Cyber-Security bei HEIDENHAIN

Cyber-Security ist bei HEIDENHAIN ein zentraler Bestandteil unserer Unternehmensphilosophie und fest in unseren Prozessen verankert. Wir verstehen den Schutz unserer Produkte, Systeme und Daten als kontinuierliche Aufgabe entlang des gesamten Lebenszyklus.

Ein wesentlicher Bestandteil unseres Sicherheitsansatzes ist der verantwortungsvolle Umgang mit potenziellen Schwachstellen. Die strukturierte Erfassung, Bewertung und Behebung von Schwachstellen ist integraler Bestandteil unseres Schwachstellenmanagements.

Produktschwachstelle melden Zu CERT@VDE

Home

Service & Support

Meldung von Schwachstellen

Wir begrüßen ausdrücklich die Zusammenarbeit mit Security-Forschenden, Kunden und weiteren Stakeholdern. Auf dieser Seite stellen wir klare Informationen zur Verfügung, wie identifizierte Schwachstellen gemäß unserer Disclosure Policy gemeldet werden können. Unser Ziel ist es, gemeldete Sicherheitslücken transparent, effizient und verantwortungsvoll zu bearbeiten, um die Sicherheit unserer Lösungen kontinuierlich zu verbessern. Für einen zielgerichteten Informationsaustausch setzen wir auf das IT‑Sicherheits-/Cyber-Security-Netzwerk des VDE CERT@VDE.

Coordinated Vulnerability Disclosure (CVD) -
Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD-Richtlinie)

Unser Commitment

Die Sicherheit unserer Produkte hat für HEIDENHAIN höchste Priorität. Wir haben einen strukturierten Prozess zur Behandlung gemeldeter Sicherheitslücken in unseren Produkten, Lösungen und unserer IT-Infrastruktur und arbeiten vertrauensvoll mit allen Personen zusammen, die uns Schwachstellen melden. Die Einhaltung, fortlaufende Beobachtung und Umsetzung regulatorischer Vorgaben – wie des Cyber Resilience Act (CRA) – sind ein integraler Bestandteil unseres Cyber-Security-Managements.

Diese Richtlinie gibt klare Hinweise dazu, wie Schwachstellen gemeldet werden können und wie wir damit umgehen.

Geltungsbereich

Diese Richtlinie gilt für alle von HEIDENHAIN angebotenen Produkte – unabhängig von bestehenden Serviceverträgen oder dem Lebenszyklusstatus eines Produkts.

Wir begrüßen Meldungen von jeglichen Quellen: Forschende, Branchenorganisationen, CERTs, Partner oder andere Dritte. Eine Geheimhaltungsvereinbarung ist keine Voraussetzung für die Annahme einer Meldung.

Wenn sich Ihre Meldung auf unsere digitale Infrastruktur bezieht (z. B. Website oder genutzte Services), kontaktieren Sie bitte: security@heidenhain.com

Hinweise für Sicherheitsforschende

HEIDENHAIN wird keine rechtlichen Schritte gegen meldende Personen einleiten, sofern die folgenden Bedingungen eingehalten werden:

Keine Schädigung von Personen
Tests nur im erforderlichen Umfang zur Bestätigung einer Schwachstelle
Tests an Kundensystemen nur mit ausdrücklicher Zustimmung
Keine Beeinträchtigung der Verfügbarkeit (keine DoS-Angriffe), kein Social Engineering und kein Zugriff auf physische Infrastruktur
Zugriff nur auf die zur Demonstration erforderlichen Daten; keine Änderung, Löschung oder Exfiltration von Daten Dritter
Schutz der Sicherheit und Privatsphäre anderer
Einhaltung geltender Gesetze
Bereitschaft zur koordinierten Offenlegung (keine Veröffentlichung vor Ablauf eines einvernehmlich festgelegten Zeitraums)

Wir schätzen Ihre Hinweise sehr, die uns dabei helfen, Probleme schnell zu beheben.

Richtlinien für Sicherheitsforschende

Informieren Sie uns so früh wie möglich über tatsächliche oder potenzielle Sicherheitsprobleme.
Nutzen Sie Exploits nur im notwendigen Umfang zur Bestätigung der Schwachstelle.
Geben Sie uns ausreichend Zeit zur Behebung. Wir veröffentlichen signifikante und bestätigte Schwachstellen auf CERT@VDE.
Eine sofortige externe Veröffentlichung führt zu einer „Zero-Day“-Situation und setzt Systeme unserer Kunden – darunter kritische Infrastrukturen – unnötigen Risiken aus. Daher bitten wir ausdrücklich um koordinierte Offenlegung.

Meldung einer Schwachstelle

Meldung über CERT@VDE: https://www.certvde.com/de/service/schwachstelle-melden/
E-Mail: product-security@heidenhain.com
Die angegebenen E-Mail-Adressen der security.txt dienen ausschließlich der ersten Kontaktaufnahme und sind nicht für die Übermittlung sensibler oder detaillierter Schwachstelleninformationen vorgesehen.
Bitte nutzen Sie für die Übermittlung ausführlicher Schwachstellenberichte sowie zugehöriger Dateien und Nachweise unser Cyber-Security-Kontaktformular.

Inhalte der Meldung

Bitte geben Sie – wenn möglich – folgende Informationen an:

Betroffenes Produkt oder Software (inkl. Identnummer und Firmware-/Versionsstand)
Beschreibung der Schwachstelle, wo diese gefunden wurde und welche möglichen Auswirkungen zu erwarten sind
Reproduzierbare Schritte (PoC, Skripte, Screenshots, Netzwerkdaten)
Ob die Schwachstelle bereits öffentlich bekannt ist
Zugehörige Dokumente (CVE, Mitteilungen, Release Notes)
Idealerweise Beschreibung in englischer Sprache

Unser Bearbeitungsprozess

Eingang: Wir bestätigen den Eingang Ihrer Meldung.
Analyse: Wir untersuchen und reproduzieren die Schwachstelle und fordern bei Bedarf zusätzliche Informationen an.
Handling: Wir koordinieren die Behebung intern sowie – falls erforderlich – mit nationalen und staatlichen CERTs und unserem Partner CERT@VDE. Wir halten Sie regelmäßig auf dem Laufenden und stellen auf Wunsch Vorabversionen von Sicherheits-Updates zur Verfügung.
Offenlegung: Sobald eine Lösung verfügbar oder veröffentlicht ist (je nachdem, was zuerst eintritt), veröffentlichen wir ein Security Advisory. CVE-Einträge werden gemeinsam mit CERT@VDE erstellt und nach CSAF veröffentlicht.

Inhalte unserer Security Advisories

Ein Security Advisory beinhaltet in der Regel: