Vulnerability Disclosure Policy
1. Zweck
Die Sicherheit unserer Produkte und der Schutz unserer Kunden sind für SHIBAURA MACHINE LWB GmbH von hoher Bedeutung. Wir begrüßen Hinweise auf mögliche Sicherheitslücken und möchten diese strukturiert, verantwortungsvoll und – soweit erforderlich – in Abstimmung mit Meldenden, betroffenen Partnern und zuständigen Stellen bearbeiten.
Diese Policy beschreibt, wie Sie uns vermutete Schwachstellen melden können und wie wir mit solchen Meldungen umgehen.
2. Geltungsbereich
Diese Policy gilt unternehmensweit für Meldungen zu möglichen Cybersicherheitslücken in Produkten mit digitalen Elementen, die SHIBAURA MACHINE LWB GmbH entwickelt, herstellt, unter eigenem Namen anbietet, importiert, vertreibt oder unterstützt.
Bei Produkten oder Komponenten anderer Hersteller kann es erforderlich sein, die Meldung an den jeweils verantwortlichen Hersteller oder Lieferanten weiterzugeben und die weitere Bearbeitung mit diesem zu koordinieren.
Nicht unter diese Policy fallen insbesondere:
- allgemeine Service-, Gewährleistungs- oder Supportanfragen,
- reine Hinweise ohne nachvollziehbaren Sicherheitsbezug,
- Schwachstellen in Produkten oder Systemen, für die SHIBAURA MACHINE LWB GmbH nicht verantwortlich ist und keinen geeigneten Ansprechpartner vermitteln kann.
3. Schwachstelle melden
Bitte senden Sie Schwachstellenmeldungen entweder an:
PSIRT(at)shibaura-machine-lwb.de
Oder Sie füllen dieses Formular aus:
Bitte verwenden Sie einen aussagekräftigen Betreff, beispielsweise:
„Vulnerability Report – [Produktbezeichnung]“
Meldungen können auch ohne Namensangabe erfolgen. Eine erreichbare Kontaktadresse erleichtert jedoch Rückfragen und die koordinierte Abstimmung.
4. Hilfreiche Angaben
Bitte übermitteln Sie möglichst folgende Informationen:
- Produktbezeichnung, Typ und betroffene Version,
- gegebenenfalls Seriennummer oder andere eindeutige Produktkennung,
- Beschreibung der vermuteten Schwachstelle,
- nachvollziehbare Schritte zur Reproduktion,
- beobachtete oder mögliche Auswirkungen,
- vorhandene Nachweise, beispielsweise Protokolle, Screenshots oder ein minimaler Proof of Concept,
- Datum der Feststellung,
- Information, ob die Schwachstelle bereits anderweitig gemeldet oder veröffentlicht wurde,
- Ihre Kontaktdaten und – falls gewünscht – bevorzugte Kommunikationsform.
Bitte übermitteln Sie keine unnötigen personenbezogenen Daten, Kundendaten, Zugangsdaten oder produktiven Datensätze.
5. Umgang mit Ihrer Meldung
Nach Eingang einer Meldung werden wir grundsätzlich:
- den Eingang bestätigen,
- die Meldung auf Plausibilität und Relevanz prüfen,
- bei Bedarf Rückfragen stellen,
- betroffene Produkte, Versionen und Komponenten untersuchen,
- angemessene Korrektur- oder Risikominderungsmaßnahmen bewerten und
- erforderliche Abstimmungen mit Herstellern, Lieferanten, Kunden oder zuständigen Behörden durchführen.
Soweit sinnvoll und möglich, informieren wir die meldende Person über den Bearbeitungsstand und die geplanten nächsten Schritte. Umfang und Häufigkeit der Kommunikation richten sich nach Art, Schweregrad und Komplexität des jeweiligen Sachverhalts.
Wir beschränken die Weitergabe von Meldungsinhalten und Kontaktdaten auf die Personen und Stellen, deren Beteiligung für Prüfung, Behebung, koordinierte Offenlegung oder die Erfüllung gesetzlicher Pflichten erforderlich ist. Eine uneingeschränkte Vertraulichkeit kann nicht zugesagt werden.
6. Koordinierte Offenlegung
Bitte veröffentlichen oder teilen Sie technische Details einer vermuteten Schwachstelle nicht, bevor wir Gelegenheit hatten, die Meldung zu prüfen und angemessene Schutz- oder Abhilfemaßnahmen vorzubereiten.
Zeitpunkt und Umfang einer möglichen Veröffentlichung stimmen wir nach Möglichkeit mit den beteiligten Parteien ab. Dabei berücksichtigen wir insbesondere:
- die Auswirkungen und den Schweregrad der Schwachstelle,
- eine mögliche aktive Ausnutzung,
- die Verfügbarkeit von Sicherheitsaktualisierungen oder anderen Schutzmaßnahmen,
- die für Kunden erforderliche Zeit zur Umsetzung,
- betroffene Drittanbieter oder Komponenten sowie
- gesetzliche Informations- und Meldepflichten.
Sobald geeignete Maßnahmen verfügbar sind, können wir eine Sicherheitshinweis- bzw. Security-Advisory-Information veröffentlichen. Enthält eine Veröffentlichung selbst ein erhöhtes Sicherheitsrisiko, kann sie aufgeschoben werden, bis betroffene Nutzer eine angemessene Möglichkeit zur Umsetzung der Schutzmaßnahmen hatten.
7. Verantwortungsvolles Verhalten
Wir bitten Sicherheitsforschende und andere meldende Personen:
- Untersuchungen auf das zur Feststellung und Dokumentation erforderliche Maß zu beschränken,
- keine produktiven Maschinen oder Anlagen zu testen, wenn dadurch Personen, Sachwerte, Prozesse oder die Verfügbarkeit beeinträchtigt werden könnten,
- keine Daten zu verändern, zu löschen, herunterzuladen oder weiterzugeben,
- Untersuchungen sofort zu beenden, wenn unbeabsichtigt auf personenbezogene, vertrauliche oder produktive Daten zugegriffen wird,
- keine Social-Engineering-, Phishing-, Denial-of-Service- oder vergleichbaren störenden Methoden einzusetzen,
- keine dauerhaften Zugänge, Schadsoftware oder sonstigen Veränderungen zu hinterlassen,
- geltendes Recht sowie Rechte Dritter zu beachten und
- Schwachstellendetails bis zur abgestimmten Offenlegung vertraulich zu behandeln.
Diese Policy erteilt keine weitergehende Berechtigung zum Zugriff auf Produkte, Systeme oder Daten. Sie enthält insbesondere keine Safe-Harbor-Zusage und begründet keinen Anspruch auf Vergütung, öffentliche Anerkennung oder sonstige Gegenleistung.
8. Weitere Hinweise
Diese Policy ersetzt keine gesetzlichen Meldewege und schränkt gesetzliche Rechte oder Pflichten nicht ein.
Für sonstige Produkt-, Service- oder Supportanfragen nutzen Sie bitte:
Spezielle Kontaktmöglichkeiten – direkt & schnell:
- Vertrieb: vertrieb(at)shibaura-machine-lwb.de
- Service und Ersatzteile: Service-DE(at)shibaura-machine-lwb.de
- Training: Verfahrenstechnik-Verteiler(at)shibaura-machine-lwb.de
- Karriere: Personal(at)shibaura-machine-lwb.de
- Weltweit: Standorte
- Hinweisgeberschutzgesetz: meldestelle(at)steinl.group
Stand: 11. September, 2026