Sicherheitslücken melden

Geltungsbereich

Diese Richtlinie gilt für alle von der fino data services GmbH betriebenen Produkte, Dienste, Websites und Anwendungen - unabhängig davon, unter welche Marke oder Domain sie angeboten werden.

Nicht im Geltungsbereich

Nicht von dieser Richtlinie erfasst sind:

Dienste und Infrastruktur von Drittanbietern, die wir nutzen, aber nicht selbst betreiben
Produkte und Websites von Partnern oder verbundenen Unternehmen, die nicht der fino data services GmbH gehören
Angriffe, die auf die Verfügbarkeit unserer Systeme abzielen (z. B. Denial-of-Service)
Social Engineering gegenüber unseren Mitarbeitenden, Kundinnen und Kunden sowie physische Angriffe auf unsere Standorte

Bei Unsicherheit, ob ein System in den Geltungsbereich fällt, kontaktieren Sie uns bitte vorab.

So melden Sie eine Schwachstelle

Senden Sie Ihre Meldung an [email protected]. Damit wir Ihren Hinweis schnell einordnen und nachvollziehen können, sind diese Angaben hilfreich:

Eine Beschreibung der Schwachstelle und des betroffenen Dienstes, der URL oder des Endpunkts.
Nachvollziehbare Schritte oder ein Proof of Concept, mit denen sich das Problem reproduzieren lässt.
Die möglichen Auswirkungen, soweit Sie sie einschätzen können.
Ihre Kontaktdaten für Rückfragen.

Wenn Sie sensible Details verschlüsselt übermitteln möchten, nutzen Sie unseren PGP-Schlüssel. Alternativ weisen Sie in Ihrer ersten Nachricht darauf hin - wir stellen Ihnen dann einen verschlüsselten Kanal bereit.

[email protected]

Worum wir Sie bitten

Damit wir Ihre Arbeit als gutgläubige Sicherheitsforschung behandeln können, gelten folgende verbindliche Regeln:

Greifen Sie ausschließlich auf Daten zu, die für den Nachweis der Schwachstelle zwingend erforderlich sind. Fremde Daten dürfen Sie weder löschen noch verändern.
Wahren Sie die Privatsphäre Dritter. Personenbezogene Daten, auf die Sie stoßen, dürfen Sie nicht weitergeben und nicht länger als für den Nachweis nötig speichern.
Denial-of-Service-Angriffe, Spam und Social Engineering gegen unsere Mitarbeitenden, Kunden oder Partner sind strikt untersagt. Solche Handlungen gelten nicht als Sicherheitsforschung, sind nicht vom Safe Harbor (siehe unten) gedeckt und können straf- und zivilrechtliche Folgen haben.
Nutzen Sie eine Schwachstelle nicht über das für den Nachweis erforderliche Maß hinaus aus. Insbesondere dürfen Sie keine Daten abziehen, verändern oder sich dauerhaften Zugriff einrichten.
Geben Sie uns angemessene Zeit zur Behebung. Details veröffentlichen Sie erst nach vorheriger Abstimmung mit uns. (Responsible Disclosure)

Unser Umgang mit Ihrer Meldung

Wir bestätigen den Eingang Ihrer Meldung, in der Regel innerhalb eines Werktages.
Wir prüfen den Hinweis und melden uns bei Rückfragen.
Wir halten Sie über den Stand der Bearbeitung und über die Behebung auf dem Laufenden.

Kein Bug-Bounty-Programm

Wir betreiben derzeit kein Bug-Bounty-Programm und zahlen keine Geldprämien für Meldungen. Über jeden seriösen Hinweis freuen wir uns dennoch und behandeln ihn mit der gleichen Sorgfalt.

Safe Harbor

Wenn Sie in gutem Glauben handeln und sich an diese Richtlinie halten, betrachten wir Ihre Sicherheitsforschung als autorisiert. Wir leiten in diesem Fall keine rechtlichen Schritte gegen Sie ein und veranlassen keine Anzeige wegen Ihrer Forschung.

Sollte ein Dritter rechtliche Schritte gegen Sie einleiten, weil Sie sich an diese Richtlinie gehalten haben, machen wir auf Anfrage deutlich, dass Ihr Vorgehen mit uns abgestimmt war. Bei Unsicherheit, ob eine bestimmte Handlung von dieser Richtlinie gedeckt ist, fragen Sie uns vorab.