Schwachstelle melden: VDP der Bug-Bounty-Plattform bugbounty.de

Kontakt

Meldungen bitte per E-Mail an security@bugbounty.de.

• Meldungen sind auf Deutsch oder Englisch möglich.
• Ein Benutzerkonto ist nicht erforderlich, die Angabe eines Namens ebenfalls nicht. Eine Meldung ist auch anonym möglich.
• Die Kontaktangaben stehen zusätzlich maschinenlesbar in der security.txt nach RFC 9116.
• Die security.txt ist mit OpenPGP signiert. Öffentlicher Schlüssel: pgp-key.txt, Fingerabdruck 1E12 A846 BEC5 5C47 D0E3 0D98 8068 8A58 FEA0 8DFB.

Geltungsbereich

Im Geltungsbereich:

• bugbounty.de und www.bugbounty.de
• alle Subdomains von bugbounty.de
• die dort betriebenen Anwendungen, insbesondere das Formular zur Vormerkung mit Bestätigungs- und Abmeldelinks
• die DNS-Konfiguration der Domain, zum Beispiel im Hinblick auf eine mögliche Übernahme von Subdomains

Nicht im Geltungsbereich:

• Systeme und Dienste Dritter, die bugbounty.de nutzt, etwa die Infrastruktur des Hosting-Anbieters STRATO, Microsoft 365 für den E-Mail-Versand und Google Analytics für die Webanalyse. Schwachstellen in diesen Diensten selbst bitte direkt an den jeweiligen Anbieter melden.
• andere Domains, auch weitere Domains der Rootsektor IT-Security GmbH
• Systeme von Organisationen, die Programme auf bugbounty.de anbieten. Dafür gelten die Regeln des jeweiligen Programms.
• Denial-of-Service-Angriffe sowie Last- und Stresstests
• Social Engineering gegenüber Beschäftigten der Rootsektor IT-Security GmbH oder ihrer Dienstleister, etwa Phishing oder Anrufe
• physische Angriffe auf Gebäude, Rechenzentren oder Geräte
• Meldungen ohne nachvollziehbare Sicherheitsauswirkung, zum Beispiel fehlende HTTP-Sicherheitsheader ohne Angriffsszenario oder ungeprüfte Ergebnisse automatisierter Scanner

Regeln für Tests

• Nur in gutem Glauben und ausschließlich an Systemen im Geltungsbereich testen.
• Das Formular zur Vormerkung nur mit eigenen E-Mail-Adressen verwenden. Jede Absendung löst eine E-Mail an die angegebene Adresse aus; Adressen Dritter dürfen nicht eingetragen werden.
• Automatisierte Werkzeuge nur mit geringer Last einsetzen, höchstens mit 5 Anfragen pro Sekunde.
• Keine Daten Dritter abrufen, verändern oder löschen. Bei Zugriff auf personenbezogene oder vertrauliche Daten den Test sofort beenden, in der Meldung nur die für den Nachweis erforderlichen Angaben machen und die Daten anschließend löschen.
• Eine Schwachstelle nur so weit ausnutzen, wie es für den Nachweis erforderlich ist. Keine Hintertüren einrichten, keine dauerhaften Änderungen vornehmen und den Zugriff nicht auf weitere Systeme ausdehnen.
• Informationen zur Schwachstelle vertraulich behandeln, bis eine Offenlegung abgestimmt ist.
• Meldungen nicht mit Forderungen verknüpfen, zum Beispiel nach einer Zahlung.
• Bei Unklarheiten, etwa ob ein Test im Rahmen dieser Regeln liegt, vor weiteren Tests über security@bugbounty.de Kontakt aufnehmen.

Inhalt einer Meldung

Eine Meldung sollte folgende Angaben enthalten:

• betroffene URL oder betroffenes System
• Beschreibung der Schwachstelle
• Schritte zur Reproduktion, bei Bedarf mit einem Proof of Concept
• mögliche Auswirkung
• Zeitraum der Tests und, wenn möglich, die verwendeten IP-Adressen
• eine Kontaktmöglichkeit für Rückfragen, falls gewünscht

Zugangsdaten und personenbezogene Daten Dritter bitte nicht übermitteln. Ein Hinweis, wo sie zugänglich sind, genügt.

Reaktionsstandard

Für Meldungen an security@bugbounty.de gilt ein Reaktionsstandard, der sich an der Technischen Richtlinie BSI TR-03183-3 orientiert:

• erste persönliche Antwort innerhalb von fünf Arbeitstagen
• qualifizierte Rückmeldung mit einer Einschätzung der Meldung innerhalb von zehn Arbeitstagen
• Schließung einer Meldung erst nach Prüfung durch eine zweite Person (Vier-Augen-Prinzip)
• koordinierte Offenlegung mit einer Standardfrist von 90 Tagen

Eine Veröffentlichung wird mit der meldenden Person abgestimmt und darf keine personenbezogenen Daten Dritter und keine Zugangsdaten enthalten.

Keine Prämien

Dieses VDP ist kein Bug-Bounty-Programm. Für Meldungen werden keine Prämien und keine sonstigen Vergütungen gezahlt.

Datenschutz

Angaben aus Meldungen werden zur Bearbeitung der Meldung verarbeitet. Einzelheiten enthält die Datenschutzerklärung, Angaben zum Betreiber das Impressum.

Weitere Informationen

Informationen zur Plattform enthalten die Seiten Bug Bounty für Security-Researcher, Bug Bounty für Unternehmen, Bug Bounty für Behörden und Kommunen und die FAQ. Wer über den Start von bugbounty.de informiert werden möchte, kann sich vormerken.