Richtlinie zur Meldung von Sicherheitslücken

So melden Sie eine Sicherheitslücke

Bitte senden Sie Ihre Meldung per E-Mail an security@aiteza.ai. Meldungen auf Deutsch oder Englisch sind willkommen. Geben Sie nach Möglichkeit an:

• eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen
• die betroffene URL, Komponente oder Version
• die Schritte zur Reproduktion, idealerweise mit einem Proof of Concept
• wie wir Sie für Rückfragen erreichen können

Eine maschinenlesbare Fassung dieses Kontakts finden Sie unter /.well-known/security.txt.

Was Sie von uns erwarten können

• Wir bestätigen den Eingang Ihrer Meldung in der Regel innerhalb von fünf Werktagen.
• Wir prüfen die Meldung und halten Sie über den Stand der Bearbeitung auf dem Laufenden.
• Wir behandeln Ihre Meldung vertraulich und geben Ihre personenbezogenen Daten nicht ohne Ihre Zustimmung an Dritte weiter.
• Auf Wunsch nennen wir Sie nach Behebung der Schwachstelle namentlich als Entdecker.

Regeln für Sicherheitsforschende

• Greifen Sie nur so weit auf Daten zu, verändern oder löschen Sie sie nur so weit, wie es zum Nachweis der Schwachstelle unbedingt nötig ist. Greifen Sie nicht auf Daten anderer Nutzer zu.
• Führen Sie keine Denial-of-Service-Angriffe, kein Social Engineering, kein Phishing und keine physischen Angriffe durch.
• Setzen Sie automatisierte Scanner nicht so ein, dass die Verfügbarkeit unserer Dienste beeinträchtigt wird.
• Nutzen Sie die Schwachstelle nicht über das Notwendige hinaus aus und löschen Sie erlangte Daten nach Abschluss der Meldung.
• Geben Sie uns angemessene Zeit zur Behebung, bevor Sie die Schwachstelle veröffentlichen, und stimmen Sie die Veröffentlichung mit uns ab.

Geltungsbereich

Diese Richtlinie gilt für die Website aiteza.ai und die von der weyer data engineering gmbh betriebene AITEZA-Plattform. Nicht umfasst sind:

• Dienste und Systeme von Drittanbietern, etwa eingebundene Buchungs- oder Videodienste
• Meldungen ohne nachweisbare Sicherheitsauswirkung, zum Beispiel allein fehlende Best-Practice-Header oder sichtbare Versionsnummern
• Schwachstellen, die physischen Zugriff auf ein Gerät oder ein bereits kompromittiertes Endgerät voraussetzen

Rechtliche Zusicherung

Wenn Sie in gutem Glauben handeln und diese Richtlinie einhalten, werden wir im Zusammenhang mit Ihrer Meldung keine rechtlichen Schritte gegen Sie einleiten. Dies gilt nicht bei erkennbar kriminellen Absichten.

Kein Bug-Bounty-Programm

Wir betreiben derzeit kein Bug-Bounty-Programm und zahlen keine finanziellen Belohnungen für Meldungen.