Eine Sicherheitslücke melden

Gültig ab: 11. September 2026

Wenn Sie glauben, eine Sicherheitslücke in einem Alicat-Produkt entdeckt zu haben, möchten wir von Ihnen hören. Auf dieser Seite erfahren Sie, wie Sie uns dies mitteilen können, wie wir darauf reagieren und wie wir Sie über Korrekturmaßnahmen informieren.

Dies gilt unabhängig davon, ob Sie ein Alicat-Kunde sind, der etwas in Ihrem eigenen Netzwerk bemerkt hat, ein Sicherheitsforscher oder ein Partner bzw. Vertriebspartner. Die Meldung einer Sicherheitslücke an uns hat an sich keinen Einfluss auf Ihre Garantie- oder Supportansprüche.

Diese Seite befasst sich mit Sicherheitslücken. Für allgemeinen Produktsupport nutzen Sie bitte [email protected].

So melden Sie einen Vorfall

E-Mail [email protected]. Die Mailbox wird von Alicat-Mitarbeitern abgehört, nicht von einem automatisierten System.
Falls Sie lieber keine E-Mail nutzen möchten, können Sie uns unter der unten angegebenen Adresse schreiben oder unter der Nummer +1 520-290-6060 anrufen und nach dem Produktsicherheitsteam fragen.

Alicat Scientific, Inc.
7641 N. Business Park Drive
Tucson, Arizona 85743, Vereinigte Staaten

Bitte geben Sie, soweit Ihnen dies möglich ist, Folgendes an:

•  Das betroffene Produkt, Modell sowie die betroffene Software- oder Firmware-Version.
• Was Sie beobachtet haben und was ein Angreifer Ihrer Meinung nach damit anstellen könnte.
• Wie lässt sich das Problem reproduzieren, einschließlich aller Konfigurationen, Netzwerkeinstellungen oder Testcodes?.
• Glauben Sie, dass die Sicherheitslücke bereits ausgenutzt wird? Falls ja, geben Sie dies bitte gleich zu Beginn Ihres Berichts an. Wir unterliegen rechtlichen Verpflichtungen, die in dem Moment greifen, in dem wir davon erfahren – dies hat Auswirkungen darauf, wie schnell wir handeln können.
• Wie möchten Sie, falls überhaupt, im Abspann genannt werden?.

Berichte in englischer Sprache werden bevorzugt. Sie benötigen weder einen Fix noch einen funktionierenden Exploit oder eine CVE, um einen Bericht einzureichen; eine klare Beschreibung dessen, was Sie beobachtet haben, reicht aus.
Bitte fügen Sie keine Prozessdaten, Kundendaten oder personenbezogenen Daten bei, die über das zur Darstellung des Problems erforderliche Maß hinausgehen.

Was wir tun werden

• Bestätigen Sie den Eingang Ihrer Meldung innerhalb von 3 Werktagen. Sollten Sie innerhalb dieser Frist nichts von uns hören, senden Sie die Meldung bitte erneut. Gehen Sie nicht davon aus, dass die Meldung eingegangen ist und ignoriert wurde.
• Wir geben Ihnen innerhalb von 10 Werktagen eine erste Einschätzung: ob wir das Problem reproduzieren konnten und wie wir vorgehen werden. Falls zur Reproduktion Hardware erforderlich ist, die wir erst einrichten müssen, werden wir Sie darüber informieren und Ihnen einen Termin nennen.
• Wir werden Sie mindestens alle 30 Tage auf dem Laufenden halten, während wir an einer Lösung arbeiten.
• Ich teile Ihnen mit, wann ein Fix veröffentlicht wird und in welcher Version er enthalten ist.
• Mit Ihrer Zustimmung werden wir Sie in der Sicherheitsempfehlung unter dem von Ihnen gewählten Namen nennen. Ohne Ihre Zustimmung werden wir Ihren Namen nicht nennen.

