Richtlinie zur Meldung von Sicherheitslücken

Diese Richtlinie gilt für blog.sekurity.de und für nichts sonst: für die Anwendung, die den Blog ausliefert, für die Inhalte, die wir dort veröffentlichen, und für die Konfiguration, die wir kontrollieren.

Der Geltungsbereich ist bewusst eng gefasst. Dies ist eine statische Website auf angemieteter Infrastruktur — ein erheblicher Teil dessen, was Ihr Datenverkehr berührt, steht daher nicht in unserer Verfügungsgewalt. Die nächsten beiden Abschnitte benennen diese Grenze genau, denn ein Geltungsbereich, den man erraten muss, ist keiner.

Meldungen in diesen Kategorien schließen wir ohne inhaltliche Prüfung. Das ist keine Aussage darüber, ob das zugrundeliegende Problem real ist — einige davon sind es, sie gehören nur jemand anderem.

Wir schreiben die Inhalte und den Code; alles darunter mieten wir an. Wir können keine Erlaubnis erteilen, Systeme zu testen, die wir nicht betreiben — und diese Richtlinie gibt auch nicht vor, es zu können.

Liegt Ihr Befund in einem der folgenden Dienste statt in unserer Anwendung, melden Sie ihn bitte dessen Betreiber. Diese unterhalten eigene Meldeprogramme und können das Problem tatsächlich beheben. Wir können weder das eine noch das andere.

Tests an diesem Blog laufen zwangsläufig über unseren Hosting-Anbieter. Das lässt sich nicht vermeiden, und gegen gewöhnliche manuelle Tests unserer Anwendung mit geringem Volumen haben wir nichts einzuwenden.

Für die Einhaltung der Nutzungsbedingungen dieser Anbieter bleiben Sie neben dieser Richtlinie selbst verantwortlich. Nichts hier setzt sie außer Kraft, und wir können Sie nicht davon entbinden.

Halten Sie die Anfragerate auf einem Niveau, das ein Mensch plausibel erzeugen könnte, hören Sie auf, sobald Sie einen Nachweis haben, und testen Sie mit Ihren eigenen Daten statt mit denen anderer.

Schreiben Sie an security@sekurity.de. Ist der Befund sensibel, verschlüsseln Sie ihn bitte mit unserem PGP-Schlüssel — demselben Schlüssel, der unsere security.txt signiert.

Eine Meldung, die wir nachvollziehen können, wird schneller behoben als eine ausführliche, die wir nicht reproduzieren können. Stellen Sie die Reproduktion daher an den Anfang.

Wir sind ein kleines Team. Die folgenden Fristen sind daher bewusst zurückhaltend gewählt, damit wir sie auch einhalten können. In der Praxis beantworten wir die meisten Meldungen noch in derselben Woche.

Wenn Sie sich an diese Richtlinie halten, wird die SEKurity GmbH wegen Ihrer Untersuchung keine zivilrechtlichen Ansprüche gegen Sie geltend machen und keine Strafverfolgung anregen oder unterstützen. Wir betrachten solche Tests als genehmigt.

Dieses Wort ist hier entscheidend: Die §§ 202a–202c StGB stellen den unbefugten Zugang unter Strafe, und die Befugnis ist genau der Unterschied zwischen Forschung und Straftat. Sollte ein Dritter wegen einer Untersuchung vorgehen, die Sie im Rahmen dieser Richtlinie auf unserer Website durchgeführt haben, werden wir öffentlich und schriftlich bestätigen, dass sie genehmigt war.

Die Grenzen, klar benannt — denn ein Safe Harbour mit verdeckten Rändern ist schlechter als gar keiner:

Wir möchten einen Befund aus dem Geltungsbereich beheben, bevor er veröffentlicht wird, und bitten Sie, mit der Veröffentlichung bis zur Auslieferung des Fixes oder 90 Tage ab Ihrer Meldung zu warten — je nachdem, was früher eintritt.

Neunzig Tage sind eine Obergrenze, kein Ziel. Beheben wir es in einer Woche, veröffentlichen Sie in einer Woche. Brauchen wir länger, fragen wir Sie, begründen es und akzeptieren, dass die Entscheidung letztlich bei Ihnen liegt.

Wir werden Sie nicht bitten, als Bedingung für eine Meldung eine Verschwiegenheitsvereinbarung zu unterzeichnen, und wir werden keine Veröffentlichungsfrist nutzen, um einen Befund auszusitzen.

Wir betreiben kein Bug-Bounty-Programm und zahlen keine Prämien für Meldungen. Das hier klar zu sagen ist fairer, als Sie es erst nach getaner Arbeit herausfinden zu lassen.

Was wir anbieten können, ist Anerkennung: Wir nennen Sie auf Wunsch namentlich, mit einem Link Ihrer Wahl, im Fix und überall dort, wo wir den Befund beschreiben — oder wahren Ihre Anonymität, wenn Ihnen das lieber ist.