Schwachstellen¶

Die IServ Schulplattform wird nächtlich automatisiert mit Sicherheitsupdates versorgt. Trotz aller Sorgfalt lässt sich nicht vollständig ausschließen, dass sich doch einmal eine Schwachstelle in unserem Programmcode, seinen Abhängigkeiten wie Softwarebibliotheken oder dem von IServ verwendeten Basisbetriebssystem findet.

Schwachstellenscans und -management¶

Unser Programmcode und seine Abhängigkeiten werden automatisiert auf Schwachstellen geprüft. Dies passiert sowohl anhand öffentlich verfügbarer Datenbanken als auch mithilfe menschlicher, automatisierter und KI-gestützter Prüfprozesse.

Schwachstellen und verfügbare Updates von Abhängigkeiten werden von uns softwaregestützt nachverfolgt, mitigiert und Aktualisierungen eingespielt.

Bitte beachten Sie, dass Drittanbieterwerkzeuge zum automatischen Erkennen bekannter Schwachstellen häufig nur Softwareversionen abgleichen und dabei Rückportierungen von Sicherheitsupdates häufig nicht berücksichtigt werden. Die Aussagekraft solcher Werkzeuge ist also sehr begrenzt. Idealerweise sollten Sie die Existenz der Schwachstellen verifizieren, bevor Sie uns entsprechende Meldungen schicken. Die Suche des Debian-Security-Trackers kann Auskunft darüber geben, ob IServ möglicherweise für eine bestimmte durch ihre Common Vulnerabilities and Exposures Nummer bekannte Kennung (CVE ID) anfällig ist.

Koordinierte Veröffentlichung¶

Wir setzen auf das Verfahren der Coordinated Vulnerability Disclosure (CVD), um einen verantwortungsvollen Umgang mit gemeldeten Sicherheitslücken sicherzustellen. Dabei verpflichten wir uns zur vertrauensvollen Zusammenarbeit mit externen Sicherheitsforschenden. Ziel ist es, Schwachstellen möglichst zu beheben, bevor technische Details öffentlich bekannt werden und potenziell ausgenutzt werden können. Gleichzeitig fördern wir die Zusammenarbeit mit der IT-Sicherheitsgemeinschaft und schaffen Transparenz über identifizierte Sicherheitsrisiken.

Ablauf¶

Meldung: Externe Sicherheitsforschende melden eine entdeckte Schwachstelle vertraulich über den vorgesehenen Meldeweg.
Prüfung und Abstimmung: Wir bestätigen den Eingang, bewerten die Schwachstelle und stimmen das weitere Vorgehen sowie einen möglichen Veröffentlichungszeitpunkt mit den Meldenden ab.
Behebung: Wir entwickeln und prüfen geeignete Sicherheitsmaßnahmen und stellen gegebenenfalls ein Update bereit.
Veröffentlichung: Nach der Behebung veröffentlichen wir die relevanten Informationen zur Schwachstelle in Abstimmung mit den Sicherheitsforschenden. Dabei können diese auf Wunsch namentlich gewürdigt werden.

Rechtsverfolgung von Sicherheitsforschenden¶

Die IServ GmbH stellt keine Strafanzeige, Unterlassungsaufforderungen oder zivilrechtlichen Ansprüche gegen Sicherheitsforschende, die unter Einhaltung geltender Gesetze und Bestimmungen ihrer Tätigkeit verantwortungsvoll nachgehen. Wir haben in den vergangenen Jahren mit einer Vielzahl von Sicherheitsforschern zusammengearbeitet – dabei ist es noch nie zu einer juristischen Auseinandersetzung gekommen.

Insbesondere sollten Sicherheitforscher sicherstellen, dass:

Sie keine Daten Dritter beabsichtigt abrufen, verändern, speichern oder veröffentlichen
Sie keine Tätigkeiten unternehmen, die die Verfügbarkeit von Diensten für andere beeinträchtigen
Keine Protokolldateien manipuliert oder gelöscht werden
Unmittelbar nach Überwindung einer wichtigen Sicherheitsbarriere die IServ GmbH benachrichtigt wird
Keine automatisierten Tests unbeaufsichtigt durchgeführt werden
Ziel und Ablauf der Tätigkeit nachvollziehbar dokumentiert werden

Bitte beachten Sie außerdem, dass die IServ GmbH bei den allermeisten Systemen nicht der verantwortliche Betreiber ist. Wir können nicht ausschließen, dass Dritte Rechtsansprüche gegenüber Sicherheitsforschenden durchsetzen. Es ist daher in jedem Fall empfehlenswert, vorher eine explizite Genehmigung für die eigene Tätigkeit einzuholen.

Reverse Engineering¶

Viele Unternehmen beschränken in ihren Nutzungsbestimmungen das Reverse Engineering, also die Untersuchung der eigenen Software. Die IServ GmbH handhabt dies anders und liefert für weite Teile der Anwendung den Softwarequellcode mit auf den Kundensystemen aus. Eine Obfuscation, also eine absichtlich nicht technisch bedingte Unkenntlichmachung des Softwarequellcodes, kommt dabei nicht zum Einsatz. Auf Anfrage können ggf. auch nicht standardmäßig verfügbare Softwarequellcodebestandteile eingesehen werden. Kunden haben die Erlaubnis, den IServ-Softwarequellcode zum Zwecke der Ausfindigmachung von Schwachstellen, Nachprüfung unserer Angaben und Entwicklung eigener IServ-Erweiterungen zu analysieren. Bitte haben Sie jedoch Verständnis, dass der Quellcode trotzdem urheberrechtlich geschützt ist und weder veröffentlicht noch weitergegeben werden darf.

Meldeweg¶

Wir veröffentlichen zur Bekanntgabe des Meldeweges eine security.txt. Es ist zudem möglich, besonders sensitive Daten auf dem eigenen Konto der IServ Schulplattform zu hinterlegen, wo unser Support diese mit Ihrer Zustimmung abrufen kann.

Personenbezogene Daten Dritter sollten möglichst nicht per E-Mail an uns versendet werden.

Öffentliche PGP-Schlüssel für die E-Mail-Kommunikation stellen wir aktuell nicht zur Verfügung.

Frist für Behebung¶

Vom Zeitpunkt der Meldung bis zum Rollout eines Sicherheitsupdates streben wir maximal 90 Tage an. Im Normalfall erfolgt eine Behebung innerhalb weniger Tage.

In Ausnahmefällen kann es vorkommen, dass eine Behebung nicht innerhalb unserer selbst gewählten Frist möglich ist. Dies kann z.B. aufgrund der Komplexität des Problems, Beteiligung von nicht quelloffenen Softwarekomponenten oder aufgrund von Abhängigkeiten von Dritten der Fall sein.

Auch Schwachstellen, die nur theoretisch bestehen, aber nicht ausnutzbar sind oder vernachlässigbare Auswirkungen haben werden ggf. nicht unmittelbar behandelt. Bei der Vielzahl an gemeldeten Schwachstellen an Drittkomponenten ist eine Triage der eingehenden Meldungen elementar wichtig.

Bug-Bounty-Programm¶

Die IServ GmbH hat kein offizielles Bug-Bounty-Programm. Dennoch haben wir uns in der Vergangenheit immer wieder bei Sicherheitsforschenden durch kleine Aufmerksamkeiten erkenntlich gezeigt. Ein Rechtsanspruch darauf besteht aber nicht.

Insbesondere können wir auf keine Anfragen eingehen, bei denen gegen Zahlung die Übermittlung von Details zu vermeintlichen Sicherheitsproblemen angeboten wird.