1. Einleitung

Der Produktansatz von SMEG verbindet hohe technologische Standards mit ansprechendem Design, um innovative und zuverlässige Hausgeräte zu entwickeln.

Die absolute Zuverlässigkeit unserer Produkte zu gewährleisten, gehört zu den zentralen Verpflichtungen von SMEG. Dies zeigt sich in kontinuierlichen und strengen Kontrolltests während des gesamten Produktionsprozesses.

Als Hersteller hochwertiger und langlebiger Produkte legt SMEG großen Wert auf die Sicherheit der Daten seiner Nutzer und begrüßt den Beitrag externer Sicherheitsforscher zur kontinuierlichen Verbesserung der Sicherheit unserer vernetzbaren Produkte und der damit verbundenen Services.

Diese Richtlinie erläutert, wie Sicherheitslücken und Sicherheitsvorfälle an SMEG gemeldet werden können und wie SMEG solche Meldungen verantwortungsvoll und koordiniert bearbeitet. Eingefügtes Markdown

SMEG behält sich das Recht vor, diese Richtlinie zur koordinierten Offenlegung von Sicherheitslücken bei Bedarf zu ändern und zu aktualisieren, um Transparenz und Klarheit in der Zusammenarbeit mit externen Sicherheitsforschern weiterhin sicherzustellen. Es gilt daher stets die jeweils aktuelle Version der SMEG Richtlinie zur koordinierten Offenlegung von Sicherheitslücken.

Wir empfehlen Ihnen, diese Richtlinie vollständig zu lesen, bevor Sie eine Sicherheitslücke melden, und stets in Übereinstimmung mit ihr zu handeln.

Wir schätzen das Engagement aller Personen, die sich die Zeit nehmen, Sicherheitslücken gemäß dieser Richtlinie zu melden. Für die Meldung von Sicherheitslücken bieten wir jedoch keine finanzielle Vergütung an.

2. Geltungsbereich

Diese Richtlinie gilt für alle von SMEG entwickelten, hergestellten und vermarkteten vernetzbaren Produkte einschließlich ihrer Komponenten sowie für alle damit verbundenen Services.

Eine Übersicht der von dieser Richtlinie erfassten Produkte finden Sie auf der Seite „Vernetzbare Geräte und Services von SMEG“.

Auf jeder Produktseite finden Sie den jeweiligen Supportzeitraum. Dieser gibt den Mindestzeitraum an, in dem Sicherheitsupdates bereitgestellt werden. Das mögliche Ende des Supportzeitraums eines Produkts beeinträchtigt dessen Funktionsfähigkeit nicht: Das Produkt kann grundsätzlich weiterhin aktualisiert werden, allerdings können wir nicht garantieren, dass Updates für neu entdeckte Sicherheitslücken bereitgestellt werden.

Unter Sicherheitshinweise veröffentlichen wir Informationen zu Sicherheitslücken, die entweder im Rahmen der regulären Tests von SMEG oder durch Sicherheitsmeldungen über das dafür vorgesehene Online-Formular festgestellt und anschließend von den SMEG Laboren überprüft und behoben wurden. 

3. Klassifizierung von Sicherheitsereignissen

Im Rahmen dieser Richtlinie unterscheidet SMEG zwischen folgenden Kategorien:

• Sicherheitslücke (Vulnerability): Eine Sicherheitsschwachstelle, die die Vertraulichkeit, Integrität, Verfügbarkeit oder Authentizität eines Produkts, Services oder der damit verbundenen Daten beeinträchtigen könnte.
• Aktiv ausgenutzte Sicherheitslücke (Actively Exploited Vulnerability): Eine Sicherheitslücke, für die Hinweise auf eine böswillige Ausnutzung vorliegen, die ein Produkt mit digitalen Elementen betrifft.
• Sicherheitsvorfall (Security Incident): Ein Ereignis, das die Vertraulichkeit, Integrität, Verfügbarkeit oder Authentizität eines Produkts, damit verbundener Services oder Nutzerdaten beeinträchtigt oder potenziell beeinträchtigen könnte.
• Schwerwiegender Sicherheitsvorfall (Severe Security Incident): Ein Sicherheitsvorfall, der erhebliche Auswirkungen auf die Sicherheit eines Produkts, damit verbundener Services, Nutzerdaten oder betroffener Systeme hat oder haben könnte.

Gemeldete Sicherheitsprobleme können von SMEG entsprechend ihrer Art sowie gemäß den geltenden regulatorischen Anforderungen und internen Verfahren als Sicherheitslücke, aktiv ausgenutzte Sicherheitslücke, Sicherheitsvorfall oder schwerwiegender Sicherheitsvorfall bewertet und klassifiziert werden.

