Richtlinie zur Meldung von Sicherheitslücken (Vulnerability Disclosure)

Diese Richtlinie beschreibt den Umgang von Energie Wasser Bern (ewb) mit Meldungen zu Sicherheitslücken in unseren digitalen Angeboten und ITSystemen. Ziel ist, Meldungen zu ermöglichen, die Risiken für Betroffene zu reduzieren, Schwachstellen koordiniert zu beheben und Forschende rechtlich zu entlasten, sofern sie in gutem Glauben handeln. Die Richtlinie stellt klar, welche Systeme betroffen sind, welche Meldekanäle bestehen und welche Regeln für Test- und Meldungsverhalten gelten.

Gegenstand dieser Richtlinie sind alle digitalen Angebote und Dienste, für die ewb Verantwortung trägt, beispielsweise Domains und Services unter *.ewb.ch sowie von ewb betriebene APIs, Portale und BackEndSysteme.

Nicht unter diese Richtlinie fallen Systeme, die klar von Dritten betrieben werden (z. B. CloudServices oder Subanbieter), Drittprodukte und fremde Infrastrukturen, für die andere Organisationen zuständig sind. Entdeckte Schwachstellen in solchen Systemen leiten wir an den jeweiligen Eigentümer weiter; die Verantwortung für Beseitigung und weitere Massnahmen liegt beim Eigentümer des betroffenen Systems.

• ewb will proaktiv mit Sicherheitsforschenden zusammenarbeiten und ermutigt verantwortungsvolle Meldungen. 
• Wenn Sie Schwachstellen in redlicher Absicht und gutem Glauben melden – also mit dem Ziel, dass diese behoben werden – und sich dabei an diese Richtlinie halten, wird ewb in der Regel keine zivil- oder strafrechtlichen Schritte gegen Sie einleiten.
• Diese Richtlinie begründet keinen umfassenden rechtlichen Schutz gegenüber Dritten; sie hilft jedoch, die Vorgehensweise von ewb gegenüber Behörden und Dritten zu erklären.

Forschende, die im Rahmen dieser Richtlinie testen, halten sich an folgende Regeln:

• Melden Sie Schwachstellen umgehend und nur über einen der offiziellen Kanäle (siehe Abschnitt 6) 
• Testen Sie nur so weit wie nötig, um die Schwachstelle zu beweisen (Proof-of-Concept)
• Interagieren Sie nur mit eigenen Testkonten oder mit anderen Konten, für die Sie ausdrückliche schriftliche Erlaubnis haben
• Exfiltrieren, verändern oder löschen Sie keine Daten von Dritten; begrenzen Sie den Zugriff auf das absolute Minimum zur Reproduzierbarkeit 
• Verwenden Sie keine Attacken, die Verfügbarkeit gefährden (z. B. DoS), keine Social-Engineering-Techniken gegen Personen und keine Malware
• Geben Sie in Ihrer Meldung technische Details an (betroffene URL(s), Reproduktionsschritte, Zeitstempel, verwendete IP-Adressen, Browser/Client Infos, Proof-of-Concept-Code). Je mehr relevante Informationen, desto schneller die Analyse 
• Der Inhalt einer Schwachstellenmeldung ist vertraulich, da er sicherheitskritische Informationen enthält. Er darf nicht Dritten zugänglich gemacht oder gar publiziert werden
• Koordinieren Sie eine geplante Veröffentlichung mit ewb

1. Hält sich eine meldende Person an diese Richtlinie, interpretiert ewb das Vorgehen in der Regel als autorisierten Zugriff im Rahmen der Policy und wird keine zivil oder strafrechtlichen Schritte gegen die Person einleiten; ewb behält sich jedoch vor, bei gravierenden Verstössen (z. B. klar vorsätzlichen Schäden) rechtlich vorzugehen.
2. Sollte eine Drittpartei rechtliche Schritte gegen eine meldende Person einleiten, wird ewb, sofern die meldende Person im Einklang mit dieser Richtlinie gehandelt hat, den Sachverhalt gegenüber Behörden erläutern und darlegen, dass die Meldung in gutem Glauben erfolgte.
3. Diese Richtlinie unterliegt dem schweizerischen Recht. Der ausschliessliche Gerichtsstand für alle Streitigkeiten, die aus oder im Zusammenhang mit dieser Richtlinie entstehen, ist Bern, Schweiz. Zwingende Gerichtsstände bleiben vorbehalten.

• Ein Legal Safe Harbor durch ewb gilt nur insoweit, als ewb selbst auf Grundlage der vorliegenden Informationen entscheiden kann; die Richtlinie bindet Dritte und Behörden nicht automatisch.
• Wenn Sie unsicher sind, ob ein geplanter Test zulässig ist, kontaktieren Sie ewb vorab über den Kanal für anonyme Rückfragen (siehe Abschnitt 6).
• ewb behandelt Meldungen vertraulich und gibt personenbezogene Daten nur mit Zustimmung der betroffenen Person oder soweit gesetzlich notwendig weiter.