Security Center

Version: 1.0
Stand: 27.07.2026

1. Zweck

RA Consulting (nachfolgend „RA“, „wir“ oder „uns“) legt großen Wert auf die Sicherheit seiner Produkte, Aktualisierungsmechanismen und zugehörigen Dienste.

Trotz sorgfältiger Konzeption, Implementierung, Prüfung und Wartung können Schwachstellen nicht vollständig ausgeschlossen werden. Wir begrüßen daher Meldungen von IT-Sicherheitsexperten, Kunden, Nutzern, Partnern sowie anderen Personen, die in guter Absicht handeln und potenzielle Schwachstellen in RA-Produkten oder damit verbundenen, von RA kontrollierten Diensten feststellen.

Diese Richtlinie erläutert, wie Schwachstellen gemeldet werden können, welche Produkte und Dienste in ihren Anwendungsbereich fallen, wie RA entsprechende Meldungen bearbeitet und Informationen zu Schwachstellen veröffentlicht, wie Sicherheitsaktualisierungen kommuniziert werden und welche Tätigkeiten im Rahmen der IT-Sicherheit nicht zulässig sind. Sie dient der koordinierten Offenlegung und Behandlung von Schwachstellen sowie der Erfüllung der hierfür geltenden Pflichten von RA, insbesondere nach der Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), soweit diese anwendbar ist.

2. Geltungsbereich dieser Richtlinie

Diese Richtlinie gilt für Schwachstellen in unterstützten RA-Produkten sowie in produktbezogenen Diensten, die von RA kontrolliert und auf dem EU-Markt bereitgestellt oder anderweitig von RA angeboten werden.
Informationen zur Produktsicherheit, Sicherheitshinweise, Anweisungen zur Meldung von Schwachstellen sowie Angaben zu Supportzeiträumen und Aktualisierungen werden zentral auf https://rac.de oder über einen anderen von RA kontrollierten Kanal bereitgestellt, auf den von dieser Website aus verwiesen wird.

Vom Geltungsbereich erfasste Produkte und Komponenten

Der Geltungsbereich umfasst:

1. Eigenständige Softwareprodukte und mobile Anwendungen von RA, einschließlich RA-Software zum Auslesen von OBD-Daten, zur Fahrzeugdiagnose, zur Verarbeitung von Diagnosedaten oder für vergleichbare Anwendungsfälle;
2. Zugehörige Software, darunter von RA entwickelte Installationsprogramme, Softwarepakete, Bibliotheken, Treiber, Plug-ins und Erweiterungen;
3. Mechanismen zur Lizenzierung, Aktivierung, Registrierung und Berechtigungsverwaltung, sofern diese sicherheitsrelevant sind;
4. Von RA verwaltete Datenfernverarbeitung, Cloud-Dienste, Webdienste und APIs, soweit diese für den Betrieb eines RA-Produkts erforderlich sind oder in unmittelbarem Zusammenhang damit stehen;
5. Komponenten von Drittanbietern sowie freie und quelloffene Softwarekomponenten, die in einem RA-Produkt enthalten sind, zusammen mit diesem vertrieben werden oder für dessen Betrieb erforderlich sind, sofern sich die Schwachstelle auf das Produkt oder dessen Sicherheit auswirkt.

Nicht vom Geltungsbereich erfasste Systeme und Tätigkeiten

Die nachfolgend aufgeführten Systeme und Tätigkeiten fallen grundsätzlich nicht in den Geltungsbereich dieser Richtlinie und werden nicht als direkte Testziele akzeptiert. Eine entsprechende Meldung kann dennoch zur Erstprüfung angenommen werden, wenn die meldende Person konkrete und reproduzierbare Auswirkungen auf die Sicherheit eines unterstützten RA-Produkts, eines von RA kontrollierten Dienstes, der Daten von RA-Kunden oder der Lieferkette eines RA-Produkts nachweist.

