Cybersicherheit bei ELHA

Moderne Werkzeugmaschinen sind vernetzt: Sie liefern Daten für Zustandsüberwachung und Produktionsplanung, empfangen Updates und lassen sich aus der Ferne warten. Das macht die Fertigung effizienter, stellt aber auch neue Anforderungen an die Sicherheit. Ein Angriff auf eine Maschinensteuerung kann nicht nur Daten betreffen, sondern die Produktion stoppen oder Menschen gefährden. Deshalb ist Cybersicherheit für uns fester Bestandteil der Produktentwicklung.

Unser Ansatz

Wir berücksichtigen Sicherheitsanforderungen von Beginn an bei der Entwicklung unserer Maschinen, Steuerungen und Software. Dazu gehören ein sicherer Entwicklungsprozess, der Schutz von Steuerungsprogrammen vor unbefugtem Zugriff und Veränderung sowie die regelmäßige Prüfung eingesetzter Softwarekomponenten auf bekannte Schwachstellen. Werden Sicherheitslücken bekannt, stellen wir für unterstützte Produkte Updates bereit und informieren betroffene Kunden über unsere Security Advisories.

Was Sie als Betreiber tun können

Sicherheit ist eine gemeinsame Aufgabe von Hersteller und Betreiber. Wir empfehlen, Maschinen in einem vom Büronetz getrennten Produktionsnetz zu betreiben, Fernzugriffe nur über abgesicherte und bei Bedarf freigeschaltete Verbindungen zuzulassen, Standardpasswörter zu ändern und bereitgestellte Updates zeitnah einzuspielen. Unser Service unterstützt Sie gern bei der sicheren Integration Ihrer Maschinen in Ihre IT-Umgebung.

Sicherheitslücke gefunden?

Wenn Sie eine mögliche Schwachstelle in einem unserer Produkte oder Dienste entdeckt haben, melden Sie sie bitte an cra@elha.de. Für vertrauliche Meldungen können Sie unseren PGP-Schlüssel verwenden:

Schlüssel: https://elha.de/.well-known/pgp-key.txt
Fingerprint: 55C84D85E8E2DBAE9ADCEFEC5853F383B89F50CE

Wie wir mit Meldungen umgehen und was wir von Meldenden erwarten, beschreibt unsere Richtlinie zur Meldung von Sicherheitslücken. Unsere Kontaktdaten stehen zusätzlich in maschinenlesbarer Form in unserer security.txt. Wir danken allen, die uns auf verantwortungsvolle Weise helfen, unsere Produkte sicherer zu machen.

Mit dem Cyber Resilience Act (CRA) hat die Europäische Union verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen eingeführt. Wir setzen diese Anforderungen für unsere Produkte um, unter anderem durch einen festen Prozess zur Behandlung von Schwachstellen, die Bereitstellung von Sicherheitsupdates über den Unterstützungszeitraum von 10 Jahren und die fristgerechte Meldung aktiv ausgenutzter Schwachstellen an die zuständigen Behörden.

An dieser Stelle werden Sie die öffentlichen ELHA Security Advisories finden.

Die Sicherheit unserer Maschinen, Software und Online-Dienste hat für ELHA-MASCHINENBAU hohe Priorität. Wir freuen uns über Hinweise von Sicherheitsforschenden, Kunden und Partnern, die uns helfen, Schwachstellen zu finden und zu beheben.

Geltungsbereich: Diese Richtlinie gilt für Software und Firmware in ELHA-Werkzeugmaschinen und deren Steuerungen, für unsere IIoT-Software sowie für Webdienste unter elha.de und deren Subdomains. Nicht erfasst sind Produkte von Drittherstellern (z. B. Steuerungskomponenten von Zulieferern); diese melden Sie bitte direkt beim jeweiligen Hersteller. Bei Unklarheit melden Sie gern trotzdem an uns, wir leiten weiter.

So melden Sie eine Schwachstelle: Senden Sie Ihre Meldung an cra@elha.de, möglichst verschlüsselt mit unserem PGP-Schlüssel (https://elha.de/.well-known/pgp-key.txt). Hilfreich sind die betroffene Maschine bzw. Software mit Version, eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen, Schritte zur Reproduktion sowie Ihre Kontaktdaten, falls Sie namentlich genannt werden möchten.

Was Sie von uns erwarten können: Wir bestätigen den Eingang innerhalb von 5 Werktagen, bewerten die Meldung und informieren Sie über das weitere Vorgehen. Wir halten Sie über den Fortschritt auf dem Laufenden und stimmen den Zeitpunkt einer Veröffentlichung mit Ihnen ab. In der Regel streben wir eine Veröffentlichung innerhalb von 90 Tagen nach Eingang an; bei Maschinen im Feld kann die Verteilung von Updates länger dauern, dann sprechen wir eine angemessene Frist mit Ihnen ab. Aktiv ausgenutzte Schwachstellen melden wir gemäß unseren gesetzlichen Pflichten an die zuständigen Stellen.

Bitte beachten Sie: Testen Sie nicht an Maschinen, die sich im Produktionsbetrieb befinden, insbesondere nicht bei unseren Kunden. Eingriffe in Maschinensteuerungen können Personen gefährden und Sachschäden verursachen. Verzichten Sie auf Denial-of-Service-Angriffe, Social Engineering, Phishing und physische Angriffe. Greifen Sie nur so weit auf Daten zu, wie es zum Nachweis der Schwachstelle nötig ist, und löschen Sie erlangte Daten nach Abschluss. Veröffentlichen Sie Details erst nach Absprache mit uns.

Rechtliche Zusicherung: Wenn Sie in gutem Glauben und im Einklang mit dieser Richtlinie handeln, werden wir keine rechtlichen Schritte gegen Sie einleiten.

Vergütung: Wir betreiben derzeit kein Bug-Bounty-Programm und zahlen keine Vergütung für Meldungen.