Ein Sicherheitsproblem gefunden? So melden Sie es uns.
Sicherheit ist bei Industrie-PCs eine Grundvoraussetzung. ipc-core ist Ihr starker Partner für individuell konfigurierbare Industrie-PCs. Hinweise auf Schwachstellen nehmen wir ernst und stellen hierfür ein zentrales Meldeportal zur Verfügung.
Melden
Entweder per Formular oder verschlüsselter E-Mail. Bitte nennen Sie Produkt, Version, eine Beschreibung des Problems und Ihre E-Mail-Adresse für die Rückmeldung.
Bestätigung
Wir bestätigen den Eingang innerhalb von einem Werktag an die E-Mail-Adresse, die Sie angegeben haben.
Prüfung
Wir prüfen den Sachverhalt und halten Sie über den Stand auf dem Laufenden. Betrifft die Meldung eine Komponente eines Drittherstellers, informieren wir deren Hersteller.
Weg 1: Formular
Ihre Angaben werden in Ihrem Browser verschlüsselt, bevor sie uns erreichen.
Weg 2: E-Mail mit PGP
Für alle, die direkt verschlüsselt schreiben möchten.
Schreiben Sie an security@ipc-core.de.
Öffentlichen PGP-Schlüssel laden- Key-ID
- AB100E7B0B4390F1
- Fingerprint
14EE 8C98 5862 8712 A139 633C AB10 0E7B 0B43 90F1
Bitte vergleichen Sie den Fingerprint mit dem Eintrag in unserer security.txt.
Rechtlicher Rahmen
Grundlage ist die Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, kurz Cyberresilienz-Verordnung oder Cyber Resilience Act (CRA).
Die Verordnung ist in Kraft getreten.
Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten.
Die Verordnung gilt vollständig, einschließlich der Anforderungen an Produkte und ihre Konformitätsbewertung.
Unsere Rolle als Hersteller
ipc-core bietet konfigurierbare Industrie-PCs nach Kundenanfrage und fertigt diese. Damit gilt ipc-core als Hersteller im Sinne der Verordnung. Die Herstellerpflichten treffen uns daher unmittelbar.
Zugekaufte Komponenten
Für Komponenten von Drittherstellern, etwa Prozessor, Speicher oder Betriebssystem, verlangt die Verordnung besondere Sorgfalt: Sie dürfen die Cybersicherheit des Produkts nicht schwächen. Schwachstellen, die wir in einer solchen Komponente finden, melden wir deren Hersteller.
Pflichten bei Schwachstellen
Die Verordnung verlangt von Herstellern unter anderem, Schwachstellen und Komponenten zu erfassen, Schwachstellen unverzüglich zu beheben, die Sicherheit regelmäßig zu testen, eine Richtlinie zur koordinierten Offenlegung zu betreiben und eine Kontaktadresse für Meldungen anzubieten. Sicherheitsupdates sind grundsätzlich kostenlos bereitzustellen.
Meldepflichten
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind seit dem 11. September 2026 über die einheitliche Meldeplattform der ENISA zu melden. Die Meldung geht an das koordinierende CSIRT, in Deutschland das CERT-Bund im BSI, und zugleich an die ENISA. Vorgesehen sind eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht.
Unterstützungszeitraum
Hersteller müssen Schwachstellen während eines festgelegten Unterstützungszeitraums behandeln. Er beträgt mindestens fünf Jahre, sofern keine kürzere Nutzungsdauer zu erwarten ist. Bereitgestellte Sicherheitsupdates bleiben mindestens zehn Jahre oder bis zum Ende des Unterstützungszeitraums verfügbar, je nachdem, was länger ist.
Kundenspezifische Systeme
Bei maßgeschneiderten Produkten können Hersteller und gewerbliche Kunden für die Bereitstellung von Sicherheitsupdates abweichende Vereinbarungen treffen.
Konformität und CE-Kennzeichnung
Vor dem Inverkehrbringen verlangt die Verordnung eine technische Dokumentation, eine Konformitätsbewertung, die EU-Konformitätserklärung und die CE-Kennzeichnung. Diese Anforderungen gelten vollständig ab dem 11. Dezember 2027.
Herstellerangaben und Anlaufstelle
Hersteller: ipc-core GmbH & Co. KG, Margaretenweg 5, 91315 Höchstadt
Zentrale Anlaufstelle für Schwachstellenmeldungen: security@ipc-core.de
Sie erreichen uns auch ohne das Formular, per E-Mail und telefonisch: +49 9193 50798 30.
Diese Seite informiert allgemein über Herstellerpflichten und ersetzt weder den Verordnungstext noch eine Rechtsberatung. Den Verordnungstext finden Sie im Amtsblatt der EU auf EUR-Lex.
Spielregeln der Offenlegung
Koordinierte Offenlegung. Bitte geben Sie Einzelheiten zu einer Schwachstelle erst weiter oder veröffentlichen Sie sie erst, wenn wir gemeinsam geklärt haben, wann das sinnvoll ist. So haben wir Zeit, die Lücke zu beheben und unsere Kunden zu schützen.
Geltungsbereich. Diese Regeln gelten für Industrie-PCs, die ipc-core konfiguriert, fertigt und ausliefert, einschließlich der ausgelieferten Konfiguration. Betrifft die Schwachstelle eine zugekaufte Komponente eines Drittherstellers, etwa Firmware, Treiber oder Betriebssystem, leiten wir Ihre Meldung an den zuständigen Hersteller weiter und stimmen uns mit ihm ab.
Ablauf. Wir bestätigen den Eingang Ihrer Meldung innerhalb von einem Werktag und prüfen sie. Wir sagen Ihnen, ob wir die Schwachstelle bestätigen und wie wir sie einstufen, und halten Sie bis zur Behebung auf dem Laufenden. Wir streben an, bestätigte Schwachstellen innerhalb von 90 Tagen zu beheben. Wenn es länger dauert, teilen wir Ihnen die Gründe mit.
Veröffentlichung. Sobald ein Sicherheitsupdate zur Verfügung steht, informieren wir unsere Kunden und veröffentlichen die behobene Schwachstelle mit Beschreibung, betroffenen Produkten, Auswirkungen, Schweregrad und Hinweisen zur Abhilfe. Auf Wunsch nennen wir Sie als Entdecker, sonst bleiben Sie ungenannt.
Vertraulichkeit. Wir behandeln Ihre Meldung und Ihre Angaben vertraulich. Wir geben sie nur weiter, wenn das für die Bearbeitung nötig ist oder gesetzlich verlangt wird, zum Beispiel an den Hersteller einer betroffenen Komponente oder an Behörden, wenn eine Schwachstelle aktiv ausgenutzt wird. Weitere Angaben finden Sie in unserer Datenschutzerklärung.
Was wir von Ihnen erwarten. Bitte testen Sie nur an eigenen Geräten und Systemen. Greifen Sie nicht auf Daten Dritter zu, verändern oder löschen Sie keine Daten und vermeiden Sie Beeinträchtigungen des Betriebs. Dazu zählen Überlastungsangriffe, Social Engineering und Tests an Anlagen unserer Kunden.
Rechtliche Zusage. Wenn Sie sich an diese Regeln halten und in guter Absicht handeln, leiten wir wegen Ihrer Meldung keine rechtlichen Schritte gegen Sie ein. Diese Zusage bindet nur ipc-core, nicht Dritte oder Behörden.
Nicht für diesen Weg. Allgemeine Fragen zu Produkten, Support oder Angeboten richten Sie bitte nicht an dieses Postfach, sondern über unsere Kontaktseite.