Nicht vom Geltungsbereich erfasst sind:

• nicht unterstützte RA-Produktversionen sowie Versionen, deren Lebenszyklus beendet ist;
• Websites, Dienste, Repositories, Stores, Portale oder Infrastruktur von Drittanbietern, die nicht von RA kontrolliert werden;
• Kundensysteme, Kundennetzwerke, Kundendatenbanken, Kundenfahrzeuge, Fahrzeugsteuergeräte (ECUs), Werkstätten, Flotten oder Testumgebungen, die der meldenden Person weder gehören noch von ihr mit ausdrücklicher Genehmigung getestet werden dürfen;
• OBD-Adapter, Kabel, Diagnosehardware, Betriebssysteme, Fahrzeugsysteme oder Treiber von Drittanbietern.

3. Definition einer Schwachstelle

Im Sinne dieser Richtlinie bezeichnet der Begriff „Schwachstelle“ eine Schwäche, Anfälligkeit oder Fehlfunktion in einem RA-Produkt oder einem damit verbundenen, von RA kontrollierten Dienst, die ausgenutzt werden kann und dadurch dessen Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, funktionale Sicherheit oder Cybersicherheit beeinträchtigen könnte.

Beispiele hierfür sind unter anderem:

• Ausführung beliebigen Codes aus der Ferne (Remote Code Execution);
• durch RA-Software ermöglichte lokale Rechteausweitung;
• Umgehung von Authentifizierungs- oder Autorisierungsmechanismen;
• beliebiges Lesen, Schreiben, Überschreiben oder Löschen von Dateien;
• unsicherer Umgang mit Daten;
• unbefugter Zugriff auf Kunden-, Lizenz-, Diagnose-, Konto- oder Produktdaten;
• kryptografische Schwachstellen mit praktischen Auswirkungen;
• unsichere Speicherung von Secrets, Zugangsdaten, Token, privaten Schlüsseln oder sensiblen Diagnosedaten;
• Command Injection, SQL-Injection, XML External Entity Injection (XXE), Server-Side Request Forgery (SSRF), Deserialisierungsfehler oder Speicherbeschädigungen;
• ausnutzbare Schwachstellen in Komponenten von Drittanbietern oder in freien und quelloffenen Softwarekomponenten, die Bestandteil eines RA-Produkts sind;
• Schwachstellen in Mechanismen für den Download und die Aktualisierung von RA-Produkten sowie für Lizenzierung, Aktivierung oder Veröffentlichung von Sicherheitshinweisen;
• aktiv ausnutzbare Hintertüren (Backdoors) oder schädliche Funktionen.

Feststellungen mit geringen Auswirkungen, die in der Regel nicht in den Geltungsbereich fallen

Feststellungen fallen in der Regel nicht in den Geltungsbereich dieser Richtlinie, wenn keine praktisch relevanten Auswirkungen auf die Sicherheit nachgewiesen werden. Dazu zählen unter anderem fehlende, nach gängigen Best Practices empfohlene Sicherheitsheader oder Cookie-Flags, die Offenlegung von Versionsinformationen, zu detaillierte Fehlermeldungen, Clickjacking, CSRF mit geringen Auswirkungen, Content Spoofing, schwache CAPTCHA-Verfahren, die Ermittlung gültiger Benutzernamen (Username Enumeration), unzureichendes Rate Limiting, Self-XSS, ausschließlich auf automatisierten Scannern basierende Meldungen, Probleme mit nicht unterstützten Produkten oder Plattformen, die Offenlegung nicht sensibler Informationen, Meldungen zu veralteten Komponenten ohne Nachweis konkreter Auswirkungen auf ein RA-Produkt sowie UI-, UX-, Übersetzungs-, Rechtschreib- oder CSV-Injection-Probleme ohne nachgewiesene Sicherheitsauswirkungen.

Die unbeabsichtigte Offenlegung von Quellcode fällt weiterhin in den Geltungsbereich, wenn dabei Secrets, Schlüssel oder Zugangsdaten offengelegt werden, noch nicht veröffentlichter Code betroffen ist, unbefugter Zugriff auf Build-Systeme ermöglicht wird oder die Offenlegung des Quellcodes praktisch ausnutzbar ist.
Feststellungen zu TLS, DNS, E-Mail-Sicherheit oder zur Konfiguration der Unternehmenswebsites fallen grundsätzlich nicht in den Geltungsbereich. Dies gilt jedoch nicht, wenn sie die Produktsicherheit, Produktdownloads, Aktualisierungen, Melde- oder Authentifizierungsverfahren, Kundendaten, die Vertrauenswürdigkeit sicherheitsbezogener Mitteilungen von RA oder die Lieferkette eines RA-Produkts beeinträchtigen.

