Richtlinie zur koordinierten Offenlegung von Schwachstellen

Schwachstelle melden

Wenn Sie glauben, eine Sicherheitsschwachstelle in einem CapOpt-Produkt oder -Dienst gefunden zu haben, schreiben Sie uns an:

Wir hören lieber von Ihnen als gar nicht. Sie müssen sich nicht sicher sein und müssen keinen funktionierenden Exploit liefern.

security@capopt.com

Was hilft

• Was Sie gefunden haben und wo — Produkt, Dienst, URL oder Gerät
• Wie man es reproduziert, mit genug Detail, dass wir dasselbe sehen
• Was ein Angreifer Ihrer Meinung nach damit anstellen könnte
• Ob Sie es jemand anderem mitgeteilt haben und ob Sie veröffentlichen wollen

Schreiben Sie auf Englisch oder Schwedisch — wie es Ihnen passt.

Was wir zusagen

CapOpt AB ist ein Drei-Personen-Unternehmen. Das sind Zusagen, die wir tatsächlich halten können — nicht die, die am besten klingen:

Wir betreiben kein Bug-Bounty-Programm und können keine Vergütung anbieten. Wenn Sie bei einer veröffentlichten Behebung genannt werden möchten, sagen Sie Bescheid — das tun wir, sofern Sie nicht widersprechen.

Koordinierte Offenlegung

Wir bitten um 90 Tage ab Ihrer Meldung vor öffentlicher Offenlegung, damit eine Behebung entwickelt und auf installierte Geräte ausgerollt werden kann.

Wenn Sie früher veröffentlichen wollen, sagen Sie es uns — wir versuchen, ein Datum zu vereinbaren. Können wir es nicht in 90 Tagen beheben, erklären wir warum und schlagen eine längere Frist vor, nutzen das aber nicht, um Sie unbegrenzt hinauszuzögern. Ist die Schwachstelle bereits öffentlich oder wird ausgenutzt, können wir den Zeitpunkt der Offenlegung nicht mehr bestimmen.

Safe Harbour

Wenn Sie in gutem Glauben handeln und diese Richtlinie befolgen, werden wir keine rechtlichen Schritte gegen Sie einleiten und Sie nicht bei Strafverfolgungsbehörden melden.

Wenn eine Drittpartei gegen Sie wegen Forschung vorgeht, die dieser Richtlinie entspricht, machen wir deutlich, dass Ihre Handlungen autorisiert waren.

Das hebt nicht und kann nicht die Rechte unserer Kunden oder anderer aufheben. Siehe die Grenzen des Geltungsbereichs unten.

Geltungsbereich

Im Scope — Produkte und Dienste, die CapOpt AB in den Verkehr bringt oder betreibt:

• Capacity Optimizer Gateway (Modell CO-LB-100) und die darauf laufende CapOpt-Software
• CapOpt Cloud-API und Dashboard
• Öffentliche CapOpt-Websites

Außerhalb des Scope:

EV-Lader, Stromzähler und Batteriespeicher. Diese stammen von anderen Herstellern. Finden Sie eine Schwachstelle darin, melden Sie sie dem Hersteller — wir helfen beim richtigen Kontakt, wenn Sie fragen.

Kundennetzwerke und Kundenstandorte. Diese dürfen wir nicht zum Testen freigeben.

Drittanbieter-Dienste, die wir nutzen, aber nicht betreiben.

Befunde, die nur erreichbar sind, nachdem zuvor etwas außerhalb des Scope kompromittiert wurde.

Was wir Sie bitten zu unterlassen

Das meiste ist Standard. Der zweite Punkt ist es nicht — und er ist wichtiger als der Rest.

• Greifen Sie nicht auf fremde Daten zu, ändern oder löschen Sie sie nicht.
• Testen Sie nicht gegen eine Live-Installation. Eine CapOpt Edge steuert EV-Lader, Batteriespeicher und elektrische Last an einem echten Standort. Eingriffe können die Versorgung auslösen, laufendes Laden unterbrechen, auf das sich jemand verlässt, oder Geräte beschädigen. Das ist eine Sicherheitsgrenze, keine juristische Formalität. Wenn Sie etwas an einem echten Gerät zeigen müssen, kontaktieren Sie uns zuerst — wir organisieren das.
• Führen Sie keine Denial-of-Service-Tests oder etwas durch, das die Verfügbarkeit mindert.
• Nutzen Sie kein Social Engineering, Phishing oder physische Angriffe gegen Mitarbeitende oder Kunden.
• Nutzen Sie kein automatisiertes Scanning mit erheblicher Last.
• Veröffentlichen Sie keine Details vor der vereinbarten Offenlegungsfrist.

Wann wir Kunden informieren

Betrifft eine Schwachstelle ausgerollte Geräte, informieren wir betroffene Kunden mit Minderungsempfehlungen vor der öffentlichen Offenlegung. Verlangt das Gesetz eine Meldung an eine Behörde — etwa nach Cyber Resilience Act oder Radio Equipment Directive — tun wir das; das ändert nichts an unserer Vereinbarung mit Ihnen.

Kontakt

security@capopt.com

CapOpt AB, Org.-Nr. 559448-9006

Amorinavägen 7, 191 44 Sollentuna, Schweden