MELDEVERFAHREN FÜR SICHERHEITSLÜCKEN

Wofür dieses Verfahren gilt

Diese Seite beschreibt, wie Sicherheitsforscherinnen und Sicherheitsforscher, Nutzerinnen und Nutzer sowie Dritte uns Schwachstellen in GRIDWORK melden können und wie wir darauf reagieren. Sie ist unsere Richtlinie zur koordinierten Offenlegung (englisch Coordinated Vulnerability Disclosure, kurz CVD).

Rechtlicher Rahmen: EU-Verordnung über Cyberresilienz (Cyber Resilience Act, CRA) Artikel 11 Absatz 1 und Absatz 3 sowie Artikel 13; fachliche Grundlage sind die Normen ISO/IEC 29147 (Offenlegung von Schwachstellen) und ISO/IEC 30111 (Bearbeitung von Schwachstellen).

Geltungsbereich

Alle Bestandteile, Dienste und Schnittstellen von GRIDWORK, insbesondere:

• das Cloud-Backend (die Server-Dienste hinter app.gw4.me),
• die Web- und Mobil-Oberfläche,
• die Anbindungen an Anlagentechnik: PV-Wechselrichter, Speicher und Wallbox (OCPP),
• die Firmware der von uns ausgelieferten Geräte,
• veröffentlichte Programmbibliotheken (SDK) und öffentliche Schnittstellen (API).

So melden Sie

• E-Mail (Hauptweg): hallo@gw4.me – rund um die Uhr erreichbar, Antwort von Hand innerhalb von 72 Stunden.
• Maschinenlesbarer Verweis: gw4.me/.well-known/security.txt nach RFC 9116.
• Verschlüsselung: Ein PGP-Schlüssel ist noch nicht veröffentlicht. Bitte eröffnen Sie den Erstkontakt im Klartext und bitten Sie um den Schlüsselaustausch; wir antworten strukturiert innerhalb von 72 Stunden.

Pseudonyme Meldungen nehmen wir an. Sie müssen uns Ihren Namen nicht nennen.

Was Ihre Meldung enthalten sollte

Bitte fügen Sie – auf Deutsch oder Englisch – folgende Angaben bei:

• Titel und kurze Beschreibung der Schwachstelle.
• Betroffener Bestandteil, Adresse (URL), Version oder Commit-Kennung (die eindeutige Kennung eines Standes im Quelltext).
• Schritt-für-Schritt-Anleitung, mit der sich die Lücke nachstellen lässt (Machbarkeitsnachweis).
• Einschätzung der Auswirkung, bevorzugt nach CVSS v3.1 (ein verbreitetes Punktesystem zur Bewertung von Schwachstellen).
• Vorschlag zur Behebung (freiwillig).
• Kontaktdaten (freiwillig; pseudonyme Meldungen werden akzeptiert).
• Einverständnis mit dem Offenlegungsfenster von 90 Tagen (ein Widerspruch ist möglich).

Was dazugehört – und was nicht

Im Geltungsbereich

• Schwachstellen in den produktiv betriebenen GRIDWORK-Schnittstellen und den zugehörigen Web- und Mobil-Anwendungen.
• Schwachstellen in veröffentlichten Bibliotheken und SDKs, die unter unserer Kontrolle stehen.
• Schwachstellen in Anlagen-Adaptern, die wir als Hersteller ausliefern.
• Risiken aus der Lieferkette in mitgelieferten Open-Source-Bestandteilen (Stückliste der Software, Prüfung auf bekannte Schwachstellen).

Außerhalb des Geltungsbereichs

• Angriffe auf Dienste Dritter außerhalb unserer Kontrolle (zum Beispiel die Schnittstellen von Tibber oder Solytic).
• Täuschungsangriffe auf Mitarbeitende oder Endanwender (Social Engineering).
• Überlastungsangriffe (DoS) und Lasttests außerhalb abgestimmter Tests.
• Körperliche Angriffe auf Geräte im Feld.
• Automatisch erzeugte Berichte von Prüfwerkzeugen ohne eigene Nachprüfung.

