Security Research
Coordinated Vulnerability Disclosure.
Wir untersuchen Produkte auf Schwachstellen, melden Funde vertraulich an die Hersteller und stimmen die Behebung mit ihnen ab. Die Erkenntnisse fließen direkt in unsere Penetrationstests ein.
An namhafte Hersteller gemeldete Schwachstellen.
Sowie weitere Hersteller. Die Schwachstellen haben wir koordiniert gemeldet und die Behebung mit den Herstellern abgestimmt.
- Wildix
- Netgear
- Microsoft
Forschungsschwerpunkte.
UC & VoIP
Telefonanlagen, SIP-Infrastruktur und Unified-Communications-Clients.
Netzwerkgeräte & IoT
Router, Speichersysteme und Firmware vernetzter Geräte.
Microsoft On-Premises
Microsoft Exchange Server und weitere lokal betriebene Microsoft-Serverprodukte.
Web & APIs
Webanwendungen, SaaS-Plattformen und Schnittstellen.
So läuft Coordinated Vulnerability Disclosure bei uns.
Schritt 1 von 5: Entdeckung & Verifizierung
Wir bestätigen jeden Fund reproduzierbar und bewerten seine Auswirkung, bevor wir ihn melden.
Schritt 2 von 5: Vertrauliche Meldung
Der Hersteller erhält eine vertrauliche Beschreibung mit allen Informationen, die er zum Nachvollziehen benötigt.
Schritt 3 von 5: Herstellerbestätigung
Der Hersteller bestätigt den Eingang und die Schwachstelle, danach stimmen wir den weiteren Ablauf ab.
Schritt 4 von 5: Behebung
Der Hersteller entwickelt eine Korrektur, wir unterstützen bei Rückfragen und prüfen die Behebung auf Wunsch nach.
Schritt 5 von 5: Veröffentlichung
Nach Ablauf der Frist entscheiden wir im Einzelfall, ob und in welcher Form Details veröffentlicht werden.
Für Schwachstellen aus unserer eigenen Forschung gilt eine feste Frist von 90 Tagen ab unserer ersten Meldung an den Hersteller. Unabhängig von Advisories des Herstellers veröffentlicht Indeno vor Ablauf dieser Frist keine Informationen zur Schwachstelle, auch dann nicht, wenn bereits eine Behebung verfügbar ist.
Ob und in welcher Form Indeno danach veröffentlicht, entscheiden wir im Einzelfall und in Abstimmung mit dem Hersteller. Reagiert ein Hersteller nicht, ziehen wir ein CSIRT als Koordinator hinzu, in der Regel CERT.at oder das BSI.
Ist der Hersteller selbst CVE Numbering Authority (CNA), vergibt er die CVE-Kennung, andernfalls eine zuständige CNA.
Von der Forschung in Ihre Projekte.
Was wir in der Forschung über Angriffstechniken lernen, fließt direkt in unsere Arbeit ein: in Penetration Testing, in Application Security und in unsere Managed Services.
So prüfen wir Ihre Umgebung mit Methoden, die wir selbst an realen Produkten entwickelt und geschärft haben.
Produktprüfung für Hersteller.
Software- und Gerätehersteller lassen ihre Produkte vor dem Release von uns prüfen, mit derselben Methodik, die wir in unserer Forschung einsetzen. Sie erhalten nachvollziehbare Befunde und konkrete Empfehlungen zur Behebung.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verlangt von Herstellern unter anderem ein geregeltes Schwachstellenmanagement mit regelmäßigen Sicherheitstests und einer Richtlinie zur koordinierten Offenlegung. Die Meldepflichten gelten seit 11. September 2026, die übrigen Pflichten ab 11. Dezember 2027. Eine Produktprüfung durch Indeno unterstützt diese Anforderungen, ersetzt aber keine Konformitätsbewertung.
Wir antworten persönlich.
Sie schreiben, jemand von uns liest und antwortet. Keine Werbe-Mails, keine automatischen Folge-Mails. Sie sprechen direkt mit einem Engineer.