1. Strategie für die koordinierte Offenlegung von Schwachstellen

Herausgeber: romutec Steuer- u. Regelsysteme GmbH Fassung 1.0, Stand 08.09.2026

Nächste Prüfung: spätestens 07.09.2027 Rechtsbezug: Anhang I Teil II Nummer 5 und Nummer 6 der Verordnung (EU) 2024/2847

Warum gibt es diese Seite

romutec entwickelt und fertigt Komponenten für die technische Gebäudeautomation. Unsere Produkte sind für den Einsatz in Anlagen bestimmt, die über viele Jahre in Betrieb sind und in denen Sicherheitsprobleme nicht warten können. 

Trotz sorgfältiger Entwicklung und Prüfung lassen sich nicht alle Schwachstellen im Voraus erkennen. Wenn Ihnen bei einem unserer Produkte etwas auffällt, möchten wir das erfahren - und zwar bevor es andere erfahren.

Wie Sie uns erreichen

E-Mail: psirt@romutec.de

Für vertrauliche Meldungen steht ein PGP Schlüssel bereit: https://www.romutec.de/.well-known/pgp-key.asc 

Mit diesem Schlüssel signieren wir auch unsere security.txt. 

Fingerprint: 65FB E17A 1DE6 2D75 E166 AC7A 87D2 892B 343E DC4D

Die abgetrennte Signatur liegt unter: https://www.romutec.de/.well-known/security.txt.sig

Für Rückfragen genügt uns eine E-Mail-Adresse oder eine Telefonnummer. Einen Namen brauchen wir nicht. Eine Wegwerf-Adresse ist ausreichend.

Sie können auch ganz ohne Kontaktangabe melden. Dann können wir Ihnen allerdings weder Rückfragen stellen noch mitteilen, wie die Sache ausgegangen ist, und die vorstehenden Reaktionszeiten können wir nicht einhalten, weil uns kein Adressat für eine Antwort vorliegt.

Eine Vertraulichkeitsvereinbarung ist nicht erforderlich. Wir zahlen keine Prämien für Meldungen - es gibt bei uns kein Bug-Bounty-Programm. Auf Wunsch nennen wir Sie in der Veröffentlichung namentlich. 

Verfahrenssprache

Meldungen nehmen wir auf Deutsch und Englisch entgegen. Beide werden vom selben Team im selben Verfahren bearbeitet. 

Verbindliche Aussagen zur Bewertung von Schwachstellen, zum Zeitplan und zur Veröffentlichung treffen wir auf Deutsch. Auf Wunsch erläutern wir sie auf Englisch. Für die Auslegung ist die deutsche Fassung maßgeblich. 

Welche Angaben uns helfen

Je genauer die Meldung, desto schneller die Einordnung. Hilfreich sind:

Zum betroffenen Produkt

• Artikelnummer und Typbezeichnung (z.B. 00003192 / TCP-RTU-GW-1/2)
• Firmware- oder Softwarestand, sofern ablesbar
• Einsatzumgebung: Anbindung, Protokoll, übergeordnete Instanz 

Zur Schwachstelle

• Beschreibung des Problems und der möglichen Auswirkung
• Schritte zur Reproduktion, erwartetes gegenüber tatsächlichem Verhalten
• Voraussetzung wie Netzzugang, Buszugang oder physischer Zugriff
• Belege wie Protokollmitschnitte, Screenshots oder Logs

Zur Dringlichkeit

• Wird die Schwachstelle nach Ihrer Kenntnis bereits ausgenutzt?
• Ist sie bereits öffentlich bekannt, etwa durch eine Veröffentlichung Dritter oder einen Common Vulnerabilities and Exposures (CVE) - Eintrag

Übermitteln Sie bitte nur personenbezogene Daten, die für die Bearbeitung erforderlich sind. Ihre Absenderadresse wird bei einer E-Mail technisch bedingt ermittelt.

Was Sie von uns erwarten können

Die 90 Tage beziehen sich auf die Veröffentlichung, nicht auf Behebung. Wie lange eine Behebung dauert, hängt vom betroffenen Produkt ab. Dauert sie länger, verlängern wir die Frist bis zur Veröffentlichung in Abstimmung mit dem für uns zuständigen nationalen CSIRT einmalig um weitere 90 Tage.

