Cybersicherheit bei der TII Group

Richtlinie und Prozess

Meldung

Für die Meldung von Security Schwachstellen in den Produkten der TII Group ist das Product Security Incident Response Team (PSIRT) die zentrale Anlaufstelle. 
Für eine Meldung ist weder eine Geheimhaltungsvereinbarung, noch ein Support- oder sonstiger Vertrag erforderlich. Wir nehmen Meldungen vorzugsweise auf Deutsch und Englisch entgegen. 

Form der Meldung:

• Ihre Kontaktinformationen: Name, Pseudonym oder Organisation
• Ihre Kontaktmöglichkeiten (zur Rückmeldung und Abstimmung): E-Mail-Adresse, Telefon
• Betroffene Produkte: Produktname, Modell, Typ, Variante, Version
• Identifier: Vehicle Identification Number (VIN), Seriennummer
• Beschreibung der Schwachstelle
• Umgebung und technische Voraussetzungen
• Reproduktionsschritte (Proof-of-Concept)
• Mögliche Auswirkungen, Folgen
• Hinweise auf aktive Ausnutzung oder schwerwiegende Sicherheitsvorfälle
• Anhänge: Screenshots, Log-Dateien, Auszeichnungen

Bitte prüfen Sie vor einer Meldung, ob für das betroffene Produkt bereits veröffentlichte Sicherheitshinweise (Security Advisory) oder Updates vorliegen.  In diesem Fall ist keine neue Meldung erforderlich.
Die Meldung kann anonym erfolgen. Im Falle einer anonymen Meldung ist zu berücksichtigen, dass fachliche und inhaltliche Rückfragen nicht beantwortet und entsprechende Meldungen daher nur eingeschränkt oder ggf. nicht bearbeitet werden können. 

Analyse und Maßnahmen

Jede Meldung wird erfasst, analysiert und bewertet.
Nach dem Cyber-Resilience-Act (Verordnung EU 2024/2847) sind wir gesetzlich dazu verpflichtet, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb definierter Meldefristen an die zentrale EU-Agentur für Cybersicherheit (ENISA) und das nationale Bundesamt für Sicherheit und Informationstechnik (BSI) zu melden. 
Bestätigt sich eine Schwachstelle, bewerten wir die Auswirkungen und das Risiko. Auf dieser Basis werden ggf. geeignete Abhilfe- oder Korrekturmaßnahmen zur Risikominderung oder Behebung (z.B. Updates) entwickelt. Dabei berücksichtigen wir die Interessen betroffener Nutzer sowie regulatorische und sicherheitsrelevante Anforderungen.
Die Dauer bis zur Behebung hängt von Ursache, Komplexität und Produktlebenszyklus ab.

Veröffentlichung

Bestätigte und behobene Schwachstellen veröffentlichen wir als Sicherheitshinweis (Security Advisory) auf dieser Webseite. 
Wir betrachten eine Meldung als abgeschlossen, wenn

• sich die Hinweise als unbegründet erweisen,
• die Schwachstelle behoben und veröffentlicht wurde,
• Sie mindestens 30 Tage nicht auf unsere Rückfragen reagieren, oder
• die Schwachstelle bereits öffentlich bekannt ist.

Über den Abschluss informieren wir Sie unverzüglich, sofern Ihre Meldung nicht anonym war.

Sicherheitshinweise

Ein Sicherheitshinweis (Security Advisory) beinhaltet die betroffenen Produkte (Name, Modell, Typ, Variante, Version), eine Beschreibung der Schwachstelle, die Auswirkungen und Risiken sowie empfohlene Maßnahmen (z.B. Updates). Bitte prüfen Sie regelmäßig, ob für Ihre Produkte neue Hinweise vorliegen.
Sicherheitshinweise werden unter diesem Abschnitt veröffentlicht, sobald diese verfügbar sind. 

Safe Harbour

Wir beabsichtigen keine rechtlichen Schritte gegen Personen, solange keine kriminellen Absichten erkennbar sind.

Vertraulichkeit 

Wir behandeln Ihre Meldung und Ihre Kontaktdaten vertraulich. Details zur Schwachstelle behandeln wir bis zur koordinierten Offenlegung vertraulich. Ihre personenbezogenen Daten geben wir nicht ohne Zustimmung an Dritte weiter.