Sicherheit und Schwachstellenmeldung
Letzte Aktualisierung: August 2026
Letzte Aktualisierung: August 2026
Die eSeGeCe-Komponentenbibliotheken stecken in Anwendungen, die produktiv laufen, oft im offenen Internet. Wir nehmen Meldungen über Sicherheitsmängel ernst und erfahren lieber früh von einem Problem, als später anderswo davon zu lesen. Diese Seite beschreibt, wie du uns erreichst, was nach deiner Meldung geschieht und wozu wir uns im Gegenzug verpflichten.
Nutze unser Kontaktformular und schreibe "Sicherheit" in den Betreff. Es erreicht die Entwickler direkt, nicht eine Ticket-Warteschlange im First Level, und es ist unsere einzige Anlaufstelle für Sicherheitsfragen. Du brauchst weder einen Supportvertrag noch eine gültige Lizenz, um eine Schwachstelle zu melden.
Bitte gib so viel wie möglich davon an:
Wenn du deine Meldung verschlüsseln möchtest, teile uns das in einer ersten Nachricht ohne technische Details mit, dann vereinbaren wir einen Kanal mit dir.
Wir bitten dich, uns vor einer Veröffentlichung ein angemessenes Zeitfenster für eine Korrektur einzuräumen. Das Fenster, mit dem wir arbeiten, beträgt 90 Tage ab dem Datum deiner Meldung. Wird ein Mangel aktiv ausgenutzt, oder dauert eine Korrektur länger als erwartet, sprechen wir mit dir über den Zeitplan, statt die Frist stillschweigend ablaufen zu lassen. Wir gehen nicht rechtlich gegen jemanden vor, der eine Schwachstelle in gutem Glauben meldet und sich an diese Richtlinie hält.
Im Geltungsbereich liegen die eSeGeCe-Komponentenbibliotheken in allen unterstützten Editionen, darunter sgcWebSockets, sgcSign, sgcOpenAPI, sgcIndy und sgcBiometrics, zusammen mit dem Beispiel- und Demo-Code, den wir ausliefern, sowie diese Website.
Außerhalb des Geltungsbereichs liegen Befunde, die nur Fremdsoftware betreffen, die wir nicht ausliefern, Meldungen aus einem automatischen Scanner ohne nachgewiesene Auswirkung sowie alles, was einen Angriff auf unsere Infrastruktur oder auf andere Kunden erfordert. Bitte führe keine Denial-of-Service-Tests durch, unternimm keine Brute-Force-Angriffe auf unsere Server und greife nicht auf Daten zu, die dir nicht gehören.
Liegt dein Befund in einer Fremdkomponente, auf der wir aufbauen, etwa Indy, zlib oder OpenSSL, melde ihn uns trotzdem. Wir leiten die Meldung an die Betreuer weiter, wie es Artikel 13(6) des EU Cyber Resilience Act von uns verlangt, und verfolgen die Korrektur bis in unsere eigenen Versionen.
Sicherheitskorrekturen werden als Teil der normalen Produktversionen ausgeliefert, die mehrmals im Jahr mit vollständigem Quellcode erscheinen. Eine Lizenz enthält Updates für ihren Abonnementzeitraum, und Sicherheitskorrekturen für eine Hauptversion bleiben mindestens fünf Jahre ab ihrer Veröffentlichung verfügbar. Da jede Lizenz den vollständigen Quellcode enthält, bist du nie darauf angewiesen, dass wir den Code prüfen, patchen oder neu bauen, den du auslieferst.
Wir pflegen für jede Version eine maschinenlesbare SBOM im CycloneDX-Format mit den Komponenten der obersten Ebene, aus denen unsere Produkte gebaut sind, und deren Lizenzen. Der Cyber Resilience Act verlangt von Herstellern, eine solche zu erstellen und in der technischen Dokumentation vorzuhalten, eine Veröffentlichung verlangt er nicht. Deshalb stellen wir sie auf Anfrage bereit, statt sie hier zu veröffentlichen. Lizenznehmer und Marktüberwachungsbehörden fordern sie über unser Kontaktformular an, unter Angabe von Produkt, Edition und Version.
Wenn du uns als Zulieferer nach dem EU Cyber Resilience Act, Verordnung (EU) 2024/2847, bewertest, findest du unsere Darstellung dazu, was der CRA für Produkte bedeutet, die mit den eSeGeCe-Komponenten gebaut sind, auf einer eigenen Seite.
Alles auf dieser Seite, Schwachstellenmeldungen eingeschlossen, erreicht uns über unser Kontaktformular.