COROS DE

Globale Richtlinie zur Offenlegung von Sicherheitslücken

Einleitung

COROS setzt sich für die Sicherheit seiner Produkte, Software und Dienste sowie für die Sicherheit und den Schutz der Privatsphäre seiner Nutzer ein. Diese Richtlinie erläutert, wie Sicherheitsforscher und andere Personen potenzielle Sicherheitslücken an COROS melden können und wie ihre Meldungen anschließend bearbeitet werden.

Diese Richtlinie gilt weltweit und umfasst Sicherheits- oder Datenschutzschwachstellen in Geräten der Marke COROS, Firmware, der COROS App, dem Training Hub, Websites, APIs, Cloud-Diensten und zugehöriger Software. Das Land oder die Region, in dem bzw. der sich die meldende Person befindet, hat keinen Einfluss auf die Nutzung dieses Meldekanals. Zwingende Vorschriften des anwendbaren lokalen Rechts bleiben unberührt.

Bitte lesen Sie diese Richtlinie vollständig durch, bevor Sie Sicherheitsforschung betreiben oder eine Meldung einreichen, und halten Sie sich an die darin enthaltenen Anforderungen. Die verschiedenen Sprachfassungen sollen inhaltlich übereinstimmen. Falls das lokale Recht eine Fassung in der jeweiligen Landessprache oder zusätzliche Informationen verlangt, wird COROS eine entsprechende Fassung oder ergänzende Erläuterungen bereitstellen.

COROS dankt Sicherheitsforschern für die Zeit und Mühe, die sie für die verantwortungsvolle Meldung von Schwachstellen aufwenden.

Geltungsbereich

Der Geltungsbereich umfasst offizielle Websites und Domains, die COROS gehören oder von COROS kontrolliert werden, die COROS App, den Training Hub, APIs und Cloud-Dienste sowie COROS-Uhren, Fahrradcomputer, Sensoren, vernetzte Zubehörprodukte, Firmware und zugehörige Software, für die noch Sicherheitsunterstützung bereitgestellt wird.

Produkte, Websites oder Dienste Dritter sowie Ressourcen, die nicht von COROS autorisiert oder kontrolliert werden, fallen nicht unter diese Richtlinie. COROS übernimmt keine Garantie für die Sicherheit, Richtigkeit oder Zuverlässigkeit von Produkten, Websites oder Diensten Dritter.

Wenn Sie nicht sicher sind, ob ein Produkt, ein Dienst, eine Domain oder eine Testaktivität in den Geltungsbereich fällt, kontaktieren Sie uns bitte vor dem Test unter product-security@coros.com.

Schwachstellen melden

Wenn Sie der Ansicht sind, dass ein COROS-Gerät, eine Anwendung, eine Website, eine API, ein Cloud-Dienst oder ein zugehöriges Produkt eine Sicherheits- oder Datenschutzschwachstelle aufweist, senden Sie Ihre Meldung bitte an product-security@coros.com.

Bitte geben Sie in Ihrer Meldung folgende Informationen an:

  • Das betroffene Produkt oder Modell, die betroffene Software- oder Firmwareversion, Website, API oder den betroffenen Dienst.
  • Einen eindeutigen Titel und eine technische Beschreibung der Schwachstelle.
  • Die Auswirkungen auf die Sicherheit und die Aktionen, die ein Angreifer möglicherweise ausführen könnte.
  • Detaillierte Schritte zur Reproduktion, die in gutem Glauben und ohne destruktive Eingriffe ausgeführt werden können.
  • Gegebenenfalls einen Proof of Concept, Protokolle, Screenshots oder andere unterstützende Dateien.
  • Praktikable Vorschläge zur Risikominderung oder Behebung, sofern vorhanden.
  • Wenn Sie wünschen, dass wir Sie kontaktieren oder Ihnen danken, geben Sie bitte Ihren Namen und Ihre Kontaktdaten an. Kontaktdaten sind optional, sofern Sie keine Statusaktualisierungen erhalten möchten.

