Schwachstellen melden und Sicherheitsvorfälle¶
Diese Seite beschreibt, wie Kehrmann Consulting AB mit Sicherheitslücken in KCForms und mit Sicherheitsvorfällen umgeht: wohin Sie eine Lücke melden, was wir in welcher Frist tun und wie wir Sie als Kunde informieren. Sie richtet sich an die Informationssicherheit und den Betrieb beim Kunden.
Kurz gesagt¶
- Meldeadresse:
security@kehrmann-consulting.com— auch in jeder Installation unter/.well-known/security.txtabrufbar. Ersatzkontakt:info@kehrmann-consulting.com. - Wir bestätigen den Eingang innerhalb von zwei Arbeitstagen.
- Betrifft ein Vorfall Ihre Installation, informieren wir Sie spätestens 48 Stunden, nachdem wir davon wissen.
- Unsere Bürozeiten (schwedische Zeit): Montag–Donnerstag 9:00–16:00, Freitag 9:00–15:00. Ein Arbeitstag ist ein Tag mit Bürozeit.
- Außerhalb der Bürozeiten — abends, am Wochenende — schreiben Sie bei
einer aktiv ausgenutzten Lücke oder einem laufenden Vorfall an
info@kehrmann-consulting.com. Dieses Postfach wird auch dann gelesen. - Supportzeitraum: 5 Jahre ab dem ersten Release einer Hauptversion, für die Hauptversion 0 also bis 31.05.2031 (Einzelheiten).
- Sicherheitsupdates sind kostenlos und erscheinen, wo möglich, getrennt von Funktionsupdates.
Eine Schwachstelle melden¶
Schreiben Sie an security@kehrmann-consulting.com. Hilfreich sind:
- die betroffene Version (steht unter Administration → System-Informationen),
- eine Beschreibung, wie sich die Lücke auslösen lässt,
- Ihre Einschätzung der Auswirkung,
- ob und wann Sie die Lücke veröffentlichen möchten.
Bitte schicken Sie keine personenbezogenen Daten und keine Zugangsdaten
mit. Haben Sie nach zwei Arbeitstagen keine Eingangsbestätigung, schreiben Sie
bitte zusätzlich an info@kehrmann-consulting.com. Wir antworten auf Schwedisch, Englisch oder Deutsch.
Die Datei security.txt
Jede KCForms-Installation liefert unter
https://<ihre-adresse>/.well-known/security.txt eine Datei nach
RFC 9116 aus. Darin steht, wohin Meldungen gehen. Ihr eigenes
Sicherheitsteam können Sie zusätzlich eintragen — es steht dann vor
der Herstelleradresse:
KCFORMS_SECURITY_TXT_CONTACT=mailto:soc@kommun.se, mailto:security@kehrmann-consulting.com, mailto:info@kehrmann-consulting.com
Weitere Einstellungen: KCFORMS_SECURITY_TXT_POLICY (Adresse Ihrer
Melde-Richtlinie), KCFORMS_SECURITY_TXT_ENCRYPTION (Ihr öffentlicher
Schlüssel), KCFORMS_SECURITY_TXT_EXPIRES (Ablaufdatum),
KCFORMS_SECURITY_TXT_ENABLED=false (Datei abschalten).
Ohne eigene Angabe läuft die Datei ein Jahr nach dem Erstellungsdatum der installierten Version ab. Ist sie abgelaufen, betreiben Sie eine Version, die älter als ein Jahr ist — dann ist ein Update fällig.
Was wir nach einer Meldung tun¶
| Schritt | Frist |
|---|---|
| Eingangsbestätigung | 2 Arbeitstage |
| Erste Bewertung (bestätigt? wie schwer?) | 5 Arbeitstage |
| Behebung oder Umgehung, kritisch (CVSS 9,0–10) | 7 Tage |
| Behebung oder Umgehung, hoch (CVSS 7,0–8,9) | 30 Tage |
| Behebung, mittel (CVSS 4,0–6,9) | 90 Tage |
| Behebung, niedrig | nächstes reguläres Release |
Die Schwere bewerten wir nach CVSS und danach, ob die Lücke in KCForms tatsächlich erreichbar ist. Eine Lücke in einer mitgelieferten Bibliothek, deren betroffene Funktion KCForms nicht benutzt, beheben wir mit dem nächsten Release und dokumentieren sie als „nicht betroffen" (siehe Stückliste).
Koordinierte Veröffentlichung: Wir bitten Finder, eine Lücke erst zu veröffentlichen, wenn ein Update verfügbar ist, längstens nach 90 Tagen. Wir nennen Finder auf Wunsch in den Release-Hinweisen.