Dies sind die Zeitrahmen, an die wir uns halten. Sie hängen vom Detaillierungsgrad Ihres Berichts und – bei Hardwareproblemen – von der Verfügbarkeit der Testgeräte ab. Es handelt sich dabei um Zielvorgaben, nicht um Garantien, und sie sind nicht Bestandteil eines Vertrags.
Wir zahlen keine Vergütung für Sicherheitslückenmeldungen.

Wie wir unsere Kunden benachrichtigen

Sobald ein Fix oder eine Abhilfemaßnahme verfügbar ist, veröffentlichen wir einen Sicherheitshinweis unter alicat.com/security-advisories. In jedem Hinweis werden die betroffenen Produkte und Versionen, die Art und der Schweregrad des Problems sowie die behobene Version oder die anzuwendende Abhilfemaßnahme genannt.

Sollten wir erfahren, dass eine Sicherheitslücke in einem Alicat-Produkt aktiv ausgenutzt wird oder dass ein Sicherheitsvorfall die Sicherheit eines Alicat-Produkts beeinträchtigt, werden wir die betroffenen Nutzer unter Verwendung der uns vorliegenden Kontaktdaten über das Problem sowie über verfügbare Abhilfemaßnahmen oder Korrekturmaßnahmen informieren und eine Sicherheitsmitteilung veröffentlichen. Außerdem benachrichtigen wir unsere Vertriebspartner, damit diese die Hinweise an ihre Kunden weiterleiten können.

Um die Hinweise direkt zu erhalten, melden Sie sich unter folgendem Link an: alicat.com/newsletter-sign-up. Ein Abonnement ist der zuverlässigste Weg, um Neuigkeiten von uns zu erhalten, insbesondere wenn Sie Ihre Geräte über einen Händler erworben haben.

Es kann vorkommen, dass wir eine Sicherheitswarnung vorübergehend zurückhalten, wenn deren Veröffentlichung – bevor die Kunden die Möglichkeit hatten, ein Update durchzuführen – für sie ein größeres Risiko darstellen würde als die Verzögerung selbst. Wir werden dies jedoch nicht dazu nutzen, um eine Offenlegung zu vermeiden.

Abgestimmte Offenlegung

Wir bitten jeden, der uns eine Sicherheitslücke meldet, uns 90 Tage ab dem Datum unserer Bestätigung Zeit zu geben, bevor er sie öffentlich bekannt gibt, damit unseren Kunden eine Lösung zur Verfügung steht, bevor die Details bekannt werden.

Sollte eine Fehlerbehebung länger als 90 Tage dauern, werden wir Ihnen die Gründe dafür erläutern und einen neuen Termin vorschlagen. Bei einigen unserer Produkte handelt es sich um Geräte, die bei unseren Kunden vor Ort installiert sind, und deren Aktualisierung erfordert unter Umständen ein festgelegtes Wartungsfenster anstelle eines automatischen Downloads. Wir möchten Ihnen lieber die Gründe für eine Verzögerung erläutern, als Sie ohne Angabe von Gründen auf unbestimmte Zeit warten zu lassen.

Wenn Sie der Meinung sind, dass die Sicherheitslücke aktiv ausgenutzt wird oder dass Nutzer unmittelbar gefährdet sind, teilen Sie uns dies bitte mit – wir sind dann bereit, den Zeitplan flexibel zu gestalten. Wir werden Sie nicht auffordern, die Offenlegung auf unbestimmte Zeit zu verschieben, und wir werden diese Bitte nicht dazu nutzen, die Behebung des Problems zu umgehen.

Komponenten von Drittanbietern

Alicat-Produkte enthalten Software von Drittanbietern sowie Open-Source-Software. Sollte eine Sicherheitslücke in einer dieser Komponenten auftreten, werden wir die Auswirkungen auf unsere Produkte bewerten, uns gegebenenfalls mit den Verantwortlichen für die jeweilige Komponente abstimmen und das Problem in unseren Produkten beheben. Wenn Sie ein Problem in einer Drittanbieter-Komponente entdeckt haben und sich nicht sicher sind, ob es Auswirkungen auf ein Alicat-Produkt hat, melden Sie es uns bitte, damit wir dies überprüfen können.