Unsere Fristen

Diese Fristen sagen wir Ihnen zu:

• Eingang bestätigen: höchstens 72 Stunden nach Eingang. Wir bestätigen von Hand, dass Ihre Meldung angekommen und zugewiesen ist.
• Erste Bewertung: höchstens 10 Werktage. Wir stellen die Lücke nach, stufen sie ein (kritisch, hoch, mittel, niedrig) und ordnen sie einem Bestandteil zu.
• Behebung oder Behebungsplan: kritisch höchstens 14 Tage, hoch höchstens 30 Tage, mittel höchstens 60 Tage, niedrig höchstens 90 Tage.
• Öffentliche Sicherheitsmeldung: höchstens 90 Tage ab Eingang. Diese Frist ist in Absprache mit der meldenden Person verlängerbar, wenn es technisch notwendig ist.
• Behördenmeldung: Bei aktiv ausgenutzten Schwachstellen oder schwerwiegenden Auswirkungen geben wir innerhalb von 24 Stunden eine Frühwarnung an die europäische Agentur für Cybersicherheit (ENISA) ab.

Was wir Ihnen zusagen

Schutz vor rechtlicher Verfolgung

Wer Schwachstellen nach dieser Richtlinie in gutem Glauben und verhältnismäßig meldet, wird von uns nicht rechtlich verfolgt – in den Grenzen, die das deutsche Recht zulässt. Die §§ 202a und 202c StGB (die sogenannten Hacker-Paragrafen) verbieten bestimmte Handlungen; unser Verzicht auf rechtliche Schritte gilt, soweit Ihr Vorgehen verhältnismäßig und auf die Meldung gerichtet war.

Keine verpflichtende Vergütung

Diese Fassung legt kein Programm mit Prämien für gefundene Fehler fest. Anerkennung erfolgt über eine schriftliche Danksagung. Über Geldbeträge entscheiden wir nach Ermessen im Einzelfall.

Vertraulichkeit

Einzelheiten der Schwachstelle behandeln wir bis zur abgestimmten Offenlegung vertraulich. Im Gegenzug bitten wir Sie, vor Ablauf der 90 Tage nichts zu veröffentlichen – es sei denn, wir selbst halten die oben genannten Fristen nicht ein.

Was nach Ihrer Meldung passiert

Jede gültige Meldung erhält bei uns eine eigene Kennung und wird lückenlos dokumentiert: Eingangsdatum, Bearbeitungsstand, Einstufung, Zuordnung, behebende Version und Datum der Offenlegung. Wo es sinnvoll ist, beantragen wir für die Schwachstelle eine öffentliche CVE-Nummer. Die Behebung rollen wir über unseren regulären Freigabeprozess aus; bei Fahrzeug- und Ladetechnik greift zusätzlich das Verfahren für Aktualisierungen über das Netz. Einmal im Jahr prüfen wir das Verfahren selbst nach – gemessen an Anzahl der Meldungen, Zeit bis zur Einstufung, Zeit bis zur Behebung und Zahl der Offenlegungen.

English summary

Report security vulnerabilities in GRIDWORK to hallo@gw4.me. Reports in German or English are welcome; pseudonymous reports are accepted. No PGP key has been published yet – please open first contact in plain text and ask for a key exchange.

Our commitments: acknowledgement of receipt within 72 hours; initial assessment within 10 working days; fix or fix plan within 14 days (critical), 30 days (high), 60 days (medium), 90 days (low); public advisory within 90 days of receipt, extendable by agreement where technically necessary. Where a vulnerability is actively exploited or has severe impact, we file an early warning with ENISA within 24 hours.

Safe harbour: if you report in good faith and act proportionately, we will not pursue legal action against you, within the limits of German law (§§ 202a, 202c StGB). We ask you not to disclose publicly before the 90-day window ends, unless we miss the deadlines above. There is no bug bounty programme; we acknowledge reports in writing. The German text above is the authoritative version.

Fassung

Meldeverfahren für Sicherheitslücken, Fassung v0.1 (Stand: 9. April 2026). Änderungen veröffentlichen wir auf dieser Seite. Fragen zu diesem Verfahren: hallo@gw4.me.