Schwachstellen-Meldung

Richtlinie zur Schwachstellen-Meldung

Wir nehmen die Sicherheit unserer öffentlichen Website und Systeme ernst. Wenn Sie ein Sicherheitsproblem gefunden haben, danken wir Ihnen für die verantwortungsvolle Meldung.

Umfang

Diese Richtlinie deckt die öffentliche Website cryptorecovers.com und ihre direkt zugehörige Infrastruktur ab. Forschung ist innerhalb der folgenden Grenzen willkommen. Alles außerhalb dieses Umfangs – einschließlich der Systeme unserer Kunden, Partner oder Hosting-Anbieter – ist von dieser Richtlinie nicht abgedeckt.

Erlaubte Forschung

Sie dürfen die öffentliche Website mit angemessenen, nicht-destruktiven Techniken auf Schwachstellen testen: Prüfung auf häufige Fehlkonfigurationen, Testen der Eingabebehandlung und Überprüfung öffentlich ausgelieferter Dateien. Sie dürfen nicht auf Systeme, Konten, Datenbanken, Wallet-Materialien oder personenbezogene Daten außer Ihren eigenen Testdaten zugreifen, den Zugriff darauf versuchen oder diese verändern.

So melden Sie

Senden Sie Ihren Bericht an security@cryptorecovers.com. Wenn möglich, verschlüsseln Sie ihn mit unserem PGP-Schlüssel (siehe PGP-Seite); der Fingerabdruck ist dort veröffentlicht. Veröffentlichen Sie die Schwachstelle nicht öffentlich, bevor wir eine angemessene Gelegenheit zur Reaktion und Behebung hatten.

Was Ihr Bericht enthalten sollte

Eine klare Beschreibung des Problems und wo es auftritt; die Schritte zur Reproduktion, ausreichend detailliert für unsere Verifikation; die von Ihnen erkannten möglichen Auswirkungen; Ihre Kontaktdaten (optional, aber nützlich); und die Bestätigung, dass Sie nur Ihre eigenen Testdaten verwendet haben.

Wozu wir uns verpflichten

Wir bestätigen den Eingang Ihres Berichts innerhalb von fünf Werktagen, halten Sie über den Fortschritt auf dem Laufenden und arbeiten mit Ihnen an Verifikation und Behebung. Wir leiten keine rechtlichen Schritte gegen Forscher ein, die in gutem Glauben melden und diese Richtlinie befolgen.

Verbotene Tests

Nicht zulässig sind: Angriffe auf Verfügbarkeit (Denial-of-Service), Social Engineering, physische Zugriffsversuche, Ausnutzung von Schwachstellen über den zur Bestätigung nötigen Rahmen hinaus, Zugriff auf Systeme Dritter sowie Tests, die Wallet-Material, persönliche Daten oder Konten von Kunden betreffen. Bleiben Sie innerhalb des Umfangs und verwenden Sie nur Ihre eigenen Testdaten.

Vertraulichkeit

Meldungen werden vertraulich behandelt. Wir verwenden die Informationen ausschließlich, um das Problem zu prüfen, einzuordnen und zu beheben, und um mit Ihnen darüber zu kommunizieren. Wir fragen Sie nie nach Wallet-Material, und Sie sollten uns niemals welches senden.

Belohnungen

Wir betreiben derzeit kein Bug-Bounty-Programm und bieten keine finanziellen Belohnungen. Wir sind für verantwortungsvolle Meldungen dankbar und nennen Forschende öffentlich nur mit deren ausdrücklicher Zustimmung.