Kunden-Benachrichtigungsportal

Das Kundenverzeichnis (Seite „Kunden“) weiß, wer Ihre Maschinen betreibt — jede erfasste Inbetriebnahme benennt ihren Kunden, und Resilic gruppiert automatisch. Das Benachrichtigungsportal macht aus dem Verzeichnis einen Kanal: Je Kunde stellen Sie einen öffentlichen Portal-Link aus, über den dessen Mitarbeiter Sicherheitsbenachrichtigungen für die betriebenen Maschinen abonnieren.

Das ist die Grundlage für die CRA-Pflicht aus Art. 14 Abs. 8, betroffene Nutzer über Schwachstellen, Vorfälle und Korrekturmaßnahmen zu informieren. Abonnements ergänzen diese Pflicht — sie ersetzen sie nie: Null Abonnenten ändern nichts an Ihrer Verpflichtung, und Resilic versendet ausschließlich auf Ihre ausdrückliche Aktion hin, mit einem von Menschen freigegebenen Artefakt dahinter.

Der Portal-Link

Auf der Kunden-Seite einen Kunden aufklappen und den Portal-Link erstellen:

• Die URL wird einmalig angezeigt — kopieren und an Ihren Ansprechpartner beim Kunden geben. Gespeichert wird nur der Hash, wie bei jedem öffentlichen Token in Resilic.
• Erneuern stellt eine neue URL aus und macht die alte sofort ungültig; bestehende Abonnements überleben die Erneuerung.
• Widerrufen nimmt die Seite offline. Widerrufene und ungültige Links sind nicht unterscheidbar (nicht auffindbar).

Die Portal-Seite zeigt die Maschinen des Kunden (Produkt, Version, Standorte), ein Abonnement-Formular und die aktuellen Abonnenten mit maskierten E-Mail-Adressen. Sie zeigt nie Schwachstellen- oder Vorfallsinhalte — sie verwaltet Abonnements, sonst nichts.

Double-Opt-in, Ein-Klick-Abmeldung

Wer den Portal-Link hat, kann eine E-Mail-Adresse eintragen (und Deutsch oder Englisch wählen) — aktiv wird das Abonnement aber erst mit Klick auf den Bestätigungslink in der daraufhin versendeten E-Mail. Der Link ist einmalig verwendbar und 7 Tage gültig. Bis dahin wird an diese Adresse nichts weiter gesendet.

Jede E-Mail trägt einen Ein-Klick-Abmeldelink, der ohne Anmeldung funktioniert. Abgemeldete Adressen erhalten nichts mehr und können sich über das Portal erneut anmelden (was das Double-Opt-in neu startet).

Datenschutz

Die Daten sind bewusst minimal: Der Abonnenten-Datensatz enthält E-Mail-Adresse, gewählte Sprache und die Einwilligungszeitstempel — mehr nicht. Auf Herstellerseite sehen Sie die Abonnenten Ihrer Kunden im Klartext (Sie sind Verantwortlicher dieser Beziehung) und können einen Abonnenten auf Wunsch löschen; mit der Zeile werden die personenbezogenen Daten gelöscht.

Benachrichtigungen versenden

Beide Versandwege sind explizite Aktionen mit einem von Menschen freigegebenen Artefakt dahinter — Resilic legt nie von selbst etwas offen:

• Aus einem veröffentlichten Advisory: Ein freigegebenes Security Advisory bietet Abonnierte Kunden benachrichtigen an. Resilic ermittelt, welche Kunden eine betroffene Produktversion betreiben, und mailt deren bestätigte Abonnenten — je Empfänger, in dessen Sprache, mit den Fakten des Advisories (CVE, betroffene und behobene Versionen, empfohlene Maßnahme) und dem Ein-Klick-Abmeldelink. Ein Entwurf kann nicht versendet werden: Er hat keinen Nutzer erreicht.
• Aus dem Schritt „Nutzer informiert“: Verknüpft der Art.-14-Abs.-8-Schritt eines meldepflichtigen Ereignisses ein veröffentlichtes Advisory, können Sie Abonnierte Kunden zusätzlich über Resilic benachrichtigen ankreuzen. Der Versand läuft wie oben, und der Eintrag „wie wurden Nutzer informiert“ füllt sich aus dem Ergebnis.

Jeder Versuch — zugestellt oder fehlgeschlagen — hinterlässt eine Zeile im Zustellprotokoll am Advisory bzw. Ereignis: maskierte Adresse, Ergebnis, Zeitstempel. Die Maskierung ist Absicht: Der Art.-14-Abs.-8-Nachweis überlebt eine spätere Löschung des Abonnenten, ohne das personenbezogene Datum zu behalten. Null Abonnenten ändern nichts an der Pflicht selbst — der manuelle Weg bleibt, und der Eintrag dokumentiert, wie sie erfüllt wurde.