Was wir uns von Ihnen wünschen

Wir betrachten Ihre Untersuchung als autorisierte Sicherheitsforschung, wenn Sie:

• Uns so früh wie möglich informieren, sobald Sie eine mögliche Schwachstelle entdecken,
• Nur so weit testen, wie es zur Bestätigung des Problems nötig ist,
• Keine Daten verändern, löschen, kopieren oder weitergeben, 
• Keine Anlagen, Dienste oder deren Nutzer beeinträchtigen - Gebäudeautomation steuert Lüftung, Brandschutzklappen und Sicherheitsfunktionen; ein missglückter Test kann reale Folgen haben,
• Ausschließlich an Geräten testen, über die Sie verfügen, nicht an Anlagen Dritter,
• Uns angemessene Zeit zur Analyse und Behebung geben, bevor Sie an die Öffentlichkeit gehen,
• Auf automatisierte Massenmeldungen ohne technische Substanz verzichten. 

Rechtliche Absicherung

romutec wird gegen Personen, die eine mögliche Schwachstelle in gutem Glauben und unter Beachtung der vorstehenden Grundsätze melden, keine rechtlichen Schritte einleiten. 

Geltungsbereich

Die Strategie gilt für:

• Alle Produkte, die romutec unter eigenem Namen oder eigener Marke in Verkehr bringt, einschließlich Firmware und eingebetteter Software,
• Die Konfigurations- und Inbetriebnahmesoftware ROBAConnect, 
• Digitale Schnittstellen und Kommunikationsanbindungen dieser Produkte,
• Die von romutec betriebenen Webangebote.

Nicht erfasst sind Systeme und Dienste Dritter, die romutec weder entwickelt noch betreibt. Dazu gehört auch Software Dritter, die wir lediglich zum Herunterladen bereitstellen - bitte wenden Sie sich in diesen Fällen an den jeweiligen Hersteller. Wir leiten Meldungen auf Wunsch weiter.

Für Produkte, die romutec für Partner entwickelt oder fertigt und die unter der Marke des Partners vertrieben werden, ist der jeweilige Partner der verantwortliche Hersteller. Melden Sie uns solche Fälle dennoch gerne - wir stellen den Kontakt her. 

Wenn Sie sich unsicher sind, ob Ihr Fund unter diese Strategie fällt: Melden Sie ihn. Wir klären die Zuständigkeit. 

Veröffentlichung

Bestätigt sich eine Schwachstelle, veröffentlichen wir dazu einen Sicherheitshinweis, sobald eine Lösung, ein Update oder eine wirksame Schutzmaßnahme verfügbar ist. Der Hinweis enthält eine Beschreibung der Schwachstelle, Angaben zur Erkennung der Betroffenheit, eine Einschätzung der Schwere sowie eine verständliche Handlungsanleitung. 

In begründeten Fällen verschieben wir die Veröffentlichung, wenn die Risiken einer frühen Offenlegung den Sicherheitsgewinn überwiegen - längstens, bis Anwender den Patch einspielen konnten. 

Wir bitten darum, die Veröffentlichung mit uns abzustimmen. Unsere Produkte können auch in Anlagen mit erhöhtem Schutzbedarf verbaut sein, in denen ein Update nicht kurzfristig eingespielt werden kann. 

Wann ein Verfahren abgeschlossen ist

Wir betrachten die Bearbeitung einer Meldung in folgenden Fällen als abgeschlossen:

• Die Prüfung hat ergeben, dass die Hinweise unbegründet sind. Die Schwachstelle ist durch eine Aktualisierung oder eine wirksame Schutzmaßnahme behoben oder eingedämmt und wurde veröffentlicht. 
  
• Die Schwachstelle betrifft ein von romutec betriebenes Webangebot, ist behoben und wurde veröffentlicht.
  
• Auf technischer oder inhaltliche Rückfragen erfolgt mindestens 30 Tage keine Antwort und die Meldung lässt sich deshalb nicht weiter bearbeiten.
  

