Cybersicherheit

Wir freuen uns über Ihren Besuch auf unserer Internetseite unter www.m-pt.de und über Ihr Interesse an unserem Unternehmen und unseren Produkten. Mit dieser Cybersicherheitserklärung möchten wir Sie über unseren Umgang und unseren Prozessen zur Cybersicherheit informieren. Sämtliche Produktentwicklungen und Datenprozesse bei M-PT erfolgen unter strikter Beachtung der gesetzlichen Cyberschutzvorschriften.

1. Vorwort
Diese Richtlinie beschreibt, wie Sicherheitsforschende, Kunden und Dritte uns Schwachstellen in unseren Produkten melden können, welche Regeln dabei gelten und welchen Prozess wir intern verfolgen — in Umsetzung der Vorgaben der Verordnung (EU) 2024/2847 (Cyber Resilience Act, „CRA‘).

2. Umgang mit gutgläubigen Meldungen (Safe Harbor)
Wer eine Schwachstelle in gutem Glauben und im Einklang mit dieser Richtlinie meldet und dabei nicht mehr tut, als zur Nachweisführung der Schwachstelle notwendig ist, handelt aus unserer Sicht im Rahmen einer autorisierten Sicherheitsforschung. Wir werden gegen eine solche Meldung keine rechtlichen Schritte einleiten.

3. Regeln für die Sicherheitsforschung
a. Was wir erwarten:

• Melden Sie eine entdeckte oder vermutete Schwachstelle zum frühestmöglichen Zeitpunkt an uns.
• Testen Sie nur an Geräten/Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche Erlaubnis haben.
• Nutzen Sie Ausnutzungstechniken nur im minimal notwendigen Umfang, um die Schwachstelle nachzuweisen.
• Geben Sie uns eine angemessene Frist zur Behebung, bevor Sie Details, Proof-of-Concept-Code oder Werkzeuge veröffentlichen (siehe Abschnitt 6).

b. Nicht erlaubte Methoden:

• Denial-of-Service- oder Stresstests gegen unsere Systeme oder die unserer Kunden.
• Physisch-destruktive Tests an Geräten, die nicht Ihr Eigentum sind.
• Social-Engineering-Angriffe (z. B. Phishing) gegen Mitarbeitende oder Kunden.
• Massenhaftes Scannen oder automatisiertes Auslesen von im Feld befindlichen Kundengeräten.

4. Geltungsbereich
a. Von dieser Richtlinie erfasste Produkte, die von M-PT als Hersteller vertrieben werden:

• Drehmomentschraubgeräte
• Dokumentationssoftware
• Drehmomentprüfstand mit Software

b. Nicht von dieser Richtlinie erfasst:

• Von Dritten bezogene Komponenten (z. B. Mikrocontroller/Chipsatz-Firmware, Betriebssystem-Komponenten): Schwachstellen darin bitte direkt beim jeweiligen Hersteller melden. Ist unklar, ob eine Komponente von uns oder einem Dritthersteller stammt, kontaktieren Sie uns vorab unter der in Abschnitt 5 genannten Adresse.
• Von Kunden individuell angepasste oder modifizierte Geräte/Installationen.
• IT-Infrastruktur unserer Kunden, die nicht Teil unserer Produkte ist (z. B. deren Unternehmensnetzwerk selbst).

5. So melden Sie eine Schwachstelle

• • E-Mail: security@m-pt.de
  • Bitte angeben:
    • Betroffenes Produkt inkl. Modellnamen & Version,
    • Beschreibung der Schwachstelle,
    • Schritte zur Reproduktion,
    • Beweismaterial (Screenshots, Logs, Proof-of-Concept).

• Meldungen können anonym erfolgen; eine Kontaktmöglichkeit erleichtert jedoch Rückfragen und ermöglicht es uns, Sie über den Bearbeitungsstand zu informieren.
• Sofern die angegebenen Informationen unvollständig sind, behalten wir uns vor die Meldung nicht weiter zu verfolgen.

6. Unsere Zusagen

Schritt	Zeitrahmen
Eingangsbestätigung	unverzüglich
Erste Einschätzung / Rückfragen	Binnen 24 h
Statusupdate zum Bearbeitungsstand	Mindestens alle 30 Tage bis zur Behebung
Information über Behebung	Nach Verfügbarkeit eines Fixes oder einer Abhilfemaßnahme

7. Koordinierte Offenlegung
Unsere Standardfrist zur Behebung beträgt 90 Tage ab Bestätigung der Schwachstelle als valide. Wir bitten darum, in diesem Zeitraum keine Details, Proof-of-Concept-Code oder Exploit-Werkzeuge zu veröffentlichen.

• Bei besonders hoher Kritikalität (z. B. Verletzungsrisiko für Bediener, siehe unsere interne Risikobewertung) kann eine kürzere Frist gemeinsam vereinbart werden.
• Bei technisch komplexen Fällen sprechen wir eine Fristverlängerung proaktiv mit Ihnen ab.
• Nach Ablauf der Frist bzw. nach Verfügbarkeit eines Fixes veröffentlichen wir Informationen zur behobenen Schwachstelle in einem für die jeweilige Situation angemessenen Umfang.

8. Statutarische Meldepflichten nach CRA (Art. 14)
Stellen wir fest, dass eine Schwachstelle in einem unserer Produkte aktiv ausgenutzt wird oder ein schwerwiegender Sicherheitsvorfall im Sinne des Art. 14 Abs. 5 CRA vorliegt, folgen wir dem gesetzlich vorgeschriebenen Meldeprozess:

Zeitrahmen	Inhalt	Empfänger
24 Std. ab Kenntnisnahme	Frühwarnung mit erstem Informationsstand	CSIRT (BSI/CERT-Bund) + ENISA
72 Std. ab Kenntnisnahme	Ergänzende Detailinformationen	CSIRT (BSI/CERT-Bund) + ENISA
14 Tage nach Verfügbarkeit einer Abhilfe	Vollständiger Abschlussbericht	CSIRT (BSI/CERT-Bund) + ENISA

Betroffen von einem Vorfall gemeldeten Personen offenbaren wir keine Kontaktdaten Dritter ohne deren Zustimmung.

9. Sicherheitslebenszyklus
Für unsere Produkte mit digitalen Elementen stellen wir Sicherheitsupdates für einen Support-Zeitraum von mindestens 5 Jahren ab Einstellung des jeweiligen Modells bereit, entsprechend der CRA-Mindestanforderung. Das genaue Support-Ende wird produktbezogen kommuniziert.

10. Änderungen dieser Richtlinie
Wir behalten uns vor, diese Richtlinie fortlaufend zu aktualisieren. Die jeweils aktuelle Version wird auf unserer Website veröffentlicht und ersetzt vorherige Fassungen.

Version	Datum	Änderung
1.0	10.09.2026	Erstveröffentlichung

 

M-PT Matjeschk-PowerTools GmbH & Co. KG
Cybersicherheitsbeauftragter
Am Sägewerk 11
01920 Ralbitz-Rosenthal, Deutschland
E-Mail: security@m-pt.de

Stand: 10.09.2026