Richtlinie zur koordinierten Offenlegung von Schwachstellen (CVD-Policy)                    

Herausgegeben von:

• Cofresco Frischhalteprodukte GmbH & Co. KG, Ringstr, 99, 32427 Minden, Germany
• fresh at work GmbH, Wullener Feld Witten, Germany
• Melitta Europa GmbH & Co. KG, Ringstr, 99, 32427 Minden, Germany
• Melitta Professional Coffee Solutions GmbH & Co. KG, Zechenstr. 60, 32429 Minden, Germany
• Melitta Single Portions GmbH & Co. KG, Ringstr, 99, 32427 Minden, Germany
• Roast Market GmbH, Stephanstr. 1, 60313 Frankfurt am Main, Germany

Zuletzt aktualisiert: 11. September 2026

Als Hinweisgeber von Sicherheitslücken leistest du einen entscheidenden Beitrag zur Verbesserung der Sicherheit digitaler Produkte und Infrastrukturen. Diese Richtlinie zur koordinierten Offenlegung von Sicherheitslücken (kurz: CVD-Policy) soll sicherstellen, dass deine Erkenntnisse sachgerecht behandelt und zügig bearbeitet werden. Sie beschreibt, wie Melitta auf deine Meldungen reagiert, welche Zusicherungen du erwarten kannst und welche Schritte zu einem erfolgreichen Offenlegungsprozess führen.

1           Geltungsbereich unserer CVD-Policy – Was verstehen wir unter einer gültigen Sicherheitslücke?

Eine „gültige Sicherheitslücke“ wird im Rahmen dieser Richtlinie als Schwachstelle, Fehler oder Sicherheitsproblem verstanden, das sich direkt auf die Hardware oder Software eines der Melitta-Produkte auswirkt und ausgenutzt werden kann.

Um als „gültige Sicherheitsmeldung“ zu gelten, dürfen die offengelegten Informationen nicht bereits öffentlich bekannt sein. Dadurch wird sichergestellt, dass die Meldung neue und verwertbare Erkenntnisse für den Sicherheitsprozess liefert. Darüber hinaus gelten Meldungen, die ausschließlich durch automatisierte Tools oder Scans ohne ausreichende Begleitdokumentation generiert werden, nicht als ausreichend, da ihnen die notwendigen Nachweise fehlen, um eine aussagekräftige Analyse und Behebung einer gültigen Sicherheitslücke zu ermöglichen. Jede Meldung sollte idealerweise unterstützende Details enthalten. Dies hilft uns, uns auf echte Probleme zu konzentrieren und schneller zu reagieren.

2           So meldest du eine Sicherheitslücke – Meldekanäle

Wenn du eine Sicherheitslücke entdeckst, dann reiche bitte über einen der folgenden Kanäle einen Bericht ein.

• E-Mail: Du kannst uns eine E-Mail an psirt@melitta-group.com senden, unverschlüsselt oder verschlüsselt und digital signiert.
  
  

• Webformular: Auf unserer Webseite zur Offenlegung von Sicherheitslücken stellen wir ein sicheres Webformular zur Verfügung: www.melitta-group.com/product-security. Dieses Formular unterstützt anonyme Meldungen. Du musst keine persönlichen Daten angeben, um eine Meldung einzureichen. Das Webformular ist auf Englisch verfügbar und führt dich durch die Eingabe der wichtigsten Details, die wir benötigen.
  
  

• Security.txt: Auf unserer Website führen wir eine Datei „www.melitta-group.com/.well-known/security.txt.“, in der unsere Ansprechpartner und Präferenzen für die Offenlegung von Sicherheitslücken aufgeführt sind. Hinweisgeber können diese Datei einsehen, um aktuelle Informationen darüber zu erhalten, wie sie uns erreichen können.

Bitte gib bei der Einreichung einer Meldung so viele technische Details wie möglich an. Dies hilft uns, das Problem schneller einzustufen und zu beheben. Wir empfehlen dir, Folgendes anzugeben:

• Eine Beschreibung der Sicherheitslücke und ihrer potenziellen Auswirkungen. Was könnte ein Angreifer erreichen? Welche Aspekte der Vertraulichkeit, Integrität und Verfügbarkeit sind gefährdet?
  
  

• Konkrete Namen, Versionen und Konfigurationen der betroffenen Produkte. (Bei Websites oder Diensten bitte URLs oder IP-Adressen angeben; bei Hardware oder Software bitte Modell- oder Versionsnummern angeben).
  
  

• Schritte zur Reproduktion des Problems – z. B. welche Befehle, Eingaben oder Aktionen die Sicherheitslücke auslösen. Screenshots oder Proof-of-Concept-Code (PoC) sind sehr hilfreich.
  
  

• Falls bekannt, Vorschläge zur Behebung oder Hinweise auf Korrekturen (optional, aber willkommen).
  