Den Abschluss teilen wir Ihnen mit, sofern uns eine Kontaktmöglichkeit vorliegt. 

Gesetzliche Meldepflichten

Als Hersteller sind wir nach Art. 14 CRA verpflichtet, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig mit dem als Koordinator benannten CSIRT und der ENISA zu melden. Ihre Meldung kann eine solche behördliche Meldepflicht auslösen. Angaben zu Ihrer Person gehören nicht zum vorgeschriebenen Meldeinhalt; wir geben sie nicht weiter, soweit wir nicht gesetzlich dazu verpflichtet sind. 

2. Sicherheitsumfeld A - Feldbusmodule

Rechtsbezug: Anhang II Nr. 4 (Zweckbestimmung einschließlich Sicherheitsumfeld) und Nr. 5 (vorhersehbare Fehlanwendung) CRA.

Gilt für: romod und romod eco, robutec RBT, RDC600 / RDC700 / RDC800, FBM, FBB, FBX, BUS-tecMod, MX-BUStec.

Zweckbestimmung

Diese Produkte sind Ein-/Ausgangsbaugruppen und Bedienmodule für die technische Gebäudeautomation. Sie sind nicht eigenständig betriebsfähig. Sie arbeiten als Teilnehmer an einem Feldbus und werden von einer übergeordneten Instanz - einer DDC, SPS oder Gebäudeleittechnik - angesteuert und abgefragt. Die lokale Vorrangbedienebene erlaubt zusätzlich die manuelle Übersteuerung vor Ort. 

Die Produkte sind für den Einbau in Schaltschränken, Schaltschranktüren und Technikräume bestimmt und ausschließlich für die gewerbliche Verwendung durch fachkundiges Personal vorgesehen. 

Vorausgesetztes Sicherheitsumfeld

Die eingesetzten Feldbusprotokolle - Modbus RTU und BACnet MS/TP über RS485 sowie geräteinterne Busse - sehen keine Authentifizierung und keine Verschlüsselung vor. Das ist eine Eigenschaft dieser Protokollstandards, nicht eine Einschränkung unserer Produkte. Praktisch bedeutet es: Wer physischen Zugang zum Bussegment hat, kann alle daran angeschlossenen Geräte lesen und steuern.

Der sichere Betrieb setzt daher voraus:

1. Physischer Zugriffsschutz. Montage in verschlossenen Schaltschränken oder Technikräumen. Zugang nur für autorisiertes Personal
2. Abgegrenztes Bussegment. Das RS485-Segment verläuft vollständig innerhalb des räumlich kontrollierten Bereichs. Keine Weiterführung in öffentlich zugängliche Zonen, keine Mitführung auf frei zugänglichen Trassen.
3. Zugriffskontrolle auf übergeordneter Ebene. Die Authentifizierung von Bedienern und Autorisierung von Eingriffen leistet die übergeordnete DDC oder GLT. Unsere Geräte können das nicht und beanspruchen es nicht. 
4. Netztrennung bei IP-Kopplung. Wird das Bussegment über ein Gateway an ein IP-Netz angebunden, gehört dieses Netz in ein eigenes, von der Büro-IT getrenntes Segment ohne direkte Erreichbarkeit aus dem Internet. Für das Gateway gilt zusätzlich Sicherheitsumfeld B. 
5. Vertrauenswürdige Busteilnehmer. Alle an einem Segment betriebenen Geräte gelten als gleich vertrauenswürdig. Fremdgeräte unklarer Herkunft gehören nicht an dasselbe Segment.

Vernünftigerweise vorhersehbare Fehlanwendung

Die folgenden Konstellationen führen zu erheblichen Cybersicherheitsrisiken und sind vom bestimmungsgemäßen Gebrauch nicht gedeckt:

• Verlängerung des RS485-Segments in ungeschützte oder öffentlich zugängliche Bereiche.
• Anbindung des Bussegments an das allgemeine Unternehmensnetz oder an das Internet, gleich über welches Gateway. 
• Fernzugriff auf das Bussegment ohne vorgeschaltetes VPN und ohne Netzsegmentierung.
• Betrieb an einem Bussegment gemeinsam mit Geräten, deren Vertrauenswürdigkeit nicht beurteilt werden kann. 
• Verwendung der Module für sicherheitsgerichtete Funktionen zur Ansteuerung und Überwachung von Brandschutzklappen unterstützen den Betrieb; sie ersetzen keine eigenständige Sicherheitseinrichtung. 

