Geltungsbereich
Diese Richtlinie gilt für die Website farekos.de und ihre Subdomains sowie für das Fachverfahren FAREKOS. Sie beschreibt, wie Sie uns mögliche Sicherheitslücken melden und wie wir damit umgehen.
Meldung einer Sicherheitslücke
Bitte melden Sie Schwachstellen per E-Mail an security@farekos.de. Hilfreich sind:
– eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen,
– die betroffene URL oder Komponente,
– nachvollziehbare Schritte zur Reproduktion.
Meldungen sind in deutscher oder englischer Sprache möglich. Auf Wunsch kann die Kommunikation verschlüsselt erfolgen.
Bearbeitung und Reaktionszeit
Wir bestätigen den Eingang Ihrer Meldung innerhalb von 5 Werktagen und informieren Sie über den weiteren Verlauf. Wir bitten Sie, eine festgestellte Schwachstelle vertraulich zu behandeln und uns 90 Tage zur Behebung einzuräumen, bevor Sie Informationen veröffentlichen. Eine abgestimmte Veröffentlichung ist nach Behebung möglich.
Verhaltensregeln
Bei Ihren Untersuchungen bitten wir Sie:
– keine Daten Dritter einzusehen, zu verändern oder zu löschen und bei Kontakt mit personenbezogenen Daten die Prüfung sofort abzubrechen,
– den Betrieb nicht zu stören (keine Denial-of-Service-Angriffe, kein Spam),
– keine Methoden des Social Engineering und keine physischen Angriffe einzusetzen,
– nur so weit zu testen, wie es zum Nachweis der Schwachstelle erforderlich ist.
Zusicherung bei gutgläubiger Meldung
Sicherheitsforschung, die im Einklang mit dieser Richtlinie und in gutem Glauben erfolgt, betrachten wir als erwünscht. Gegen Personen, die sich an diese Regeln halten, werden wir keine zivilrechtlichen Schritte einleiten und kein Strafverfahren anregen. Diese Zusicherung gilt nicht, soweit zwingendes Recht oder Rechte Dritter entgegenstehen; sie entbindet nicht von der Verantwortung für vorsätzliche Schädigung oder Datenmissbrauch.
Vergütung
Für gemeldete Schwachstellen wird keine Vergütung gezahlt. Wir danken Ihnen ausdrücklich für jeden verantwortungsvollen Hinweis.
Kontakt