  

• Deine Kontaktdaten (Name oder Pseudonym), falls du eine Antwort wünschst. Alternativ kannst du eine Meldung auch anonym abgeben.

Wir werden uns möglicherweise mit Fragen an dich wenden, um die gemeldete Schwachstelle besser zu verstehen oder um reproduzierbare technische Artefakte und Anweisungen bitten, damit die Sicherheitslücke reproduziert und behoben werden kann.

Anonyme Meldung: Du kannst freiwillig Kontaktdaten zur weiteren Kommunikation angeben. Dies ist jedoch nicht verpflichtend. Du kannst unser webbasiertes Formular für anonyme Meldungen nutzen, da wir deinen Wunsch nach Anonymität respektieren. Bitte beachte, dass anonyme Meldungen nur in begrenztem Umfang oder möglicherweise gar nicht bearbeitet werden können, da die Möglichkeit fehlt, technische oder inhaltliche Rückfragen zu stellen, insbesondere bei komplexen Sicherheitslücken.

3           Was wir von dir erwarten – Verhaltenskodex

Wir erwarten von Hinweisgebern die Einhaltung angemessener Standards hinsichtlich Integrität und verantwortungsbewusstem Verhalten bei der Feststellung und Meldung von Schwachstellen. Daher tolerieren wir folgende Verhaltensweisen nicht:

• Kein böswilliges oder schadhaftes Testen: Hinweisgeber dürfen nur Tests durchführen, die den Betrieb nicht stören. Zur Bestätigung des Vorhandenseins einer Sicherheitslücke ist ein Proof-of-Concept erforderlich. Der Proof-of-Concept darf Benutzerdaten nicht absichtlich gefährden, Dienste nicht stören und Systeme nicht beschädigen.

• Keine Ausnutzung über das Testen hinaus: Die aktive Ausnutzung einer Sicherheitslücke über die anfänglichen Proof-of-Concept-Tests hinaus ist strengstens untersagt. Missbrauche die Sicherheitslücke insbesondere nicht, um Daten zu gefährden, Konfigurationen zu ändern, auf andere Systeme zu gelangen oder dauerhaft auf unsere Systeme zuzugreifen. Es reicht aus, das Problem auszulösen, um dessen Existenz nachzuweisen – lade beispielsweise nicht mehr Daten herunter, als zum Nachweis der Schwachstelle erforderlich ist. Solltest du auf vertrauliche Informationen stoßen (z. B. personenbezogene Daten von Nutzern, urheberrechtlich geschütztes Material, Geschäftsgeheimnisse), breche den Test ab, melde dies unverzüglich an uns, gib diese Informationen nicht weiter und bewahren sie auch nicht auf.

• Keine Social-Engineering- oder physischen Angriffe: Wende keine Social-Engineering-Techniken (Phishing-E-Mails, Telefon-Pretexting usw.) gegen unsere Mitarbeiter oder Systeme an und führen keine physischen Sicherheitstests durch (wie z. B. den Versuch, in unsere Büros oder Rechenzentren einzudringen). Diese Richtlinie beschränkt sich auf technische Schwachstellen in unseren Produkten und unserer Infrastruktur und schließt soziale und physische Angriffsvektoren aus.

• Keine Denial-of-Service- oder „Brute-Force“-Angriffe: Führe keine DoS-/DDoS-Angriffe oder Tests durch, die die Verfügbarkeit unserer Dienste für Nutzer beeinträchtigen könnten, ebenso wenig wie „Brute-Force“-Angriffe. Wir möchten jegliche Beeinträchtigungen für unsere Kunden vermeiden.

• Keine Angriffe auf Dritte oder öffentliche Systeme: Ziele nicht auf Schwachstellen in Diensten oder Produkten von Drittanbietern ab, die wir nutzen. Benachrichtige stattdessen direkt die jeweiligen Anbieter. Teste ebenfalls keine Systeme, die nicht in unserem Besitz sind oder von uns betrieben werden. Solltest du während deiner Recherche versehentlich auf Daten oder Systeme anderer Parteien zugreifen, benachrichtige uns und stelle weitere Maßnahmen ein. Kompromittiere oder manipuliere während deiner Recherche keine Daten von Dritten.

• Keine Verletzung der Vertraulichkeit oder Verwendung von Informationen: Hinweisgeber sind verpflichtet, Details zu Sicherheitslücken vertraulich zu behandeln und dürfen Exploit-Code oder technische Details, die eine Ausnutzung ermöglichen würden, nicht öffentlich bekanntgeben, verkaufen oder anderweitig verbreiten, bis Melitta eine öffentliche Sicherheitsmitteilung veröffentlicht oder die Offenlegung anderweitig genehmigt hat. Dies hindert den Hinweisgeber nicht daran, zuständige Behörden, das nationale CSIRT oder Strafverfolgungsbehörden zu benachrichtigen, wenn dies gesetzlich vorgeschrieben ist oder wenn eine sofortige Offenlegung erforderlich ist, um drohenden Schaden abzuwenden.
  
