Policy zur koordinierten Offenlegung von Schwachstellen
Nöding Messtechnik GmbH, Oldenfelder Bogen 29 D-22143 Hamburg
Fassung 1.0, zuletzt geändert am 10.09.2026
1. Geltungsbereich
Diese Policy gilt für alle Produkte mit digitalen Elementen von Nöding Messtechnik GmbH sowie für die IT-Infrastruktur von Nöding Messtechnik GmbH. Sie beschreibt, wie Sie uns eine Schwachstelle melden, wie wir Ihre Meldung bearbeiten und unter welchen Bedingungen wir Schwachstellen veröffentlichen.
2. Meldung
Meldungen richten Sie bitte an vulnerability@noeding-messtechnik.de. Diese Adresse ist unsere zentrale Anlaufstelle und gilt für Schwachstellen in Produkten ebenso wie für Schwachstellen in unserer Webseite und unserer IT-Infrastruktur.
Telefonisch erreichen Sie uns unter +49 40 675851-0, Montag bis Donnerstag von 8:00–15:00 Uhr und Freitag von 8:00–12:00 Uhr (Zeitzone Europe/Berlin). Ausgenommen gesetzliche Feiertage in Hamburg.
Als Kontaktmöglichkeit für Rückfragen akzeptieren wir E-Mail-Adressen und Telefonnummern.
Eine Meldung ohne Angabe Ihrer Identität ist möglich; die Einzelheiten dazu finden Sie in Abschnitt 6.
3. Gültige Schwachstellen
Als gültige Schwachstelle behandeln wir eine Meldung, die ein Produkt oder die Infrastruktur von Nöding Messtechnik GmbH betrifft, sich auf nicht öffentlich bekannte Informationen bezieht und mehr enthält als das unkommentierte Ergebnis eines automatisierten Scans.
Meldungen, die diese Voraussetzungen nicht erfüllen, prüfen wir dennoch nach bestem Vermögen und teilen Ihnen das Ergebnis mit.
4. Bearbeitung und Fristen
Auf jede Meldung und jede Ergänzung zu einer bereits eingegangenen Meldung antworten wir innerhalb von fünf Arbeitstagen. Diese Antwort wird von einer Person verfasst; eine automatische Eingangsbestätigung tritt nicht an ihre Stelle.
Nach der technischen Prüfung erhalten Sie innerhalb von zehn Arbeitstagen eine inhaltliche Rückmeldung. Diese enthält mindestens eine der folgenden Aussagen: die Bestätigung oder die begründete Ablehnung der gemeldeten Schwachstelle, gezielte Rückfragen zum Sachverhalt, oder eine Begründung, weshalb die Prüfung länger dauert.
Bis zum Abschluss des Verfahrens stehen wir Ihnen als Ansprechpartner zur Verfügung.
5. Vertraulichkeit und Datenschutz
Eingehende Meldungen behandeln wir vertraulich, soweit gesetzlich zulässig. Hiervon ausgenommen sind ausschließlich die Angaben, die für die Veröffentlichung nach Abschnitt 7 erforderlich sind.
Personenbezogene Daten der meldenden Person geben wir ohne deren ausdrückliche Zustimmung nicht an Dritte weiter, es sei denn, wir sind gesetzlich, behördlich oder gerichtlich dazu verpflichtet.
Die Meldungen an das zuständige nationale CSIRT und an die ENISA nach Artikel 14 der Verordnung (EU) 2024/2847 betreffen die Schwachstelle, nicht Ihre Person.
Weitere Angaben zur Verarbeitung finden Sie in unserer Datenschutzerklärung.
6. Anonyme Meldungen
Sie müssen uns Ihren Namen nicht nennen. Eine Meldung von einer anonymen, aber erreichbaren E-Mail-Adresse behandeln wir wie jede andere Meldung; wir fragen nicht nach, wer dahintersteht. Die Zusagen aus Abschnitt 4 gelten für solche Meldungen unverändert.
Bei komplexen Sachverhalten sind Rückfragen und ergänzende Unterlagen in der Regel erforderlich. Erhalten wir eine Meldung ohne jede Kontaktmöglichkeit, können wir diese Rückfragen nicht stellen. Solche Meldungen lassen sich deshalb nur eingeschränkt und unter Umständen gar nicht bearbeiten, und die Fristen aus Abschnitt 4 können wir dafür nicht einhalten.
7. Veröffentlichung
Die Veröffentlichung erfolgt mindestens über die von der ENISA betriebene European Vulnerability Database (EUVD); den Eintrag veranlassen wir in Abstimmung mit dem zuständigen nationalen CSIRT beziehungsweise der ENISA.
Bei aktiv ausgenutzten Schwachstellen informieren wir unverzüglich das für uns zuständige nationale CSIRT und stimmen das weitere Vorgehen einschließlich der Zeitpläne mit ihm ab.
8. Erwartungen an die meldende Person
Wir bitten Sie, die folgenden Punkte einzuhalten:
Nutzen Sie die Schwachstelle nicht über den Nachweis hinaus aus und verursachen Sie keinen Schaden. Führen Sie keine Angriffe auf unsere Systeme durch, insbesondere kein Social Engineering, keinen Spam sowie keine Denial-of-Service- oder Brute-Force-Angriffe. Verändern, kompromittieren oder löschen Sie keine Daten Dritter. Stellen Sie keine Werkzeuge zum Ausnutzen der Schwachstelle bereit, weder entgeltlich noch unentgeltlich. Geben Sie uns vor einer Veröffentlichung angemessene Zeit zur Behebung, in der Regel bitten wir um 90 Tage ab der Bestätigung der Schwachstelle. Wir erwarten einen respektvollen Umgang aller Beteiligten miteinander.
9. Rechtliche Zusicherung
Soweit Sie sich an diese Policy halten, sehen wir von Strafanzeigen und zivilrechtlichen Schritten gegen Sie ab. Dies gilt nicht, soweit erkennbar kriminelle Absichten verfolgt wurden oder werden.
Eine Geheimhaltungsvereinbarung verlangen wir nicht.
Halten Sie sich nicht an die Erwartungen aus Abschnitt 8, bearbeiten wir Ihre Meldung dennoch nach bestem Vermögen. Die Zusicherung aus Absatz 1 dieses Abschnitts gilt in diesem Fall nicht.
10. Prämien
Nöding Messtechnik GmbH zahlt keine Prämien für gemeldete Schwachstellen und führt keine öffentliche Danksagungsliste.
11. Abschluss des Verfahrens
Das Verfahren ist abgeschlossen, wenn einer der folgenden Fälle eintritt:
- Die Angaben der Meldung haben sich als unbegründet erwiesen.
- Die Schwachstelle in einem Dienst ist behoben und öffentlich bekannt gegeben.
- Die Schwachstelle ist durch eine Aktualisierung behoben oder wirksam entschärft und öffentlich bekannt gegeben.
- Auf technische oder inhaltliche Rückfragen ist seit mindestens 30 Tagen keine Antwort eingegangen, sodass eine weitere Bearbeitung nicht möglich ist.
- Die Schwachstelle ist öffentlich bekannt und es ist, in Abstimmung mit dem zuständigen nationalen CSIRT, nicht mehr davon auszugehen, dass sie behoben oder entschärft wird.
Bei nicht anonymen Meldungen teilen wir Ihnen den Abschluss unverzüglich mit.
12. Änderungen dieser Policy
Wir überprüfen diese Policy mindestens einmal jährlich und passen sie bei Bedarf an. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung mit dem oben angegebenen Änderungsdatum.