4. Verhaltensregeln für IT-Sicherheit

IT-Sicherheit muss auf sichere, rechtmäßige und nicht destruktive Weise sowie unter Wahrung des Datenschutzes durchgeführt werden.

Sie dürfen:

• eigenständige RA-Software und zugehörige Dienste in einer Umgebung testen, die Ihnen gehört oder für deren Prüfung Sie ausdrücklich autorisiert sind;
• nicht destruktive Machbarkeitsnachweise (Proofs of Concept) einreichen;
• Schwachstellen melden, die RA-Produkte, Aktualisierungsmechanismen, Produktkomponenten oder von RA kontrollierte produktbezogene Dienste betreffen;
• Meldungen anonym einreichen, sofern diese ausreichend detailliert sind, damit RA den Sachverhalt bewerten kann.

Sie dürfen nicht:

• gegen geltende Gesetze oder Vorschriften verstoßen;
• ohne entsprechende Berechtigung auf Daten, Konten, Lizenzen, Token, Systeme, Fahrzeuge, Kundenumgebungen oder sonstige Informationen zugreifen oder diese kopieren, verändern, löschen, verschlüsseln, exfiltrieren oder offenlegen;
• Denial-of-Service-, Ressourcenerschöpfungs-, Stress-, Last- oder destruktive Tests gegen Systeme oder Dienste von RA durchführen;
• Produktdownloads, Aktualisierungs-, Lizenz- oder Supportdienste, Meldekanäle für Schwachstellen oder Betriebsabläufe von Kunden stören;
• Schadsoftware, Ransomware, Backdoors, Persistenzmechanismen oder destruktive Payloads einschleusen;
• Phishing, Spam, Social Engineering, Credential Stuffing, Password Spraying, Brute-Force- oder MFA-Fatigue-Techniken einsetzen;
• physische Angriffe oder Angriffe auf Standorte, Beschäftigte, Kunden oder Lieferanten von RA durchführen;
• RA-Produkte verwenden, um Befehle, Diagnoseanfragen oder Payloads an Fahrzeuge oder Fahrzeugsteuergeräte (ECUs) zu senden, wenn dadurch die Fahrzeugsicherheit, die Verkehrssicherheit, die Einhaltung von Emissionsvorschriften, Garantieansprüche oder die Verfügbarkeit des Fahrzeugs oder Systems beeinträchtigt werden könnten;
• Einzelheiten zu einer Schwachstelle öffentlich bekannt geben, bevor RA angemessene Gelegenheit hatte, die Schwachstelle zu prüfen, zu beheben oder ihre Auswirkungen zu mindern und die Offenlegung zu koordinieren.

Wenn Sie versehentlich auf personenbezogene Daten, Kundendaten, vertrauliche Informationen, Secrets, Zugangsdaten, private Schlüssel oder sonstige sensible Daten zugreifen, brechen Sie die Prüfung sofort ab. Greifen Sie nicht weiter auf diese Daten zu und geben Sie sie nicht weiter. Informieren Sie RA unverzüglich und löschen Sie die Daten auf sichere Weise, sobald sie für die Meldung nicht mehr benötigt werden.

5. Meldung einer Schwachstelle

Bitte reichen Sie Meldungen auf Deutsch oder Englisch ein.

Primäre Kontaktadresse: psirt@rac.de
Alternative Kontaktadresse: csirt@rac.de
Meldeformular: https://www.rac.de/unternehmen/rechtliches/schwachstelle-melden/

Bitte verwenden Sie nach Möglichkeit die primäre Kontaktadresse. Nutzen Sie die alternative Kontaktadresse, wenn die primäre Kontaktadresse nicht erreichbar ist oder Sie innerhalb der unten genannten Frist keine Eingangsbestätigung erhalten haben.

Übermitteln Sie keine aktive Schadsoftware, destruktive Payloads, gestohlene oder personenbezogene Daten sowie vertrauliche Daten Dritter, sofern dies nicht zwingend erforderlich ist. Sollte eine solche Übermittlung ausnahmsweise erforderlich sein, kontaktieren Sie zunächst RA, um ein sicheres Übertragungsverfahren abzustimmen.