  

• Keine unangemessene Bearbeitungsfrist: Melitta ist eine angemessene, vom Schweregrad abhängige Frist zur Untersuchung, Behebung und Verteilung von Sicherheitsupdates einzuräumen. Sollte Melitta die Schwachstelle nicht innerhalb einer angemessenen 3-Monatsfrist beheben oder eine glaubwürdige Abhilfemaßnahme bereitstellen, kann der Hinweisgeber ein nationales CSIRT oder eine zuständige Behörde benachrichtigen.

4           Unsere Verpflichtung gegenüber Hinweisgebern bei der Meldung einer Sicherheitslücke

Alle eingehenden Meldungen werden nach bestem Wissen und Gewissen bearbeitet. Bei anonymen Meldungen können wir dem Hinweisgeber nicht antworten, werden die Untersuchung aber selbstverständlich dennoch durchführen. Falls du eine Kontaktmöglichkeit angeben hast, dann gilt Folgendes:

• Antwort: Nachdem du uns eine Sicherheitsmeldung übermittelt hast, werden wir dir den Eingang innerhalb von fünf Werktagen bestätigen. Innerhalb von 15 Werktagen nach Eingang geben wir dir eine Rückmeldung darüber, ob wir die gemeldete Sicherheitslücke bestätigen oder zurückweisen. Sollten wir Klarstellungen oder zusätzliche Informationen benötigen, werden wir nachfragen, um die gemeldete Sicherheitslücke besser zu verstehen oder erläutern dir in angemessenem Umfang, warum die Untersuchung der gemeldeten Sicherheitslücke andauert. Wir sind nicht verpflichtet, unsere eigenen Erkenntnisse gegenüber dem Hinweisgeber detailliert offenzulegen oder unsere Beweggründe zu erklären.
  
  
• Vertraulichkeit der Kommunikation: Wir stellen im gesetzlich zulässigen Rahmen sicher, dass jede eingehende Sicherheitsmeldung vertraulich behandelt wird und deine personenbezogenen Daten ohne deine ausdrückliche Zustimmung nicht an Dritte weitergegeben werden. Informationen, die für die öffentliche Bekanntgabe der validierten und verifizierten Sicherheitslücke erforderlich sind, werden in dem Umfang veröffentlicht, in dem wir gesetzlich dazu verpflichtet sind.
  
  
• Respektvolle und offene Kommunikation: Wir werden die Kommunikation professionell und respektvoll führen. Wir erwarten im Gegenzug die gleiche Höflichkeit. Wir zeigen keinerlei Toleranz gegenüber Respektlosigkeit, Diskriminierung, Belästigung oder Drohungen und werden die Kommunikation bei derartigen Tendenzen sofort beenden.

5           Koordination und Abschluss der Offenlegung

Validierte und verifizierte Sicherheitslücken werden von Melitta auf der European Vulnerability Database und unter www.melitta-group.com/de/product-security öffentlich bekannt gegeben. Die öffentliche Bekanntgabe umfasst:

• Eine Beschreibung der Sicherheitslücke.
  
  
• Informationen, anhand derer Nutzer betroffene Produkte/Versionen identifizieren können.
   
• Die Auswirkungen und den Schweregrad.
   
• Klare Anweisungen zur Anwendung von Abhilfemaßnahmen oder eines Patches.

Wir betrachten einen CVD-Prozess als abgeschlossen, wenn einer der folgenden Fälle eintritt:

• Eine Korrektur oder Abhilfemaßnahme wurde bereitgestellt und eine öffentliche Sicherheitsmitteilung veröffentlicht oder
  
  
• es wurde festgestellt, dass es sich bei dem gemeldeten Problem nicht um eine Sicherheitslücke handelt (Falschalarm oder außerhalb des Geltungsbereichs), und dies wurde dem Hinweisgeber mitgeteilt oder
  
  
• wir können das Problem nicht reproduzieren oder benötigen weitere Informationen und der Hinweisgeber hat über einen längeren Zeitraum (in der Regel 30 Tage) nicht reagiert; in diesem Fall schließen wir den Fall bis zum Vorliegen neuer Informationen.

Wir teilen dem Hinweisgeber das Ende des CVD-Prozesses mit, es sei denn, die Sicherheitslücke wurde anonym gemeldet.

6           Rechtlicher Haftungsausschluss

Durch die Einhaltung dieser CVD-Policy erkennt Melitta an, dass der Hinweisgeber in „gutem Glauben“ handelt, und wird keine strafrechtlichen Schritte gegen den Hinweisgeber im Zusammenhang mit seinen Aktivitäten zur Offenlegung von Sicherheitslücken einleiten.