Sicherheitsrichtlinie
Bitte finden Sie unten unsere Sicherheitsrichtlinie.
Meldung einer Schwachstelle
Die Sicherheit unserer Module und unserer Kunden hat oberste Priorität.
Deshalb ermutigen wir Sicherheitsforscher, Analysen unserer Module durchzuführen und uns jede identifizierte Schwachstelle unter Einhaltung der bewährten Praktiken der verantwortungsvollen Offenlegung zu melden.
Wir verpflichten uns, jede Schwachstelle zu identifizieren und zu beheben und während des gesamten Prozesses transparent mit den beteiligten Parteien zu kommunizieren.
Wenn Sie glauben, eine Schwachstelle in einem unserer Module entdeckt zu haben, können Sie uns diese verantwortungsvoll über die Adresse [email protected] melden.
Wir bitten Sie, uns so viele Details wie möglich zur Verfügung zu stellen (Beschreibung, Auswirkungen, betroffene Version, Reproduktionsschritte).
Unsere Richtlinie zur Schwachstellenverwaltung
Unser Team wendet die folgenden Prinzipien an:
- Eingangsbestätigung jeder relevanten Meldung innerhalb von maximal 7 Tagen. (CVSS ≥ 4.0)
- Auswirkungsanalyse und Planung eines Patches innerhalb von maximal 30 Tagen.
- Veröffentlichung einer Sicherheitsmitteilung mit CVE, wenn der CVSS-Score ≥ 7.5 ist)
- Keine Korrektur wird stillschweigend veröffentlicht.
Parallel dazu verpflichten wir uns zu folgenden Maßnahmen, um eine verantwortungsvolle und ethische Verwaltung von Schwachstellen zu gewährleisten:
- Keine rechtlichen Schritte gegen Forscher, die in gutem Glauben handeln.
- Sicherstellen, dass keine Vertraulichkeitsvereinbarung, einschließlich White-Label, die transparente Veröffentlichung einer Sicherheitsmitteilung mit CVE-Identifikator behindern kann, im Einklang mit dem Stand der Technik.
Wir sind uns bewusst, dass diese Transparenz entscheidend ist, um es den betroffenen Dritten (Agenturen, Händler usw.) zu ermöglichen, ihren Compliance-Verpflichtungen nachzukommen, insbesondere im Rahmen des PCI-DSS-Standards oder einer seiner vereinfachten Versionen wie der SAQ-A.
Genehmigung zur Veröffentlichung
Wir erteilen ausdrücklich jeder Firma die Erlaubnis, Informationen über behobene Schwachstellen unserer Module auf ihrer offiziellen Website zu veröffentlichen, gemäß den Verpflichtungen der Charta für verantwortungsvolle Cybersicherheit.
Diese Veröffentlichung umfasst:
- Einen CVE-Identifikator, der mit der Schwachstelle verknüpft ist.
- Eine Sicherheitsnotiz, die das Problem und seine Lösung klar beschreibt.
- Die betroffenen Versionen und die behobene Version.
- Einen leicht zu implementierenden Patch, wenn ein Update nicht möglich ist.
- Alle nützlichen Informationen, die es Benutzern und Agenturen ermöglichen, sich schnell zu schützen
Letzte Aktualisierung: 28. August 2025
