Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD)

Coordinated Vulnerability Disclosure Policy

KAEMSOFT
Carossaweg 1
86637 Wertingen
Deutschland

Sicherheitskontakt: security at kaemsoft.de
Website: www.kaemsoft.de

Stand: September 2026

1. Zweck dieser Richtlinie

KAEMSOFT nimmt die Sicherheit seiner Softwareprodukte ernst und begrüßt Hinweise von Anwendern, Kunden und Sicherheitsforschern auf mögliche Sicherheitslücken.

Diese Richtlinie beschreibt, wie mögliche Schwachstellen an KAEMSOFT gemeldet werden können und wie wir mit solchen Meldungen umgehen.

Unser Ziel ist es, Sicherheitsprobleme gemeinsam mit dem Meldenden verantwortungsvoll zu untersuchen und mögliche Schwachstellen zu beheben, bevor detaillierte Informationen veröffentlicht werden.

Dieser Ansatz entspricht dem Grundgedanken der koordinierten Offenlegung des CRA: Eine strukturierte Meldung soll dem Hersteller ermöglichen, eine Schwachstelle zu untersuchen und zu beheben, bevor detaillierte Informationen an Dritte oder die Öffentlichkeit gelangen.

2. Geltungsbereich

Diese Richtlinie gilt für von KAEMSOFT entwickelte und vertriebene Softwareprodukte.

Hierzu gehört insbesondere:

ZETWIN, SCREENY

Die Richtlinie kann zukünftig auf weitere KAEMSOFT-Produkte erweitert werden.

3. Sicherheitslücke melden

Mögliche Sicherheitslücken können an folgende Adresse gemeldet werden:

security at kaemsoft.de

Bitte geben Sie – soweit möglich – folgende Informationen an:

• betroffenes Produkt;
• Produkt- und Versionsnummer;
• Beschreibung der vermuteten Schwachstelle;
• Schritte zur Reproduktion;
• Voraussetzungen für eine erfolgreiche Ausnutzung;
• mögliche Auswirkungen;
• verwendete Windows-Version bzw. Systemumgebung;
• gegebenenfalls relevante Protokolle oder Screenshots;
• Kontaktdaten für Rückfragen.

Ein reproduzierbares Beispiel ist hilfreich, aber keine Voraussetzung für die Annahme einer Meldung.

Der CRA sieht ausdrücklich vor, dass Hersteller den Austausch von Informationen über mögliche Schwachstellen erleichtern und hierfür eine Kontaktadresse bereitstellen.

4. Vertrauliche Informationen

Bitte übermitteln Sie nur Informationen, die für die Untersuchung der möglichen Schwachstelle erforderlich sind.

Insbesondere sollten nach Möglichkeit keine:

• Passwörter,
• Lizenzschlüssel,
• personenbezogenen Kundendaten,
• Zugangsdaten,
• vollständigen produktiven Projektdaten oder
• sonstigen vertraulichen Informationen

übermittelt werden.

Sind solche Informationen für die Untersuchung zwingend erforderlich, bitten wir um vorherige Abstimmung über security at kaemsoft.de.

5. Umgang mit einer Meldung

Nach Eingang einer Sicherheitsmeldung wird KAEMSOFT den gemeldeten Sachverhalt prüfen und bewerten.

Dabei können insbesondere folgende Schritte erfolgen:

1. Erfassung und interne Dokumentation der Meldung.
2. Prüfung der betroffenen Produkte und Versionen.
3. Technische Reproduktion und Bewertung der Schwachstelle.
4. Bewertung möglicher Auswirkungen und des Sicherheitsrisikos.
5. Entwicklung geeigneter Korrektur- oder Risikominderungsmaßnahmen.
6. Prüfung und Test einer Korrektur.
7. Bereitstellung eines Sicherheitsupdates oder anderer geeigneter Maßnahmen.
8. Gegebenenfalls Information betroffener Anwender.
9. Gegebenenfalls Veröffentlichung eines Sicherheitshinweises.

KAEMSOFT kann den Meldenden während der Untersuchung kontaktieren, um zusätzliche technische Informationen anzufordern.

6. Koordinierte Veröffentlichung

Wir bitten Meldende darum, Informationen über eine noch nicht behobene Schwachstelle zunächst vertraulich zu behandeln.

Insbesondere bitten wir darum, detaillierte technische Informationen, Exploit-Code oder konkrete Anleitungen zur Ausnutzung nicht öffentlich zu verbreiten, solange KAEMSOFT noch keine angemessene Möglichkeit hatte, die Schwachstelle zu untersuchen und erforderliche Gegenmaßnahmen bereitzustellen.

Nach Bereitstellung einer geeigneten Korrektur kann eine koordinierte Veröffentlichung abgestimmt werden.

KAEMSOFT wird eine Veröffentlichung nicht unangemessen verzögern.

