Vorfall- und Offenlegungspolitik

Stand: 31.10.2026

Anbieterin ist die TACP Operations GmbH & Co. KG (nachfolgend „Explicio“; Explicio® ist die eingetragene Unionsmarke der Anbieterin, EUTM 019364127) — siehe Impressum. Diese Politik beschreibt, wie Sicherheitsforscher, Kunden und Partner uns Schwachstellen melden, was wir daraufhin zusagen und wen wir bei Sicherheitsvorfällen informieren. Sie ist zugleich die Schwachstellen-Offenlegungspolitik und die zentrale Kontaktstelle im Sinne der Verordnung (EU) 2024/2847 (Cyber Resilience Act) für die von Explicio hergestellte Software, insbesondere den Software-Stack der Explicio Box.

1. Umfang

Diese Politik gilt für alle von Explicio betriebenen oder hergestellten Systeme:

• die Plattform explicio.cloud (Arbeitsoberfläche, Schnittstellen, angebundene Kommunikationskanäle, System-E-Mails);
• das Betriebsportal vhn.explicio.cloud (Meldungen nehmen wir entgegen; aktives Testen ist dort nicht gestattet);
• die Explicio Box (Software-Stack, Geräte-Dienst, Aktualisierungskanal, Fernwartung, Datensicherung) und die zugehörigen Cloud-Dienste (Geräte-Ebene, Registry);
• Explicio Grid (Batch-Schnittstelle, Developer Console, Public Monitor).

Nicht in den Umfang fallen Systeme Dritter, auf die wir verlinken oder die wir als Dienstleister einsetzen (etwa Messenger-Plattformen, Zahlungsdienstleister, Hoster); Hinweise dazu leiten wir weiter, soweit sie uns betreffen.

2. Meldeweg

Bitte melden Sie Schwachstellen an: security@explicio.com. Alternativ steht angemeldeten Nutzern der Bereich „Mitwirken“ in der Anwendung offen. Eine verschlüsselte Meldung ist möglich, sobald der öffentliche Schlüssel in der Datei `security.txt` veröffentlicht ist.

Hilfreich sind: betroffenes System und Adresse, Beschreibung und Schritte zur Reproduktion, mögliche Auswirkung, Zeitpunkt der Entdeckung und — wenn gewünscht — ein Name für die Danksagung. Bitte übermitteln Sie keine Daten Dritter, die Sie bei der Entdeckung gesehen haben; eine Beschreibung genügt.

Die Adresse und die Datei `https://explicio.cloud/.well-known/security.txt` sind die zentrale Kontaktstelle nach Art. 13 Abs. 17 des Cyber Resilience Act.

3. Was wir zusagen

• Eingangsbestätigung zügig, in der Regel innerhalb von zwei Werktagen.
• Einordnung in der Regel innerhalb von fünf Werktagen nach Eingang (Einordnung, betroffene Systeme, voraussichtliches Vorgehen).
• Statusinformation bei jeder wesentlichen Änderung der Bewertung, bei der Bereitstellung einer Abhilfe und beim Abschluss.
• Koordinierte Offenlegung: Wir bitten um 90 Tage ab Erstbewertung, bevor Einzelheiten veröffentlicht werden. Ist die Abhilfe früher verfügbar, stimmen wir eine frühere Veröffentlichung ab; braucht sie länger (etwa wegen der gestaffelten Auslieferung an Boxen), bitten wir um Verlängerung und begründen sie.
• Danksagung auf Wunsch in der Datei `security.txt` (Feld „Acknowledgments“) bzw. auf dieser Seite.
• Keine Bug-Bounty. Explicio zahlt keine Prämien und sagt keine zu. Diese Politik begründet keinen Anspruch auf Vergütung.

