1. Zweck
Die Sicherheit unserer Software und der Schutz unserer Kunden haben für uns einen hohen Stellenwert. Die K-iS Systemhaus GmbH nimmt Hinweise auf mögliche Sicherheitslücken in steadyPRINT ernst und stellt mit dieser Coordinated Vulnerability Disclosure Policy (CVD-Policy) einen zentralen Prozess zur Meldung und koordinierten Bearbeitung von Schwachstellen bereit. Diese Richtlinie beschreibt, wie Sicherheitslücken gemeldet werden können und wie wir mit eingehenden Meldungen umgehen.

2. Geltungsbereich
Diese Richtlinie gilt für Sicherheitslücken im Softwareprodukt steadyPRINT, das von der K-iS Systemhaus GmbH entwickelt und bereitgestellt wird. Nicht sicherheitsrelevante Fehler, allgemeine Produktfragen sowie Supportanfragen sind nicht Gegenstand dieser Richtlinie und sollten über die regulären Supportkanäle gemeldet werden.

3. Sicherheitslücke melden
Wenn Sie eine mögliche Sicherheitslücke in steadyPRINT entdeckt haben, bitten wir Sie, diese über einen der folgenden Wege an uns zu melden:

• E-Mail: security@steadyprint.com
• Security-Kontaktformular: https://www.steadyprint.com/kontakt/#security

Damit wir die Meldung möglichst schnell nachvollziehen und bewerten können, sollte sie – soweit verfügbar – folgende Informationen enthalten:

• betroffene steadyPRINT-Version und Komponente,
• Beschreibung der vermuteten Schwachstelle,
• Schritte zur Reproduktion,
• mögliche Auswirkungen der Schwachstelle,
• vorhandene technische Nachweise, Protokolle oder Screenshots,
• gegebenenfalls Hinweise auf bereits bekannte oder geplante Veröffentlichungen,
• Kontaktdaten für Rückfragen.

Bitte übermitteln Sie keine personenbezogenen Daten, Zugangsdaten oder sonstigen vertraulichen
Informationen, sofern diese für die Analyse der Schwachstelle nicht erforderlich sind.

4. Bearbeitung einer Meldung
Nach Eingang einer Schwachstellenmeldung wird diese durch die K-iS Systemhaus GmbH geprüft und hinsichtlich ihrer möglichen Auswirkungen auf die Sicherheit von steadyPRINT bewertet. Unabhängig von den in dieser Richtlinie beschriebenen Abläufen prüfen wir jede eingehende Meldung unverzüglich darauf, ob gesetzliche Meldepflichten gegenüber zuständigen Behörden ausgelöst werden – insbesondere bei Hinweisen auf eine aktive Ausnutzung der gemeldeten Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall. Diese gesetzlichen Meldepflichten werden von uns unabhängig von der Bearbeitung und Kommunikation mit der meldenden Person erfüllt. Wir bemühen uns, den Eingang einer Meldung zeitnah zu bestätigen und während der Untersuchung eine angemessene Kommunikation mit der meldenden Person aufrechtzuerhalten. Die Bearbeitungsdauer hängt insbesondere von der Komplexität, dem Schweregrad und den möglichen
Auswirkungen der gemeldeten Schwachstelle ab. Soweit eine Schwachstelle bestätigt wird, ergreifen wir angemessene Maßnahmen, um diese zu beheben oder ihre Auswirkungen zu reduzieren. Erforderliche Sicherheitsupdates und Informationen werden entsprechend unserer Prozesse bereitgestellt.

5. Koordinierte Offenlegung
Wir bitten meldende Personen, Informationen über eine mögliche Schwachstelle nicht öffentlich bekannt zu machen, bevor wir Gelegenheit hatten, die Meldung zu untersuchen und – soweit erforderlich – geeignete Maßnahmen zur Behebung oder Risikoreduzierung bereitzustellen.
Eine Veröffentlichung sollte nach Möglichkeit mit der K-iS Systemhaus GmbH abgestimmt werden. Ziel dieser koordinierten Vorgehensweise ist es, das Risiko einer Ausnutzung der Schwachstelle zu reduzieren und steadyPRINT-Anwendern ausreichend Gelegenheit zu geben, erforderliche Sicherheitsmaßnahmen oder Updates umzusetzen.

6. Sicherheitsupdates und Informationen
Sicherheitsrelevante Updates für unterstützte steadyPRINT-Versionen stellen wir unseren Kunden kostenlos zur Verfügung. Diese werden von entsprechenden Hinweismeldungen begleitet, die die notwendigen Informationen zur behobenen Schwachstelle enthalten, und über unsere bestehenden Produkt- und Supportkanäle bereitgestellt.

Der Support-Zeitraum für steadyPRINT beträgt mindestens fünf Jahre ab der erstmaligen Bereitstellung der jeweiligen Hauptversion auf dem Markt. Sicherheitsupdates und Nebenversionen innerhalb einer Hauptversion sind von deren Support-Zeitraum umfasst und begründen keinen eigenen, gesonderten Zeitraum.

7. Kontakt
Verantwortlicher Hersteller
K-iS Systemhaus GmbH
Sonnenstraße 33-35
57078 Siegen
Deutschland
Security-Kontakt: security@steadyprint.com
Security-Kontaktformular: https://www.steadyprint.com/kontakt/#security
Diese Kontaktmöglichkeiten dienen als zentrale Anlaufstelle für Hinweise auf Sicherheitslücken in steadyPRINT.

8. Aktualisierung dieser Richtlinie
Diese Coordinated Vulnerability Disclosure Policy kann angepasst werden, wenn sich technische, organisatorische oder rechtliche Anforderungen ändern. Es gilt die jeweils auf der steadyPRINT-Website veröffentlichte Fassung.
Stand: September 2026