Testen von Alicat-Produkten

Geräte und Gasmischer von Alicat werden in Laboren und in industriellen Prozessen eingesetzt und sind mitunter an aktive Gasversorgungen angeschlossen. Testen Sie niemals ein Gerät, das sich im Betrieb befindet. Eingriffe in ein Gerät, das sich im Betrieb befindet, können nicht nur ein Sicherheitsrisiko, sondern auch ein Gefahrenrisiko darstellen.

Wenn Sie ein Alicat-Produkt auf Schwachstellen testen möchten:

• Testen Sie ausschließlich Geräte und Software, die Ihnen gehören oder für deren Test Sie die schriftliche Genehmigung des Eigentümers haben. Diese Seite erteilt Ihnen keine Erlaubnis, bei einem Kunden installierte Geräte zu testen.
• Greifen Sie nicht auf Daten zu, die Ihnen nicht gehören, und ändern oder entnehmen Sie diese nicht.
• Hören Sie auf, sobald Sie die Sicherheitslücke bestätigt haben. Nutzen Sie sie nicht weiter und stören oder beschädigen Sie keine in Betrieb befindlichen Systeme.

Wenn Sie eine Sicherheitslücke in gutem Glauben melden und sich an die Hinweise auf dieser Seite halten, wird Alicat Scientific, Inc. im Zusammenhang mit dieser Untersuchung keine rechtlichen Schritte gegen Sie einleiten.

Diese Zusicherung wird von Alicat Scientific, Inc. gegeben und bezieht sich ausschließlich auf die eigenen Rechte des Unternehmens. Sie schützt Sie nicht vor Maßnahmen Dritter, einschließlich unserer Kunden, Vertriebspartner oder der Eigentümer der von Ihnen getesteten Geräte. Sie gilt nicht, wenn wir zu der begründeten Schlussfolgerung gelangen, dass Sie nicht in gutem Glauben gehandelt oder die auf dieser Seite aufgeführten Hinweise nicht befolgt haben; in diesem Fall behält sich Alicat alle seine Rechte vor. Nichts in dieser Erklärung hindert Alicat daran, einer gesetzlichen Verpflichtung, einer gerichtlichen Anordnung oder einer rechtmäßigen Aufforderung einer Behörde nachzukommen. Alicat kann diese Erklärung ändern oder zurückziehen; es gilt die zum Zeitpunkt der Durchführung Ihrer Forschung gültige Fassung.

Wenn Sie sich nicht sicher sind, ob das, was Sie vorhaben, abgedeckt ist, fragen Sie uns bitte zuerst unter [email protected].

Geltungsbereich

Geltungsbereich: FlowVision 2, MXM-Software, Calibrate, Alicat Bootloader, Alicat Connect, der MXM-Gasmischer, die Alicat-Geräte-Firmware sowie die von Alicat angebotenen Software-Download- und Update-Dienste.

Wenn Sie in Ihrem eigenen Netzwerk einen Schwachstellenscanner ausführen und dieser ein Alicat-Produkt meldet, senden Sie uns bitte die Ausgabe zu. Viele Scanner-Befunde bei eingebetteten Geräten sind Fehlalarme, und wir überprüfen dies lieber, als dass Sie Vermutungen anstellen. Ein Scanner-Bericht allein ist noch kein bestätigter Sicherheitsfall, daher schließen wir den Fall möglicherweise, sobald wir ihn überprüft haben.

