Wir nehmen die Sicherheit unserer Systeme und der Daten unserer Kundinnen und Kunden ernst. Wenn du eine Schwachstelle bei uns entdeckt hast, freuen wir uns über deinen Hinweis.

So meldest du uns eine Schwachstelle

Schreib uns an security-reports@sicher3.de. Bitte nenne:

• die betroffene Adresse (URL, Subdomain oder Dienst),
• eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkung,
• die Schritte, mit denen wir sie nachvollziehen können (ein Screenshot oder eine kurze Anleitung genügt),
• wie wir dich erreichen können, falls wir Rückfragen haben.

Wir bearbeiten nur Meldungen, die diese Angaben enthalten. Auf Nachrichten ohne konkreten Hinweis (zum Beispiel leere Mails oder reine Angebote) antworten wir nicht.

Bitte schick keine sensiblen Daten mit, die du beim Auffinden zufällig gesehen hast. Eine Beschreibung, dass du Zugriff darauf hattest, reicht uns.

Was wir gern von dir hören

Hinweise auf Schwachstellen, die ohne Eingriff in unsere Systeme sichtbar sind und eine konkrete Auswirkung haben, sind jederzeit willkommen. Das sind zum Beispiel öffentlich erreichbare interne Dateien, Backups oder Zugangsdaten, Konfigurationsfehler, über die Daten abfließen können, oder Subdomains, die übernommen werden könnten. Bei Software melde uns bitte nur, was belegbar ein Problem ist: eine Version, die der Hersteller nicht mehr unterstützt (End of Life), oder eine mit einer bekannten, ausnutzbaren Sicherheitslücke.

Nicht melden musst du reine Scanner-Ergebnisse ohne erkennbare Auswirkung, zum Beispiel einen fehlenden Sicherheits-Header oder eine Version, die lediglich nicht die neueste ist (etwa eine ältere Minor-Version).

Worum wir dich bitten

• Führe keine Tests durch, die Daten verändern, Systeme beeinträchtigen oder auf Daten Dritter zugreifen.
• Verzichte auf Lasttests, automatisierte Massenabfragen und Angriffe auf Mitarbeitende (zum Beispiel Phishing und Social Engineering).
• Greif nicht weiter auf Systeme oder Daten zu, als nötig ist, um die Schwachstelle zu belegen. Stößt du auf Daten Dritter, brich bitte ab und melde es uns.
• Gib die Schwachstelle nicht an Dritte weiter und veröffentliche sie nicht, bevor wir sie beheben konnten.

Wir können für Tests an unseren Systemen keine rechtliche Freistellung zusagen. Für Systeme und Dienste Dritter (zum Beispiel unseres Hosters) können wir ohnehin nicht sprechen.

Was du von uns erwarten kannst

• Wir bestätigen den Eingang einer vollständigen Meldung innerhalb von fünf Werktagen.
• Wir melden uns mit einer ersten Einschätzung und halten dich über den Stand der Behebung auf dem Laufenden.
• Wir behandeln deine Meldung und deine Kontaktdaten vertraulich.
• Wir beheben bestätigte Schwachstellen so schnell wie möglich und stimmen mit dir ab, wann eine Veröffentlichung sinnvoll ist. Als Richtwert nennen wir 90 Tage nach deiner Meldung.
• Auf Wunsch nennen wir dich nach der Behebung als Melderin oder Melder. Sag uns einfach, ob und wie.

Ein Bug-Bounty-Programm mit Prämien haben wir nicht.

Geltungsbereich

Diese Seite gilt für sicher3.de und die von uns betriebenen Subdomains sowie den Webscanner. Nicht erfasst sind Dienste Dritter, auch wenn wir sie nutzen.

Fragen zum Datenschutz

Für Fragen zu personenbezogenen Daten wende dich bitte an datenschutz@sicher3.de.

Diese Informationen stehen auch maschinenlesbar in unserer security.txt.