legal

Verantwortungsvolle Offenlegung

Bei mave.io legen wir großen Wert auf die Sicherheit unserer Systeme. Aber egal wie viel Aufwand wir in die Systemsicherheit stecken, es können immer noch Schwachstellen vorhanden sein.

Wenn Sie eine Sicherheitslücke entdecken, würden wir gerne davon erfahren, damit wir schnellstmöglich Maßnahmen ergreifen können, um diese zu beheben. Wir möchten Sie bitten, uns dabei zu helfen, unsere Kunden und unsere Systeme besser zu schützen.

Bitte gehen Sie wie folgt vor:

• Senden Sie Ihre Ergebnisse per E-Mail an [email protected]. Verschlüsseln Sie Ihre Ergebnisse mit unserem PGP-Schlüssel, um zu verhindern, dass diese wichtigen Informationen in die falschen Hände geraten.
• Nutzen Sie die von Ihnen entdeckte Sicherheitslücke oder das von Ihnen entdeckte Problem nicht aus, indem Sie beispielsweise mehr Daten herunterladen, als zum Nachweis der Sicherheitslücke erforderlich sind, oder indem Sie die Daten anderer Personen löschen oder ändern.
• Geben Sie das Problem nicht an andere weiter, bis es gelöst ist.
• Verwenden Sie keine Angriffe auf die physische Sicherheit, Social Engineering, Distributed Denial of Service, Spam oder Anwendungen Dritter
• Geben Sie ausreichend Informationen an, um das Problem zu reproduzieren, damit wir es so schnell wie möglich lösen können. Normalerweise reichen die IP-Adresse oder die URL des betroffenen Systems und eine Beschreibung der Schwachstelle aus, bei komplexen Schwachstellen kann jedoch eine weitere Erläuterung erforderlich sein.

Was wir versprechen:

• Wir antworten auf Ihre Meldung mit unserer Bewertung und einem voraussichtlichen Lösungstermin innerhalb von 10 Werktagen für Meldungen mit hoher Priorität, 20 Werktagen für Meldungen mit mittlerer Priorität und 30 Werktagen für Meldungen mit niedriger Priorität.
• Wenn Sie die oben genannten Anweisungen befolgt haben, werden wir im Hinblick auf die Meldung keine rechtlichen Schritte gegen Sie einleiten.
• Wir werden Ihre Meldung streng vertraulich behandeln und Ihre persönlichen Daten nicht ohne Ihre Zustimmung an Dritte weitergeben.
• Wir halten Sie über den Fortschritt bei der Lösung des Problems auf dem Laufenden.
• In der öffentlichen Information über das gemeldete Problem nennen wir Ihren Namen als Entdecker des Problems (sofern Sie nichts anderes wünschen) und
• Als Dankeschön für Ihre Hilfe bieten wir eine Belohnung für jede Meldung eines Sicherheitsproblems an, das uns noch nicht bekannt war. Die Höhe der Belohnung richtet sich nach der Schwere des Lecks und der Qualität der Meldung. Die Mindestbelohnung ist ein Geschenkgutschein im Wert von 10 €, wenn wir davon ausgehen, dass es sich um einen gültigen Bericht handelt.
• Wir sind bestrebt, alle Probleme so schnell wie möglich zu lösen, und möchten nach der Lösung des Problems eine aktive Rolle bei der endgültigen Veröffentlichung des Problems spielen.

Ausgeschlossene Arten von Sicherheitsproblemen:

• SPF/DMARC-Einträge
• (D)DOS-Angriffe und Ratenbegrenzung von Anrufen
• Probleme, die auf Self-XSS hinauslaufen
• Fehlermeldungen ohne sensible Daten
• Berichte darüber, welche Software wir nutzen, lassen sich ableiten
• Probleme, die den Einsatz stark veralteter Betriebssysteme, Browser oder veralteter Plug-Ins erfordern
• Probleme, die bereits von Schwachstellen-Scan-Tools wie Dependabot und Snyk gemeldet wurden
• Probleme, die uns bereits bekannt sind
• Unsere Marketing-Website (https://mave.io)

Diese Richtlinie zur verantwortungsvollen Offenlegung basiert auf einer Vorlage von Floor Terra.