Einige dieser Cookies sind unerlässlich, während andere uns helfen, Ihr Erlebnis zu verbessern, indem sie Einblicke in die Nutzung der Website geben. Ausführlichere Informationen zu den von uns verwendeten Cookies finden Sie in unserer Cookie-Richtlinie
VTech setzt sich dafür ein, die Sicherheit und den Datenschutz von Kunden und Nutzern von VTech-Produkten mit digitalen Elementen zu schützen. Diese Richtlinie legt den koordinierten Prozess von VTech zur Offenlegung von Sicherheitslücken fest, der der Entgegennahme, Bewertung, Behebung und, sofern angemessen, Offenlegung von Informationen über potenzielle Sicherheitslücken dient, die von internen und externen Quellen gemeldet werden.
Diese Richtlinie unterstützt die Verpflichtungen von VTech im Umgang mit Sicherheitslücken gemäß geltendem Recht, einschließlich der Verordnung (EU) 2024/2847 (Cyber Resilience Act oder CRA), sofern anwendbar. Sie ersetzt nicht die internen Verfahren von VTech in den Bereichen Produktsicherheit, Reaktion auf Vorfälle, Meldung an Aufsichtsbehörden, Software-Updates, Datenschutz oder Lieferantenmanagement.
Diese Richtlinie gilt für potenzielle Sicherheitslücken, die VTech-Produkte mit digitalen Elementen und damit verbundene, von VTech bereitgestellte Dienste betreffen, einschließlich relevanter Hardware, Software, Firmware, mobiler Anwendungen, Online-Dienste und Lösungen zur Ferndatenverarbeitung, die von oder im Auftrag von VTech entworfen oder entwickelt wurden und für die Funktionsfähigkeit dieser Produkte erforderlich sind.
Diese Richtlinie berechtigt nicht zum Testen von Ressourcen, die ausschließlich im Besitz von Dritten sind oder von diesen kontrolliert werden. Betrifft ein Bericht jedoch eine Komponente, Bibliothek, einen Dienst oder ein Lieferantenprodukt eines Dritten, das in ein VTech-Produkt integriert oder für dieses erforderlich ist, kann VTech sich mit dem betreffenden Lieferanten, dem Betreuer, dem Computer Security Incident Response Team (CSIRT), der Agentur der Europäischen Union für Cybersicherheit (ENISA), der zuständigen Behörde oder einer anderen geeigneten Stelle abstimmen, um die Sicherheitslücke zu validieren, zu beheben und offenzulegen.
Vorbehaltlich dieser Richtlinie und des geltenden Rechts gestattet VTech Sicherheitsforschung in gutem Glauben, die ausschließlich darauf abzielt, potenzielle Schwachstellen in den unter diese Richtlinie fallenden Ressourcen zu identifizieren und zu melden. VTech wird nicht wissentlich zivilrechtliche Ansprüche geltend machen oder solche in gutem Glauben durchgeführte, genehmigte Forschung allein aufgrund dieser Forschung an Strafverfolgungsbehörden weiterleiten.
Diese Genehmigung gilt nur, wenn der Forscher diese Richtlinie einhält, verhältnismäßig handelt, um Schaden zu vermeiden, und die Sicherheitslücke unverzüglich an VTech meldet. Sie berechtigt nicht zu Handlungen, die rechtswidrig sind, erheblichen Schaden verursachen oder riskieren, Rechte Dritter verletzen oder außerhalb des angegebenen Geltungsbereichs liegen. VTech kann nicht auf Rechte Dritter verzichten oder die Anforderungen des geltenden Rechts außer Kraft setzen.
Ist sich ein Forscher unsicher, ob die geplante Aktivität im Rahmen des Geltungsbereichs liegt oder zulässig ist, sollte er sich vor dem Fortfahren unter VulnerabilityReporting@vtech.com an VTech wenden.
Um am koordinierten Verfahren zur Offenlegung von Sicherheitslücken teilzunehmen, müssen Forscher:
Meldungen sind an VulnerabilityReporting@vtech.com zu richten. Meldungen können anonym eingereicht werden.
