Policy version: 1.0 · Last updated: 2026-09-07
Richtlinie zur koordinierten Offenlegung von Sicherheitslücken (Coordinated Vulnerability Disclosure)
Eine kurze, praktische Anleitung zum Melden einer Schwachstelle finden Sie hier: Sicherheitslücken melden. Diese Seite beschreibt die vollständigen Regelungen.
Die Axel Semrau GmbH nimmt die Sicherheit ihrer Produkte mit digitalen Elementen – darunter die Software CHRONOS – sehr ernst. Wir sind dankbar für jede verantwortungsvolle Meldung von Sicherheitslücken durch Sicherheitsforscherinnen und -forscher, Kundinnen und Kunden sowie sonstige Dritte und verpflichten uns zu einem transparenten, koordinierten Umgang mit solchen Meldungen.
Diese Richtlinie setzt die Anforderungen an eine „Politik zur koordinierten Offenlegung von Schwachstellen“ gemäß Art. 13 sowie Anhang I Teil II Nr. 6 der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) um.
Meldestelle
| psirt[at]trajanscimed.com | |
| Maschinenlesbare Angaben | https://www.axelsemrau.de/.well-known/security.txt (gemäß RFC 9116) |
| Kurzanleitung | Sicherheitslücke melden |
| Sprachen | Deutsch, Englisch |
| Verschlüsselung | OpenPGP-Schlüssel (siehe auch das Encryption-Feld der security.txt) |
Geltungsbereich
In den Geltungsbereich fallend
- Die Software CHRONOS in allen von der Axel Semrau GmbH aktiv unterstützten Versionen sowie deren Installationsprogramme.
- First-Party-Plug-in-Komponenten, Verarbeitungsmodule und Datenanbieter, die wir ausliefern.
- Die Update-, Lizenzierungs- sowie Absturz-/Telemetrieverarbeitung der Anwendung.
- Weitere von der Axel Semrau GmbH vertriebene Produkte mit digitalen Elementen.
Nicht in den Geltungsbereich fallend
- Treiber und Hersteller-SDKs von Drittanbieter-Massenspektrometern (Thermo, Sciex, Bruker, Waters, ProteoWizard usw.) – bitte melden Sie diese direkt beim jeweiligen Hersteller.
- Schwachstellen in Drittkomponenten, Betriebssystemen oder Fremdsoftware, die lediglich mit unseren Produkten zusammenwirken, aber nicht von uns entwickelt werden (bitte direkt beim jeweiligen Hersteller melden; eine Liste der in CHRONOS enthaltenen Drittkomponenten findet sich in der Software-Stückliste/SBOM).
- Die Sicherheit des eigenen Betriebssystems, der Hardware oder des Netzwerks der Nutzerin bzw. des Nutzers.
- Schwachstellen in Abhängigkeiten, die bereits öffentlich bekannt sind und auf einen Upstream-Fix warten (ein Hinweis ist dennoch willkommen).
- Social-Engineering-Angriffe auf Mitarbeitende, Kundinnen oder Kunden.
- Physische Angriffe auf Geschäftsräume, Geräte oder Infrastruktur der Axel Semrau GmbH oder ihrer Kunden.
- Denial-of-Service-Tests oder sonstige Tests, die den Betrieb von Produktivsystemen beeinträchtigen können.
Was eine Meldung enthalten sollte
Siehe Sicherheitslücken melden für die vollständige Liste hilfreicher Angaben.
Unser Vorgehen
| Eingangsbestätigung | Innerhalb von 5 Werktagen nach Eingang Ihrer Meldung. |
|---|---|
| Erste Bewertung | Innerhalb von 10 Werktagen – Einordnung von Schweregrad und Auswirkung, ggf. Rückfragen. |
| Behebung | Richtet sich nach Schweregrad und Komplexität; wir informieren Sie über den Fortschritt in angemessenen Abständen. |
| Koordinierte Offenlegung | Sofern nicht anders vereinbart, streben wir eine Offenlegung innerhalb von 90 Tagen nach Eingang der Meldung an, bzw. sobald eine Abhilfemaßnahme verfügbar ist. |
| Meldung an Behörden | Sofern gesetzlich erforderlich (insb. bei aktiv ausgenutzten Schwachstellen gemäß Art. 14 CRA), melden wir zusätzlich an ENISA und die zuständige nationale Behörde – unabhängig von und zusätzlich zur Kommunikation mit Ihnen als Melder. |
Unsere Zusage an Melder (Safe Harbor)
Sicherheitsforschung, die in gutem Glauben, im Rahmen dieser Richtlinie und ohne Schädigungsabsicht erfolgt, betrachten wir als autorisiert. Insbesondere werden wir:
- keine rechtlichen Schritte wegen einer im Rahmen dieser Richtlinie erfolgten, verantwortungsvollen Sicherheitsforschung einleiten,
- Ihre Meldung vertraulich behandeln und Ihre Kontaktdaten nicht ohne Ihre Zustimmung an Dritte weitergeben, außer soweit gesetzlich erforderlich (siehe Abschnitt „Unser Vorgehen“).
Unterstützte Versionen und Sicherheitsupdate-Zeitraum
Für jede veröffentlichte Version von CHRONOS stellen wir für mindestens fünf (5) Jahre ab ihrem Veröffentlichungsdatum sicher, dass bekannt gewordene Sicherheitslücken behoben werden, entsprechend den Erwartungen an den Unterstützungszeitraum gemäß Art. 13 Abs. 8 des Cyber Resilience Act (EU), sofern für eine bestimmte Version keine kürzere erwartete Produktlebensdauer dokumentiert ist. Die Behebung erfolgt in der Regel durch ein kostenfreies Update auf die jeweils aktuelle Version; rückwirkende Sicherheitspatches für einzelne ältere Versionen bieten wir grundsätzlich nicht an. Wir empfehlen daher, stets die aktuelle Version zu verwenden und verfügbare Updates zeitnah einzuspielen.
| Aktuellste Version | Vollständig unterstützt – erhält Sicherheitsupdates |
|---|---|
| Ältere Version innerhalb des 5-Jahres-Zeitraums | Kein direkter Patch für die installierte Version – kostenloses Update auf die aktuelle Version verfügbar |
| Nach Ablauf des 5-Jahres-Support-Zeitraums | End of Life – bitte aktualisieren |
Für die übrigen unter diese Richtlinie fallenden Produkte mit digitalen Elementen gelten die in den jeweiligen Produktinformationen genannten Unterstützungszeiträume entsprechend.
Anerkennung
Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm, freuen uns aber, Forscher anzuerkennen, die gültige Probleme melden, im entsprechenden Sicherheitshinweis (mit Ihrer Erlaubnis).
Rechtliche Grundlage
Diese Richtlinie setzt die Anforderungen aus Art. 13 sowie Anhang I Teil II Nr. 6 der Verordnung (EU) 2024/2847 (Cyber Resilience Act) an eine Politik zur koordinierten Offenlegung von Schwachstellen um. Die Meldestelle ist zusätzlich maschinenlesbar unter https://axelsemrau.de/.well-known/security.txt gemäß RFC 9116 hinterlegt.
Kontakt
Axel Semrau GmbH · Stefansbecke 42 · 45549 Sprockhövel · Deutschland
info.de[at]trajanscimed.com - www.axelsemrau.de
