Responsible Disclosure

Täglich sind Spezialisten von Robeco damit beschäftigt, die IT-Systeme und -Prozesse zu verbessern. Das trägt zum Schutz der Daten unserer Kunden vor Missbrauch dar und stellt außerdem sicher, dass wir unsere Services dauerhaft erbringen können. Es bedeutet allerdings nicht, dass unsere Systeme immun gegenüber Problemen sind. Sollten Probleme identifiziert werden, würden wir gern auf Ihre Unterstützung bauen.

Informieren Sie uns über alle Probleme in Bezug auf die Sicherheit der Services, die Robeco im Internet erbringt. Sollten Sie ein Problem oder eine Schwachstelle entdecken, teilen Sie uns dies bitte schnellstmöglich mit. Beispiele für Schwachstellen, die angezeigt werden sollten sind:

• Cross-Site-Scripting-Schwachstellen
• SQL-Injection-Schwachstellen
• Verschlüsselungs-Schwachstellen

Vermeiden Sie es, Schäden zu verursachen, während eine entdeckte Schwachstelle untersucht wird. Die Untersuchung darf auf keinen Fall dazu führen, dass Services unterbrochen werden oder dass Daten des Assetmanagers oder seines Kunden publiziert werden.

Ein Team aus Sicherheitsexperten analysiert Ihren Report und antwortet darauf schnellstmöglich. Wir fordern Sie auf, das Problem nicht publik zu machen, sondern es einem unserer Experten mitzuteilen. Geben Sie uns die nötige Zeit, das Problem zu beheben. Wir werden Sie über unsere Einschätzung Ihres Reports unterrichten, ob wir das Problem lösen und wann wir das zu tun beabsichtigen.

Es besteht das Risiko, dass bestimmte Aktivitäten während einer Untersuchung strafbar sein könnten. Wenn Sie in gutem Glauben handeln, sorgfältig vorgehen und sich an die Spielregeln halten, hat Robeco keinen Grund, Sie anzuzeigen. Folgen Sie daher bitte den Regeln, die in diesen Responsible Disclosure-Leitlinien festgehalten sind, und handeln Sie nicht unangemessen:

• Verwenden Sie kein Social Engineering, um Zugang zum System zu erlangen.
• Platzieren Sie keine Backdoor in einem Informationssystem, um seine Verletzlichkeit zu demonstrieren, da dies weiteren Schaden verursachen und unnötige Sicherheitsrisiken mit sich bringen kann.
• Nutzen Sie eine Schwachstelle so wenig wie möglich aus. Nehmen Sie nur Handlungen vor, die zur Feststellung der Schwachstelle erforderlich sind.
• Bearbeiten oder löschen Sie keine Daten in dem System und seien Sie beim Kopieren von Daten möglichst vorsichtig. Wenn ein Nachweis ausreicht, um das Problem zu illustrieren, fahren Sie bitte nicht weiter fort.
• Nehmen Sie keine Änderungen am System vor.
• Versuchen Sie nicht, wiederholt Zugang zum System zu erlangen, und übermitteln Sie den erhaltenen Zugang nicht an Dritte.
• Verwenden Sie keine sogenannten „Brute Force“-Methoden, um Zugang zu den Systemen zu erhalten. Dabei geht es auch nicht wirklich um die Offenlegung von Schwachstellen, sondern um das massenhafte Ausprobieren von Passwörtern.

Wenn Sie eine Schwachstelle identifiziert haben, informieren Sie uns bitte über das untenstehende Formular.

Die Offenlegungsstelle ist nicht gedacht für:

• die Übermittlung von Beschwerden in Bezug auf Services
• die Meldung von betrügerischen Handlungen und/oder den Verdacht betrügerischer Handlungen mittels gefälschter E-Mails oder Phishing-Mails
• die Anzeige von Viren
• das Einreichen von Beschwerden oder Fragen hinsichtlich der Verfügbarkeit der Website