1. Eine Sicherheitslücke melden

Um eine Sicherheitslücke zu melden, senden Sie uns bitte eine E-Mail an: [email protected]

Betreff: [Sicherheitslücken-Bericht]

Bitte fügen Sie Ihrem Bericht folgendes bei:

• Eine klare Beschreibung der Schwachstelle und ihrer potenziellen Auswirkungen
• Schritt-für-Schritt-Anleitung zur Reproduktion des Problems
• Die betroffene URL, den Endpunkt oder die Komponente
• Optionaler Proof-of-Concept-Code oder Screenshots
• Ihre Kontaktdaten, damit wir uns bei Ihnen melden können

2. Unser Engagement Ihnen gegenüber

Wenn Sie eine Sicherheitslücke in gutem Glauben melden, verpflichten wir uns:

• Ihren Bericht innerhalb von 48 Stunden zu bestätigen
• Sie regelmäßig über unsere Fortschritte zu informieren
• Bestätigte Schwachstellen so schnell wie möglich zu beheben
• Sie zu benachrichtigen, wenn das Problem behoben wurde
• Keine rechtlichen Schritte gegen Forscher einzuleiten, die die Richtlinien zur verantwortungsvollen Offenlegung befolgen
• Sie in unseren Danksagungen zu nennen (falls gewünscht)

3. Richtlinien zur verantwortungsvollen Offenlegung

Wir bitten Sicherheitsforscher:

• Keine Daten anderer Nutzer aufzurufen, zu ändern, zu kopieren oder zu löschen
• Keine Denial-of-Service-Angriffe (DoS) durchzuführen
• Keine automatisierten Scanner ohne vorherige Genehmigung gegen unsere Infrastruktur einzusetzen
• Keine Social-Engineering-, Phishing- oder physischen Angriffe gegen unser Team zu versuchen
• Uns eine angemessene Zeit zur Behebung des Problems zu geben, bevor es öffentlich bekannt gemacht wird (wir bitten um 90 Tage)
• Keine Details zur Schwachstelle zu veröffentlichen, bis wir einen Fix veröffentlicht haben
• Nur so viel zu testen wie nötig, um die Schwachstelle zu bestätigen

4. Umfang

Im Umfang

Folgendes ist im Rahmen der verantwortungsvollen Offenlegung abgedeckt:

• Die FactCheckTool.com-Webanwendung
• Unsere Backend-API-Endpunkte
• Authentifizierungs- und Kontoverwaltungssysteme
• Datei-Upload- und Verarbeitungspipeline
• Unser Zahlungsablauf

Außerhalb des Umfangs

Folgendes liegt außerhalb des Geltungsbereichs dieser Richtlinie:

• Von uns genutzte Drittanbieterdienste
• Social-Engineering- oder Phishing-Angriffe
• Physische Sicherheit unserer Infrastruktur
• Denial-of-Service- oder volumetrische Angriffe
• E-Mail-Spoofing oder Spam ohne nachgewiesene Auswirkung

5. security.txt

Wir pflegen eine standardmäßige security.txt-Datei unter /.well-known/security.txt gemäß RFC 9116.