Responsible Vulnerability Disclosure

Die Sicherheit unserer Systeme sowie der Schutz der Daten unserer Kundinnen und Kunden haben für die Neuroth Gruppe einen hohen Stellenwert. 

Trotz umfassender Sicherheitsmaßnahmen können Schwachstellen nie vollständig ausgeschlossen werden. Wenn Sie eine mögliche Sicherheitslücke in einem System oder Service der Neuroth Gruppe entdecken, bitten wir Sie, uns diese verantwortungsvoll und vertraulich zu melden. 

Mit unserem Coordinated Vulnerability Disclosure Process (CVDP) möchten wir Sicherheitsforscher dabei unterstützen, Schwachstellen sicher an uns zu melden und gemeinsam mit uns zu einer raschen Behebung beizutragen. 

Schwachstelle melden 

Bitte senden Sie Ihre Meldung an: 

[email protected] 

Bitte geben Sie uns möglichst folgende Informationen: 

• betroffenes System, Anwendung oder URL 

• kurze Beschreibung der Schwachstelle 

• nachvollziehbare Schritte zur Reproduktion 

• mögliche Auswirkungen 

• gegebenenfalls einen nicht-destruktiven Proof of Concept 

Bitte übermitteln Sie in der ersten Kontaktaufnahme nach Möglichkeit keine personenbezogenen Daten, Zugangsdaten oder andere sensible Informationen. Falls für die weitere Analyse erforderlich, stimmen wir mit Ihnen einen geeigneten Kommunikationsweg ab. 

Grundsätze für Security Research 

Wir bitten Sie, Ihre Untersuchungen auf das unbedingt erforderliche Maß zur Identifikation und Verifikation einer Schwachstelle zu beschränken. 

Insbesondere erwarten wir, dass Sie: 

• keine Systeme oder Services beeinträchtigen oder deren Verfügbarkeit beeinflussen, 

• keine Daten verändern oder löschen, 

• nur auf jene Daten zugreifen, die zur Verifikation der Schwachstelle zwingend erforderlich sind, 

• keine personenbezogenen oder sonstigen vertraulichen Daten herunterladen, speichern oder weitergeben, soweit dies nicht unbedingt für einen minimalen Nachweis erforderlich ist, 

• Tests unverzüglich beenden, wenn sensible Daten oder ein weitergehender Zugriff als erwartet sichtbar werden, 

• keine Social-Engineering-, Phishing-, DoS-/DDoS- oder physischen Angriffe durchführen, 

• Informationen über eine Schwachstelle nicht an Dritte weitergeben oder veröffentlichen, bevor eine koordinierte Abstimmung mit Neuroth erfolgt ist. 

Sollten Sie unsicher sein, ob eine bestimmte Handlung im Rahmen einer Untersuchung angemessen ist, kontaktieren Sie uns bitte, bevor Sie weitere Tests durchführen. 

Geltungsbereich 

Der Responsible-Disclosure-Prozess gilt für öffentlich erreichbare Systeme, Anwendungen und Services, die von der Neuroth Gruppe betrieben oder verantwortet werden und für die diese Policy Anwendung findet. 

Schwachstellen in Produkten oder Services von Drittanbietern sollten grundsätzlich auch dem jeweiligen Anbieter gemeldet werden. Betrifft eine solche Schwachstelle unmittelbar Daten, Zugänge oder Systeme der Neuroth Gruppe, bitten wir Sie zusätzlich um eine vertrauliche Information an uns. 

Nicht im Geltungsbereich 

Nicht jede technische Auffälligkeit stellt eine Sicherheitslücke im Sinne dieser Policy dar. Insbesondere folgende Themen sind grundsätzlich nicht Gegenstand unseres Coordinated Vulnerability Disclosure Process, sofern daraus kein konkretes und nachvollziehbares Sicherheitsrisiko entsteht: 

• funktionale Fehler sowie reine UI-/UX-Themen, Darstellungsfehler oder Rechtschreibfehler, 

• fehlende oder unvollständige E-Mail-Sicherheitskonfigurationen wie SPF, DKIM oder DMARC, 

• fehlende oder nicht optimal konfigurierte HTTP Security Header wie CSP, HSTS, X-Frame-Options oder X-Content-Type-Options, 

• allgemeine SSL-/TLS-Konfigurationsempfehlungen ohne konkret nachgewiesene Ausnutzbarkeit, 

• Clickjacking bzw. UI Redressing auf Seiten ohne sicherheitsrelevante oder sensible Aktionen, 

• Self-XSS oder Schwachstellen, die ausschließlich durch eine bewusste Aktion des eigenen Benutzers ausgenutzt werden können, 

• fehlende Cookie-Attribute bei nicht sicherheitsrelevanten Cookies, 

• offene Weiterleitungen (Open Redirects) ohne nachgewiesene sicherheitsrelevante Auswirkungen, 

• Versionsinformationen, Banner, Fehlermeldungen, Stack Traces oder Verzeichnisinformationen, sofern dadurch keine sensiblen Informationen offengelegt oder konkrete Angriffe ermöglicht werden, 

• fehlende Rate-Limits auf nicht sicherheitskritischen Funktionen ohne nachgewiesenes Missbrauchsszenario, 

• Schwachstellen, die ausschließlich veraltete oder nicht mehr unterstützte Browser, Betriebssysteme oder Softwareversionen betreffen, 

• automatisiert erzeugte Scanner-Ergebnisse ohne nachvollziehbare Verifikation oder nachgewiesene Sicherheitsauswirkung. 

Kann für eines dieser Themen eine konkrete Ausnutzbarkeit mit relevanten Auswirkungen auf die Vertraulichkeit, Integrität oder Verfügbarkeit von Systemen oder Daten der Neuroth Gruppe nachgewiesen werden, kann die Meldung dennoch im Rahmen dieser Policy geprüft werden. 

Was Sie von uns erwarten können 

Wir behandeln qualifizierte Meldungen vertraulich und prüfen sie durch unser Security-Team. 

Wir bestätigen den Eingang einer Meldung in der Regel innerhalb weniger Werktage und informieren Sie nach Möglichkeit über den weiteren Verlauf und die Behebung. 

Wenn Sie in gutem Glauben handeln und die in dieser Policy beschriebenen Grundsätze einhalten, wird Neuroth grundsätzlich keine rechtlichen Schritte allein aufgrund dieser Sicherheitsforschung gegen Sie einleiten. 

Security Researcher, die verantwortungsvoll handeln, leisten einen wichtigen Beitrag zur Verbesserung der Sicherheit unserer Systeme. 

CVDP und Bug Bounty 

Unser Coordinated Vulnerability Disclosure Process ist kein Bug-Bounty-Programm. Aus der Meldung einer Schwachstelle entsteht kein Anspruch auf eine finanzielle Vergütung oder sonstige Gegenleistung. 

Neuroth kann besonders relevante und verantwortungsvoll gemeldete Schwachstellen in Ausnahmefällen nach eigenem Ermessen freiwillig anerkennen. Ob und in welcher Form eine solche Anerkennung erfolgt, entscheidet Neuroth ausschließlich im Einzelfall. 

Eine vorherige Zusage oder Garantie einer finanziellen oder sonstigen Vergütung besteht nicht. Aus einer freiwilligen Anerkennung entsteht auch kein Anspruch für zukünftige Meldungen.