Sicherheitshinweise und Schwachstellenmeldung

OpenSprinklerShop (Checkbox IT GmbH) entwickelt, konfiguriert und vertreibt vernetzte Produkte: die Bewässerungssteuerungen OpenSprinkler Pro und OpenSprinkler 4, Zubehör für OSPi, unsere OpenSprinkler-Firmware und OpenSprinkler-App sowie die Dragino-Sensorknoten SN50V3 mit OpenSprinklerShop-Firmware. Für diese Produkte nehmen wir Meldungen zu Sicherheitslücken entgegen und veröffentlichen hier, wie wir damit umgehen (Coordinated Vulnerability Disclosure).

Sicherheitslücke melden

Schreiben Sie an security@opensprinklershop.de (Deutsch oder Englisch). Diese Adresse ist ausschließlich für Sicherheitsmeldungen gedacht; allgemeine Supportanfragen stellen Sie bitte über den Support.

Hilfreich für eine schnelle Bewertung sind:

  • betroffenes Produkt und Firmware- bzw. App-Version (z. B. „OpenSprinkler Pro, Firmware 2.4.0(241)“)
  • Schritte zum Nachvollziehen, möglichst mit Beispielanfrage oder Log-Auszug
  • welche Auswirkung Sie sehen (z. B. Umgehung der Anmeldung, Codeausführung, Auslesen von Daten)
  • ob die Lücke bereits öffentlich bekannt ist

Bitte senden Sie keine Daten fremder Personen oder Kunden mit. Einen PGP-Schlüssel stellen wir derzeit nicht bereit; wenn Sie Details nur verschlüsselt übermitteln möchten, schreiben Sie uns kurz, wir vereinbaren dann einen Übertragungsweg.

Maschinenlesbar finden Sie den Kontakt unter /.well-known/security.txt (RFC 9116).

So gehen wir mit Ihrer Meldung um

  • Eingangsbestätigung innerhalb von 3 Werktagen.
  • Erste Bewertung (betroffen ja/nein, Schweregrad) innerhalb von 10 Werktagen; wir halten Sie über den Stand auf dem Laufenden.
  • Behebung abhängig vom Schweregrad; für kritische und hohe Schwachstellen streben wir ein Update innerhalb von 90 Tagen nach Bestätigung an, Notfallkorrekturen deutlich schneller.
  • Veröffentlichung koordiniert mit Ihnen nach Bereitstellung des Updates: Hinweis auf dieser Seite, in den Release Notes der Firmware (GitHub) und bei Bedarf per Newsletter. Auf Wunsch nennen wir Sie als Melderin oder Melder.
  • Aktiv ausgenutzte Schwachstellen melden wir gemäß Cyber Resilience Act (Verordnung (EU) 2024/2847) an die zuständigen Stellen.

Regeln für die Sicherheitsforschung

Wer sich an diese Regeln hält, muss keine rechtlichen Schritte von unserer Seite befürchten:

  • Testen Sie nur an eigenen Geräten und eigenen Konten. Zugriffe auf Geräte, Konten oder Daten Dritter sind nicht erlaubt.
  • Keine Denial-of-Service-Tests, keine automatisierten Lastläufe gegen opensprinklershop.de, ui.opensprinklershop.de oder unsere Update-Server.
  • Nutzen Sie eine gefundene Lücke nur so weit, wie es zum Nachweis nötig ist; kopieren, verändern oder löschen Sie keine Daten.
  • Geben Sie uns angemessen Zeit zur Behebung, bevor Sie Details veröffentlichen.

Sicherheitsupdates und Unterstützungszeitraum

  • Firmware-Updates für OpenSprinkler Pro, OpenSprinkler 4 und OpenSprinkler 3.x werden über die Update-Funktion des Geräts (Online-Update) bereitgestellt; Update-Pakete für OpenSprinkler 3.x sind seit Firmware 2.4.0(230) signiert.
  • Updates für die OpenSprinkler-App kommen über die App-Stores bzw. ui.opensprinklershop.de.
  • Für die SN50V3-Sensorknoten mit unserer Firmware stehen Quellcode, Änderungsprotokoll und Flash-Anleitung auf github.com/opensprinklershop bereit.
  • Sicherheitsupdates stellen wir für jedes Modell mindestens fünf Jahre ab dem Ende seines Verkaufs bereit. Den Unterstützungszeitraum des jeweiligen Produkts nennen wir in der Produktdokumentation.

Empfehlungen für den sicheren Betrieb

  • Ändern Sie das Gerätepasswort bei der Inbetriebnahme. OpenSprinkler Pro erzeugt beim ersten Start ein zufälliges Passwort, das auf dem Display angezeigt wird; ein Betrieb ohne Passwort ist nicht vorgesehen.
  • Halten Sie Firmware und App aktuell und aktivieren Sie die Benachrichtigung über neue Versionen.
  • Stellen Sie die Steuerung nicht per Portweiterleitung direkt ins Internet. Für den Fernzugriff nutzen Sie den integrierten OpenThings-Cloud-Zugang oder ein VPN.
  • Verwenden Sie für MQTT, Wetterdienste und Sensoranbindungen Zugangsdaten und, wo möglich, verschlüsselte Verbindungen.
  • Setzen Sie ein Gerät vor Weitergabe oder Verkauf auf Werkseinstellungen zurück.

Veröffentlichte Sicherheitsmitteilungen

Stand 1. November 2026: keine veröffentlichten Sicherheitsmitteilungen. Künftige Mitteilungen erscheinen an dieser Stelle mit Datum, betroffenen Versionen und der Version, die die Lücke behebt.

Verantwortlich

Checkbox IT GmbH, Kontaktdaten siehe Impressum. Fragen zur Produktsicherheit im Sinne der Produktsicherheitsverordnung (GPSR), etwa zu Kennzeichnung oder Konformitätserklärungen, beantworten wir ebenfalls über den Support; die Konformitätserklärungen finden Sie unter CE.

Security contact (English summary)

To report a security vulnerability in an OpenSprinklerShop product (OpenSprinkler Pro, OpenSprinkler 4, OSPi accessories, our OpenSprinkler firmware and app, SN50V3 sensor nodes with OpenSprinklerShop firmware), e-mail security@opensprinklershop.de in English or German. Please include product, firmware or app version, steps to reproduce and the observed impact. We acknowledge reports within 3 working days, give a first assessment within 10 working days, aim to ship fixes for high and critical issues within 90 days and publish advisories on this page and in the firmware release notes, crediting you if you wish. Good-faith research on your own devices that avoids third-party data and denial-of-service testing will not be met with legal action. Security updates are provided for at least five years after a model is discontinued.