4. Verantwortungsvolle Sicherheitsforschung und Schutz gutgläubiger Melder

Explicio begrüßt Sicherheitsforschung an den Systemen nach Ziffer 1 mit Ausnahme des Betriebsportals, die

• sich auf den Nachweis der Schwachstelle beschränkt und Daten Dritter weder liest, kopiert, verändert noch löscht, soweit das zum Nachweis nicht unvermeidbar ist;
• die Verfügbarkeit der Systeme und die Daten anderer Kunden nicht beeinträchtigt;
• ausschließlich eigene Konten und Testdaten verwendet;
• die Schwachstelle nicht über den Nachweis hinaus ausnutzt und nicht vor der abgestimmten Veröffentlichung an Dritte weitergibt;
• uns unverzüglich meldet.

Wer sich daran hält, handelt aus unserer Sicht gutgläubig: Explicio betrachtet die Untersuchung als autorisierte Sicherheitstestung und als berechtigt im Sinne der vertraglichen Nutzungsregeln (Nutzungsrichtlinie Ziffern 5 und 6). Explicio verzichtet in diesem Rahmen darauf, zivilrechtliche Ansprüche gegen diese Person geltend zu machen oder Strafantrag (insbesondere nach §§ 202a ff., 303a f. StGB) zu stellen. Diese Zusage gilt nicht für Handlungen, die über die genannten Grenzen hinausgehen, und sie bindet keine Dritten und keine Behörden.

5. Nicht in den Umfang fallen

• Denial-of-Service-Angriffe, Lasttests und automatisiertes Massen-Scannen, das den Betrieb beeinträchtigt;
• Social Engineering, Phishing gegen Beschäftigte oder Kunden von Explicio;
• physischer Zugriff auf Geräte, Räume oder Rechenzentren, einschließlich des Diebstahls oder Öffnens einer Explicio Box;
• Angriffe auf Konten oder Daten anderer Kunden;
• Befunde, die ausschließlich fehlende Best-Practice-Header, Versionsanzeigen oder theoretische Risiken ohne nachweisbare Auswirkung betreffen (wir nehmen sie entgegen, behandeln sie aber ohne die Fristen der Ziffer 3);
• Schwachstellen in Diensten Dritter.

6. Wie wir Vorfälle behandeln

Zuständig ist die Geschäftsführung. Sie führt die Fristen-Uhren und entscheidet über Meldungen; sie kann die Rolle „Informationssicherheit“ im Betriebsportal besetzen und Aufgaben daraus wahrnehmen lassen.

Vorfallklassen: Sicherheitsvorfall · Verletzung des Schutzes personenbezogener Daten · Schwachstelle oder Vorfall mit Wirkung auf ein Produkt mit digitalen Elementen (Explicio Box) · Fehlverhalten eines KI-Systems · erheblicher Vorfall im Sinne des BSI-Gesetzes.

Ablauf: Erkennen (Überwachung, Gesundheitszentrum der Flotte, Meldungen von Kunden und Forschern, Meldestelle) → Bewerten und Einordnen → Eindämmen und Beheben (bei der Explicio Box: signierte Sicherheitsaktualisierung über die gestaffelte Auslieferung mit automatischem Rückfall) → Melden und Informieren (Ziffer 7) → Nachbereitung mit Ursachenanalyse und Regressionsprüfung. Jeder Vorfall wird in einem nur erweiterbaren Vorfallsregister dokumentiert.

7. Wen wir wann informieren

Meldungen an Behörden nimmt Explicio für ihren eigenen Verantwortungsbereich vor; Kunden erhalten von uns die Angaben, die sie für ihre eigenen Meldepflichten brauchen.

8. Was wir veröffentlichen

Behobene Schwachstellen mit Wirkung auf Kunden veröffentlichen wir nach Abschluss der koordinierten Offenlegung in knapper Form (betroffene Komponente, Art, behobene Fassung, Dank). Wir veröffentlichen keine Einzelheiten, die eine noch nicht ausgelieferte Abhilfe gefährden — für die Explicio Box heißt das: erst, wenn die Sicherheitsaktualisierung die allgemeine Auslieferungsstufe erreicht hat.

9. Änderungen

Explicio kann diese Politik ändern; die jeweils gültige Fassung steht unter `/sicherheit`, ihr Datum in der Datei `security.txt`. Zusagen nach Ziffer 4 gelten für Meldungen nach der Fassung, die zum Zeitpunkt der Meldung veröffentlicht war.