Vorgehensweise zur koordinierten Offenlegung von Schwachstellen (CVD Policy – Coordinated Vulnerability Disclosure Policy)

Hersteller: imovis GmbH
Version: 1.0
Erstellt am: 03. September 2026
Zuletzt geändert: 03. September 2026
Nächste Überprüfung: 03. September 2027

Zweck und Geltungsbereich

Wir, die imovis GmbH, begrüßen verantwortungsvolle Hinweise über vermutete Schwachstellen, die unsere Produkte mit digitalen Elementen betreffen. Sicherheitsforscher:innen und andere Personen, die eine potenzielle Schwachstelle identifizieren, können diese per E-Mail an unser Sicherheitsteam melden. Bitte stellen Sie ausreichend Informationen zur Verfügung, damit wir das gemeldete Problem verstehen, reproduzieren, bewerten und ggf. lösen können.

Diese Vorgehensbeschreibung gilt für Schwachstellen, die Produkte mit digitalen Elementen von imovis GmbH betreffen.

Wir überprüfen diese Vorgehensweise mindestens einmal jährlich und halten sie aktuell.

So melden Sie eine Schwachstelle

Schwachstellen können uns über folgende E-Mail-Adresse (cyber-security@imovis.de) gemeldet werden:

Schwachstelle per E-Mail melden

Wir akzeptieren Schwachstellenhinweise ausschließlich per E-Mail.

Wir behandeln alle eingehenden Schwachstellenhinweise nach bestem Wissen und Gewissen. Kein Hinweis wird allein auf Grundlage der Bewertung einer einzelnen Person abgeschlossen.

Als gültig gilt eine Schwachstelle, wenn sie ein Produkt mit digitalen Elementen von imovis GmbH betrifft.

Vertraulichkeit und Schutz der hinweisgebenden Person

Wir behandeln jeden Schwachstellenhinweis im gesetzlich zulässigen Umfang vertraulich. Davon ausgenommen sind Informationen, die für die koordinierte Offenlegung einer Schwachstelle erforderlich sind.

Personenbezogene Daten der hinweisgebenden Person werden ohne deren ausdrückliche Zustimmung nicht an Dritte weitergegeben, es sei denn, es handelt sich um behördliche Ermittlungen.

Wir werden keine strafrechtlichen Schritte gegen hinweisgebende Personen einleiten, sofern diese die Vorgaben und Grundsätze dieser Vorgehensweise einhalten. Dies gilt nicht, wenn erkennbar strafbare Absichten verfolgt wurden oder werden.

Wir stehen während des gesamten CVD-Prozesses für einen vertrauensvollen Austausch zur Verfügung.

Wir begrüßen die Meldung von Schwachstellen ausdrücklich, da sie uns hilft, die Sicherheit unserer Produkte zu verbessern. Aus der Einreichung eines Schwachstellenhinweises entsteht jedoch kein Anspruch auf eine finanzielle Belohnung, Prämie (Bug Bounty) oder sonstige Vergütung.

Diese Informationen sollte Ihre Meldung enthalten

Damit wir eine gemeldete Schwachstelle effizient bewerten und untersuchen können, sollten Sie möglichst viele relevante Informationen bereitstellen. Eine vollständige Meldung sollte, soweit zutreffend, Folgendes enthalten:

• Bezeichnung des betroffenen Produkts, der Komponente, Firmware- oder Softwareversion von imovis GmbH.
• Klare Beschreibung der vermuteten Schwachstelle einschließlich ihrer Ursache und der erkannten sicherheitsrelevanten Auswirkungen.
• Klare und detaillierte Schritt-für-Schritt-Anleitung, mit der sich die Schwachstelle unabhängig reproduzieren und überprüfen lässt.
• Beschreibung besonderer Konfigurationen, Einsatzbedingungen, Berechtigungen, Authentifizierungsanforderungen oder anderer Voraussetzungen, die zur Reproduktion des Problems erforderlich sind.
• Beschreibung der möglichen Folgen einer erfolgreichen Ausnutzung. Dazu gehören die betroffenen Werte, Daten, Systeme oder Nutzer sowie der Zugriffsgrad, den Angreifende erlangen könnten.
• Soweit verfügbar: Proof of Concept, Testfall, Screenshots, Protokolldateien (Logs) oder Exploit-Code, die das Problem belegen.
• Weitere technische Details, Indikatoren, Protokolle oder unterstützende Nachweise, die bei der Validierung und Bewertung der Schwachstelle helfen können.

Diese Sachverhalte sind ausgeschlossen

Die folgenden Sachverhalte liegen im Allgemeinen außerhalb dieses Prozesses zur koordinierten Offenlegung von Schwachstellen:

• Schwachstellen, die bereits öffentlich bekannt gemacht wurden, denen bereits eine CVE-Nummer zugewiesen wurde oder die durch ein Sicherheitsupdate oder andere Abhilfemaßnahmen behoben wurden. Dies gilt nicht, wenn die Meldung wesentliche neue Informationen enthält, bislang unbekannte Sicherheitsauswirkungen aufzeigt oder auf eine unvollständige beziehungsweise unwirksame Behebung hinweist.
• Schwachstellen in Produkten, Software, Dienstleistungen oder Versionen, die das Ende ihres Lebenszyklus (End of Life) erreicht haben oder die wir nicht mehr unterstützen.
• Schwachstellen in Versionen, für die wir bereits ein Upgrade oder eine Migration auf eine unterstützte Version empfohlen haben und bei denen das gemeldete Problem in der empfohlenen Version behoben wurde.
• Feststellungen ohne relevante Sicherheitsauswirkungen. Dazu gehören rein informative Hinweise, allgemeine Sicherheitsempfehlungen oder Schwächen, die in der betroffenen Umgebung nicht sinnvoll ausgenutzt werden können.
• Sachverhalte, die hauptsächlich Social Engineering, Phishing, Spam oder Angriffe auf Mitarbeitende oder Kund:innen der imovis GmbH oder andere Dritte betreffen und nicht auf einer Schwachstelle in einem Produkt oder einer Dienstleistung der imovis GmbH beruhen.
• Hinweise, die ausschließlich durch automatisierte Scan-Werkzeuge erstellt wurden und keine ausreichenden Informationen zur Reproduktion oder Validierung des Problems enthalten.
• Schwachstellen in Produkten oder Dienstleistungen Dritter, die wir nicht entwickeln, warten, vertreiben oder betreiben. Solche Probleme sollten dem jeweiligen Hersteller oder Dienstleister gemeldet werden.