Schrat

Schwachstellen melden und Sicherheitsupdates

Richtlinie zur koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure) und Angaben zur Produktsicherheit nach der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyber Resilience Act, CRA).

Stand: Oktober 2026

1. Hersteller und Produkt

Hersteller: Grünecho e.U., Großsölk 76, 8961 Sölk, Österreich, FN 604739y.
Produkt: Schrat, Anwendung zur Erfassung von Felddaten, bestehend aus der Web-Anwendung (app.schrat.eco), den Apps für Android, iOS, Windows, macOS und Linux sowie den zugehörigen Serverdiensten und der Programmierschnittstelle. Die jeweils aktuelle Version steht in der App unter Einstellungen und auf der Download-Seite.

2. Kontakt für Schwachstellen

Zentrale Anlaufstelle für Sicherheitslücken ist security@schrat.eco, maschinenlesbar auch in unserer security.txt (RFC 9116). Bitte melden Sie Schwachstellen vertraulich und nicht öffentlich. Hilfreich sind:

  • betroffene Komponente und Version (Website, Web-App, App mit Plattform, API),
  • eine Beschreibung und die Schritte zum Nachvollziehen,
  • die mögliche Auswirkung aus Ihrer Sicht,
  • wie wir Sie für Rückfragen erreichen und ob Sie namentlich genannt werden möchten.

Meldungen nehmen wir auf Deutsch und Englisch entgegen.

3. Was Sie von uns erwarten können

  • Eingangsbestätigung innerhalb von 3 Werktagen.
  • Erste Bewertung mit Einschätzung des Schweregrads innerhalb von 10 Werktagen.
  • Behebung so schnell wie möglich; Ziel sind 30 Tage für kritische und hohe, 90 Tage für übrige Schwachstellen. Wir halten Sie über den Fortschritt auf dem Laufenden.
  • Koordinierte Veröffentlichung: Nach der Behebung informieren wir die Nutzer über die Sicherheitslücke und das Update, auf Wunsch mit Ihrer Nennung. Ohne Behebung warten wir mit der Veröffentlichung bis zu 90 Tage nach Ihrer Meldung, sofern wir nichts anderes vereinbaren.

4. Regeln für Sicherheitsforschung

Wer in gutem Glauben und im Rahmen dieser Regeln nach Schwachstellen sucht und sie uns meldet, hat von uns keine rechtlichen Schritte zu erwarten:

  • Testen Sie nur mit eigenen Konten und eigenen Projekten.
  • Greifen Sie nicht auf Daten anderer zu, verändern oder löschen Sie keine; stoßen Sie auf solche Daten, brechen Sie ab und melden Sie es uns.
  • Keine Angriffe auf die Verfügbarkeit (Denial of Service), kein Spam, kein Social Engineering, keine physischen Angriffe.
  • Automatisierte Scans nur mit geringer Last; umfangreiche Tests stimmen Sie bitte vorher mit uns ab.
  • Geben Sie die Schwachstelle nicht weiter, bevor sie behoben ist oder die Frist aus Abschnitt 3 abgelaufen ist.

5. Sicherheitsupdates

  • Sicherheitsupdates sind für alle Nutzer kostenlos, unabhängig vom Tarif.
  • Die Web-Anwendung und die Serverdienste aktualisieren wir zentral; Nutzer müssen nichts tun.
  • Die Apps erhalten Updates über Google Play und den App Store; die Apps für Windows, macOS und Linux stehen auf der Download-Seite bereit. Wo möglich, liefern wir Sicherheitskorrekturen getrennt von neuen Funktionen aus.
  • Abhängigkeiten werden bei jeder Auslieferung automatisch auf bekannte Schwachstellen geprüft; eine Version mit bekannter kritischer, behebbarer Lücke wird nicht veröffentlicht.

6. Unterstützungszeitraum

Wir stellen Sicherheitsupdates für Schrat mindestens bis zum 31. Dezember 2031 bereit. Endet der Unterstützungszeitraum für eine Plattform oder Version früher, kündigen wir das mindestens zwölf Monate vorher auf dieser Seite und in der App an.

7. Software-Stückliste (SBOM)

Für jede veröffentlichte Version der Apps erzeugen wir automatisch eine Software-Stückliste im Format CycloneDX. Auf Anfrage an security@schrat.eco stellen wir sie Kunden und Behörden zur Verfügung.

8. Meldepflichten

Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden wir gemäß Art 14 CRA über die zentrale Meldeplattform der ENISA an das zuständige CSIRT und informieren betroffene Nutzer. Betrifft ein Vorfall personenbezogene Daten, gelten zusätzlich die Meldepflichten nach Art 33 und 34 DSGVO und gegenüber Organisationen der Auftragsverarbeitungsvertrag.

9. Weitere Informationen

Wie wir Schrat absichern, finden Sie unter Sicherheit und Datenschutz, die Verfügbarkeit unter Betriebsstatus.