6. Angaben für eine Schwachstellenmeldung

Eine aussagekräftige Schwachstellenmeldung sollte möglichst viele der folgenden Angaben enthalten:

• eine kurze Zusammenfassung der Schwachstelle;
• Name und betroffene Version des RA-Produkts;
• Betriebssystem, Systemarchitektur und relevante Details zur Systemumgebung;
• Angaben dazu, ob die Schwachstelle die eigenständige Nutzung, Aktualisierung, Aktivierung, Lizenzierung, Verarbeitung von Logdaten, Diagnosekommunikation oder eine andere Produktfunktion betrifft;
• Angaben dazu, ob eine Komponente eines Drittanbieters oder eine freie und quelloffene Softwarekomponente betroffen ist, einschließlich Komponentenname, Version, CVE-Kennung, Link zum zugehörigen Sicherheitshinweis sowie eines Nachweises, dass die Komponente in einem RA-Produkt enthalten oder über dieses erreichbar ist;
• eine Schritt-für-Schritt-Anleitung zur Reproduktion;
• einen Machbarkeitsnachweis (Proof of Concept), Screenshots, Protokolldateien, Absturzabbilder (Crash Dumps) oder Bildschirmaufzeichnungen, sofern deren Erstellung und Übermittlung sicher und angemessen sind;
• eine Beschreibung des erwarteten und des tatsächlichen Verhaltens;
• eine Beschreibung der möglichen Auswirkungen und Angaben dazu, welche Daten, Systemzugriffe, Produktfunktionen, Nutzer, Kunden oder Aktualisierungsmechanismen betroffen sein könnten;
• Angaben dazu, ob die Schwachstelle nach aktuellem Kenntnisstand aktiv ausgenutzt wird;
• mögliche Maßnahmen zur Risikominderung, Workarounds oder Fehlerbehebungen, sofern diese bekannt sind;
• Ihre bevorzugten Kontaktdaten, sofern Sie die Meldung nicht anonym einreichen.

Bitte entfernen, schwärzen oder anonymisieren Sie Secrets, personenbezogene Daten und sonstige sensible Informationen, sofern diese für das Verständnis der Schwachstelle nicht zwingend erforderlich sind.

7. Verfahren von RA zur Behandlung von Schwachstellen

RA bearbeitet Schwachstellenmeldungen im Rahmen eines koordinierten Verfahrens zur Behandlung von Schwachstellen.

Eingang und Eingangsbestätigung

RA ist bestrebt, den Eingang einer Meldung innerhalb von fünf Arbeitstagen zu bestätigen. Sollten Sie innerhalb von zehn Arbeitstagen keine Eingangsbestätigung erhalten haben, können Sie die alternative Kontaktadresse verwenden. Die Eingangsbestätigung bestätigt ausschließlich den Eingang der Meldung und bedeutet nicht, dass das Vorliegen einer Schwachstelle bereits bestätigt wurde.

Erfassung und Erstbewertung

Nach Eingang prüft RA die Meldung und kann ihr eine interne Vorgangsnummer zuweisen. Dabei bewertet RA den Umfang und die Reproduzierbarkeit der gemeldeten Schwachstelle, ihre Auswirkungen auf die Sicherheit, die betroffenen Versionen, Hinweise auf eine aktive Ausnutzung, betroffene Nutzer oder Daten sowie mögliche Auswirkungen auf die Lieferkette. Soweit erforderlich, stimmt sich RA mit relevanten Dritten ab. Dazu können Lieferanten, Open-Source-Projekte, Kunden, Partner, CSIRTs, ENISA oder andere zuständige Behörden gehören. Bei Bedarf kann RA zusätzliche Informationen anfordern.

Schweregrad und Priorisierung

RA priorisiert bestätigte Schwachstellen anhand ihres Schweregrads, ihrer Ausnutzbarkeit und des jeweiligen Supportstatus. Berücksichtigt werden außerdem die Voraussetzungen für einen lokalen oder entfernten Zugriff, erforderliche Authentifizierung oder Nutzerinteraktion, betroffene Nutzer, Systeme und Daten, verfügbare Maßnahmen zur Risikominderung, mögliche Auswirkungen auf die funktionale Sicherheit oder auf Kunden sowie Hinweise auf eine aktive Ausnutzung.
RA kann gegebenenfalls das CVSS verwenden und den ermittelten Schweregrad unter Berücksichtigung des jeweiligen Produktkontexts anpassen.