Nicht von diesem Verfahren erfasst:

• Die IT-Systeme, die Website und das E-Mail-System von Alicat. Meldungen zu diesen Themen können gerne an dieselbe Adresse gesendet werden, werden jedoch separat bearbeitet.
• Dienste von Drittanbietern, die Alicat nicht selbst betreibt.
• Denial-of-Service-Angriffe, Belastungs- oder Ressourcenerschöpfungs-Tests gegen ein beliebiges in Betrieb befindliches System sowie Social-Engineering- oder physische Angriffe auf Mitarbeiter oder Einrichtungen von Alicat. Diese werden nicht als Forschungsmethoden akzeptiert.
• Produkte, deren Sicherheitsunterstützungsfrist abgelaufen ist. Siehe „Sicherheitsunterstützungszeiträume“ weiter unten.

Wenn Sie sich nicht sicher sind, ob etwas in den Geltungsbereich fällt, melden Sie es und fragen Sie nach.

Laufzeiten der Sicherheitsunterstützung

Für jedes Alicat-Produkt gilt eine Support-Laufzeit: Der Zeitraum, in dem wir Sicherheitslücken beheben und Sicherheitsupdates dafür bereitstellen. Er wird ab dem Versanddatum Ihres Geräts berechnet, nicht ab dem Zeitpunkt der Markteinführung des Produkts. Daher haben zwei Geräte desselben Modells, die im Abstand von mehreren Jahren gekauft wurden, unterschiedliche Enddaten.

Jedes unter „Scope“ aufgeführte Alicat-Produkt wird mindestens 5 Jahre lang unterstützt. Für Geräte und den MXM-Gasmischer gilt die Garantie ab dem Versanddatum Ihres Geräts. Für unsere Softwareanwendungen gilt die Garantie ab dem Veröffentlichungsdatum der von Ihnen installierten Version.

Das Ablaufdatum Ihres Geräts, angegeben als Monat und Jahr, ist auf Ihrer Auftragsbestätigung und den Lieferunterlagen sowie in der mit dem Produkt gelieferten Dokumentation vermerkt. Diese Laufzeiten gelten für Geräte, die ab dem 11. Dezember 2026 ausgeliefert werden, sowie für Software, die ab diesem Datum veröffentlicht wird.

Fünf Jahre sind die Mindestlaufzeit, zu der wir uns verpflichten. Oftmals stellen wir auch darüber hinaus weiterhin Sicherheitsupdates bereit, und wir können einen veröffentlichten Supportzeitraum jederzeit verlängern. Einen bereits veröffentlichten Supportzeitraum werden wir jedoch nicht verkürzen.

Was umfasst der Sicherheits-Support?. Während des Supportzeitraums bearbeiten wir gemeldete Sicherheitslücken, stellen Sicherheitsupdates bereit und veröffentlichen Sicherheitshinweise. Sicherheitskorrekturen werden in der aktuellen Version der Software oder Firmware bereitgestellt, sodass für die Anwendung einer Korrektur möglicherweise ein Update auf die aktuelle Version erforderlich ist.

Was nicht abgedeckt ist. Der Sicherheits-Support ist unabhängig von Kalibrierung, Reparatur, Ersatzteilen und technischem Support, die weiterhin gemäß Ihren üblichen Service- und Garantiebedingungen erbracht werden und von dieser Seite nicht betroffen sind. Es handelt sich dabei nicht um neue Funktionen.

Verfügbarkeit von Updates. Sobald wir ein Sicherheitsupdate veröffentlichen, stellen wir es mindestens zehn Jahre nach der Markteinführung des Produkts oder für die restliche Dauer des Supportzeitraums zum Download bereit – je nachdem, welcher Zeitraum länger ist.

Wenn der Zeitraum endet. Wir werden weiterhin Meldungen zu dem Produkt entgegennehmen und prüfen und veröffentlichen möglicherweise einen Hinweis, in dem das Problem sowie etwaige Abhilfemaßnahmen beschrieben werden; es kann jedoch sein, dass wir keinen Fix bereitstellen. Sofern das Produkt dies zulässt, zeigen wir nach Ablauf des Supports einen Hinweis an.

Wenn Sie sich nicht sicher sind, wann der Support für Geräte, die Sie bereits besitzen, endet, wenden Sie sich bitte an [email protected] Geben Sie uns die Seriennummer an, dann teilen wir Ihnen die Antwort mit.