Verbleibendes Risiko

Auch bei Einhaltung des beschriebenen Sicherheitsumfelds verbleibt das Risiko, dass eine Person mit physischem Zugang zum Bussegment Datenpunkte manipulieren kann. Dieses Risiko ist protokollbedingt und lässt sich auf Geräteebene nicht ausschließen. Es wird durch die vorstehenden organisatorischen und baulichen Maßnahmen begrenzt. 

3. Sicherheitsumfeld B - Netzwerkgeräte

Rechtsbezug: Wie Sicherheitsumfeld A. 

Gilt für: RSW5.24 (Ethernet-Switch) und TCP-RTU-GW-1/2 (Modbus-Gateway) 

Zweckbestimmung

RSW5.24 ist ein nicht verwalteter 5-Port-Ethernet-Switch für die Hutschienenmontage. Er verteilt Ethernet-Verbindungen innerhalb eines Schaltschranks. 

TCP-RTU-GW-1/2 setzt Modbus TCP auf Modbus RTU um. Auf der TCP-Seite arbeitet das Gerät als Server, erreichbar über Ethernet oder WLAN; auf der seriellen Seite ist es Master zweier RS485-Segmente. Konfiguration und Diagnose erfolgen über ein Webinterface.

Beide Geräte sind für den Einbau in Schaltschränke bestimmt und ausschließlich für die gewerbliche Verwendung durch fachkundiges Personal vorgesehen. 

Vorausgesetztes Sicherheitsumfeld

1. Eigenes Automationsnetz. Betrieb ausschließlich in einem dedizierten, segmentierten Netz für die Gebäudeautomation. Nicht im allgemeinen Unternehmensnetz, nicht in Gastnetzen, unter keinen Umständen direkt am Internet.
   
2. Keine Erreichbarkeit von außen. Keine Portweiterleitung, keine öffentliche IP-Adresse. Fernzugriff ausschließlich über VPN.
3. Zugangsdaten ändern. Sämtliche werksseitig gesetzten Zugangsdaten des Gateways - WLAN-Kennwort des Access Points und Kennwort des Webinterface - sind bei der Inbetriebnahme zu ändern. 
4. Accesspoint-Modus nur temporär. Der WLAN-Accesspoint des Gateways dient der Inbetriebnahme und ist danach zu deaktivieren. 
5. Station-Modus nur in einem abgesicherten WLAN. Wird das Gateway in ein bestehendes WLAN eingebunden, muss dieses dem Schutzbedarf des Automationsnetzes entsprechen. 
6. Webinterface nur aus dem Administrationsnetz. Der Zugriff ist auf einen definierten Adressbereich zu beschränken.
7. Firmware aktuell halten. Bereitgestellte Sicherheitsupdates sind zeitnah einzuspielen.
8. Beide Geräte sind keine Sicherheitsgrenze. Weder der Switch noch das Gateway leisten Zugriffskontrolle, Netztrennung oder Angriffserkennung. Sie ersetzen keine Firewall.

Vernünftigerweise vorhersehbare Fehlanwendung

• Betrieb des Gateways mit den werksseitigen Zugangsdaten.
  
• Erreichbarkeit des Gateways aus dem Internet, auch mittelbar über Portweiterleitung.
• Dauerhaft aktiver WLAN-Accesspoint, insbesondere in Gebäudeteilen mit Publikumsverkehr. 
• Verwendung des Switches zur Trennung von Netzbereichen mit unterschiedlichem Schutzbedarf. Ein nicht verwalteter Switch kann Netze nicht segmentieren.
• Einsatz des Gateways als einzige Barriere zwischen Büro-IT und Automationsnetz.
• Anschluss von Geräten unterschiedlichen Schutzbedarfs an dieselbe Switch-Infrastruktur.