Unser Vorgehen

Koordinierte Offenlegung ist unser Standard. Das Ziel ist, dass Lücken geschlossen werden, bevor sie ausgenutzt werden.

1. Finden

   Wir testen Software, Bibliotheken und Geräte, die wir rechtmässig beschaffen oder betreiben dürfen, zum Beispiel Open Source, eigene Testsysteme und Programme mit Safe-Harbor-Zusage. Wir greifen keine fremden Produktivsysteme an und greifen nicht auf Daten Dritter zu.

2. Melden

   Wir melden an den Meldekanal des Herstellers, bevorzugt über sein Bug-Bounty-Programm auf einer Plattform, sonst über security.txt oder das zuständige CERT. Wir senden eine nachvollziehbare Beschreibung mit Beweis der Machbarkeit und halten uns an Scope und Regeln des Programms.

3. Koordinieren

   Wir geben dem Hersteller standardmässig 90 Tage für einen Fix. Bei aktiver Ausnutzung oder grossem Schadenspotenzial verkürzen wir die Frist. Bei nachweislichem Fortschritt verlängern wir sie sinnvoll.

4. Offenlegen

   Nach dem Fix oder Fristablauf veröffentlichen wir eine Zusammenfassung, sofern die Programmregeln dies erlauben. Wo möglich, beantragen wir eine CVE-Nummer. Den Stand der Meldung zeigen wir auf der Findings-Seite.

Was wir nicht tun

• Kein Verkauf und keine Weitergabe von Lücken an Dritte. Vergütung erhalten wir ausschliesslich über Bug-Bounty-Programme der Hersteller.
• Keine Sicherheitsprüfungen oder Penetrationstests im Auftrag Dritter.
• Keine Veröffentlichung von Exploit-Code für ungepatchte Lücken.
• Keine Datenexfiltration, keine Dienstunterbrechung, kein Social Engineering gegen Mitarbeitende von Herstellern.