Meldungen zu allen oben genannten Kategorien können über die in dieser Richtlinie beschriebenen Kanäle eingereicht werden. 

4. So melden Sie eine Sicherheitslücke

Wenn Sie der Ansicht sind, ein potenzielles Sicherheitsproblem bei einem vernetzbaren SMEG Produkt oder einem damit verbundenen Service festgestellt zu haben, teilen Sie uns Ihre Erkenntnisse bitte über das dafür vorgesehene Webformular „Sicherheitsproblem melden“ mit.

Um die Bearbeitung Ihrer Meldung zu beschleunigen, sollte diese alle im Webformular abgefragten Informationen enthalten. Bitte geben Sie insbesondere folgende Angaben an:

• Titel: Kurze Zusammenfassung zur eindeutigen Einordnung des gemeldeten Sicherheitsproblems.
• Meldekategorie: Angabe zur Art des Problems, beispielsweise Sicherheitslücke oder Sicherheitsvorfall.
• Produktkategorie: Art des betroffenen Produkts oder Services, z. B. Backofen, Geschirrspüler oder mobile Anwendung.
• Produktcode: Produktcode des betroffenen Produkts.
• Seriennummer: Seriennummer des betroffenen Produkts.
• Beschreibung: Kurze Beschreibung des Sicherheitsproblems sowie möglicher Maßnahmen oder Empfehlungen.
• Schritte zur Reproduktion: Klare und nachvollziehbare Schritte zur Reproduktion des Problems sowie, falls verfügbar, entsprechender Testcode.
• Auswirkungen: Mögliche Folgen des gemeldeten Sicherheitsproblems.
• Schweregrad: Einschätzung der möglichen sicherheitsrelevanten Auswirkungen als niedrig, mittel, hoch oder kritisch. Falls zutreffend, kann die CVSS-Bewertung als Referenz verwendet werden.
• Hinweise auf aktive Ausnutzung: Angabe, ob das gemeldete Sicherheitsproblem bekanntermaßen oder vermutlich aktiv ausgenutzt wird, einschließlich unterstützender Informationen, sofern verfügbar.
• Schwachstellentyp: Optional kann auf das CWE-Portal (Common Weakness Enumeration) verwiesen werden.
• Unterstützende Dateien: z. B. Screenshots oder Videos.
• Vorname, Nachname und Kontakt-E-Mail-Adresse. 

Im Formular können Sie außerdem Ihren Vor- und Nachnamen sowie Ihre E-Mail-Adresse angeben. Diese Angaben sind für die Übermittlung einer Sicherheitsmeldung nicht verpflichtend. Sie werden jedoch benötigt, damit wir Ihnen die Bearbeitung Ihrer Meldung bestätigen, Sie über deren Status informieren und gegebenenfalls weitere Informationen zum gemeldeten Problem anfordern können. 

5. Was Sie nach Ihrer Meldung erwarten können

Nach erfolgreicher Übermittlung Ihrer Sicherheitsmeldung erhalten Sie innerhalb von zwei Werktagen eine Bestätigung mit einer Vorgangsnummer. Diese dient als eindeutige Kennung für alle weiteren Mitteilungen von SMEG zu Ihrer Sicherheitsmeldung.

Sobald der Sicherheitsmeldung eine Vorgangsnummer zugewiesen wurde, wird sie in unseren Systemen erfasst.

SMEG bewertet gemeldete Sicherheitsereignisse unter Berücksichtigung ihrer Art, ihres Schweregrads, ihrer möglichen Auswirkungen auf Nutzer und Services sowie möglicher Hinweise auf eine aktive Ausnutzung. Die Prüfung und Behebung eines gemeldeten Sicherheitsproblems kann je nach Komplexität, Schweregrad und möglichen Auswirkungen unterschiedlich viel Zeit in Anspruch nehmen.

Sofern Kontaktdaten angegeben wurden, bemüht sich SMEG, Sie in wichtigen Phasen des Prüfungs-, Behebungs- und Offenlegungsprozesses über den aktuellen Stand zu informieren. Die Häufigkeit dieser Aktualisierungen kann je nach Komplexität und Schweregrad des gemeldeten Sicherheitsproblems variieren.

Wenn Sie uns Ihre Kontaktdaten mitgeteilt haben, werden wir Sie so zeitnah wie möglich über den Fortschritt informieren. Andernfalls können Sie sich nach dem Status erkundigen; wir bitten jedoch darum, dies nicht häufiger als einmal innerhalb von 14 Tagen zu tun, damit sich unsere Teams auf die Behebung konzentrieren können.

Nach Behebung des gemeldeten Problems werden wir Sie – sofern Sie Kontaktdaten angegeben haben – entsprechend informieren. Gegebenenfalls werden Sie gebeten zu bestätigen, dass die Lösung das gemeldete Problem angemessen behebt. 

