen Kundensupport getrennt, damit Sicherheitsmeldungen sofort den richtigen Personenkreis erreichen.

Inhalt einer Schwachstellenmeldung

Eine aussagekräftige Meldung hilft uns, die Schwachstelle schnell zu bewerten und zu beheben. Wir bitten Sie, nach Möglichkeit folgende Informationen bereitzustellen:

• Betroffenes Produkt und Version (z.B. Opc.UaFx.Advanced 2.51.4.0)
• Beschreibung der Schwachstelle und ihrer möglichen Auswirkung
• Schritte zur Reproduktion oder ein Proof-of-Concept
• Ihre eigene Einschätzung des Schweregrads (z.B. CVSS-Score)
• Ihre Kontaktdaten für Rückfragen (E-Mail genügt)
• Ob Sie bei Veröffentlichung einer Security Advisory namentlich als Melder genannt werden möchten oder anonym bleiben wollen

Meldungen, die nicht alle Informationen enthalten, werden selbstverständlich dennoch bearbeitet.

Bearbeitungsverfahren

Nach Eingang Ihrer Meldung durchläuft diese folgende Schritte:

1. Eingangsbestätigung — Wir bestätigen den Eingang Ihrer Meldung innerhalb der unten genannten Erstreaktion-Zielzeiten.
2. Bewertung — Wir bewerten die Schwachstelle nach CVSS v3.1 und ordnen ihr einen Schweregrad zu (Critical, High, Medium, Low).
3. Behebung — Wir entwickeln einen Fix oder Workaround und stellen diesen innerhalb der unten genannten Zielzeiten bereit.
4. Kommunikation — Während der Bearbeitung halten wir Sie über den Stand auf dem Laufenden, von der ersten Bewertung über die Entwicklung des Fixes bis zur Veröffentlichung.
5. Veröffentlichung — Nach Bereitstellung des Fixes veröffentlichen wir eine Security Advisory (siehe Abschnitt 7).

Reaktionszeiten

Die folgenden Zielzeiten gelten ab Eingang der Meldung:

Wir praktizieren Coordinated Vulnerability Disclosure. Das bedeutet:

• Embargo-Zeitraum — Nach Eingang einer Meldung beginnt ein Embargo-Zeitraum von 90 Tagen. Während dieses Zeitraums bitten wir den Melder, keine Informationen über die Schwachstelle öffentlich zu machen.
• Veröffentlichung durch Traeger — Wir veröffentlichen eine Security Advisory, sobald ein Fix oder ein Workaround verfügbar ist — idealerweise vor Ablauf des Embargo-Zeitraums.
• Veröffentlichung durch den Melder — Nach Ablauf der 90 Tage steht es dem Melder frei, die Schwachstelle zu veröffentlichen — unabhängig davon, ob ein Fix verfügbar ist. Wir bitten in diesem Fall um vorherige Abstimmung, damit wir die Veröffentlichung unserer Advisory koordinieren können.
• Ausnahme bei aktiver Ausnutzung — Bei Schwachstellen mit einem Schweregrad Critical (CVSS ≥ 9,0) prüfen wir im Rahmen der Bewertung aktiv, ob Hinweise auf eine Ausnutzung vorliegen. Wir beziehen dabei auch die Einschätzung des Melders ein. Liegen solche Hinweise vor, entfällt das Embargo zugunsten einer sofortigen Benachrichtigung betroffener Kunden und der behördlichen Meldung gemäß Abschnitt 11. In diesem Fall informieren wir den Melder vorab.
• Anerkennung des Melders — Auf Wunsch nennen wir den Melder namentlich in der veröffentlichten Advisory. Standardmäßig erfolgt die Anerkennung anonym („Mit Dank an einen verantwortungsvollen Melder“). Die Entscheidung liegt beim Melder.

Safe Harbor — Rechtsverzicht

Traeger verzichtet darauf, rechtliche Schritte gegen Personen einzuleiten, die Schwachstellen in unseren Produkten im Rahmen dieser Richtlinie melden, sofern folgende Bedingungen eingehalten werden:

• Die Meldung erfolgt in gutem Glauben und mit dem Ziel, die Sicherheit unserer Produkte zu verbessern.
• Der Melder hat keinen unbefugten Zugriff auf personenbezogene Daten Dritter vorgenommen, diese kopiert, verändert oder weitergegeben.
• Der Melder hat keine Verfügbarkeit unserer Systeme oder der Systeme unserer Kunden beeinträchtigt (z.B. durch Denial-of-Service Tests).
• Der Melder hat die Schwachstelle nicht öffentlich gemacht, bevor Traeger die Möglichkeit hatte, einen Fix bereitzustellen oder der Embargo-Zeitraum abgelaufen ist.
• Der Melder hat die Schwachstelle nicht für Erpressung, Nötigung oder sonstige rechtswidrige Zwecke verwendet.

Dieser Verzicht erstreckt sich auf Ansprüche aus dem Strafrecht (§§ 202a–202c StGB), dem Urheberrecht (UrhG) und dem Geschäftsgeheimnisgesetz (GeschGehG), soweit die oben genannten Bedingungen erfüllt sind.

