Coordinated Vulnerability Disclosure (CVD)-Richtlinie

1. Zweck dieser Richtlinie

Die Sicherheit unserer Produkte, Software und digitalen Dienste hat für die CONZE Informatik GmbH hohe Priorität. Trotz sorgfältiger Entwicklung und regelmäßiger Sicherheitsprüfungen können Schwachstellen nicht vollständig ausgeschlossen werden.

Die Coordinated Vulnerability Disclosure (CVD)-Richtlinie beschreibt, wie Sicherheitsforschende, Kunden, Partner und andere Personen mögliche Schwachstellen vertraulich an uns melden können. Ziel ist es, gemeldete Schwachstellen gemeinsam zu untersuchen, angemessen zu beheben und Informationen darüber koordiniert offenzulegen. Die Richtlinie unterstützt unseren Prozess zur Behandlung von Schwachstellen und unsere Verpflichtungen nach der Verordnung (EU) 2024/2847 – Cyber Resilience Act (CRA).

2. Geltungsbereich

Diese Richtlinie gilt für folgende von uns verantwortete Produkte und Dienste:

vistrax – das digitale Besucherbuch
Server Software, Desktop Software, Web-Clients and Mobile Apps
Managed Cloud Services
vistrax.com Domain and Subdomains
Help Desk / FAQ

Nicht in den Geltungsbereich fallen, sofern nicht ausdrücklich anders angegeben:

Systeme und Dienste von Drittanbietern, für die wir nicht verantwortlich sind;
Interne Systeme, die nicht öffentlich erreichbar sind;
Social-Engineering-Angriffe gegen Beschäftigte, Kunden oder Partner;
Physische Angriffe auf Gebäude, Geräte oder Beschäftigte;
Denial-of-Service- und Distributed-Denial-of-Service-Angriffe;
Automatisierte Tests, die die Verfügbarkeit oder Stabilität unserer Systeme beeinträchtigen können.
Falls Sie unsicher sind, ob ein System in den Geltungsbereich fällt, kontaktieren Sie uns bitte vor Beginn weitergehender Tests.

3. Meldung einer Schwachstelle

Bitte senden Sie Schwachstellenmeldungen an:

E-Mail: securitycontact@vistrax.com
security.txt: https://shop.vistrax.com/.well-known/security.txt

Bitte übermitteln Sie – soweit möglich – folgende Angaben:

Betroffenes Produkt, Modell, Softwareversion oder System;
Art und technische Beschreibung der Schwachstelle;
Notwendige Voraussetzungen und mögliche Auswirkungen;
Nachvollziehbare Schritte zur Reproduktion;
Proof of Concept, Protokolle, Screenshots oder Beispielcode;
Bereits durchgeführte Tests;
Mögliche Abhilfemaßnahmen;
Gewünschter Name oder Alias für eine spätere Danksagung;
Eine Kontaktmöglichkeit für Rückfragen.

Bitte übermitteln Sie keine unnötigen personenbezogenen Daten, Zugangsdaten, privaten Schlüssel oder vollständigen Datensätze. Besonders sensible Informationen sollten verschlüsselt gesendet werden.

4. Verantwortungsvolle Sicherheitsforschung

Wir bitten meldende Personen, nach Treu und Glauben zu handeln und insbesondere:

Nur in dem Umfang zu testen, der zum Nachweis der Schwachstelle erforderlich ist;
Beeinträchtigungen des Betriebs und der Verfügbarkeit zu vermeiden;
Keine Daten zu verändern, zu löschen, herunterzuladen oder weiterzugeben, soweit dies nicht zwingend zum Nachweis erforderlich ist;
Auf den Zugriff auf weitere Daten oder Systeme zu verzichten, sobald eine Schwachstelle nachgewiesen wurde;
Keine dauerhaften Zugänge einzurichten;
Keine Schadsoftware einzusetzen;
Keine Zugangsdaten durch Phishing oder andere Formen des Social Engineering zu beschaffen;
Keine Schwachstelle auszunutzen, um sich oder Dritten einen Vorteil zu verschaffen;
Einzelheiten nicht ohne vorherige Abstimmung mit uns gegenüber Dritten oder öffentlich offenzulegen;
Alle anwendbaren Gesetze einzuhalten.

Diese Richtlinie stellt keine allgemeine Erlaubnis zum Zugriff auf fremde Systeme oder Daten dar.

5. Unser Bearbeitungsprozess

Schwachstellen werden gemäß dem Vulnerability-Management-Prozess behandelt. Tatsächliche oder vermutete Sicherheitsvorfälle werden gemäß dem Incident-Response-Prozess behandelt.

