Enydea
Anmelden

Responsible Disclosure

Richtlinie zur Meldung von Sicherheitslücken

Unser Bekenntnis zur Sicherheit

Bei Enydea nehmen wir die Sicherheit unserer Plattform sehr ernst. Wir wissen den Einsatz der Security-Research-Community zu schätzen, die uns dabei hilft, die Sicherheit und Privatsphäre unserer Nutzer zu schützen.

Geltungsbereich

Diese Responsible-Disclosure-Richtlinie gilt für:

  • Alle Enydea-Webanwendungen (*.enydea.com)
  • Enydea-APIs und Backend-Dienste
  • Mobile Apps (sofern vorhanden)
  • Infrastruktur, auf der die Enydea-Dienste basieren

So melden Sie eine Sicherheitslücke

Wenn Sie eine Sicherheitslücke entdecken, melden Sie sie uns bitte vertraulich:

  • E-Mail:[email protected]
  • Betreff: „Security Vulnerability Report“
  • PGP-Schlüssel: Für verschlüsselte Kommunikation auf Anfrage erhältlich

Was Ihre Meldung enthalten sollte

Bitte geben Sie in Ihrer Meldung folgende Informationen an:

  • Beschreibung der Schwachstelle
  • Schritte zur Reproduktion des Problems
  • Mögliche Auswirkungen der Schwachstelle
  • Gegebenenfalls Proof-of-Concept-Code oder Screenshots
  • Ihre Kontaktdaten für Rückfragen

Unser Vorgehen nach Ihrer Meldung

  1. Eingangsbestätigung: Wir bestätigen den Eingang innerhalb von 2 Werktagen
  2. Bewertung: Unser Sicherheitsteam untersucht und bewertet das Problem
  3. Kommunikation: Wir halten Sie über den Fortschritt auf dem Laufenden
  4. Behebung: Wir arbeiten daran, die Schwachstelle umgehend zu beheben
  5. Anerkennung: Mit Ihrem Einverständnis würdigen wir Ihren Beitrag

Leitlinien

Damit Ihre Meldung als Responsible Disclosure gilt, beachten Sie bitte Folgendes:

  • Greifen Sie nicht ohne Erlaubnis auf Nutzerdaten zu und verändern Sie diese nicht
  • Führen Sie keine Aktionen aus, die Enydea oder seinen Nutzern schaden könnten
  • Veröffentlichen Sie die Sicherheitslücke nicht, bevor wir sie behoben haben
  • Bemühen Sie sich in gutem Glauben, Verletzungen der Privatsphäre und Serviceunterbrechungen zu vermeiden
  • Geben Sie uns vor einer Offenlegung angemessene Zeit, das Problem zu beheben (in der Regel 90 Tage)

Außerhalb des Geltungsbereichs

Folgendes fällt nicht unter diese Responsible-Disclosure-Richtlinie:

  • Denial-of-Service-Angriffe (DoS)
  • Social-Engineering-Angriffe gegen Enydea-Mitarbeiter
  • Probleme der physischen Sicherheit
  • Dienste von Drittanbietern, die wir nutzen, aber nicht kontrollieren
  • Probleme mit veralteten Browsern oder Plattformen
  • Self-XSS oder Probleme, die eine erhebliche Nutzerinteraktion erfordern

Anerkennung

Wir schätzen Sicherheitsforscher, die uns helfen, unsere Nutzer zu schützen. Je nach Schweregrad und Auswirkung der Sicherheitslücke können wir Folgendes anbieten:

  • Öffentliche Nennung in unserer Security Hall of Fame (mit Ihrer Zustimmung)
  • Ein Dankschreiben
  • Swag oder Merchandise-Artikel
  • Bei erheblichen Schwachstellen: Geldprämien (Bewertung im Einzelfall)

Rechtlicher Schutz (Safe Harbor)

Wir werden keine rechtlichen Schritte gegen Forscher einleiten, die:

  • Diese Responsible-Disclosure-Richtlinie befolgen
  • In gutem Glauben handeln
  • Nicht gegen geltende Gesetze verstoßen
  • Nicht unbefugt auf Nutzerdaten zugreifen oder diese verändern

Kontakt

Bei sicherheitsrelevanten Anfragen:

  • E-Mail: [email protected]
  • Firma: XBMS B.V.
  • Anschrift: Oldenzaalsestraat 1202, 7524 RJ Enschede, Niederlande
  • KvK-Nummer: 82379033

Danke, dass Sie uns helfen, Enydea sicher zu halten!