NeuroCheck Vulnerability Disclosure Policy

Neuro⁠Check nimmt die Sicherheit seiner Produkte ernst und begrüßt die verantwortungsvolle Meldung potenzieller Produktschwachstellen. Diese Vulnerability Disclosure Policy (VDP) beschreibt, wie Sicherheitsforschende, Kunden und andere Personen vermutete oder bestätigte Produktschwachstellen an uns melden können. Im Folgenden bezeichnet der Begriff Produktschwachstelle Sicherheitslücken oder sonstige sicherheitsrelevante Fehler in unseren Produkten.

Diese Richtlinie gilt für Produkte, die von Neuro⁠Check entwickelt oder unter eigener Produktverantwortung vertrieben werden. Produkte von Drittanbietern, die Neuro⁠Check lediglich weiterverkauft, sind nicht Gegenstand dieser Richtlinie. Schwachstellen in solchen Produkten sollten direkt an den jeweiligen Hersteller gemeldet werden.

Wenn Sie eine Sicherheitslücke in einem unserer Produkte vermuten oder entdecken, bitten wir Sie, uns darüber zu informieren. Wir prüfen alle eingehenden Meldungen zeitnah und bewerten, ob Abhilfemaßnahmen erforderlich sind.

Meldung von Produktschwachstellen

Bitte verwenden Sie für die Meldung von Produktschwachstellen ausschließlich diese E-Mail-Adresse:

security@neurocheck.com

Sie dient als Single Point of Contact (SPoC) für die Meldung von Produktschwachstellen an Neuro⁠Check. Dadurch tragen Sie dazu bei, dass Ihre Meldung unmittelbar das zuständige PSIRT erreicht und so schnell wie möglich bearbeitet werden kann.

Angaben zur Schwachstellenmeldung

Beschreiben Sie die Produktschwachstelle möglichst nachvollziehbar und mit ausreichend technischen Details, damit wir diese prüfen und bewerten können. Jede Meldung sollte folgende Angaben enthalten:

• Betroffenes Produkt und Versionsnummer
• Eindeutige Produktidentifikation (z. B. Lizenznummer, Seriennummer oder Projektnummer)
• Detaillierte Beschreibung der Produktschwachstelle
• Systemumgebung und Schritte zur Reproduktion
• Auswirkungen und/oder Risiko
• Kontaktinformationen für Rückfragen

Optionale, aber sehr hilfreiche Angaben können sein:

• Proof of Concept
• Logs / Screenshots
• CVSS-Einschätzung
• Workarounds

Wir behalten uns vor, die Bearbeitung einer Meldung einzustellen, wenn die vorliegenden Angaben keine ausreichende Prüfung und Bewertung der Produktschwachstelle ermöglichen.

Bearbeitung von Schwachstellenmeldungen

Nach Eingang einer Schwachstellenmeldung gehen wir wie folgt vor:

• Wir bestätigen den Eingang jeder Meldung ohne unangemessene Verzögerung.
• Wir prüfen und bewerten jede gemeldete Produktschwachstelle sorgfältig.
• Wir informieren Sie während der Bearbeitung in angemessenem Umfang über den Fortschritt.
• Wir behandeln sämtliche Informationen vertraulich und verwenden sie ausschließlich zur Bearbeitung der gemeldeten Produktschwachstelle. Die Weitergabe von Informationen erfolgt nur, soweit sie für die Analyse und Behebung der Produktschwachstelle oder im Rahmen der koordinierten Offenlegung erforderlich ist.
• Wir koordinieren die Offenlegung bestätigter Produktschwachstellen nach den Grundsätzen der koordinierten Offenlegung (Coordinated Vulnerability Disclosure, CVD).
• Wir behalten uns vor, Art und Umfang geeigneter Abhilfemaßnahmen nach eigenem Ermessen festzulegen. Die Bereitstellung von Sicherheitsupdates richtet sich nach dem jeweiligen Produktlebenszyklus und den entsprechenden Festlegungen unserer Product Lifecycle Policy.
• Wir ergreifen keine rechtlichen Schritte gegen Personen, die Produktschwachstellen in gutem Glauben, verantwortungsvoll und im Einklang mit dieser Richtlinie melden.

Koordinierte Offenlegung

Bitte veröffentlichen Sie keine Informationen über eine gemeldete Produktschwachstelle, bevor wir Gelegenheit hatten, diese zu prüfen, zu bewerten und angemessene Abhilfemaßnahmen vorzubereiten. Wir streben gemeinsam mit Ihnen eine koordinierte Offenlegung bestätigter Produktschwachstellen nach den Grundsätzen der Coordinated Vulnerability Disclosure (CVD) an. Auf Wunsch werden Sie im Rahmen der Veröffentlichung einer Produktschwachstelle unter Angabe Ihres Namens oder eines Pseudonyms entsprechend gewürdigt.

Kommt keine Einigung über die Offenlegung zustande, behalten wir uns vor, Kunden und gegebenenfalls zuständige Behörden über die Produktschwachstelle zu informieren. Neuro⁠Check kann außerdem produktbezogene sicherheitsrelevante Informationen veröffentlichen. Jede solche Offenlegung beschränkt sich auf das, was zur Wahrung der Produktsicherheit erforderlich oder gesetzlich vorgeschrieben ist.

Hinweise für meldende Personen

Bitte führen Sie ausschließlich Untersuchungen durch, die keine Beeinträchtigung unserer Systeme oder der Systeme unserer Kunden verursachen. Insbesondere sind Denial-of-Service-Angriffe (DoS), einschließlich verteilter Denial-of-Service-Angriffe (DDoS), sonstige Maßnahmen zur Beeinträchtigung der Verfügbarkeit von Diensten, der Zugriff auf personenbezogene Daten sowie alle Handlungen, die gegen geltendes Recht verstoßen, zu unterlassen.

Wir betreiben kein Bug-Bounty-Programm. Mit der Übermittlung einer Schwachstellenmeldung erkennen Sie ausdrücklich an, dass Ihnen aus der Meldung kein Anspruch auf die Zahlung einer Prämie oder sonstige Vergütung durch Neuro⁠Check entsteht.

Durch die Übermittlung einer Schwachstellenmeldung räumen Sie Neuro⁠Check das unentgeltliche Recht ein, die im Rahmen der Schwachstellenmeldung übermittelten Informationen und Materialien zur Analyse und Behebung der Produktschwachstelle, zur Verbesserung der Produktsicherheit sowie zur internen Dokumentation und Veröffentlichung sicherheitsrelevanter Informationen zu verwenden. Dies schließt die Weitergabe an Dritte ein, soweit diese für die genannten Zwecke erforderlich ist.

Wir bedanken uns bei allen, die durch die verantwortungsvolle Meldung von Produktschwachstellen zur Sicherheit unserer Produkte beitragen.

Dokumenteninformation:

• Version: V02
• Gültig ab: 5. November 2026
• Zuletzt aktualisiert: 5. November 2026
• PDF-Version: PSIRT-VDP_DE_V02.pdf