Vulnerability Disclosure Policy

Richtlinie zur Meldung von Sicherheitslücken

Coordinated Vulnerability Disclosure (CVD) Policy

Version: 1.0 
Stand: 20.08.2026 

1. Zweck der Richtlinie

Die EasternGraphics GmbH („EasternGraphics“) nimmt die Sicherheit ihrer Produkte, Dienste, Systeme und der ihr anvertrauten Daten sehr ernst. Mit dieser Richtlinie stellt EasternGraphics einen klaren, verantwortungsvollen und nachvollziehbaren Prozess zur Verfügung, über den externe Sicherheitsexperten, Kunden, Partner und sonstige Dritte potenzielle Sicherheitslücken melden können. 

Ziel dieser Richtlinie ist es, 

  • Sicherheitslücken frühzeitig zu identifizieren, zu bewerten und zu beseitigen,  
  • einen verlässlichen Kommunikationsweg für Sicherheitsmeldungen bereitzustellen,  
  • eine koordinierte und verantwortungsvolle Offenlegung von Sicherheitslücken zu ermöglichen,  
  • Risiken für Kunden, Partner, Nutzer und EasternGraphics zu minimieren,  
  • die Bearbeitung von Meldungen zu Sicherheitslücken transparent und effizient zu gestalten.  

2. Geltungsbereich

Diese Richtlinie gilt in Bezug auf potenzielle Sicherheitslücken in allen von EasternGraphics entwickelten, betriebenen, bereitgestellten oder verantworteten Produkten, Diensten und Systemen, wenn und soweit EasternGraphics auf diese technisch oder organisatorisch Einfluss nehmen kann. 

Dabei handelt es sich um von EasternGraphics bereitgestellte: 

  • Websites und Webanwendungen,  
  • Cloud-, SaaS- und sonstige Online-Dienste,  
  • APIs, Schnittstellen und Integrationen,  
  • Desktop-, Client- und mobile Anwendungen,  
  • Kunden-, Partner-, Verwaltungs- und Supportportale,  
  • Backend-Systeme, Authentifizierungs- und Kontoverwaltungsdienste,  

  • Domains und Subdomains von EasternGraphics sowie produkt- oder dienstbezogene Domains, über die EasternGraphics-Produkte oder -Services bereitgestellt werden, einschließlich insbesondere Domains unter *.easterngraphics.com und *.pcon-solutions.com,  

  • künftig eingeführte Produkte, Dienste, Systeme, Anwendungen und Domains, soweit diese von EasternGraphics entwickelt, betrieben oder verantwortet werden.  

3. Nicht im Geltungsbereich / Out of Scope

Nicht unter diese Richtlinie fallen insbesondere: 

  • Produkte, Dienste, Systeme oder Infrastrukturen, die nicht von EasternGraphics betrieben, entwickelt oder verantwortet werden 
  • Produkte, Dienste, Systeme oder Infrastrukturen Dritter, ,  
  • Sicherheitslücken, die aus oder im Zusammenhang mit kunden- bzw. anwenderseitigen Konfigurationen, Infrastrukturen oder Integrationen resultieren,  
  • Social-Engineering-Angriffe gegen Mitarbeiter, Kunden, Partner oder sonstige Dritte,  
  • Phishing, Vishing, Pretexting oder ähnliche Angriffe auf Personen,  
  • physische Angriffe auf Gebäude, Hardware oder Endgeräte,  
  • Denial-of-Service-(DoS-/DDoS-)Tests, Lasttests oder sonstige Maßnahmen, die die Verfügbarkeit beeinträchtigen können,  
  • automatisierte Massenmeldungen ohne konkrete Validierung für Produkte oder Dienste von EasternGraphics,  
  • Meldungen ohne nachvollziehbare Sicherheitsauswirkung oder ohne hinreichende technische Substanz,  
  • Spam-, SEO-, Marken- oder sonstige nicht sicherheitsrelevante Themen.  

4. Kontakt für Sicherheitsmeldungen

EasternGraphics stellt zwei dedizierte Kontaktadressen für Sicherheitsmeldungen bereit, um gemeldete Sachverhalte möglichst effizient dem zuständigen Team zuordnen zu können. 