Reverse Engineering und Dekompilierung

Sicherheitsforschung kann die Analyse von Binärdateien erfordern. Für Analysen, die ausschließlich der Identifikation von Sicherheitsschwachstellen dienen und deren Ergebnisse uns im Rahmen dieser Richtlinie gemeldet werden, erheben wir keine Ansprüche aus §§ 69c, 69e UrhG (Dekompilierungsverbot) oder dem Geschäftsgeheimnisgesetz.

Voraussetzung ist, dass die Analyse auf das zur Identifikation der Schwachstelle erforderliche Maß beschränkt bleibt und gewonnene Erkenntnisse nicht für andere Zwecke als die Schwachstellenmeldung verwendet werden.

Koordination mit Dritten

Unsere Produkte integrieren Drittanbieter-Komponenten, darunter Open-Source-Bibliotheken und Spezifikationen der OPC Foundation. Wenn eine gemeldete Schwachstelle eine solche Drittkomponente betrifft, koordinieren wir die Offenlegung mit dem jeweiligen Upstream-Maintainer oder der zuständigen Organisation.

In solchen Fällen kann sich der Embargo-Zeitraum verlängern, da die Behebung von der Kooperation Dritter abhängt. Wir informieren den Melder über die Einbindung Dritter und den angepassten Zeitplan.

Als Hersteller unterliegen wir seit dem 11. September 2026 den Meldepflichten des EU Cyber Resilience Act. Das bedeutet:

Kein Bug-Bounty-Programm

Traeger betreibt kein Bug-Bounty-Programm und zahlt keine finanziellen Anreize für Schwachstellenmeldungen. Wir schätzen die Beiträge von Sicherheitsforschern und bieten auf Wunsch eine namentliche Anerkennung in der veröffentlichten Security Advisory an.

Datenschutz

Personenbezogene Daten, die im Rahmen einer Schwachstellenmeldung erhoben werden (insbesondere Name und E-Mail-Adresse des Melders), verarbeiten wir ausschließlich zum Zweck der Bearbeitung der Meldung und der Kommunikation mit dem Melder. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Produktsicherheit).

Melderdaten werden nicht an Dritte weitergegeben, es sei denn, dies ist zur Koordination mit Upstream-Maintainern erforderlich und der Melder hat dem zugestimmt. Die Daten werden gelöscht, sobald die Bearbeitung der Meldung und die Veröffentlichung der Advisory abgeschlossen sind, spätestens jedoch nach 24 Monaten.

Sollte ein Melder den Eindruck haben, dass seine Meldung nicht angemessen bearbeitet wird, steht es ihm frei, das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Vermittler einzuschalten. Das BSI bietet einen Koordinationsdienst für Fälle, in denen die direkte Kommunikation zwischen Melder und Hersteller nicht zum gewünschten Ergebnis führt.

Hinweise zu unseren Produkten

Für Sicherheitsforscher, die das Verhalten unserer Produkte analysieren, ist folgender Kontext relevant:

• Unsere Produkte kommunizieren nicht „nach Hause“. Es gibt keine Telemetrie, keinen Analytics-Endpunkt und keinen automatischen Update-Check zu Traeger-Servern.
• Sicherheitspatches werden als Revision-Increment bereitgestellt (Major.Minor.Build.Revision). Eine Änderung im vierten Versionssegment kennzeichnet einen gezielten Fix ohne funktionale Änderungen.
• SBOM-Daten im SPDX-2.3-Format sind Bestandteil jedes Produkt-Downloads und können für die Identifikation betroffener Drittkomponenten verwendet werden.

Ausschlüsse

Folgende Aktivitäten fallen nicht unter den Schutz dieser Richtlinie und werden von uns nicht als koordinierte Schwachstellenmeldung anerkannt:

• Penetrationstests gegen Produktivsysteme von Traeger-Kunden ohne deren ausdrückliche Zustimmung
• Social Engineering gegen Mitarbeiter von Traeger oder deren Kunden
• Denial-of-Service-Angriffe jeder Art
• Zugriff auf, Kopie von oder Veränderung personenbezogener Daten Dritter
• Erpressung oder Nötigung in Verbindung mit einer Schwachstellenmeldung
• Öffentliche Diskussion oder Veröffentlichung einer Schwachstelle vor Ablauf des Embargo-Zeitraums oder vor Abstimmung mit Traeger

Geltung und Änderungen

Diese Richtlinie tritt mit ihrer Veröffentlichung unter
https://www.traeger.de/security/cvd-policy in Kraft.

Traeger behält sich vor, die Richtlinie jederzeit zu aktualisieren. Änderungen werden unter derselben URL veröffentlicht und mit einem aktualisierten Versionsdatum versehen. Die jeweils aktuelle Fassung ist unter /.well-known/security.txt referenziert.

Für Meldungen, die vor einer Änderung der Richtlinie eingegangen sind, gilt die zum Zeitpunkt der Meldung gültige Fassung.

Kontakt