VULNERABILITY DISCLOSURE POLICY

Die TROX SE ist führend in der Entwicklung, Herstellung und dem Vertrieb von Komponenten, Geräten und Systemen zur Raumluft. Die Sicherheit unserer Produkte, Dienstleistungen und IT-Infrastruktur hat für uns höchste Priorität.

Trotz größter Sorgfalt und strenger Sicherheitsstandards können Schwachstellen in komplexen Systemen nicht vollständig ausgeschlossen werden. Wir schätzen die Arbeit der globalen Cybersicherheits-Community sehr und begrüßen Hinweise auf potenzielle Schwachstellen ausdrücklich.

Diese Richtlinie unterstützt die Anforderungen des Cyber Resilience Act hinsichtlich der Behandlung und der koordinierten Offenlegung von Schwachstellen. Es wird beschrieben, wie wir mit Hinweisen umgehen und was Sie bei der Suche nach Schwachstellen bzw. bei der Hinweisgebung beachten sollten. 

Geltungsbereich

Diese Richtlinie gilt für alle IT-Systeme, Webseiten, Cloud-Dienste sowie Hard- und Softwareprodukte (inkl. IoT-fähige Raumluftsysteme), die von der TROX SE betrieben oder hergestellt werden. 

Einordnung von Hinweisen 

Die Einordnung von Hinweisen ist von der Bewertung gesetzlicher Meldepflichten zu unterscheiden. Ein nicht meldepflichtiger Sachverhalt kann dennoch eine sicherheitsrelevante und zu behandelnde Schwachstelle darstellen.

Kriterien für die Qualifizierung von Schwachstellen

Zur effizienten Bearbeitung von Hinweisen erwarten wir folgende qualifizierende Kriterien der Schwachstellen:

• Umgehung der Authentifizierung (Authentication Bypass)
  
• Ausweitung von Rechten (Privilege Escalation)
  
• Einschleusung von Schadcode oder Befehlen (Injection-Angriffe, z. B. SQL, Command oder Cross-Site Scripting)
  
• Ausführung von Code aus der Ferne (Remote Code Execution)
  
• Unbefugte Offenlegung vertraulicher Informationen (Information Disclosure)
  
• Unsichere Kommunikationsprotokolle (Insecure Communication Protocols)
  
• Kryptografische Schwächen (Cryptographic Weaknesses)
  
• Sicherheitslücken in Firmware, Produkten oder Cloud-Diensten (Vulnerabilities in Firmware, Products, or Cloud Services) 

Ausgenommen sind insbesondere: 

• Bereits bei TROX bekannte Schwachstellen ohne neue sicherheitsrelevante Erkenntnisse (z. B. ein zusätzlicher betroffener Produktstand oder eine neue Auswirkung kann weiterhin relevant sein).
  
• Reine Best-Practice-Empfehlungen ohne konkrete Sicherheitsauswirkung.
  
• Version Disclosure ohne Sicherheitsauswirkung.
  
• Fehlende Security Header ohne nachweisbare Ausnutzbarkeit.
  
• Probleme in Drittanbietersystemen, die vollständig außerhalb des Verantwortungsbereichs der TROX SE liegen. 

Die Verhaltensregeln und unser Versprechen gelten auch für Hinweise auf nicht qualifizierte Schwachstellen, sofern die Voraussetzungen dieser Richtlinie eingehalten werden. Solche Hinweise werden nach Möglichkeit im Rahmen unserer kontinuierlichen Sicherheitsverbesserung geprüft.

Hinweis: In TROX-Produkten oder -Diensten eingesetzte Drittanbieterkomponenten sind nicht allein wegen ihrer Herkunft ausgeschlossen. Für sie gelten die gleichen Bewertungsmaßstäbe wie für eigene Komponenten.

Hinweis auf eine potenzielle Schwachstelle
Was Ihr Hinweis enthalten sollte 

Um Ihren Hinweis schnellstmöglich prüfen und verifizieren zu können, bitten wir über unser Kontaktformular um folgende Informationen in deutscher oder englischer Sprache: 

Kontaktdaten:

• Vorname und Nachname
  
• E-Mail-Adresse und Telefonnummer
  
• Land
  
• Name Ihrer Organisation (falls zutreffend)

• Quellentyp: Wie wurde die Schwachstelle identifiziert (z. B. aus einer SBOM, im Quellcode, durch eigene Recherche)?
  
• Betroffene Komponente: Der genaue Produktname, die Produktversion (z. B. Firmware-Version) und die Seriennummer.
  
• Schritt-für-Schritt-Anleitung zur Reproduktion: Ein Proof of Concept (PoC) mit genauen Schritten, um das Problem nachzustellen.
  
