Sicherheit & Meldung von Schwachstellen

Richtlinie zur koordinierten Offenlegung · Stand: November 2026

Die Informatik Werkstatt GmbH entwickelt UpCom, eine Datenerfassungs-Anwendung für Option-CloudGate-Gateways, und ViewMondo, das wir als Cloud-Dienst betreiben und das auch auf Servern von Kunden installiert wird. Außerdem betreiben wir den Fernzugangsdienst UpComRemoteAccess. UpCom und ViewMondo werden ausschließlich über OTT HydroMet (einschließlich der Marke Kipp & Zonen) vertrieben. Wir nehmen die Sicherheit unserer Produkte ernst und freuen uns über Hinweise von Sicherheitsforschenden, Kunden und Partnern.

So melden Sie eine Schwachstelle

E-Mail: security@informatik-werkstatt.de
Verschlüsselung (optional): OpenPGP-Schlüssel pgp-key.txt, Fingerprint
64F3 02D0 C4C5 B8ED 3493 C0C3 B881 8D07 CE78 D9F8

Bitte geben Sie an:

Produkt und Version, bei UpCom auch die Hardware-Generation des CloudGate (beides auf der Statusseite von UpCom),
eine Beschreibung des Problems,
Schritte zur Reproduktion oder einen Proof of Concept,
Ihre Einschätzung der Auswirkungen.

Meldungen auf Deutsch oder Englisch sind willkommen. Kunden können Meldungen auch über ihren Support-Kontakt bei OTT HydroMet abgeben; Sicherheitsmeldungen werden an uns weitergeleitet.

Geltungsbereich

UpCom (alle Versionen innerhalb ihres Supportzeitraums) mit seinen Web-Oberflächen, seinen Netzdiensten (OPC-UA-Server, Modbus-TCP-Server, TLS/TC57-Server, NTCIP-SNMP-Subagent, Transparent-Modus, NDOT-Schrankensteuerung), seinen ausgehenden Verbindungen und den mitgelieferten Python-Skripten.
ViewMondo (alle Versionen innerhalb ihres Supportzeitraums): die Web-Anwendung, der Windows-Dienst und seine Netzdienste (Stationsabrufe, Geräte-API für UpCom, App-API), sowohl bei Installationen beim Kunden als auch im Cloud-Dienst viewmondo.com.
UpComRemoteAccess (upcom.viewmondo.com).

Das gilt für UpCom auf beiden CloudGate-Hardware-Generationen; Supportzeitraum und CE-Konformität beziehen sich nur auf die aktuelle Generation (i.MX93).

Nicht umfasst:

die Basis-Firmware des CloudGate, ihr Webserver und die Bibliotheken des CloudGate-SDK (OpenSSL, curl, Python, net-snmp usw.) – diese pflegt Option; bitte melden Sie sie an Option. Meldungen, die uns erreichen, leiten wir weiter;
die Betriebsumgebung von ViewMondo-Installationen beim Kunden (Windows, IIS, .NET Framework, Datenbankserver, CodeMeter-Runtime) – bitte an den jeweiligen Hersteller melden;
Denial-of-Service-Tests gegen Produktivsysteme, automatisierte Scans unserer Cloud-Systeme, Zugriff auf Daten anderer Kunden, Social Engineering und physische Angriffe.

Wenn Sie unsicher sind, ob ein Fund in den Geltungsbereich fällt, melden Sie ihn trotzdem – wir leiten ihn an die zuständige Stelle weiter.

Was Sie von uns erwarten können

Eingangsbestätigung: innerhalb von 2 Arbeitstagen
Erste Bewertung (berechtigt / nicht berechtigt, vorläufiger Schweregrad): innerhalb von 10 Arbeitstagen
Statusmeldungen: mindestens alle 30 Tage bis zur Lösung
Korrektur bei kritischem / hohem Schweregrad: Ziel innerhalb von 30 / 90 Tagen
Öffentlicher Sicherheitshinweis: sobald eine korrigierte Version verfügbar ist, mit Ihnen abgestimmt

Den Schweregrad bewerten wir nach CVSS v3.1 / v4.0. Gegen Sicherheitsforschende, die nach dieser Richtlinie in gutem Glauben handeln, gehen wir rechtlich nicht vor – also wer nur auf die Daten zugreift, die zum Nachweis nötig sind, den Dienst für andere nicht beeinträchtigt, personenbezogene Daten weder behält noch weitergibt und uns vor einer Veröffentlichung angemessen Zeit zur Behebung lässt (Standard-Sperrfrist: 90 Tage, verhandelbar).

Im Sicherheitshinweis nennen wir die meldende Person, sofern sie nicht anonym bleiben möchte. Ein bezahltes Bug-Bounty-Programm bieten wir derzeit nicht an.

Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden wir zusätzlich an das zuständige CSIRT und an die ENISA, wie es Artikel 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act) verlangt.

Sicherheitshinweise

Sicherheitshinweise veröffentlichen wir auf dieser Seite und, wenn eine CVE vergeben ist, in der CVE- bzw. EU-Schwachstellendatenbank. Kunden werden über OTT HydroMet informiert.

Bisher wurden keine Sicherheitshinweise veröffentlicht.

Maschinenlesbarer Kontakt

/.well-known/security.txt (RFC 9116)

← Zur Startseite