Diese Vorgehensweise entspricht dem CRA-Konzept der Coordinated Vulnerability Disclosure.

7. Sicherheitsupdates

Wird eine relevante Schwachstelle bestätigt, wird KAEMSOFT abhängig vom jeweiligen Sachverhalt geeignete Maßnahmen ergreifen.

Dies können beispielsweise sein:

• ein Softwareupdate;
• ein Hotfix;
• eine Konfigurationsänderung;
• eine vorübergehende Risikominderungsmaßnahme;
• ein Sicherheitshinweis für Anwender.

Sicherheitsupdates zur Behebung identifizierter Sicherheitsprobleme müssen nach dem CRA grundsätzlich unverzüglich und – vorbehaltlich der dort vorgesehenen Ausnahme für bestimmte maßgeschneiderte B2B-Produkte – kostenlos bereitgestellt und mit entsprechenden Hinweisen für die Nutzer versehen werden.

8. Veröffentlichung behobener Schwachstellen

Soweit erforderlich, veröffentlicht KAEMSOFT nach Bereitstellung eines Sicherheitsupdates Informationen über die behobene Schwachstelle.

Diese können insbesondere enthalten:

Produkt: betroffenes KAEMSOFT-Produkt
Version: betroffene Versionen
Schweregrad: Bewertung des Sicherheitsrisikos
Beschreibung: allgemeine Beschreibung der Schwachstelle
Auswirkung: mögliche Folgen einer Ausnutzung
Lösung: verfügbare Aktualisierung bzw. Abhilfemaßnahme
Empfehlung: erforderliche Maßnahmen für Anwender

Der CRA sieht grundsätzlich vor, nach Bereitstellung eines Sicherheitsupdates Informationen über behobene Schwachstellen, deren Auswirkungen und Schweregrad sowie verständliche Abhilfemaßnahmen für Benutzer zu veröffentlichen. In begründeten Fällen kann eine Veröffentlichung aufgeschoben werden, wenn dies zum Schutz der Anwender erforderlich ist.

9. Verantwortungsvolle Sicherheitsforschung

KAEMSOFT bittet Sicherheitsforscher, bei Untersuchungen verantwortungsvoll vorzugehen.

Insbesondere dürfen Sicherheitsuntersuchungen nicht dazu verwendet werden:

• Daten Dritter unnötig einzusehen, zu verändern oder zu löschen;
• Systeme oder Dienste absichtlich zu beeinträchtigen;
• Schadsoftware zu verbreiten;
• Social Engineering gegenüber Mitarbeitern, Kunden oder Partnern durchzuführen;
• Zugangsdaten Dritter zu verwenden;
• Sicherheitslücken über das für den Nachweis notwendige Maß hinaus auszunutzen.

Wird während einer Untersuchung unbeabsichtigt auf vertrauliche oder personenbezogene Daten zugegriffen, sollte die Untersuchung an dieser Stelle beendet und KAEMSOFT informiert werden.

10. Keine Aufforderung zu rechtswidrigen Handlungen

Diese Richtlinie stellt keine Erlaubnis dar, auf fremde Systeme, Daten oder IT-Infrastrukturen ohne entsprechende Berechtigung zuzugreifen.

Sicherheitsforschung muss im Rahmen der jeweils geltenden gesetzlichen Bestimmungen und vorhandenen Berechtigungen erfolgen.

11. Anerkennung von Sicherheitsforschern

KAEMSOFT kann nach vorheriger Zustimmung des Meldenden bei bedeutenden und verantwortungsvoll gemeldeten Schwachstellen den Sicherheitsforscher in einem veröffentlichten Sicherheitshinweis namentlich erwähnen.

Ein Anspruch auf eine öffentliche Nennung oder eine finanzielle Vergütung besteht nicht.

KAEMSOFT betreibt derzeit kein Bug-Bounty-Programm.

12. CRA-Meldepflichten

Unabhängig von dieser CVD-Richtlinie bewertet KAEMSOFT eingehende Sicherheitsmeldungen hinsichtlich gesetzlicher Meldepflichten.

Insbesondere können aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle nach dem Cyber Resilience Act meldepflichtig sein.

Die hierfür vorgeschriebenen Meldungen erfolgen durch KAEMSOFT über die dafür vorgesehene CRA Single Reporting Platform.

Ab dem 11. September 2026 gelten hierfür die CRA-Meldepflichten mit einer Frühwarnung innerhalb von 24 Stunden und einer ausführlicheren Meldung innerhalb von 72 Stunden nach Kenntnisnahme eines meldepflichtigen Sachverhalts.

13. Kontakt

Fragen zu dieser Richtlinie sowie Meldungen möglicher Sicherheitslücken richten Sie bitte an:

KAEMSOFT
Carossaweg 1
86637 Wertingen
Deutschland

E-Mail: security at kaemsoft.de