• Beschreibung und mögliche Auswirkungen: Eine detaillierte Beschreibung der Schwachstelle, einschließlich einer Erklärung, wie ein potenzieller Angreifer diese ausnutzen könnte.
  
• Weitere Informationen: Jede zusätzliche Information, die bei der Analyse helfen kann (falls zutreffend: z. B. Screenshots, Log-Dateien oder Code-Snippets).

https://www.trox.de/willkommen-im-trox-trust-center/cra---cyber-resilience-act-19137943a8e855ca

Begriffsabgrenzung (Meldewesen) 

Zur einheitlichen internen und externen Kommunikation verwenden wir folgende differenzierte Begriffe für die Einordnung von Schwachstellen und Sicherheitsvorfällen:

Hinweis auf eine potenzielle Schwachstelle – noch nicht vom SIRT bewertet.

Nicht meldepflichtige Schwachstelle – eine Schwachstelle, bei der nach dem Ergebnis der Prüfung durch TROX die Voraussetzungen einer aktiv ausgenutzten Schwachstelle nicht vorliegen.

Aktiv ausgenutzte Schwachstelle – eine Schwachstelle, für die nach Prüfung durch TROX zuverlässige Erkenntnisse vorliegen, dass ein Angreifer sie in einem System ohne Erlaubnis des Systemeigentümers ausgenutzt hat oder aktuell ausnutzt.

Schwerer Sicherheitsvorfall – ein Vorfall, der sich negativ auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen eines Produkts mit digitalen Elementen auswirkt oder auswirken kann, oder der zur Einführung oder Ausführung von Schadcode in einem Produkt oder den Netz- und Informationssystemen von Nutzern geführt hat oder führen kann.

Die gesetzliche Bewertung, ob eine Meldepflicht nach Artikel 14 des Cyber Resilience Act vorliegt, erfolgt im Einzelfall durch TROX auf Grundlage der Kriterien der Verordnung. Soweit für von der TROX SE als Herstellerin bereitgestellte Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen oder schwere Sicherheitsvorfälle meldepflichtig sind, werden diese über die von der ENISA betriebene Single Reporting Platform (SRP) gleichzeitig an den als Koordinator benannten CSIRT und an die ENISA gemeldet.

Verhaltensregeln

Wir bitten Sie, bei Ihren Untersuchungen die folgenden Regeln strikt einzuhalten, um die Sicherheit und den Datenschutz unserer Kunden und Systeme zu gewährleisten:

• Keine schädlichen Aktionen: Führen Sie keine Denial-of-Service-Angriffe (DoS/DDoS), Social Engineering, Spamming oder physische Angriffe auf Anlagen, Netzwerke oder Mitarbeiter von TROX SE durch.
  
• Datenschutz: Greifen Sie nicht auf Daten zu, die nicht Ihnen gehören, und verändern oder löschen Sie diese nicht. Sollten Sie versehentlich auf vertrauliche Daten stoßen (z. B. personenbezogene Daten, Geschäftsgeheimnisse), stellen Sie den Zugriff sofort ein und melden Sie dies umgehend.
  
• Keine Systemveränderungen: Nehmen Sie keine dauerhaften Änderungen an unseren Systemen oder Produkten vor.
  
• Vertraulichkeit: Veröffentlichen oder teilen Sie keine Details zur Schwachstelle mit Dritten, bis TROX die Lücke analysiert und behoben hat sowie einer Veröffentlichung ausdrücklich zugestimmt wurde. 
  

Unser Versprechen 

Wenn Sie bei der Untersuchung und dem Hinweis auf eine Schwachstelle gemäß dieser Richtlinie handeln, betrachtet TROX Ihr Handeln als legitim. Wir werden keine rechtlichen Schritte gegen Sie einleiten oder strafrechtliche Ermittlungen unterstützen, sofern Sie nicht gegen geltendes Recht verstoßen haben (z. B. mutwillige Datenzerstörung).

Unser Prozess für Sie

• Empfangsbestätigung: Wir bestätigen den Eingang Ihres Hinweises in der Regel innerhalb von 2-5 Werktagen.
  
• Erstbewertung: Unser Security Incident Response Team (SIRT) nimmt eine Erstbewertung des Hinweises vor und ordnet ihn gemäß den Qualifizierungs-Kriterien ein.
  
• Überprüfung: Unser Sicherheitsteam analysiert Ihren Hinweis auf eine potenzielle Schwachstelle und hält Sie über den Status auf dem Laufenden. Die Bewertung erfolgt in Zusammenarbeit mit der zuständigen Fachabteilung (z. B. Software-Entwicklung, Produktexperten).
  
• Behebung: Wir arbeiten mit Hochdruck daran, verifizierte Schwachstellen angemessen und zeitnah zu beheben.