Melden von Produktschwachstellen – Responsible Disclosure Policy

Sicherheit hat für uns bei idgard höchste Priorität. Wir schätzen die Zusammenarbeit mit Sicherheitsforschern und anderen Personen, die Schwachstellen verantwortungsvoll melden. Diese Policy beschreibt, wie Sie Sicherheitslücken melden können und wie wir damit umgehen.

1. Private Disclosure Modell

Wir bitten Sie, entdeckte Schwachstellen ausschließlich vertraulich an uns zu melden und keine Details öffentlich zu machen. So geben Sie uns die Möglichkeit, eine Schwachstelle zu prüfen und zu beheben und setzen unsere Kunden keinem erhöhten Sicherheitsrisiko aus.

2. So melden Sie eine Schwachstelle

Bitte senden Sie Ihre Meldung per E-Mail an:

security(at)idgard.de

Gerne können Sie Ihre Nachricht verschlüsseln. Senden Sie dazu eine signierte und persönliche Nachricht an uns, welche wir mit einer signierten E-Mail beantworten.

Alternativ können Sie uns direkt über unser Kontaktformular unter Angabe gültiger und persönlicher Kontaktinformationen und der Angabe “Meldung einer Sicherheitslücke” eine Nachricht zukommen lassen.

3. Was wir von Ihnen benötigen

Bitte ermöglichen Sie es uns, durch eine persönliche Ansprache und ihre Kontaktinformationen, mit Ihnen Verbindung aufzunehmen.

Bitte geben Sie möglichst viele Details zur Schwachstelle an, z. B.:

• Produkt, Version und betroffene Komponenten
• Beschreibung der Schwachstelle und ihrer Auswirkungen
• Schritt-für-Schritt-Anleitung zur Reproduktion
• Ggf. Proof-of-Concept oder Beispielcode/-scripts

4. Unser Umgang mit Ihrer Meldung

• Eingangsbestätigung: Wir bestätigen den Eingang Ihrer Meldung innerhalb von maximal 3 Werktagen.
• Kommunikation: Wir halten Sie regelmäßig per E-Mail über den Stand der Bearbeitung auf dem Laufenden.
• Analyse & Lösung: Wir prüfen die Schwachstelle sorgfältig und streben eine Behebung innerhalb von 90 Tagen nach Eingang der Meldung an.
• Veröffentlichung: Nach erfolgreicher Behebung oder Ablauf der Frist stimmen wir uns mit Ihnen über eine mögliche Veröffentlichung der Schwachstelle ab.
• Anerkennung: Auf Wunsch nennen wir Sie gerne als Finder der Schwachstelle in unseren Sicherheitsmitteilungen.

5. Was wir von Ihnen erwarten

• Keine Veröffentlichung oder Weitergabe von Schwachstellendetails ohne unsere explizite Zustimmung.
• Keine Ausnutzung der Schwachstelle über das zur Demonstration notwendige Maß hinaus.
• Keine Beeinträchtigung von Systemen, Daten oder Nutzern.

6. Rechtlicher Hinweis

Wir verfolgen keine rechtlichen Schritte gegen Personen, die sich an diese Policy halten und Schwachstellen verantwortungsvoll melden.

Vielen Dank für Ihre Unterstützung, unsere Produkte sicherer zu machen!