Forscher sollten die Betreffzeile „DRINGEND – Verdacht auf aktive Ausnutzung" verwenden, wenn sie berechtigten Grund zu der Annahme haben, dass eine Sicherheitslücke aktiv ausgenutzt wird oder ein unmittelbares erhebliches Risiko für die Nutzer darstellt.
Um eine zeitnahe Einstufung zu ermöglichen, sollten Meldungen, sofern verfügbar, folgende Angaben enthalten:
Nach Erhalt einer Meldung wird VTech:
VTech ist bestrebt, innerhalb von 24 Stunden nach Eingang einer Meldung eine Bestätigung sowie, soweit dies nach vernünftigem Ermessen möglich ist, ein erstes Triage-Ergebnis oder eine wesentliche Statusaktualisierung zu übermitteln. Die tatsächlichen Reaktions- und Behebungszeiten hängen von der Schwere, der Komplexität, der Ausnutzbarkeit, den betroffenen Produkten, der Verfügbarkeit von Abhilfemaßnahmen und den bereitgestellten Informationen ab.
VTech bittet die Melder, Details zur Sicherheitslücke nicht öffentlich bekanntzugeben, bevor VTech eine angemessene Gelegenheit hatte, das Problem zu validieren, zu bewerten und zu beheben. VTech wird in gutem Glauben mit dem Melder zusammenarbeiten, um einen Zeitplan für die koordinierte Offenlegung zu vereinbaren, wobei die Ausnutzbarkeit, die aktive Ausnutzung, die betroffenen Nutzer, die Verfügbarkeit von Abhilfemaßnahmen, die Verfügbarkeit eines Sicherheitsupdates und das öffentliche Interesse berücksichtigt werden.
Sobald ein Sicherheitsupdate oder eine andere Abhilfemaßnahme zur Verfügung steht, wird VTech Informationen über die behobene Sicherheitslücke in einem entsprechenden Sicherheitshinweis veröffentlichen, es sei denn, VTech stellt nach vernünftiger Abwägung fest und dokumentiert, dass die Cybersicherheitsrisiken einer sofortigen öffentlichen Offenlegung die Sicherheitsvorteile überwiegen. In diesem Fall kann VTech die Veröffentlichung so lange aufschieben, wie es zur Bewältigung dieser Risiken erforderlich ist, und gegebenenfalls den betroffenen Nutzern eine angemessene Gelegenheit geben, den entsprechenden Patch oder die Abhilfemaßnahme zuerst anzuwenden.
Ein Sicherheitshinweis enthält gegebenenfalls:
VTech darf einen Melder in einer Sicherheitsmitteilung nur mit dessen Einwilligung und vorbehaltlich geltender Gesetze, Sicherheitserwägungen sowie der vom Melder geäußerten Präferenzen namentlich erwähnen oder würdigen.
VTech wird prüfen, ob eine Meldung eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Vorfall betrifft, der die Sicherheit eines VTech-Produkts mit digitalen Elementen beeinträchtigt. Gegebenenfalls wird VTech Meldungen über die CRA Single Reporting Platform sowie an die zuständigen Empfänger innerhalb der in der Verordnung (EU) 2024/2847 und anderen geltenden Rechtsvorschriften vorgeschriebenen Fristen vornehmen.
Dieser öffentliche Meldekanal ersetzt nicht die behördlichen Meldeprozesse von VTech. VTech wird gegebenenfalls eine Frühwarnbewertung und Eskalation vorsehen, die eine Meldung innerhalb von 24 Stunden nach Bekanntwerden, eine vollständige Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb von 14 Tagen bei einer aktiv ausgenutzten Schwachstelle bzw. innerhalb eines Monats bei einem schwerwiegenden Vorfall ermöglicht, wobei der Vorfall, seine Grundursache und die ergriffenen Abhilfemaßnahmen abgedeckt werden.