Nach Eingang einer Meldung bemühen wir uns um folgenden Ablauf:

Alle eingehenden Meldungen werden unverzüglich geprüft und im Ticket-System erfasst.
Eingangsbestätigung: innerhalb von 5 Arbeitstagen.
Erste Bewertung: innerhalb von 10 Arbeitstagen.
Priorisierung: anhand von Ausnutzbarkeit, Schweregrad, Auswirkungen und Verbreitung des betroffenen Produkts.
Abstimmung: regelmäßige Information über wesentliche Fortschritte, soweit dies möglich und sicherheitsrechtlich vertretbar ist.
Behebung: Entwicklung und Prüfung einer Sicherheitsaktualisierung oder anderer geeigneter Maßnahmen.
Koordinierte Offenlegung: Veröffentlichung nach Bereitstellung einer Abhilfemaßnahme und nach angemessener Gelegenheit für betroffene Nutzer, diese anzuwenden.

Die tatsächliche Bearbeitungszeit hängt von der Komplexität, dem Risiko und möglichen Abhängigkeiten von Zulieferern oder Open-Source-Projekten ab. Kritische und aktiv ausgenutzte Schwachstellen werden vorrangig behandelt.

Wir können eine Meldung mit relevanten Zulieferern, Dienstleistern, Koordinierungsstellen oder zuständigen Behörden teilen, soweit dies zur Untersuchung, Behebung, Koordinierung oder Erfüllung gesetzlicher Pflichten erforderlich ist. Dabei beschränken wir die weitergegebenen Informationen auf das notwendige Maß.

6. Koordinierte Veröffentlichung

Bitte geben Sie uns vor einer Veröffentlichung ausreichend Zeit, die Schwachstelle zu untersuchen und geeignete Maßnahmen bereitzustellen. Als Orientierungsrahmen streben wir eine koordinierte Offenlegung innerhalb von 90 Tagen nach Bestätigung der Schwachstelle an.

Dieser Zeitraum kann im gegenseitigen Einvernehmen angepasst werden, insbesondere wenn:

Die Behebung besonders komplex ist;
Mehrere Hersteller oder Open-Source-Projekte betroffen sind;
Eine frühere Veröffentlichung zum Schutz der Nutzer erforderlich ist;
Die Veröffentlichung ein unverhältnismäßiges Sicherheitsrisiko verursachen würde.

Zeitpunkt, Umfang und Inhalt einer Veröffentlichung sollen möglichst zwischen den Beteiligten abgestimmt werden. Informationen über behobene Schwachstellen können insbesondere das betroffene Produkt, betroffene Versionen, Auswirkungen, Schweregrad sowie verfügbare Sicherheitsupdates oder Schutzmaßnahmen enthalten.

7. Umgang mit gutgläubiger Forschung

Wenn Sie nach Treu und Glauben handeln und diese Richtlinie einhalten, wird CONZE grundsätzlich nicht allein aufgrund Ihrer Sicherheitsforschung rechtliche Schritte gegen Sie einleiten oder unterstützen. Dies gilt nicht bei vorsätzlicher Schädigung, Erpressung, Datenmissbrauch, unverhältnismäßigen Eingriffen, erkennbar krimineller Absicht oder sonstigen Verstößen gegen anwendbares Recht. Diese Erklärung kann weder Behörden noch Dritte binden und stellt keine Rechtsberatung oder umfassende Haftungsfreistellung dar.

Falls Zweifel bestehen, kontaktieren Sie uns bitte, bevor Sie einen möglicherweise kritischen Test durchführen.

8. Vertraulichkeit und Datenschutz

Wir behandeln Schwachstellenmeldungen grundsätzlich vertraulich. Personenbezogene Daten werden nur verarbeitet, soweit dies zur Kommunikation, Untersuchung, Dokumentation, Behebung oder Erfüllung gesetzlicher Pflichten erforderlich ist. Kontaktdaten und die Identität meldender Personen veröffentlichen wir nur mit deren ausdrücklicher Zustimmung, soweit keine gesetzliche Verpflichtung zur Offenlegung besteht. Weitere Informationen enthält unsere Datenschutzerklärung.

Anonyme Meldungen sind möglich. Ohne Kontaktmöglichkeit können Rückfragen und Statusinformationen jedoch eingeschränkt sein.

9. Anerkennung und Vergütung

Auf Wunsch können wir Sicherheitsforschende nach erfolgreicher Behebung namentlich oder unter einem Alias erwähnen. Diese Richtlinie stellt kein Bug-Bounty-Programm und kein Angebot einer Vergütung dar. Ein Anspruch auf Zahlung oder sonstige Gegenleistung besteht nur, wenn dies vorab ausdrücklich und schriftlich vereinbart wurde.

10. Missbrauchs- und Supportanfragen

Diese Kontaktstelle ist ausschließlich für Schwachstellen in unseren Produkten und digitalen Diensten vorgesehen. Für allgemeine Supportanfragen, Betrugsfälle, Datenschutzanfragen oder Sicherheitsvorfälle ohne Bezug zu einer Produktschwachstelle verwenden Sie bitte das Kontaktformular.

11. Änderungen dieser Richtlinie

Wir überprüfen diese Richtlinie regelmäßig und können sie an technische, organisatorische oder rechtliche Entwicklungen anpassen. Die jeweils aktuelle Fassung wird auf dieser Seite veröffentlicht.

12. Stand der Richtlinie

Die letzte Änderung erfolgte am 01.08.2026.