Rechtliche Hinweise

Status dieser Seite. Auf dieser Seite wird beschrieben, wie Alicat mit Meldungen über Sicherheitslücken umgeht. Es handelt sich hierbei um eine Erklärung unserer Vorgehensweise, nicht um ein Angebot, und sie begründet weder einen Vertrag noch Rechte für Dritte. Sie stellt keine Gewährleistung dar und ändert nichts an den Verkaufsbedingungen, Lizenzvereinbarungen oder Gewährleistungen, die für Alicat-Produkte gelten.

Ihr Bericht. Indem Sie uns einen Bericht übermitteln, bestätigen Sie, dass Sie berechtigt sind, die darin enthaltenen Informationen und Materialien weiterzugeben, und Sie gewähren Alicat eine nicht-exklusive, weltweite, gebührenfreie und unbefristete Lizenz zur Nutzung, Vervielfältigung und Anpassung des Berichts sowie aller damit übermittelten Inhalte, um das Problem zu untersuchen und zu beheben sowie Sicherheitshinweise zu erstellen und zu veröffentlichen.

Vertraulichkeit. Wir gehen sorgfältig mit Meldungen um und werden Ihre Identität nicht ohne Ihre Zustimmung veröffentlichen. Meldungen sind für Alicat nicht vertraulich, sofern wir nichts anderes schriftlich vereinbaren, und das Einreichen einer Meldung begründet kein Vertrauensverhältnis, kein Arbeitsverhältnis, kein Vertretungsverhältnis und keine Partnerschaft. Wir können einen Bericht, einschließlich seiner technischen Details, an die Verantwortlichen der betroffenen Komponenten von Drittanbietern sowie an Aufsichtsbehörden, nationale Cybersicherheitsbehörden und andere Stellen weitergeben, sofern dies gesetzlich vorgeschrieben oder zulässig ist.

Ganz unverbindlich. Wir sind nicht verpflichtet, auf eine bestimmte Meldung zu reagieren, ein Problem auf eine bestimmte Weise zu beheben oder es überhaupt zu beheben. Wir zahlen keine Vergütung für Meldungen und gehen durch deren Entgegennahme keinerlei Verpflichtung Ihnen gegenüber ein.

Ausfuhrkontrolle und Sanktionen. Produkte, Software, Sicherheitsupdates und technische Informationen von Alicat unterliegen den Exportkontroll- und Sanktionsgesetzen der Vereinigten Staaten. Wir behalten uns vor, den Schriftverkehr mit Personen oder an Bestimmungsorte, bei denen dies gegen diese Gesetze verstoßen würde, zu verweigern sowie keine Updates oder technischen Informationen an diese zu liefern.

EU-Gesetz zur Cyber-Resilienz. Alicat Scientific, Inc. ist ein Hersteller von Produkten mit digitalen Komponenten im Sinne der Verordnung (EU) 2024/2847 (Cyber Resilience Act) und meldet aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle an die einheitliche Meldeplattform der EU, sofern dies gemäß dieser Verordnung vorgeschrieben ist.

Personenbezogene Daten. Die personenbezogenen Daten, die Sie bei der Meldung angeben, werden verwendet, um mit Ihnen bezüglich der Meldung zu kommunizieren, Ihnen eine Anerkennung auszusprechen, sofern Sie dem zugestimmt haben, und um unseren gesetzlichen Verpflichtungen nachzukommen. Alicat hat seinen Sitz in den Vereinigten Staaten, daher werden Ihre Daten dort verarbeitet und können, wie oben beschrieben, an Behörden weitergegeben werden. Siehe Datenschutzbestimmungen.

Änderungen. Wir behalten uns vor, diese Seite zu aktualisieren. Für Ihre Meldung gilt die zum Zeitpunkt der Übermittlung gültige Fassung.

Version 1.6, veröffentlicht am 11. September 2026