Richtlinie zur koordinierten Offenlegung von Schwachstellen

Wie wir mit Schwachstellenmeldungen und deren Offenlegung umgehen

Zweck

BudgetBakers begrüßt die verantwortungsvolle Meldung von Sicherheitslücken in seinen Produkten.

Zweck dieser Richtlinie ist es, Sicherheitsforschern, Nutzern und anderen Parteien die sichere Meldung potenzieller Schwachstellen zu ermöglichen und deren Untersuchung und Behebung zu erlauben, bevor technische Details veröffentlicht werden.

Geltungsbereich

Diese Richtlinie gilt für potenzielle Sicherheitslücken in BudgetBakers-Produkten. Sie umfasst auch Schwachstellen in Drittanbieter-Komponenten, wenn:

  • Die Komponente in ein BudgetBakers-Produkt integriert ist, oder
  • Ihre Schwachstelle die Sicherheit eines BudgetBakers-Produkts beeinträchtigt

Sie gilt nicht für eigenständige Drittanbieter-Produkte, die nicht Teil eines BudgetBakers-Produkts sind und keine Auswirkungen auf dessen Sicherheit haben.

Regeln für Sicherheitsforschung

BudgetBakers bittet Meldende:

  • In gutem Glauben und mit dem Ziel zu handeln, die Sicherheit zu verbessern
  • Nach Möglichkeit nur eigene Konten und eigene Daten zu testen
  • Den Zugriff auf Daten anderer Nutzer zu minimieren
  • Keine personenbezogenen oder finanziellen Daten zu kopieren oder aufzubewahren, sofern dies nicht zum Nachweis der Schwachstelle erforderlich ist
  • Weitere Tests in diese Richtung einzustellen, wenn versehentlich auf Daten eines anderen Nutzers zugegriffen wurde
  • Die Verfügbarkeit des Dienstes nicht zu beeinträchtigen
  • Keine DoS/DDoS-Tests durchzuführen
  • Kein Social Engineering gegenüber Mitarbeitern oder Nutzern einzusetzen
  • Keine physischen Angriffe durchzuführen
  • Keine destruktiven Tests durchzuführen
  • Erlangten Zugriff zu keinem anderen Zweck als zur Überprüfung der Schwachstelle zu nutzen

Was nach Ihrer Meldung passiert

Nach Eingang einer Meldung wird BudgetBakers:

  1. 1Die Meldung erfassen
  2. 2Eine erste Sicherheitstriage durchführen
  3. 3Bei Bedarf zusätzliche Informationen vom Meldenden anfordern
  4. 4Reproduzierbarkeit und Auswirkungen der Schwachstelle überprüfen
  5. 5Festlegen, wie sie behoben oder abgemildert wird
  6. 6Eine etwaige öffentliche Offenlegung koordinieren
  7. 7Den Meldenden, soweit angemessen, über das Ergebnis informieren

Koordinierte Offenlegung

Wir bitten Meldende, keine technischen Details einer Schwachstelle zu veröffentlichen, bevor den Nutzern eine Behebung oder geeignete Abhilfe zur Verfügung steht oder bevor ein anderes mit BudgetBakers vereinbartes Datum erreicht ist.

BudgetBakers wird sich bemühen, die Offenlegung mit dem Meldenden auf angemessene und transparente Weise zu koordinieren.

Bug Bounty

BudgetBakers betreibt derzeit kein öffentliches Bug-Bounty-Programm. Die Meldung einer Schwachstelle begründet für sich genommen keinen Anspruch auf eine finanzielle oder sonstige Belohnung.

In Ausnahmefällen kann BudgetBakers nach eigenem Ermessen eine Belohnung für einen besonders bedeutenden oder gut dokumentierten Sicherheitsfund anbieten.

Verantwortungsvolle Forschung / Safe Harbour

BudgetBakers beabsichtigt nicht, allein aufgrund von Sicherheitsforschung, die in gutem Glauben und im Einklang mit dieser Richtlinie durchgeführt wird, rechtliche Schritte einzuleiten.

Dies gilt nicht für Handlungen, die darauf abzielen, dem Unternehmen, seinen Nutzern oder Dritten zu schaden, oder die eindeutig über das zur Überprüfung der Schwachstelle Erforderliche hinausgehen.

Eine Schwachstelle gefunden?

Melden Sie sie über unsere Sicherheitskontaktstelle.

Sicherheitslücke melden