Schwachstelle melden

Sie haben eine Sicherheitslücke in einem System von D+O AI Solutions gefunden? Danke, dass Sie sie melden. Hier steht, wie das geht, welche Regeln für Ihre Prüfung gelten und was Sie von uns erwarten können.

So melden Sie

Schreiben Sie an info@dplus-o.de mit dem Betreff „Sicherheit“. Hilfreich sind:

• die betroffene Adresse oder das betroffene System,
• die Art der Schwachstelle und ihre mögliche Auswirkung,
• die Schritte zum Nachstellen, gern mit Bildschirmfoto oder Beispielanfrage,
• wie wir Sie für Rückfragen erreichen.

Schicken Sie mit der ersten Nachricht keine Zugangsdaten und keine fremden Daten. Möchten Sie Einzelheiten verschlüsselt übermitteln, vereinbaren wir einen Weg dafür. Die maschinenlesbare Fassung dieser Angaben steht unter /.well-known/security.txt.

Worum es geht und worum nicht

Gemeint sind die Website dplus-o.de und die Dienste, die D+O selbst unter dieser Domain betreibt.

Nicht dazu gehören:

• Dienste anderer Anbieter, die wir nutzen, etwa Postfach, Hosting, die Zahlungsabwicklung über Stripe oder WhatsApp. Lücken dort melden Sie bitte dem jeweiligen Anbieter.
• Angriffe, die den Betrieb stören, etwa Überlastung (Denial of Service), Massenversand oder automatische Scans mit hoher Last.
• Täuschung von Menschen (Social Engineering, Phishing) und physischer Zugang.
• Systeme und Daten unserer Kunden.

Regeln für Ihre Prüfung

• Greifen Sie nur auf Daten zu, die Sie für den Nachweis brauchen, und nutzen Sie wo möglich eigene Testkonten.
• Stoßen Sie auf personenbezogene Daten anderer, brechen Sie sofort ab, behalten Sie nichts davon und melden Sie uns den Fund.
• Verändern oder löschen Sie keine Daten und richten Sie keine dauerhaften Zugänge ein.
• Geben Sie uns Zeit zur Behebung, bevor Sie Einzelheiten veröffentlichen.

Was Sie von uns erwarten können

Wir bemühen uns um die folgenden Zeiten. Zusagen können wir sie nicht, denn hinter D+O stehen zwei Personen ohne Bereitschaftsdienst.

• eine Eingangsbestätigung in der Regel innerhalb von drei Werktagen,
• eine erste Einschätzung in der Regel innerhalb von zehn Werktagen,
• eine Nachricht, sobald die Lücke behoben ist.

Veröffentlichen möchten wir gemeinsam mit Ihnen, sobald die Lücke behoben ist. Als Richtwert gelten 90 Tage nach Ihrer Meldung. Eine Prämie zahlen wir nicht. Auf Wunsch nennen wir Sie bei der Veröffentlichung als Finder.

Unsere Zusage

Halten Sie sich an diese Regeln und handeln Sie in gutem Glauben, stellt D+O wegen Ihrer Prüfung keinen Strafantrag und macht keine zivilrechtlichen Ansprüche gegen Sie geltend. Diese Zusage bindet nur D+O. Die Staatsanwaltschaft kann bei manchen Taten auch ohne Strafantrag ermitteln, und Dritte, etwa unsere Dienstleister, entscheiden selbst über ihre Rechte.