Schwachstellen melden

Diese Seite ist zugleich das Konzept für die koordinierte Offenlegung von Schwachstellen nach Anhang I Teil II Nummer 5 der Verordnung (EU) 2024/2847.

Wofür dieses Konzept gilt

Es gilt für die Software, die KLPFRMNC Technologies herstellt und vertreibt, in allen Fassungen, für die der Unterstützungszeitraum läuft. Für den Batteriepass-Prüfer 1.0.0 ist das der Zeitraum bis zum 31. Dezember 2031.

Es gilt nicht für Systeme Dritter, für fremde Websites und für Kopien, die jemand verändert hat.

Wie Sie eine Schwachstelle melden

Schreiben Sie an info@klpfrmnc-technologies.de, Betreff „Schwachstelle“. Eine Meldung in deutscher oder englischer Sprache genügt; ein Formular gibt es nicht.

Hilfreich sind: das betroffene Produkt und seine Fassung, die Schritte, mit denen sich der Fehler nachvollziehen lässt, die Wirkung, die Sie beobachtet haben, und eine Adresse für Rückfragen. Eine Meldung ohne alle diese Angaben ist trotzdem willkommen - lieber unvollständig als gar nicht.

Was wir zusagen

Wir bestätigen den Eingang innerhalb von drei Arbeitstagen.

Innerhalb von zehn Arbeitstagen sagen wir Ihnen, ob wir den Befund nachvollziehen können und wie wir ihn einschätzen.

Wir beheben bestätigte Schwachstellen unverzüglich und stellen die Korrektur allen Nutzern kostenlos bereit, solange der Unterstützungszeitraum läuft.

Wir veröffentlichen nach der Korrektur, was behoben wurde, welche Fassungen betroffen waren und was zu tun ist. Auf Wunsch nennen wir Sie als Finder; ohne Ihre Zustimmung nennen wir Sie nicht.

Wir halten Sie auf dem Laufenden, solange die Bearbeitung dauert.

Worum wir Sie bitten

Geben Sie uns Zeit, die Lücke zu schließen, bevor Sie darüber sprechen - als Richtwert 90 Tage ab Ihrer Meldung. Wenn wir früher fertig sind, sagen wir Bescheid; wenn es länger dauert, sagen wir, warum.

Greifen Sie beim Prüfen keine fremden Daten ab, verändern oder löschen Sie nichts und legen Sie keine Dienste lahm. Der Batteriepass-Prüfer läuft auf dem Rechner des Nutzers - zum Prüfen genügt eine eigene Installation.

Nutzen Sie keine Daten Dritter und geben Sie keine weiter.

Was Sie von uns nicht zu befürchten haben

Wer sich an dieses Konzept hält, hat von uns keine rechtlichen Schritte wegen der Untersuchung oder der Meldung zu erwarten. Wir betrachten eine solche Meldung als Hilfe, nicht als Angriff.

Eine Belohnung zahlen wir nicht; ein Bug-Bounty-Programm gibt es nicht.

Was wir außerdem tun müssen

Wird eine Schwachstelle in unserem Produkt aktiv ausgenutzt, sind wir gesetzlich verpflichtet, das zu melden – unverzüglich, sobald wir davon Kenntnis erlangen: Frühwarnung spätestens 24 Stunden nach Kenntniserlangung, Schwachstellenmeldung spätestens 72 Stunden nach Kenntniserlangung, Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht (Verordnung (EU) 2024/2847, Art. 14 Abs. 1 und 2). Das geschieht unabhängig davon, ob Sie einer Veröffentlichung zustimmen.

Stand

Fassung vom 12.09.2026. Änderungen werden hier veröffentlicht.