4.1 Sicherheitslücken in Produkten – PSIRT 

Bitte verwenden Sie psirt@easterngraphics.com, wenn sich Ihre Meldung auf eine Sicherheitslücke in einem Produkt, einer Software, einer Anwendung, einem Cloud-/SaaS-Produkt, einer API oder einer von EasternGraphics bereitgestellten Produktfunktion bezieht. 

Dabei handelt es sich um  Sicherheitslücken in von EasternGraphics bereitgestellten: 

  • Desktop-, Client- oder mobilen Anwendungen,  
  • Cloud- oder SaaS-Produkten,  
  • Produkt-Backends und produktbezogenen APIs,  
  • Produktfunktionen, Authentifizierungsmechanismen oder produktbezogenen Integrationen,  
  • sonstigen von EasternGraphics entwickelten oder verantworteten Produktkomponenten.  

PGP für PSIRT 
Public Key herunterladen

4.2 Sicherheitslücken in Infrastruktur und Services – CSIRT 

Bitte verwenden Sie csirt@easterngraphics.com, wenn sich Ihre Meldung auf eine Sicherheitslücke in der Unternehmens-, Web-, Portal- oder Service-Infrastruktur von EasternGraphics bezieht, insbesondere auf: 

  • Websites und Webauftritte von EasternGraphics,  
  • Support-, Kunden- oder Partnerportale,  
  • Login-, Konto-, Verwaltungs- oder Backend-Dienste,  
  • öffentlich erreichbare Server, Webanwendungen oder Infrastrukturkomponenten,  
  • Fehlkonfigurationen oder Sicherheitslücken in von EasternGraphics betriebenen Online-Diensten, soweit diese nicht eindeutig einem konkreten Produkt zuzuordnen sind.
PGP für CSIRT

4.3 Wenn die Zuordnung unklar ist 

Falls Sie nicht sicher sind, welche Kontaktadresse die richtige ist, senden Sie Ihre Meldung bitte an psirt@easterngraphics.com oder csirt@easterngraphics.com. EasternGraphics wird die Meldung intern an die zuständige Stelle weiterleiten. 

4.4 Inhalt einer Meldung 

Bitte geben Sie in Ihrer Meldung folgende Informationen an: 

  • eine klare Beschreibung der Sicherheitslücke,  
  • das betroffene Produkt und die Produktversion, den betroffenen Dienst, die URL, API  bzw. Komponente,  
  • Schritte zur Reproduktion,  
  • die vermuteten oder beobachteten Auswirkungen,  
  • Proof of Concept, Screenshots, Log-Auszüge oder Beispiel-Requests, soweit erforderlich,  
  • Zeitpunkt, Testumgebung und Voraussetzungen,  
  • Ihren Namen oder ein Pseudonym sowie eine Kontaktmöglichkeit für Fragen.  

 

Bitte übermitteln Sie nur solche Informationen, die zur Prüfung und Behebung der Sicherheitslücke erforderlich sind, und vermeiden Sie die unnötige Übermittlung personenbezogener, vertraulicher oder sonstiger sensibler Daten. 

5. Regeln für Sicherheitsforschung / Erwartungen

EasternGraphics begrüßt Sicherheitsforschung, sofern sie verantwortungsvoll, verhältnismäßig und mit Rücksicht auf Anwender, Systeme und Daten erfolgt. 

Wir bitten die Personen, die Sicherheitslücken melden insbesondere darum, 

  1. in gutem Glauben zu handeln und nur solche Aktivitäten durchzuführen, die zur Identifizierung, Verifizierung und Dokumentation einer Sicherheitslücke erforderlich sind;  
  2. keine Daten unbefugt zu verändern, zu löschen oder offenzulegen;  
  3. keine Daten Dritter herunterzuladen, zu exfiltrieren oder weiterzuverarbeiten, außer soweit dies technisch unvermeidbar und erforderlich ist, um die Sicherheitslücke nachzuweisen;  
  4. keine Verfügbarkeitsangriffe oder Last-, Brute-Force- oder Fuzzing-Tests gegen Produktivsysteme durchzuführen;  
  5. keine Social-Engineering- oder Phishing-Angriffe gegen Mitarbeitende, Kunden oder Partner durchzuführen;  
  6. keine Persistenz in Systemen herzustellen, keine Hintertüren zu platzieren und keine Rechteausweitung über das für den Nachweis notwendige Maß hinaus vorzunehmen;  
  7. EasternGraphics ausreichend Zeit zur Prüfung und Behebung der Sicherheitslücke zu geben, bevor Details veröffentlicht werden;  
  8. Informationen über die Sicherheitslücke vertraulich zu behandeln, bis eine koordinierte Offenlegung abgestimmt wurde oder EasternGraphics einer Veröffentlichung zugestimmt hat.  
  9. keine Sicherheitslücke öffentlich offenzulegen, bevor EasternGraphics Gelegenheit hatte, die Meldung zu prüfen und angemessene Gegenmaßnahmen zu ergreifen;  
  10. keine personenbezogenen Daten, Geschäftsgeheimnisse oder vertraulichen Informationen Dritter unnötig zu erfassen, zu speichern oder weiterzugeben;  
  11. EasternGraphics unverzüglich zu informieren, wenn Sie während Ihrer Untersuchung auf personenbezogene Daten oder sensible Informationen stoßen;  
  12. Ihre Tests unverzüglich zu beenden, wenn dadurch die Verfügbarkeit, Integrität oder Vertraulichkeit von Kundendaten oder Produktivsystemen gefährdet wird.  

