Schwachstelle melden

1. Unsere Richtlinie zur koordinierten Offenlegung

Wir nehmen Hinweise auf Schwachstellen ernst und arbeiten mit allen zusammen, die uns verantwortungsvoll informieren. Unser Vorgehen orientiert sich an den Grundsätzen der koordinierten Offenlegung nach ISO/IEC 29147: Sie melden uns die Schwachstelle vertraulich, wir prüfen und beheben sie, und erst danach wird sie – auf Wunsch gemeinsam abgestimmt – öffentlich.

2. Geltungsbereich

Die Richtlinie gilt für die Websites und Online-Dienste der Rootsektor IT-Security GmbH, insbesondere www.rootsektor.de mit allen Unterseiten und Formularen.

Nicht erfasst sind Systeme unserer Kunden und Partner sowie Dienste Dritter, die wir lediglich nutzen – etwa unser Webhosting, Microsoft 365 oder Google. Schwachstellen in solchen Systemen melden Sie bitte direkt dem jeweiligen Betreiber.

Nicht als Schwachstelle im Sinne dieser Richtlinie betrachten wir in der Regel Hinweise ohne nachvollziehbare Auswirkung auf die Sicherheit, etwa reine Versionsangaben, fehlende Best-Practice-Einstellungen ohne konkretes Angriffsszenario oder Ergebnisse automatisierter Scanner ohne Nachweis.

3. So melden Sie eine Schwachstelle

Nutzen Sie das Formular am Ende dieser Seite oder schreiben Sie an security@rootsektor.de – auf Deutsch oder Englisch. Eine verschlüsselte Übermittlung stimmen wir auf Wunsch gern mit Ihnen ab. Hilfreich sind vor allem diese Angaben:

• die betroffene URL bzw. das betroffene System,
• eine Beschreibung der Schwachstelle und ihrer Art, zum Beispiel Cross-Site Scripting oder Fehlkonfiguration,
• die Schritte, mit denen sich die Schwachstelle nachvollziehen lässt, gegebenenfalls mit Proof of Concept,
• Ihre Einschätzung der möglichen Auswirkungen,
• Ihre Kontaktdaten für Rückfragen – eine anonyme Meldung ist möglich, erschwert aber Rückfragen.

Maschinenlesbare Kontaktangaben nach RFC 9116 finden Sie in unserer security.txt.

4. Spielregeln

Damit Ihre Prüfung niemandem schadet, bitten wir Sie, folgende Regeln einzuhalten:

• Keine Angriffe, die die Verfügbarkeit beeinträchtigen, insbesondere keine Denial-of-Service-Tests.
• Keine automatisierten Massenscans und keine Brute-Force-Angriffe auf Anmeldungen.
• Greifen Sie nur auf so viele Daten zu, wie für den Nachweis der Schwachstelle unbedingt nötig ist. Ändern oder löschen Sie keine Daten und laden Sie keine Daten Dritter herunter.
• Kein Social Engineering gegenüber unseren Beschäftigten, Kunden oder Partnern und keine physischen Zutrittsversuche.
• Nutzen Sie eine gefundene Schwachstelle nicht weiter aus, als es für den Nachweis erforderlich ist, und installieren Sie keine Hintertüren.
• Behandeln Sie Ihre Erkenntnisse vertraulich, bis die Schwachstelle behoben ist und wir eine Veröffentlichung gemeinsam abgestimmt haben.

5. Ablauf nach Ihrer Meldung

1. Eingangsbestätigung: Wir bestätigen den Eingang Ihrer Meldung in der Regel innerhalb weniger Werktage.
2. Prüfung und Bewertung: Wir vollziehen die Schwachstelle nach, bewerten ihren Schweregrad und melden uns bei Rückfragen bei Ihnen.
3. Behebung: Wir beheben bestätigte Schwachstellen so schnell, wie es ihr Risiko erfordert, und halten Sie über den Stand auf dem Laufenden.
4. Koordinierte Veröffentlichung: Ob und wann Details veröffentlicht werden, stimmen wir mit Ihnen ab – in der Regel erst, nachdem die Schwachstelle behoben ist.

6. Unsere Zusagen

Wenn Sie sich an diese Richtlinie halten, sichern wir Ihnen zu:

• Wir behandeln Ihre Meldung und Ihre Daten vertraulich und geben Ihre Kontaktdaten ohne Ihre Zustimmung nicht an Dritte weiter.
• Wir sehen davon ab, rechtliche Schritte gegen Sie einzuleiten, wenn Sie in gutem Glauben und im Einklang mit dieser Richtlinie gehandelt haben (Safe Harbor). Diese Zusage gilt für die Rootsektor IT-Security GmbH; Rechte Dritter, etwa von Dienstleistern oder Behörden, können wir damit nicht ausschließen.
• Auf Wunsch nennen wir Sie nach der Behebung namentlich als Finderin oder Finder der Schwachstelle.

7. Keine Vergütung

Wir betreiben kein Bug-Bounty-Programm und zahlen für Meldungen keine Vergütung. Über eine namentliche Nennung freuen wir uns, wenn Sie das wünschen.

8. Datenschutz

Ihre Meldung erreicht uns per E-Mail an security@rootsektor.de. Wir verwenden Ihre Angaben ausschließlich zur Bearbeitung der Meldung und für Rückfragen. Einzelheiten finden Sie in unserer Datenschutzerklärung.