Sicherheitslücke entdeckt? Melden Sie sie uns!

Richtlinie zur verantwortungsvollen Offenlegung von Informationssicherheitslücken

 
Wir sind Ihnen dankbar, wenn Sie uns helfen, unsere Kunden und unsere Systeme besser zu schützen.
Deshalb bitten wir Sie, uns umgehend zu informieren, wenn Sie eine Schwachstelle entdecken. So können wir die erforderlichen Schritte unternehmen, um diese zu beheben.

Bitte gehen Sie folgendermaßen vor:

• Senden Sie Ihre Erkenntnisse per E-Mail an cert@crossbase.de. Verschlüsseln Sie Ihre Erkenntnisse mit unserem PGP-Schlüssel (siehe unten), um zu verhindern, dass diese kritischen Informationen in die falschen Hände geraten.
• Nutzen Sie die Schwachstelle oder das Problem, das Sie entdeckt haben, nicht aus, indem Sie z. B. mehr Daten als nötig herunterladen, um die Schwachstelle zu demonstrieren, oder indem Sie die Daten anderer Personen löschen oder verändern.
• Geben Sie das Problem nicht an andere weiter, bis es behoben ist.
• Führen Sie keine Angriffe auf die physische Sicherheit, Social Engineering, Distributed Denial of Service, Spam oder auf Anwendungen von Dritten durch.
• Stellen Sie ausreichende Informationen zur Verfügung, um das Problem zu reproduzieren, so dass wir es so schnell wie möglich beheben können. Normalerweise reichen die IP-Adresse oder die URL des betroffenen Systems und eine Beschreibung der Sicherheitslücke aus, aber komplexe Sicherheitslücken erfordern möglicherweise weitere Erklärungen.

 
Unser Versprechen:

• Feedback
  Wir werden innerhalb von 7 Werktagen auf Ihre Meldung mit unserer Einschätzung der Meldung und einem voraussichtlichen Lösungsdatum antworten.
• Transparenz
  Wir werden Sie über den Fortschritt bei der Lösung des Problems auf dem Laufenden halten.
• Würdigung
  In den öffentlichen Informationen über das gemeldete Problem werden wir Ihren Namen als den Entdecker des Problems nennen (es sei denn, Sie wünschen etwas anderes).
• Anerkennung
  Als Zeichen unserer Dankbarkeit für Ihre Hilfe bieten wir eine Belohnung für jede Meldung eines Sicherheitsproblems, das uns noch nicht bekannt war. Die Höhe der Belohnung richtet sich nach dem Schweregrad des Lecks und der Qualität des Berichts. Die Mindestbelohnung ist ein 50 €-Gutschein.

Wir möchten alle Probleme so schnell wie möglich lösen, und wirken nach der Lösung des Problems aktiv an der Veröffentlichung mit.