Das Pilz Product Security Incident Response Team (PSIRT)

Die Security-Experten des Pilz PSIRT analysieren, bewerten und bearbeiten potenzielle Sicherheitsschwachstellen sowie Security-Vorfälle in Zusammenhang mit Produkten und Lösungen von Pilz. Wurde eine Schwachstelle bestätigt, veröffentlicht das Pilz PSIRT Security Advisories mit Hinweisen zur Behebung dieser Schwachstelle.

Wir möchten Sicherheitsexperten, unabhängige Forscher, Kunden und andere Akteure, dazu ermutigen uns Sicherheitsprobleme bei unseren Produkten und Lösungen zu melden. Nur so ist es uns möglich, weitere Aktivitäten gemeinsam zu besprechen, abzustimmen und die Security unserer Produkte und Lösungen zu verbessern. Um unsere Kunden und Unbeteiligte nicht zu gefährden, bitten wir um eine koordinierte Veröffentlichung von Schwachstellen unter Einbeziehung unseres PSIRT.

Die Security-Spezialisten des Pilz PSIRT bearbeiten und bewerten alle Meldungen zu möglichen Security-Schwachstellen von Pilz Produkten. Wenn Sie Fragen zu Security haben, die unsere Produkte oder Infrastruktur betreffen, oder Sicherheitslücken melden möchten, wenden Sie sich bitte an unsere Security Experten des PSIRT. Bitte benachrichtigen Sie das PSIRT auf Deutsch oder Englisch. Eine Eingangsbestätigung erhalten Sie typischerweise innerhalb von vier Werktagen (CET).

Bitte melden Sie Security-Probleme unserer Produkte, Lösungen und Online-Dienste an:

PSIRT Kontakt

PGP-Public-Key

Fügen Sie Ihrer Meldung bitte folgende Informationen bei:

1. Name des Melders
2. Kontaktdaten (E-Mail, Telefon)
3. Firmenname
4. Bezeichnung und Sachnummer (soweit zutreffend) des betroffenen Produkts
5. Firmware- bzw. Softwareversion
6. Beschreibung der Auswirkung der Schwachstelle
7. Beschreibung wie die Schwachstelle ausgenutzt werden kann (bitte senden Sie uns keinen Exploit-Code unaufgefordert zu)
8. Hinweis darüber, ob die Verwundbarkeit bereits veröffentlicht wurde (durch Sie oder eine weitere Stelle)

Wir veröffentlichen unsere Sicherheitshinweise im CSAF-Standardformat (Common Security Advisory Framework). Dieses maschinenlesbare Format ermöglicht es Unternehmen, Sicherheitsinformationen automatisiert zu verarbeiten und schneller auf potenzielle Schwachstellen zu reagieren.

Common Security Advisory Framework (CSAF)

In Zusammenarbeit mit weiteren Partnern stellen wir unsere Security Advisories zusätzlich über die Plattform des VDE CERT bereit. So sorgen wir für maximale Transparenz und eine sichere, standardisierte Kommunikation.                                                                                                                                                                             

CERT@VDE

Pilz, mit Stammhaus in Deutschland, ist Mitglied in der Allianz für Cyber-Sicherheit beim BSI (Bundesamt für Sicherheit in der Informationstechnik). Damit stärken wir unsere Vernetzung zu mehr Cyber-Sicherheit und erhöhter Widerstandsfähigkeit gegen Cyber-Angriffe.

ACS - Allianz für Cyber-Sicherheit

1. Analysieren:

Unser PSIRT untersucht die gemeldete Schwachstelle und wird bei Bedarf
weitere Informationen vom Einreicher anfordern. Bitte beachten Sie, dass die Untersuchung je nach Komplexität der Schwachstelle und Art des Produkts einige Tage bis Wochen dauern kann. Unabhängig hiervon geben wir dem Einreicher spätestens nach 15 Werktagen die erste Rückmeldung.

2. Maßnahmen definieren:

Abhängig von der Schwere der Schwachstelle und ggf. anderen Randbedingungen werden Updates vorbereitet. Im Falle einer gravierenden Schwachstelle bereitet Pilz ein Security Advisory vor. Während des Prozesses informieren wir den Einreicher regelmäßig über den Status.

3. Veröffentlichen:

Das fertige Security Advisory und ggfs. zugehörige Sicherheitsaktualisierungen der betroffenen Firmware oder Software werden hier veröffentlicht und stehen jedem Kunden zum Download zur Verfügung. Für den Download müssen Sie sich mit Ihrem Benutzernamen einloggen. Falls Sie noch kein Profil haben, können Sie sich hier kostenlos registrieren. Bitte beachten Sie, dass in Abhängigkeit der Schwere einer Schwachstelle Sicherheitsaktualisierungen ggf. nur im Rahmen des produkttypischen Releasezyklus freigegeben werden.

Ein Security Advisory ist ein Hinweis auf eine identifizierte Sicherheitslücke in einem unserer Produkte. Dies beinhaltet in der Regel:

• eine detaillierte Beschreibung der Schwachstelle,
• eine Bewertung ihrer Kritikalität anhand des CVSS-Scores,
• eine Übersicht der betroffenen Produkte sowie deren Versionsnummern,
• empfohlene Maßnahmen zur Behebung der Schwachstelle,
• und ggf. eine Anerkennung der Personen oder Organisationen, die uns auf das Problem aufmerksam gemacht haben.