6. Zusagen von EasternGraphics / Safe Harbor

Wenn Sie in gutem Glauben, im Einklang mit dieser Richtlinie und im Rahmen geltenden Rechts handeln, wird EasternGraphics sich bemühen, 

  • Ihre Meldung wohlwollend und zeitnah zu prüfen,  
  • mit Ihnen in Bezug auf die von Ihnen gemeldeten Sicherheitslücke angemessenem Umfang zusammenzuarbeiten,  
  • keine rechtlichen Schritte gegen Sie einzuleiten, allein aufgrund der nach dieser Richtlinie zulässigen Sicherheitsforschung und Meldung,  
  • Sie zu kontaktieren, falls Fragen bestehen oder zusätzliche Informationen benötigt werden.  

 

Diese Zusage gilt insbesondere nur, soweit 

  • keine vorsätzliche Schädigung erfolgt,  
  • keine Daten missbräuchlich genutzt, gespeichert, verändert oder offengelegt werden,  
  • keine Verfügbarkeit beeinträchtigt wird,  
  • keine Gesetze, vertraglichen Pflichten oder Rechte Dritter beeinträchtigt oder verletzt werden.  

 

Diese Richtlinie begründet keinen Verzicht auf gesetzliche Rechte und keine allgemeine Erlaubnis, Systeme außerhalb des hier beschriebenen Rahmens zu testen. 

7. Bearbeitungsprozess

EasternGraphics orientiert sich bei der Bearbeitung von Sicherheitsmeldungen an einem strukturierten, risikobasierten CVD-Prozess. 

7.1 Eingangsbestätigung 

EasternGraphics bestätigt den Eingang einer Sicherheitsmeldung grundsätzlich innerhalb von 7 Kalendertagen. 

7.2 Erste Sichtung und Triage 

Nach Eingang wird die Meldung auf Vollständigkeit, Zuständigkeit, Plausibilität und potenzielle Sicherheitsrelevanz geprüft. Falls erforderlich, fordert EasternGraphics zusätzliche Informationen an. 

7.3 Validierung und Bewertung 

Plausible Meldungen werden technisch validiert und hinsichtlich Ausnutzbarkeit, potenzieller Auswirkungen, betroffener Produkte oder Dienste, möglicher Kundenbetroffenheit sowie erforderlicher Gegenmaßnahmen bewertet und priorisiert. 

7.4 Erste qualifizierte Rückmeldung 

EasternGraphics bemüht sich, der meldenden Person innerhalb von 14 Kalendertagen nach Eingang der Meldung eine Rückmeldung zum Stand der Prüfung, zur weiteren Bearbeitung oder zu einem etwaigen Informationsbedarf zu geben. 

7.5 Statuskommunikation 

Bei bestätigten und weiterbearbeiteten Meldungen informiert EasternGraphics die meldende Person bei wesentlichen Änderungen des Sachstands, bei Fragen oder bei der Abstimmung einer koordinierten Offenlegung. 

7.6 Priorisierung und Behebung 

Bestätigte Sicherheitslücken werden nach Risiko, Schweregrad, Ausnutzbarkeit, betroffenen Systemen, möglicher Wirkung auf die Anwendung, regulatorischen Anforderungen und technischer Komplexität priorisiert und im Rahmen der internen Prozesse behandelt. 

