Security & Vulnerability Disclosure

optiMEAS entwickelt intelligente Mess- und IoT-Systeme für den industriellen Einsatz. Die Sicherheit dieser Produkte ist eine fortlaufende Aufgabe, bei der wir offen mit denjenigen zusammenarbeiten, die uns helfen, Schwachstellen zu finden und zu beheben.

Diese Seite erklärt, wie Sie eine mögliche Schwachstelle in einem optiMEAS-Produkt oder -Service melden können und was Sie im Gegenzug von uns erwarten können. Sie setzt die Anforderung des EU Cyber Resilience Act (Verordnung (EU) 2024/2847, Anhang I, Teil II, Nr. 5) um, eine koordinierte Richtlinie zur Offenlegung von Schwachstellen bereitzustellen und anzuwenden.

Schwachstelle melden

Schreiben Sie an security@optimeas.de — auf Anfrage steht ein PGP-Schlüssel für verschlüsselte Meldungen zur Verfügung. Bitte melden Sie vertraulich und veröffentlichen Sie den Sachverhalt nicht öffentlich, bevor wir uns auf eine koordinierte Offenlegung geeinigt haben.

Geltungsbereich

Diese Richtlinie gilt für optiMEAS-Produkte mit digitalen Elementen und die dazugehörigen Services, insbesondere:

• Mess- und Datenerfassungssysteme (Hardware einschließlich Firmware)
• optiMEAS-Software und -Anwendungen zur Konfiguration, Visualisierung und Datenanalyse
• Cloud- und Portal-Services sowie Update- und Lizenzierungsinfrastruktur
• unsere Websites und Kundenportale

Nicht im Geltungsbereich enthalten sind Systeme und Services Dritter, die wir nicht selbst betreiben, sowie Produkte, deren Supportzeitraum abgelaufen ist. Bitte melden Sie Erkenntnisse trotzdem — wo möglich leiten wir diese an die zuständige Stelle weiter.

So melden Sie eine Schwachstelle

Senden Sie Ihre Meldung an security@optimeas.de. Folgende Angaben helfen uns, schnell zu reagieren:

• das betroffene Produkt, Version bzw. Firmware und Umgebung
• eine klare Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen
• Schritte zur Reproduktion (Proof of Concept, Logs oder Screenshots sind willkommen)
• wie wir Sie erreichen können und ob Sie namentlich genannt werden möchten

Meldungen auf Deutsch oder Englisch sind beide in Ordnung. Auch unvollständige Meldungen sind willkommen — wir melden uns, falls wir weitere Details benötigen.

Was Sie von uns erwarten können

Schritt	Unsere Zusage
Eingangsbestätigung	innerhalb von 3 Werktagen nach Ihrer Meldung
Erste Einschätzung	innerhalb von 10 Werktagen, inklusive unserer Klassifizierung
Behebung	je nach Schweregrad, ohne schuldhaftes Zögern, mit Fortschrittsupdates
Koordinierte Offenlegung	Zeitpunkt und Inhalt werden gemeinsam abgestimmt, sobald ein Fix verfügbar ist

Bei komplexen oder kritischen Fällen informieren wir Sie transparent, falls wir mehr Zeit benötigen.

Worauf wir gemeinsam vertrauen

Wir betrachten Sicherheitsforschung, die gutgläubig und im Einklang mit dieser Richtlinie durchgeführt wird, als wertvollen Beitrag und nicht als unbefugten Zugriff. Wenn Sie die folgenden Grundsätze einhalten, werden wir im Zusammenhang mit Ihrer Forschung keine rechtlichen Schritte einleiten oder empfehlen:

• greifen Sie nur auf die Daten zu, die zur Demonstration der Schwachstelle notwendig sind, und verändern, löschen oder veröffentlichen Sie keine Daten Dritter
• beeinträchtigen Sie nicht den Betrieb oder die Verfügbarkeit unserer Systeme für andere Nutzer (kein Denial of Service, keine Massen- oder Spam-Tests)
• behandeln Sie die Schwachstelle und alle erlangten Informationen vertraulich, bis wir uns auf eine Offenlegung geeinigt haben
• geben Sie uns eine angemessene Frist zur Behebung — üblicherweise 90 Tage — bevor Sie Details veröffentlichen

Diese Zusicherung gilt nur im gesetzlich zulässigen Rahmen, erteilt keine Erlaubnis für Tests, die über das zur Meldung Notwendige hinausgehen, und schützt nicht vor Ansprüchen Dritter.

Koordinierte Offenlegung und gesetzliche Meldepflichten

Wir behandeln Schwachstellen nach dem Prinzip der koordinierten Offenlegung: Die Veröffentlichung erfolgt, sobald eine Abhilfemaßnahme verfügbar ist und betroffene Kunden geschützt werden können. Wo angebracht, beantragen wir eine CVE-Kennung und nennen mit Ihrer Zustimmung Ihren Beitrag namentlich.

Unabhängig davon kommen wir unseren gesetzlichen Pflichten nach dem Cyber Resilience Act nach. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle werden innerhalb der gesetzlichen Fristen über die vorgesehene europäische Meldeplattform an das zuständige CSIRT und die ENISA gemeldet. Unser Prozess folgt den etablierten Standards ISO/IEC 29147 (Offenlegung von Schwachstellen) und ISO/IEC 30111 (Umgang mit Schwachstellen).

Anerkennung

Wir schätzen die Arbeit von Sicherheitsforschern und nennen Sie auf Wunsch als Entdecker einer bestätigten Schwachstelle. Ein bezahltes Bug-Bounty-Programm betreiben wir derzeit nicht.

---

Sicherheitskontakt: security@optimeas.de · Version 1.0 (Juli 2026)