Behebung und Risikominderung

RA behebt bestätigte Schwachstellen oder mindert deren Auswirkungen unverzüglich. Dabei werden der Schweregrad, das mit dem Produkt verbundene Risiko, weitere relevante Kriterien und die verfügbaren technischen Möglichkeiten berücksichtigt.
Mögliche Maßnahmen umfassen Sicherheitsaktualisierungen, Konfigurationsänderungen, Workarounds oder eine Abstimmung mit Drittanbietern beziehungsweise Open-Source-Projekten. Eine Fehlerbehebung erfolgt möglicherweise nicht, wenn der gemeldete Sachverhalt keine Schwachstelle darstellt, nicht in den Geltungsbereich dieser Richtlinie fällt, ausschließlich nicht unterstützte Versionen betrifft oder keine praktisch relevanten Auswirkungen auf die Sicherheit hat.
RA kann die meldende Person bitten, die Wirksamkeit einer vorgesehenen Fehlerbehebung zu überprüfen.

Kommunikation mit der meldenden Person

RA ist bestrebt, die meldende Person über wesentliche Bearbeitungsschritte zu informieren. Zeitpunkt und Umfang dieser Informationen können vom Schweregrad und der Komplexität der Schwachstelle sowie von weiteren relevanten Umständen abhängen.

Wenn Sie diese Richtlinie einhalten und rechtmäßig, verantwortungsvoll und ohne Schaden zu verursachen handeln, beabsichtigt RA nicht, wegen einer in gutem Glauben durchgeführten IT-Sicherheitsanalyse im Zusammenhang mit der gemeldeten Schwachstelle rechtliche Schritte einzuleiten. Dies gilt nicht für rechtswidrige, schädliche, erpresserische, nötigende, destruktive, betrügerische, die Privatsphäre verletzende, kriminelle, nachrichtendienstliche oder mit dieser Richtlinie unvereinbare Tätigkeiten.

Sicherheitsaktualisierungen und Maßnahmen zur Risikominderung

Während des festgelegten Unterstützungszeitraums eines RA-Produkts behandelt RA Schwachstellen des Produkts und stellt, soweit angemessen, Sicherheitsaktualisierungen, Maßnahmen zur Risikominderung oder andere Korrekturmaßnahmen bereit.

Aktualisierungen können über die offizielle Website von RA, die Aktualisierungsmechanismen des Produkts oder andere von RA kontrollierte Kanäle bereitgestellt werden. Die Nutzer sind dafür verantwortlich, verfügbare Aktualisierungen innerhalb eines angemessenen Zeitraums zu installieren, Maßnahmen zur Risikominderung umzusetzen und dabei die Anweisungen von RA zu beachten.

8. Unterstützungszeiträume

RA behandelt Schwachstellen eines Produkts während des dafür festgelegten Unterstützungszeitraums. Der jeweils geltende Unterstützungszeitraum einschließlich seines Enddatums, soweit dessen Angabe erforderlich ist, wird über von RA kontrollierte Kanäle bekannt gegeben, beispielsweise in Nutzerinformationen und -anweisungen, Kundenverträgen oder offiziellen Mitteilungen.

RA kann Meldungen zu nicht unterstützten Produkten oder Produkten am Ende ihres Lebenszyklus (End of Life) dennoch prüfen, wenn Hinweise auf eine aktive Ausnutzung, ein erhebliches Risiko für Nutzer oder Auswirkungen auf unterstützte Produkte vorliegen. Für solche Produkte sagt RA jedoch keine Sicherheitsaktualisierungen zu, es sei denn, RA ist hierzu gesetzlich oder vertraglich verpflichtet. RA kann ein Upgrade auf eine unterstützte Produktversion empfehlen.

9. Gesetzliche Meldepflichten und öffentliche Offenlegung von Schwachstellen

RA unterstützt die koordinierte Offenlegung von Schwachstellen. Wir prüfen jede Meldung, um festzustellen, welche Maßnahmen zur Behebung, Information der Nutzer und öffentlichen Offenlegung erforderlich sind und welche gesetzlichen oder regulatorischen Meldepflichten bestehen. Dazu gehören, soweit anwendbar, auch die Meldepflichten nach der Cyberresilienz-Verordnung.