Das SMEG Product Security Team versendet sämtliche Mitteilungen über [email protected]. Diese Adresse dient sowohl für allgemeine Fragen zur Cybersicherheit unserer Produkte als auch für Rückfragen zum Status einer bereits eingereichten Meldung.

Um eine einheitliche Information und Kommunikation gegenüber betroffenen Nutzern sicherzustellen, bittet SMEG meldende Personen, eine mögliche öffentliche Offenlegung mit SMEG abzustimmen.

Soweit erforderlich, koordiniert SMEG die Bearbeitung, Behebung und Offenlegung von Sicherheitslücken mit meldenden Personen, Lieferanten, Dienstleistern und anderen relevanten Beteiligten, um potenzielle Risiken für Nutzer, vernetzte Produkte und damit verbundene Services zu reduzieren.

Die abschließende Klassifizierung gemeldeter Sicherheitslücken oder Sicherheitsvorfälle sowie die Veröffentlichung entsprechender Sicherheitshinweise oder Mitteilungen durch SMEG liegt in der Verantwortung von SMEG. 

6. Empfehlungen für die Meldung von Sicherheitsproblemen

Um die Bearbeitung von Sicherheitsmeldungen zu erleichtern, bitten wir Sie, die folgenden Empfehlungen zu beachten.

Bitte vermeiden Sie Folgendes:

• Verstöße gegen geltende Gesetze oder Vorschriften.
• Zugriff auf unnötige, übermäßige oder erhebliche Datenmengen.
• Veränderung von Daten in Systemen oder Services von SMEG.
• Einsatz besonders intensiver, invasiver oder destruktiver Scan-Tools zur Suche nach Sicherheitslücken.
• Durchführung oder Meldung jeglicher Form von Denial-of-Service-Angriffen, beispielsweise durch eine übermäßig hohe Anzahl von Anfragen an einen Service.
• Beeinträchtigung der Services oder Systeme von SMEG.
• Meldungen, die lediglich darauf hinweisen, dass Services nicht vollständig den allgemeinen „Best Practices“ entsprechen, beispielsweise aufgrund fehlender Security Header.
• Offenlegung von Sicherheitslücken oder zugehörigen Details über andere als die in dieser Richtlinie beschriebenen Kanäle.
• Social Engineering, Phishing oder physische Angriffe auf Mitarbeiter oder Infrastruktur von SMEG.
• Forderung einer finanziellen Vergütung für die Offenlegung von Sicherheitslücken. 

Bitte beachten Sie außerdem:

• Halten Sie stets die geltenden Datenschutzbestimmungen ein und verletzen Sie nicht die Privatsphäre von SMEG Nutzern, Mitarbeitern, Auftragnehmern sowie die Sicherheit von Services oder Systemen. Insbesondere dürfen aus Systemen oder Services abgerufene Daten nicht weitergegeben, verbreitet oder unzureichend geschützt werden.
• Löschen Sie sämtliche im Rahmen Ihrer Untersuchung abgerufenen Daten sicher, sobald diese nicht mehr benötigt werden, spätestens jedoch innerhalb eines Monats nach Behebung des Sicherheitsproblems – je nachdem, welcher Zeitpunkt früher eintritt – sofern die geltenden Datenschutzbestimmungen nichts anderes vorsehen. 

7. Rechtliche Hinweise

Diese Richtlinie wurde im Einklang mit gängigen Best Practices zur Offenlegung von Sicherheitslücken erstellt. Sie berechtigt nicht zu Handlungen, die gegen geltendes Recht verstoßen oder dazu führen könnten, dass SMEG oder Partnerorganisationen gegen rechtliche Verpflichtungen verstoßen. 

8. Regulatorische Meldungen

SMEG verpflichtet sich, Sicherheitslücken und Sicherheitsvorfälle gemäß den geltenden Cybersicherheitsvorschriften und anerkannten Branchenstandards zu behandeln.

Soweit gesetzlich oder regulatorisch vorgeschrieben, informiert SMEG die zuständigen Behörden, arbeitet mit relevanten Beteiligten zusammen und stellt betroffenen Nutzern angemessene Informationen, Maßnahmen zur Risikominderung oder Korrekturmaßnahmen in Bezug auf aktiv ausgenutzte Sicherheitslücken oder schwerwiegende Sicherheitsvorfälle zur Verfügung.

Diese regulatorischen und kommunikativen Maßnahmen werden über die internen Sicherheitsprozesse von SMEG abgewickelt und erfordern keine zusätzlichen Maßnahmen seitens der meldenden Person.

Version: Oktober 2026