Richtlinie zur verantwortungsvollen Offenlegung von Sicherheitslücken

Einleitung

Blackforest Systems nimmt Sicherheit ernst. Wenn Sie eine Schwachstelle in der Elite Lux Admin Panel gefunden haben, schätzen wir eine verantwortungsvolle Meldung.

Geltungsbereich

Im Geltungsbereich (in-scope):

Elite Lux Admin Panel (alle Versionen auf Hetzner DE)
API-Endpunkte und Authentifizierung
Session-Management und Cookies
Infrastrukturkomponenten (Caddy, OpenBao, Stalwart)

Nicht im Geltungsbereich (out-of-scope):

Social-Engineering-Angriffe auf Mitarbeiter
Physischer Zugang zu Kundenservern
Schwachstellen in Drittanbieterdiensten, die nicht unter unserer Kontrolle stehen

Wie Sie eine Schwachstelle melden

E-Mail:security@blackforest-systems.de

Betreff:[CVD] Kurze Beschreibung der Schwachstelle

Bitte fügen Sie folgendes bei:

Beschreibung der Schwachstelle und deren mögliche Auswirkungen
Reproduktionsschritte (PoC)
Produktversion oder URL
Ihre Kontaktdaten (optional)

Bearbeitungszeiten

Eingangsbestätigung:: Innerhalb von 48 Stunden
Erstbewertung:: Innerhalb von 7 Werktagen
Behebung (kritisch):: Innerhalb von 30 Tagen
Koordinierte Offenlegung:: Nach Vereinbarung — in der Regel 90 Tage nach Behebung

Safe Harbor (Schutz für Forscher)

Forscher, die in gutem Glauben gemäß dieser Richtlinie handeln, werden nicht rechtlich verfolgt. Wir werden keine rechtlichen Schritte im Zusammenhang mit verantwortungsvoller Sicherheitsforschung einleiten.

Verarbeitung personenbezogener Daten

Informationen über Schwachstellen werden streng vertraulich behandelt. Personenbezogene Daten der Forscher werden ohne ausdrückliche Einwilligung nicht an Dritte weitergegeben.

Anerkennung

Wir bieten keine finanzielle Vergütung. Anerkannte Forscher werden mit ihrer Zustimmung in unserer Hall of Fame aufgeführt.

Kontakt

E-Mail:security@blackforest-systems.de

PGP-Schlüssel:/pgp-key.asc

Rechtsgrundlage

EU Cyber Resilience Act (CRA) Art. 14 — Pflichten zur Schwachstellenoffenlegung
NIS-2-Richtlinie Art. 23 — Meldung von Vorfällen
RFC 9116 — security.txt Standard
§202a–c StGB — Sicherheitsforschung bei gutem Glauben geschützt

Geltungsbereich

Im Geltungsbereich (in-scope):

Elite Lux Admin Panel (alle Versionen auf Hetzner DE)

API-Endpunkte und Authentifizierung

Session-Management und Cookies

Infrastrukturkomponenten (Caddy, OpenBao, Stalwart)

Nicht im Geltungsbereich (out-of-scope):

Social-Engineering-Angriffe auf Mitarbeiter
Physischer Zugang zu Kundenservern
Schwachstellen in Drittanbieterdiensten, die nicht unter unserer Kontrolle stehen

Vulnerability Disclosure Policy

Einleitung

Geltungsbereich

Wie Sie eine Schwachstelle melden

Bearbeitungszeiten

Safe Harbor (Schutz für Forscher)

Verarbeitung personenbezogener Daten

Anerkennung

Kontakt

Rechtsgrundlage

Vulnerability Disclosure Policy

Einleitung

Geltungsbereich

Wie Sie eine Schwachstelle melden

Bearbeitungszeiten

Safe Harbor (Schutz für Forscher)

Verarbeitung personenbezogener Daten

Anerkennung

Kontakt

Rechtsgrundlage