Verantwortliche Stelle: Truma Gerätetechnik GmbH & Co. KG, Wernher-von-Braun-Straße 12, 85640 Putzbrunn, Deutschland

Sichere, zuverlässige und vertrauenswürdige Produkte haben für Truma hohe Priorität. Truma nimmt die Sicherheit seiner Produkte und digitalen Dienste ernst und arbeitet kontinuierlich daran, mögliche Risiken für Kunden, Nutzer und Systeme frühzeitig zu erkennen, angemessen zu bewerten und wirksam zu reduzieren. Hinweise von Personen, die Sicherheitslücken untersuchen, sowie von Kunden und Partnern leisten hierzu einen wichtigen Beitrag.

1. Ziel und Grundsatz

Truma unterstützt die verantwortungsvolle und koordinierte Meldung von Sicherheitslücken. Diese Policy beschreibt, wie mögliche Schwachstellen in Truma-Produkten mit digitalen Elementen und zugehörigen digitalen Diensten gemeldet werden können und wie Truma solche Meldungen bearbeitet.

2. Meldung und Verschlüsselung

Bitte melden Sie mögliche Sicherheitslücken in deutscher oder englischer Sprache an security@truma.com. Bitte verwenden Sie für E-Mail-Einreichungen den von Truma bereitgestellten OpenPGP-Schlüssel. Sensible technische Informationen, insbesondere Exploitdetails, technischer Beispielcode zum Nachweis der Schwachstelle (Proof-of-Concept-Code), Zugangsdaten, Schlüssel, personenbezogene Daten oder vertrauliche Systeminformationen, sollen nur PGP-verschlüsselt übermittelt werden.

3. Was eine Meldung enthalten sollte

Bitte stellen Sie nach Möglichkeit folgende Informationen bereit: Produkt, Modell und Version; Beschreibung der vermuteten Schwachstelle und ihrer Auswirkungen; Reproduktionsschritte, Testumgebung und verwendete Tools; relevante Nachweise einschließlich eindeutig gekennzeichnetem Proof-of-Concept- oder Exploit-Code; Hinweise auf aktive Ausnutzung oder besondere Risiken; sowie Ihre Kontaktdaten und etwaige Referenz- oder Advisory-Nummern. Proof-of-Concept- oder Exploit-Code sowie Informationen zu aktiver Ausnutzung oder besonderen Risiken sollen PGP-verschlüsselt übermittelt werden.

4. Bearbeitung und koordinierte Offenlegung

Truma bestätigt den Eingang einer verwertbaren Meldung in der Regel innerhalb von zwei Arbeitstagen und prüft die gemeldete Schwachstelle risikobasiert. Truma kann die Bearbeitung mit betroffenen Herstellern, Koordinierungsstellen, Computer Security Incident Response Teams (CSIRTs) oder Behörden abstimmen.

Die interne Bewertung, Priorisierung und Bearbeitung von Meldungen erfolgt nach den hierfür bei Truma vorgesehenen Prozessen.

Truma unterstützt koordinierte Schwachstellenoffenlegung. Bitte veröffentlichen Sie Informationen über eine Schwachstelle nicht, bevor Truma die Meldung prüfen, Risiken bewerten und angemessene Korrektur- oder Minderungsmaßnahmen einleiten konnte. Gesetzliche oder behördliche Meldepflichten bleiben unberührt.

5. Regeln für verantwortungsvolle Prüfung

Prüfungen dürfen nur rechtmäßig, verhältnismäßig und schadensvermeidend erfolgen. Bitte greifen Sie nicht auf fremde Daten, Geräte, Konten oder Netzwerke zu, verändern oder löschen Sie keine Daten und führen Sie keine Verfügbarkeits-, Belastungs-, Denial-of-Service-, Social-Engineering-, Phishing-, Malware- oder physischen Angriffe durch. Falls unbeabsichtigt fremde oder personenbezogene Daten sichtbar werden, beenden Sie die Untersuchung und informieren Sie Truma.

6. Vertraulichkeit, Anerkennung und rechtliche Grenzen

Truma behandelt Meldungen grundsätzlich vertraulich und verarbeitet personenbezogene Daten nur, soweit dies für Entgegennahme, Prüfung, Bearbeitung, Kommunikation, Nachweisführung oder gesetzliche Pflichten erforderlich ist. Bitte übermitteln Sie personenbezogene Daten nur, soweit dies für die Meldung erforderlich ist. Zugriff auf personenbezogene Daten erhalten nur die Personen und Stellen, die an der Bearbeitung der Meldung, der Risikobewertung, der Behebung, der Koordination mit betroffenen Dritten oder der Erfüllung gesetzlicher Pflichten beteiligt sind. Eine Weitergabe an Dritte erfolgt nur, soweit dies für Validierung, Risikobewertung, Behebung, Nutzerinformation, koordinierte Offenlegung oder gesetzliche bzw. behördliche Pflichten erforderlich ist. Truma kann meldende Personen auf Wunsch öffentlich würdigen. Sofern Meldende nach Treu und Glauben handeln, diese Policy einhalten, keine Schäden verursachen, keine Rechte Dritter verletzen und Informationen nicht vor einer abgestimmten Offenlegung veröffentlichen, wird Truma wegen der Meldung und der damit verbundenen, policykonformen Sicherheitsprüfung grundsätzlich keine Ansprüche gegen sie geltend machen. Diese Policy begründet kein Bug-Bounty-Programm und keinen Anspruch auf Vergütung oder sonstige Gegenleistung. Sie stellt keine Beauftragung dar. Rechtswidriges Verhalten oder Verstöße gegen diese Policy bleiben unberührt.

7. Kontakt

Security Contact für Produktsicherheit und Schwachstellenmeldungen

E-Mail: security@truma.com

PGP-Schlüssel: Download