RA kann erforderliche Informationen weitergeben, soweit dies notwendig ist, um den gemeldeten Sachverhalt zu prüfen, eine Fehlerbehebung zu koordinieren, Nutzer zu schützen, betroffene Dritte einzubeziehen oder gesetzliche beziehungsweise behördliche Meldepflichten zu erfüllen. Wir schützen die Identität und die personenbezogenen Daten der meldenden Person, soweit dies möglich ist. Diese Informationen können jedoch mit Einwilligung der meldenden Person, soweit dies für die koordinierte Bearbeitung erforderlich ist oder aufgrund gesetzlicher Vorgaben beziehungsweise einer Anordnung zuständiger Behörden offengelegt werden.

Meldende Personen sollten Einzelheiten zu einer Schwachstelle erst dann öffentlich bekannt geben, nachdem RA angemessene Gelegenheit hatte, den Sachverhalt zu prüfen, gegebenenfalls eine Fehlerbehebung oder Maßnahme zur Risikominderung bereitzustellen und den Nutzern ausreichend Zeit für deren Umsetzung einzuräumen.
Zu behobenen oder in ihren Auswirkungen geminderten Schwachstellen in unterstützten Produkten veröffentlicht RA angemessene Sicherheitshinweise, es sei denn, die Veröffentlichung würde ein Sicherheitsrisiko verursachen oder ist gesetzlich eingeschränkt. RA kann die Veröffentlichung verzögern, den Umfang der veröffentlichten Informationen begrenzen oder die Veröffentlichung mit betroffenen Dritten abstimmen, wenn dies erforderlich ist, um Nutzer zu schützen, noch nicht behobene Schwachstellen nicht offenzulegen, gesetzliche Vorgaben einzuhalten oder die weitere Vorgehensweise mit betroffenen Dritten zu koordinieren.

10. Datenschutz und Vertraulichkeit

RA behandelt Schwachstellenmeldungen vertraulich und verarbeitet personenbezogene Daten ausschließlich zur Behandlung und Untersuchung von Schwachstellen, zu deren Behebung, zur Koordinierung der Offenlegung, zur Erfüllung rechtlicher Verpflichtungen sowie zur Kommunikation mit der meldenden Person.

Meldende Personen sollten die Übermittlung personenbezogener und vertraulicher Daten auf das notwendige Minimum beschränken. RA gibt Informationen aus einer Meldung nur weiter, soweit dies für die Prüfung, Behebung, Koordinierung, Offenlegung oder Erfüllung gesetzlicher Pflichten erforderlich ist.

RA nennt die Identität der meldenden Person in einem Sicherheitshinweis nur mit deren Zustimmung oder wenn RA gesetzlich dazu verpflichtet ist.

11. Belohnungen, Bug-Bounty-Programm und Vergütung

RA betreibt kein öffentliches Bug-Bounty-Programm und garantiert keine finanzielle Vergütung. Belohnungen, Geschenke, Anerkennungen oder öffentliche Nennungen erfolgen ausschließlich nach Ermessen von RA.

RA kann eine Anerkennung insbesondere ablehnen, wenn eine Meldung nicht in den Geltungsbereich dieser Richtlinie fällt, einen bereits bekannten Sachverhalt betrifft, nicht ausreichend detailliert ist, ausschließlich auf automatisierten Scannern beruht oder auf unzulässigen beziehungsweise mit dieser Richtlinie unvereinbaren Tätigkeiten basiert.

12. Rechtliche Bestimmungen

Diese Richtlinie gestattet keine Tätigkeiten, die gegen geltende Gesetze oder Vorschriften verstoßen. Sie ersetzt weder Produkt- oder Lizenzbedingungen noch Kundenvereinbarungen, Vertraulichkeitsverpflichtungen, Exportkontrollvorschriften, Datenschutzpflichten, Verpflichtungen zur Fahrzeugsicherheit oder sonstige zwingende gesetzliche Vorgaben.

RA behält sich vor, diese Richtlinie gelegentlich zu aktualisieren. Die jeweils aktuelle Fassung wird auf der offiziellen Website von RA veröffentlicht.