Anforderungen an die Sicherheitsforschung

Bitte beachten Sie bei der Sicherheitsforschung die folgenden Anforderungen:

  • Verwenden Sie ausschließlich Konten, Produkte und Daten, die Ihnen gehören oder für deren Test Sie eine ausdrückliche Genehmigung erhalten haben.
  • Beschränken Sie Tests auf das Mindestmaß an Aktionen, das zur Bestätigung der Schwachstelle erforderlich ist.
  • Vermeiden Sie Eingriffe in die Privatsphäre, eine Beeinträchtigung der Dienstqualität oder Störungen von Produktivsystemen.
  • Wenn Sie auf personenbezogene Daten, vertrauliche Informationen, Zugangsdaten oder andere sensible Informationen stoßen, stellen Sie die Tests unverzüglich ein und informieren Sie COROS.
  • Löschen Sie sensible Informationen, die Sie im Rahmen der Tests erhalten haben, so schnell wie unter den gegebenen Umständen zumutbar und möglich, und geben Sie diese nicht an andere Personen oder Stellen weiter.

Folgende Handlungen sind untersagt:

  • Verstöße gegen geltende Gesetze oder Vorschriften.
  • Der Zugriff auf Daten sowie deren Download, Aufbewahrung oder Offenlegung über das zum Nachweis des Problems erforderliche Maß hinaus.
  • Die Änderung oder Löschung von Daten in COROS-Systemen oder -Diensten.
  • Denial-of-Service-Tests, groß angelegte automatisierte Scans, das Versenden von Spam, Social Engineering, Phishing oder physische Angriffe.
  • Das Einrichten eines dauerhaften Zugriffs, das Exportieren von Daten, Angriffe auf andere Systeme über bereits erreichte Systeme oder die Beeinträchtigung von COROS-Produkten oder -Diensten.
  • Die öffentliche Bekanntgabe einer Schwachstelle, bevor COROS die vollständige Behebung bestätigt oder die Offenlegung schriftlich genehmigt hat.

Was Sie bei der Bearbeitung erwarten können

COROS wird den Eingang einer Schwachstellenmeldung innerhalb von 3 Arbeitstagen nach Erhalt bestätigen und plant, die erste Einstufung und technische Bewertung innerhalb von 15 Arbeitstagen abzuschließen.

Bei bestätigten Sicherheits- oder Datenschutzproblemen verfolgt COROS das Ziel, innerhalb von 90 Tagen nach der Bestätigung eine Behebung oder geeignete Maßnahmen zur Risikominderung bereitzustellen. Sollte aufgrund des Umfangs der Auswirkungen, der mit der Behebung verbundenen Risiken, Abhängigkeiten von Dritten oder anderer nachvollziehbarer Gründe mehr Zeit erforderlich sein, werden wir die meldende Person über den Fortschritt informieren.

Bis das gemeldete Problem gelöst oder die Meldung geschlossen ist, werden wir mindestens alle 30 Tage eine Statusaktualisierung bereitstellen. Die Priorität und der Zeitplan für die Behebung richten sich nach den Auswirkungen, dem Schweregrad, der Ausnutzbarkeit, den betroffenen Produkten und der Verfügbarkeit von Lösungen zur Behebung der Sicherheitsprobleme.

Wir können zusätzliche Informationen anfordern, die meldende Person zur Überprüfung der Behebung einladen oder nach der Behebung des Problems eine Benachrichtigung senden. Eine Meldung kann auch geschlossen werden, wenn sie ein Duplikat ist, lediglich informativen Charakter hat, außerhalb des Geltungsbereichs liegt, nicht zutrifft oder sich das gemeldete Problem nicht reproduzieren lässt. Gegebenenfalls erläutern wir die Gründe.

Koordinierte Offenlegung

Bitte stimmen Sie jede öffentliche Offenlegung mit COROS ab. Nach der Behebung des Problems können Sie die Veröffentlichung Ihrer Meldung beantragen. COROS wird mit Ihnen einen geeigneten Zeitpunkt und die Inhalte der Veröffentlichung vereinbaren, damit betroffene Nutzer klare und einheitliche Hinweise erhalten.

Veröffentlichte Sicherheitshinweise zu Schwachstellen ansehen →

Zugehörige Richtlinien

Informationen zum Mindestzeitraum, in dem die einzelnen Produkte und Software Sicherheitsupdates erhalten, finden Sie in der globalen COROS-Richtlinie zur Bereitstellung von Sicherheitsupdates für Produkte: Sicherheitsupdates für Produkte →

Erstveröffentlichung: 10. April 2024

Zuletzt aktualisiert: 29. September 2026