Diese Richtlinie beschreibt, wie externe Personen (Sicherheitsforschende, Kunden, Dritte) potenzielle Schwachstellen in Produkten und Diensten der medatixx GmbH & Co. KG melden können und wie medatixx diese Meldungen bearbeitet. Sie setzt die Anforderungen des EU Cyber Resilience Act (CRA) an die koordinierte Offenlegung von Schwachstellen um und ergänzt den internen Prozess zur Bearbeitung von Informationssicherheitsereignissen. Sie richtet sich an alle Personen außerhalb von medatixx, die eine Schwachstelle melden möchten.

Bitte senden Sie Ihren Bericht per E-Mail an: security@medatixx.de

• Verschlüsseln Sie Ihre Meldung nach Möglichkeit mit unserem PGP-Schlüssel: [Link zum PGP-Schlüssel wird noch bekannt gegeben.]
• Meldungen nehmen wir in deutscher oder englischer Sprache entgegen.

Damit wir Ihre Meldung schnell bewerten können, bitten wir um möglichst präzise Angaben:

• Betroffenes Produkt und Version bzw. betroffener Dienst/URL
• Beschreibung der Schwachstelle und der möglichen Auswirkungen
• Schritte zur Reproduktion (Proof of Concept, Screenshots, Logs)
• Ihre Kontaktdaten für Rückfragen (eine anonyme Meldung ist ebenfalls möglich)
   

Um den Schutz unserer Kunden und deren Daten - insbesondere Gesundheitsdaten - zu gewährleisten, bitten wir Sie:

• Greifen Sie nur in dem Umfang auf Daten zu, der zum Nachweis der Schwachstelle zwingend erforderlich ist. Kopieren, verändern oder löschen Sie keine Daten.
• Beeinträchtigen Sie nicht die Verfügbarkeit oder Integrität unserer Systeme oder der Systeme unserer Kunden.
• Führen Sie keine Tests an produktiven Kundeninstallationen oder mit echten Patientendaten durch.
• Verzichten Sie auf Social Engineering, Phishing und physische Angriffe.
• Behandeln Sie Ihre Erkenntnisse vertraulich und veröffentlichen Sie keine Details, bevor eine koordinierte Offenlegung mit uns abgestimmt wurde.
• Sollten Sie unbeabsichtigt Zugriff auf personenbezogene oder vertrauliche Daten erhalten, brechen Sie den Test ab und informieren Sie uns umgehend.

• Eingangsbestätigung: Wir bestätigen den Erhalt Ihrer Meldung innerhalb von drei Arbeitstagen.
• Erstbewertung: Innerhalb von zehn Arbeitstagen erhalten Sie eine erste Einschätzung zur Relevanz und weiteren Bearbeitung.
• Transparente Bearbeitung: Wir halten Sie über wesentliche Fortschritte auf dem Laufenden, mindestens jedoch alle 30 Tage bis zum Abschluss.
• Koordinierte Offenlegung (CVD): Wir verpflichten uns zu einem koordinierten Vorgehen. Details zur Schwachstelle veröffentlichen wir erst, wenn ein Sicherheitsupdate für die betroffenen Nutzer bereitsteht. Als Orientierung streben wir eine Offenlegung innerhalb von 90 Tagen an; abweichende Zeitpläne stimmen wir mit Ihnen ab.
• Würdigung: Ein Bug-Bounty-Programm bieten wir derzeit nicht an. Auf Wunsch nennen wir Sie nach der Behebung namentlich in unseren Sicherheitshinweisen (Hall of Fame / Danksagung).
   

Wenn Sie sich in gutem Glauben an die in dieser Richtlinie beschriebenen Spielregeln halten, betrachten wir Ihre Sicherheitsforschung als autorisiert im Sinne dieser Richtlinie. Wir werden in diesem Fall keine zivil- oder strafrechtlichen Schritte gegen Sie einleiten und keine Anzeige erstatten. Sollten Dritte rechtliche Schritte gegen Sie einleiten, obwohl Sie sich an diese Richtlinie gehalten haben, werden wir auf Anfrage bestätigen, dass Ihr Handeln im Rahmen dieser Richtlinie erfolgte.

Vielen Dank für Ihren Beitrag zum Schutz unserer Produkte und ihrer Anwender!