Sicherheit

Richtlinie zur verantwortungsvollen Offenlegung (Responsible Disclosure Policy)

Wir nehmen die Sicherheit unserer Systeme sehr ernst. Die verantwortungsvolle Meldung von Sicherheitslücken hilft uns dabei, die Sicherheit und den Datenschutz unserer Nutzer:innen zu gewährleisten.

Richtlinien

Wir erwarten von allen Sicherheitsforscher:innen, dass sie:

  • sich nach besten Kräften bemühen, während der Sicherheitstests Verletzungen der Privatsphäre, Beeinträchtigungen der Nutzererfahrung, Störungen von Produktionssystemen sowie Datenverluste zu vermeiden;
  • ihre Untersuchungen ausschließlich innerhalb des unten definierten Geltungsbereichs durchführen;
  • die vorgesehenen Kommunikationskanäle nutzen, um uns Informationen über Sicherheitslücken zu übermitteln;
  • und Informationen über entdeckte Sicherheitslücken vertraulich behandeln (nur zwischen Ihnen und frauenhaus-nbg.de), bis wir 90 Tage Zeit hatten, das Problem zu beheben. Sollte das Problem eine Bibliothek eines Drittanbieters (einschließlich Open-Source-Software) betreffen, bitten wir Sie, deren jeweilige Offenlegungsrichtlinien zu beachten.

Wenn Sie diese Richtlinien bei der Meldung eines Problems befolgen, sichern wir Ihnen Folgendes zu:

  • Wir werden keine rechtlichen Schritte im Zusammenhang mit Ihrer Untersuchung einleiten oder unterstützen.
  • Wir arbeiten mit Ihnen zusammen, um das Problem zu verstehen und schnell zu beheben (einschließlich einer ersten Bestätigung Ihrer Meldung innerhalb von 92 Stunden nach Einreichung).
  • Wir würdigen Ihren Beitrag in unserer „Security Researcher Hall of Fame“ in unseren Büroräumen, sofern Sie das Problem als Erste:r gemeldet haben und wir aufgrund dieser Meldung eine Änderung am Code oder an der Konfiguration vornehmen.

Geltungsbereich

Diese Richtlinien gelten für unsere Website frauenhaus-nbg.de.

Im Interesse der Sicherheit unserer Nutzer:innen, unserer Mitarbeiterinnen, des Internets im Allgemeinen sowie Ihrer eigenen Sicherheit als Sicherheitsforscher:in sind folgende Testarten vom Geltungsbereich ausgeschlossen:

  • Ergebnisse aus physischen Tests, wie z. B. Zugang zu Büroräumen (z. B. offene Türen, unbefugtes Mitgehen durch Türen/„Tailgating“)
  • Ergebnisse, die primär auf Social Engineering basieren (z. B. Phishing)
  • Ergebnisse zu Anwendungen oder Systemen, die nicht im Abschnitt „Geltungsbereich“ aufgeführt sind
  • UI- und UX-Fehler sowie Rechtschreibfehler
  • Schwachstellen, die Denial-of-Service-Angriffe (DoS/DDoS) auf Netzwerkebene ermöglichen

Dinge, die wir nicht erhalten möchten:

  • Personenbezogene Daten (PII)

Wie meldet man eine Sicherheitslücke?

Wenn Sie vermuten, eine Sicherheitslücke in einem unserer Produkte oder auf einer unserer Plattformen entdeckt zu haben, senden Sie uns bitte eine E-Mail an sicherheit@frauenhaus-nbg.de.

Bitte geben Sie in Ihrer Meldung folgende Informationen an:

  • Beschreibung des Fundorts und der möglichen Auswirkungen der Sicherheitslücke
  • Eine detaillierte Beschreibung der Schritte zur Reproduktion der Sicherheitslücke (PoC-Skripte, Screenshots und komprimierte Bildschirmaufnahmen sind für uns hilfreich).