Supportzeitraum¶
Für jede Hauptversion von KCForms liefern wir 5 Jahre lang Sicherheitsupdates, gerechnet ab dem ersten Release dieser Hauptversion. Der Zeitraum gilt für alle Kunden gleich, unabhängig davon, wann Sie eingestiegen sind.
| Hauptversion | Erstes Release | Sicherheitsupdates bis |
|---|---|---|
| 0 (0.x) | 31.05.2026 | 31.05.2031 |
Innerhalb des Zeitraums bekommen Sie Sicherheitsupdates kostenlos, auch über neuere Versionen derselben Hauptversion. Besondere Vereinbarungen sind möglich, etwa ein längerer Zeitraum — sprechen Sie uns an.
Wie wir Sie informieren¶
Betrifft eine Schwachstelle oder ein Vorfall Ihre Installation, schreiben wir an die Sicherheitskontakte, die Sie uns im Vertrag genannt haben.
| Anlass | Information an Sie |
|---|---|
| Aktiv ausgenutzte Schwachstelle in KCForms | spätestens 48 Stunden nach Kenntnis |
| Vorfall bei uns, der Ihre Daten oder Installation berühren kann | spätestens 48 Stunden nach Kenntnis |
| Kritische oder hohe Schwachstelle, nicht ausgenutzt | mit dem Update, spätestens innerhalb der Fristen oben |
| Mittlere und niedrige Schwachstellen | in den Release-Hinweisen |
Jede Information enthält: was betroffen ist, ab welcher Version, wie Sie prüfen, ob Sie betroffen sind, was Sie sofort tun können und wann ein Update kommt. Danach folgen Zwischenstände, bis die Sache abgeschlossen ist.
Wer was an Behörden meldet¶
KCForms läuft auf Ihren Servern. Für den Betrieb sind Sie verantwortlich, für das Produkt sind wir es. Daraus folgen getrennte Meldepflichten:
| Pflicht | Wer meldet | Wohin | Fristen |
|---|---|---|---|
| Cyber Resilience Act, Art. 14 — aktiv ausgenutzte Schwachstelle oder schwerer Vorfall im Produkt | Kehrmann Consulting AB (Hersteller) | ENISA-Meldeplattform → zuständiges CSIRT | Frühwarnung 24 h, Meldung 72 h, Abschlussbericht 14 Tage nach der Abhilfe bzw. 1 Monat |
| Cybersäkerhetslagen (2025:1506) — erheblicher Vorfall in Ihrem Betrieb | Sie (falls Sie unter das Gesetz fallen) | NCSC / CERT-SE | Frühwarnung 24 h, Meldung 72 h |
| DSGVO Art. 33 — Verletzung des Schutzes personenbezogener Daten | Sie als Verantwortlicher | IMY | 72 h |
Wir unterstützen Ihre Meldungen mit allen technischen Angaben, die wir haben.
Wenn wir Ihre Daten sehen können
Bei reinem Betrieb auf Ihren Servern verarbeiten wir keine personenbezogenen Daten für Sie. Greifen wir für Support auf Ihre Installation zu, sind wir Auftragsverarbeiter. Dann gilt der Auftragsverarbeitungsvertrag (PUB-avtal), und wir melden eine Datenpanne ohne unnötige Verzögerung, spätestens innerhalb von 48 Stunden.
Stückliste (SBOM)¶
Zu jedem Release gehört eine maschinenlesbare Stückliste aller mitgelieferten Bibliotheken im Format CycloneDX 1.6 (JSON):
| Datei | Inhalt |
|---|---|
kcforms-backend-<version>.cdx.json |
Server (Java-Bibliotheken) |
kcforms-frontend-<version>.cdx.json |
Oberfläche (JavaScript-Pakete, die im Browser laufen) |
kcforms-*-<version>.vex.cdx.json |
Begründungen für gemeldete Lücken, die KCForms nicht betreffen (VEX) |
SHA256SUMS |
Prüfsummen, auch für ROOT.war |
Prüfen, ob Datei und Stückliste zusammenpassen:
Die Stückliste der laufenden Installation liefert KCForms außerdem selbst
aus — Administratoren rufen sie ab unter
https://<ihre-adresse>/api/admin/actuator/sbom/application.
Ihr eigenes Werkzeug zur Schwachstellenprüfung (Dependency-Track, OSV-Scanner,
Grype …) liest beide Formate direkt. Meldet es eine Lücke, die in der VEX-Datei
als not_affected steht, finden Sie dort die Begründung.
Content-Security-Policy¶
Die Oberfläche läuft mit einer durchgesetzten Content-Security-Policy. Einzelheiten und den Rückweg, falls eine eigene Anpassung daran scheitert, beschreibt Schutz im Browser.