Einleitung
DrehPunkt nimmt die Sicherheit unserer Systeme sehr ernst. Trotz aller Sorgfalt kann es vorkommen, dass Schwachstellen bestehen. Wenn Sie eine Sicherheitslücke entdecken, freuen wir uns, wenn Sie uns diese melden, damit wir sie so schnell wie möglich beheben können.
Wir verstehen Sicherheitsforschung als wichtigen Beitrag dazu, unsere Dienste sicherer zu machen und möchten mit der Security-Community zusammenarbeiten, um unsere Nutzer und Systeme besser zu schützen.
Wenn Sie eine Schwachstelle entdecken, melden Sie sie uns bitte vertraulich über den in unserer security.txt angegebenen Sicherheitskontakt.
Diese Richtlinie gilt für alle, die in gutem Glauben („good faith“) Sicherheitslücken in unseren Systemen suchen und melden.
Geltungsbereich (Scope)
Im Scope:
- *.drehpunkt.de
- *.rotorsoft.net
Nicht im Scope:
- Systeme oder Dienste Dritter, auch wenn sie mit uns verlinkt sind, z. B. Subdomains von Drittanbietern wie status.example.com, wenn extern gehostet
- Denial-of-Service (DoS/DDoS)-Angriffe
- Physische Angriffe auf Büros, Rechenzentren oder Mitarbeiter bzw. Mitarbeiterinnen
- Social-Engineering-Angriffe gegen Mitarbeitende, Kunden oder Dienstleister (Phishing, Vishing etc.)
- Spam oder automatisierte Massenanfragen ohne konkreten Sicherheitsbezug
- Rein theoretische Schwachstellen ohne nachweisbares Ausnutzungsszenario
Regeln für die Sicherheitsforschung
Wir bitten Sie, bei Ihrer Untersuchung mit der gebotenen Sorgfalt vorzugehen und die Auswirkungen auf unsere Systeme und andere Nutzer möglichst gering zu halten.
Für die Überprüfung einer vermuteten Sicherheitslücke gilt insbesondere:
- Testen Sie möglichst nur so weit, wie es zur Bestätigung der Sicherheitslücke erforderlich ist.
- Vermeiden Sie Handlungen, die die Verfügbarkeit oder Integrität unserer Systeme beeinträchtigen könnten (keine automatisierten Scans mit hoher Last, kein DoS).
- Verändern (dauerhaft), löschen oder exfiltrieren Sie keine Daten – ein Proof of Concept (z. B. Screenshot, Anzahl betroffener Datensätze) genügt.
- Greifen Sie nicht auf personenbezogene oder vertrauliche Daten anderer Personen zu, soweit dies für den Nachweis der Sicherheitslücke nicht erforderlich ist.
- Führen Sie bitte keine Denial-of-Service-, Social-Engineering-, Phishing- oder physische Angriffe durch.
- Nutzen Sie keine Schwachstelle, um einen dauerhaften Zugriff (z. B. Backdoors) zu erlangen.
- Wenn Sie unbeabsichtigt auf sensible Daten stoßen, beenden Sie die Untersuchung an dieser Stelle und informieren Sie uns möglichst zeitnah.
- Geben Sie uns eine angemessene Zeit, die Schwachstelle zu beheben, bevor Sie Informationen dazu veröffentlichen (siehe Offenlegungsfrist unten)
Unser Ziel ist nicht, Sicherheitsforschung zu erschweren, sondern gemeinsam dafür zu sorgen, dass Schwachstellen sicher und möglichst schnell behoben werden können.
Meldung einer Sicherheitslücke
Übermitteln Sie ihre Meldung bitte mittels der Angaben in der security.txt.
Je mehr Informationen Sie uns zur Verfügung stellen können, desto besser können wir eine Sicherheitslücke nachvollziehen und beheben.
Hilfreich sind insbesondere
- eine kurze und verständliche Beschreibung der Schwachstelle,
- die betroffene Domain, URL, Anwendung oder Komponente,
- nachvollziehbare Schritte zur Reproduktion,
- eine Einschätzung der möglichen Auswirkungen,
- gegebenenfalls ein Proof-of-Concept oder Screenshots,
- Informationen über besondere Voraussetzungen für die Reproduktion.
Bitte übermitteln Sie dabei nur die Informationen, die für die Untersuchung der Sicherheitslücke erforderlich sind.
Umgang mit Meldungen
Wir behandeln Sicherheitsmeldungen vertraulich und nehmen jeden ernsthaften Hinweis sorgfältig auf. Wir geben Ihre Daten nicht ohne Ihre Zustimmung an Dritte weiter, außer wenn dies gesetzlich vorgeschrieben ist.
Nach Möglichkeit werden wir
- den Eingang Ihrer Meldung zeitnah bestätigen,
- die gemeldete Schwachstelle untersuchen,
- bei Rückfragen mit Ihnen Kontakt aufnehmen,
- geeignete Maßnahmen zur Behebung einleiten und
- Sie, soweit sinnvoll und möglich, über den Fortschritt informieren.
Die tatsächliche Bearbeitungszeit kann abhängig von der Art und Komplexität der Schwachstelle variieren. Insbesondere bei Abhängigkeiten von Drittanbietern kann eine Behebung zusätzliche Zeit benötigen.
Safe Harbor
Wenn Sie diese Policy einhalten und Ihre Sicherheitsforschung in gutem Glauben sowie mit der erforderlichen Sorgfalt durchführen, betrachten wir Ihre Meldung als verantwortungsvolle Sicherheitsforschung.
Sollten Sie versehentlich gegen einzelne Punkte dieser Policy verstoßen (z. B. unbeabsichtigt außerhalb des Scopes testen), werten wir das nicht automatisch als böswillig, sofern Sie uns umgehend informieren.
Soweit gesetzlich zulässig, werden wir aufgrund einer solchen Sicherheitsmeldung keine rechtlichen Schritte gegen Sie einleiten.
Diese Zusage gilt nicht für Handlungen, die über den für die Sicherheitsprüfung erforderlichen Umfang hinausgehen oder gegen geltendes Recht verstoßen.
Koordinierte Veröffentlichung
Wir bitten darum, Informationen über eine noch nicht behobene Sicherheitslücke vertraulich zu behandeln und nicht vorzeitig öffentlich zu machen.
Wir sind einer koordinierten Veröffentlichung grundsätzlich positiv gegenüber eingestellt und stimmen den geeigneten Zeitpunkt und Umfang einer Veröffentlichung gerne mit Ihnen ab.
Unser gemeinsames Ziel sollte dabei sein, betroffene Nutzer ausreichend zu schützen und gleichzeitig der Sicherheitsgemeinschaft einen sinnvollen Beitrag zu ermöglichen.
Eine öffentliche Nennung ihres Namens/Pseudonyms nach Freigabe stimmen wir gerne mit Ihnen ab (siehe Anerkennung).
Anerkennung
Wir schätzen die Zeit und das Engagement von Personen, die uns dabei helfen, unsere Systeme sicherer zu machen.
Sofern Sie dies wünschen, können wir Sie nach erfolgreicher Bearbeitung einer Meldung als Beitragende oder Beitragender zu unserer Sicherheitsverbesserung anerkennen.
Eine finanzielle Vergütung ist mit dieser Policy jedoch nicht automatisch verbunden.
Kontakt
Fragen zu dieser Richtlinie richten Sie bitte an: cso@drehpunkt.de