VTech kann Informationen zu Schwachstellen oder Vorfällen an zuständige Behörden, CSIRTs, die ENISA, Lieferanten, Wartungsunternehmen, Dienstleister oder andere geeignete Stellen melden oder weitergeben, sofern dies gesetzlich vorgeschrieben oder zur Untersuchung, Behebung, Koordinierung der Offenlegung oder zum Schutz der Nutzer angemessen erforderlich ist.
Zusätzlich zur Benachrichtigung des zuständigen CSIRT und der ENISA wird VTech betroffene Nutzer unverzüglich darüber informieren, dass eine Sicherheitslücke oder ein Vorfall identifiziert wurde, der die Sicherheit ihres Produkts beeinträchtigen könnte, und ihnen mögliche Abhilfemaßnahmen nennen, auch wenn noch kein dauerhaftes Sicherheitsupdate verfügbar ist.
Betrifft ein gemeldetes Problem eine Komponente, Bibliothek, einen Anbieter oder einen Dienst eines Dritten, kann VTech die unbedingt erforderlichen Informationen an diese Partei oder einen geeigneten Koordinator weitergeben, um die Überprüfung, Behebung und koordinierte Offenlegung zu unterstützen. Soweit dies vernünftigerweise durchführbar ist, wird VTech die Sensibilität der Meldung und die Kontaktpräferenzen des Meldenden berücksichtigen. VTech kann solche Offenlegungen ohne vorherige Ankündigung vornehmen, sofern dies zum Schutz der Nutzer, zur Einhaltung gesetzlicher Vorschriften oder zur Bewältigung wesentlicher Cybersicherheitsrisiken erforderlich ist.
VTech verarbeitet personenbezogene Daten, die in Schwachstellenmeldungen enthalten sind, zum Zwecke des Schwachstellenmanagements, der Produktsicherheit, der Reaktion auf Vorfälle, der Einhaltung gesetzlicher Vorschriften, zur Erfüllung gesetzlicher Verpflichtungen sowie zum Schutz von VTech, seinen Nutzern und anderen betroffenen Personen. VTech behandelt Meldungen gemäß seiner Datenschutzerklärung.
Forscher sollten keine unnötigen personenbezogenen Daten, vertraulichen Informationen, Zugangsdaten oder sensiblen Daten in einen Bericht aufnehmen. VTech kann die in einem Bericht enthaltenen Informationen an relevante VTech-Mitarbeiter, Konzernunternehmen, Dienstleister, betroffene Lieferanten oder Wartungsunternehmen, CSIRTs, zuständige Behörden oder Strafverfolgungsbehörden weitergeben, sofern dies gesetzlich zulässig oder vorgeschrieben und für die in dieser Richtlinie und der Datenschutzerklärung beschriebenen Zwecke erforderlich ist.
VTech überprüft diese Richtlinie regelmäßig sowie nach wesentlichen Änderungen der geltenden Anforderungen, der VTech-Produkte, der Sicherheitsabläufe oder aufgrund von Erkenntnissen aus dem Umgang mit Sicherheitslücken.
VTech unterhält interne Rollen, Verfahren, Aufzeichnungen, Schulungen und Überwachungsmaßnahmen, um die Umsetzung und Durchsetzung dieser Richtlinie, den Umgang mit Sicherheitslücken während der gesamten relevanten Supportzeiträume sowie die kontinuierliche Verbesserung der Produktsicherheit zu unterstützen.
Fragen zu dieser Richtlinie oder Unklarheiten bezüglich autorisierter Forschungsaktivitäten richten Sie bitte an VulnerabilityReporting@vtech.com.
Diese Richtlinie begründet keine vertragliche Verpflichtung, führt nicht zum Verzicht auf gesetzliche Rechte oder Rechtsbehelfe und autorisiert keine Aktivitäten außerhalb des in dieser Richtlinie ausdrücklich genannten Geltungsbereichs. Keine Bestimmung dieser Richtlinie schränkt die Befugnis von VTech ein, Maßnahmen gegen Verhaltensweisen zu ergreifen, die rechtswidrig, böswillig, rücksichtslos, betrügerisch, erpresserisch, schädlich oder mit dieser Richtlinie unvereinbar sind.
