Wenn Sie eine Schwachstelle auf dieser Website oder in einem Roja-Dienst entdecken, informieren Sie uns bitte vertraulich. So können wir den Sachverhalt bewerten und die Reaktion koordinieren. Diese Seite beschreibt den Meldeweg, die Grenzen von Tests und den Umgang mit den Informationen. Sie erteilt keine pauschale Erlaubnis für Zugriffe auf Systeme oder fremde Daten.
Einen aussagekräftigen Bericht vorbereiten
Nennen Sie die betroffene URL oder den Dienst, eine klare Beschreibung und die kleinsten Schritte, mit denen sich das Verhalten reproduzieren lässt. Beschreiben Sie die mögliche Auswirkung und, soweit bekannt, die betroffene Version. Ergänzen Sie relevante Zeitpunkte und einen bevorzugten Kontaktweg. Den Sicherheitskontakt finden Sie unten sowie in unserer Datei security.txt.
Bitte senden Sie keine Passwörter, Zugriffstoken, Kundendaten oder unnötigen personenbezogenen Informationen. Entfernen Sie solche Angaben auch aus Bildschirmaufnahmen und Protokollen. Ein begrenzter, nachvollziehbarer Bericht ist für die erste Bewertung meist hilfreicher als ein großes Archiv ungefilterten Datenverkehrs. Wenn mehrere Probleme vorliegen, trennen Sie Reproduktion und mögliche Auswirkung für jeden Befund.
Grenzen zulässiger Tests beachten
Verwenden Sie nur eigene Konten und beschränken Sie die Aktivität auf das notwendige Minimum. Greifen Sie nicht auf Daten anderer Personen zu und verändern Sie diese nicht. Stören Sie den Betrieb nicht. Social Engineering und Denial-of-Service-Tests gehören nicht zu diesem Meldeprozess. Wenn Sie sensible Informationen sehen, beenden Sie den Test und melden Sie den Fundort, ohne die Daten zu kopieren oder weiterzugeben.
Diese Richtlinie enthält weder eine umfassende Testfreigabe noch eine Zusage rechtlicher Absicherung. Wenn ein geplanter Test zusätzliche Erlaubnis benötigt, muss der Umfang vorher schriftlich vereinbart werden. Dienste Dritter und Kundensysteme liegen außerhalb dieser Richtlinie. Ein öffentlich auffindbarer Sicherheitskontakt erweitert keine bestehenden Zugriffsrechte. Halten Sie sich bei fremden Diensten an deren eigene veröffentlichten Meldewege und Freigaben.
Wie wir Hinweise bearbeiten
Wir prüfen den Bericht, bestimmen den betroffenen Dienst und bewerten die mögliche Auswirkung. Dazu können Rückfragen oder eine sichere Reproduktion erforderlich sein. Wir bemühen uns um eine zeitnahe Eingangsbestätigung, versprechen hier aber keine feste Reaktionsfrist ohne entsprechend besetzte Betreuung. Nächste Schritte und eine mögliche Veröffentlichung stimmen wir nach Möglichkeit mit der meldenden Person ab.
Bitte behandeln Sie technische Einzelheiten vertraulich, während der Sachverhalt geprüft und bearbeitet wird. Wenn Sie öffentlich genannt werden möchten, teilen Sie uns den gewünschten Namen und Link mit. Eine Nennung wird mit Ihnen abgestimmt und begründet keinen Anspruch auf eine finanzielle Belohnung. Diese Richtlinie legt kein öffentliches Bug-Bounty-Programm fest. Anwendbare behördliche Meldepflichten werden unabhängig von der Abstimmung einer Veröffentlichung bewertet.
Informationen auf das Erforderliche begrenzen
Zugriff auf Berichtsdetails sollen nur die Personen erhalten, die an Untersuchung und Reaktion arbeiten. Wir bewahren relevante Nachweise für die Bearbeitung und anwendbare Pflichten auf und prüfen sie anschließend auf Löschung. Übermitteln Sie daher nur Daten, die für den Befund notwendig sind. Die Datenschutzhinweise beschreiben den vorgesehenen Ablauf für diese Website und kennzeichnen noch zu bestätigende Betreiberangaben.
Wenn Sie eine Auswirkung nicht ohne Zugriff auf fremde Informationen nachweisen können, halten Sie an und beschreiben Sie Ihre Bedenken. Wir können eine kontrollierte Reproduktion vereinbaren oder gezielt nachfragen. Setzen Sie Tests nicht fort, um einen Bericht eindrucksvoller zu machen. Ziel ist, dem zuständigen Team die Untersuchung zu ermöglichen und unnötige Belastung zu vermeiden.
Zusammenarbeit bei Drittanbietern
Betrifft ein Hinweis einen externen Anbieter, kann eine Abstimmung mit dessen zuständigem Kontakt notwendig werden. Wir unterscheiden bestätigte Tatsachen über unseren Dienst von Annahmen über fremde Systeme. Diese Richtlinie erweitert keine Testfreigabe eines Drittanbieters. Wenn dessen eigener Meldeweg einschlägig ist, verwenden Sie ihn. Kopieren Sie sensible Einzelheiten nicht ohne Grund in zusätzliche Kanäle.
Nach einer Änderung können wir um eine begrenzte Nachprüfung bitten. Dabei geht es darum, ob der ursprüngliche Befund behoben ist und welche Einschränkungen verbleiben. Ein öffentlicher Hinweis sollte betroffene Versionen und Abhilfe verständlich nennen, ohne unnötige personenbezogene Angaben zu enthalten. Nutzerkommunikation und Behördenmeldungen haben eigene Auslöser und Fristen; die Koordination einer Veröffentlichung setzt sie nicht aus.
Bei Rückfragen die Referenz erhalten
Bewahren Sie den ursprünglichen Meldebezug und relevante Zeitstempel auf. Teilen Sie uns mit, wenn sich Ihre Kontaktdaten während eines offenen Vorgangs ändern. Wenn keine Antwort ankommt, können Sie über die allgemeine Kontaktseite nachfragen, ob der Bericht das Team erreicht hat. Veröffentlichen Sie dabei keine sensiblen technischen Einzelheiten in einem öffentlichen Kanal.
Wir können zusammengehörige Hinweise bündeln, behalten aber die Nachweise zu den einzelnen Befunden und Versionen bei. Ein Bericht muss keinen Exploit enthalten, der auf fremde Informationen zugreift. Klare Schritte, begrenzte Daten und eine technische Begründung helfen bei der ersten Bewertung. Der CRA-Leitfaden und die Seite zur Meldepflicht nach Artikel 14 erklären den getrennten regulatorischen Zusammenhang.
Sicherheitskontakt: [email protected]. Die Kontaktdaten sind auch unter security.txt hinterlegt.
Quellen
- Verordnung (EU) 2024/2847 – deutsche Fassung auf EUR-Lex
- ENISA: Fragen zur Single Reporting Platform
Allgemeine technische Informationen, geprüft am oben genannten Datum. Produktbezogene Auslegung, aktuelle Normen und das anwendbare Verfahren sind vor einer Konformitätsentscheidung gesondert zu prüfen.