7.7 Koordinierte Offenlegung 

EasternGraphics strebt eine koordinierte Offenlegung an. Details zu einer Sicherheitslücke sollen grundsätzlich erst dann veröffentlicht werden, wenn 

  • eine Behebung bereitsteht,  
  • geeignete Schutzmaßnahmen implementiert wurden oder  
  • EasternGraphics und die meldende Person sich auf einen angemessenen Veröffentlichungszeitpunkt geeinigt haben.  

8. Offenlegungsfristen

EasternGraphics strebt an, gemeldete Sicherheitslücken so schnell wie möglich zu bewerten und – abhängig von Schweregrad, Komplexität und Abhängigkeiten – zu beheben. 

Sofern im Einzelfall nichts anderes abgestimmt wird, gilt als Grundsatz: 

  • keine Offenlegung vor Ablauf von 90 Tagen nach bestätigter Meldung, es sei denn, EasternGraphics stimmt einer früheren Veröffentlichung ausdrücklich zu oder besondere Umstände erfordern eine andere abgestimmte Vorgehensweise.  

 

In begründeten Fällen, etwa bei komplexen Behebungen, Abhängigkeiten von Drittanbietern oder erforderlicher koordinierter Kundenkommunikation, kann eine längere Frist erforderlich sein. EasternGraphics wird sich in solchen Fällen um eine transparente Kommunikation mit der meldenden Person bemühen. 

9. Keine Vergütung / Kein Bug-Bounty-Programm

Sofern nicht ausdrücklich anders veröffentlicht, betreibt EasternGraphics kein Bug-Bounty-Programm. Die Meldung von Sicherheitslücken begründet daher keinen Anspruch auf Vergütung, Aufwendungsersatz oder sonstige Leistung. 

EasternGraphics behält sich jedoch vor, meldende Personen im Einzelfall freiwillig zu würdigen, soweit dies angemessen und rechtlich zulässig ist. 

10. Umgang mit personenbezogenen Daten und vertraulichen Informationen

Bitte übermitteln Sie im Rahmen einer Sicherheitsmeldung nur solche Informationen, die für die Prüfung und Behebung der Sicherheitslücke erforderlich sind. 

Wenn Ihre Meldung personenbezogene Daten enthält, wird EasternGraphics diese ausschließlich zum Zweck der Bearbeitung der Sicherheitsmeldung und unter Beachtung der geltenden datenschutzrechtlichen Anforderungen verarbeiten. 

Bitte senden Sie keine unnötigen personenbezogenen Daten oder sonstigen vertraulichen Inhalte. 

11. Ausschluss missbräuchlicher Meldungen

EasternGraphics behält sich vor, Meldungen nicht weiter zu bearbeiten, wenn diese insbesondere 

  • offensichtlich missbräuchlich oder rechtswidrig sind,  
  • keine hinreichenden Informationen enthalten,  
  • auf unzulässigen Testmethoden beruhen,  
  • massenhaft generierte, unspezifische oder nicht verifizierte Hinweise enthalten,  
  • vertriebs-, marketing- oder supportbezogene Anliegen betreffen.  

12. Kontakt

EasternGraphics GmbH 
Albert-Einstein-Straße 1 
98693 Ilmenau 
Deutschland 

Sicherheitslücken in Produkten (PSIRT) 
psirt@easterngraphics.com 
PGP Public Key herunterladen

Sicherheitslücken in Infrastruktur und Services (CSIRT) 
csirt@easterngraphics.com 
PGP Public Key herunterladen

13. Veröffentlichung sicherheitsrelevanter Informationen

EasternGraphics kann nach eigenem Ermessen sicherheitsrelevante Informationen, Hinweise zu betroffenen Produkten oder Diensten, Abhilfemaßnahmen, Security Advisories oder sonstige Informationen im Zusammenhang mit gemeldeten Sicherheitslücken veröffentlichen, soweit dies sachgerecht, erforderlich oder zweckmäßig ist. 

14. Änderungen dieser Richtlinie

EasternGraphics kann diese Richtlinie jederzeit mit Wirkung für die Zukunft anpassen, insbesondere um technische, organisatorische oder rechtliche Entwicklungen zu berücksichtigen. Maßgeblich ist die jeweils veröffentlichte Fassung unter: 

https://www.easterngraphics.com/vulnerability-disclosure-policy