Sicherheitslücken melden

Geltungsbereich

So melden Sie eine Schwachstelle

• die betroffene Adresse (URL) und gegebenenfalls die verwendeten Parameter,
• eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen,
• die Schritte, mit denen wir das Verhalten nachvollziehen können, gern mit Screenshots,
• Datum und Uhrzeit Ihrer Prüfung,
• Kontaktdaten für Rückfragen. Anonyme Meldungen nehmen wir ebenfalls an.

Was wir Ihnen zusagen

• Wir bestätigen den Eingang Ihrer Meldung innerhalb von fünf Werktagen.
• Wir prüfen Ihre Meldung und teilen Ihnen mit, ob und wie wir die Schwachstelle beheben.
• Wir behandeln Ihre Meldung vertraulich und geben Ihre persönlichen Daten nicht ohne Ihre Zustimmung an Dritte weiter, es sei denn, wir sind gesetzlich dazu verpflichtet.
• Auf Wunsch nennen wir Sie nach der Behebung in der Danksagung auf dieser Seite.
• Wenn Sie sich an die folgenden Regeln halten, werden wir wegen Ihrer Meldung keine Strafanzeige erstatten, keinen Strafantrag stellen und keine zivilrechtlichen Ansprüche gegen Sie geltend machen.

Regeln für Ihre Prüfung

• Prüfen Sie nur so weit, wie es nötig ist, um die Schwachstelle nachzuweisen.
• Rufen Sie keine Daten Dritter ab und verändern oder löschen Sie keine Daten. Stoßen Sie dennoch auf personenbezogene Daten, brechen Sie die Prüfung ab, teilen Sie uns dies mit und löschen Sie die Daten.
• Laden Sie keine Dateien auf den Server und richten Sie keine Hintertüren oder dauerhaften Zugänge ein.
• Beeinträchtigen Sie nicht die Verfügbarkeit der Website, etwa durch Denial-of-Service-Angriffe oder massenhafte automatisierte Anfragen.
• Unterlassen Sie Social Engineering und Phishing gegenüber unseren Mitarbeitenden sowie Versuche, sich physisch Zugang zu verschaffen.
• Geben Sie die Schwachstelle erst an Dritte weiter oder veröffentlichen Sie sie, wenn sie behoben ist, und stimmen Sie den Zeitpunkt mit uns ab.

Was wir nicht als Schwachstelle werten

• ungeprüfte Ergebnisse automatischer Scanner,
• fehlende Sicherheits-Header oder Cookie-Attribute ohne nachweisbare Auswirkung,
• die bloße Angabe von Software- oder Serverversionen,
• Clickjacking auf Seiten ohne vertrauliche Aktionen.

Keine Prämien

Danksagung