Medendo Responsible Disclosure Richtlinie

 

Bei Medendo hat die Sicherheit unserer Systeme und der Daten unserer Nutzer höchste Priorität. Wir fördern die verantwortungsbewusste Offenlegung (Responsible Disclosure) von Sicherheitslücken, um uns dabei zu helfen, die Sicherheit und Privatsphäre unserer Nutzer zu gewährleisten. Wenn Sie eine Schwachstelle entdecken, schätzen wir Ihre Unterstützung bei der verantwortungsvollen Meldung an uns.

 

Geltungsbereich
Diese Richtlinie gilt für Schwachstellen in allen Diensten oder Systemen, die Medendo gehören und von Medendo betrieben werden, einschließlich, aber nicht beschränkt auf:

  • Webanwendungen
  • APIs
  • Mobile Anwendungen
  • Netzwerkinfrastruktur

 

Safe Harbor
Wir werden keine rechtlichen Schritte gegen Forscher einleiten, die:

  • In gutem Glauben handeln und die in dieser Richtlinie dargelegten Leitfäden befolgen.
  • Während ihrer Tests keinen Schaden oder Dienstunterbrechungen verursachen.
  • Davon absehen, auf Daten zuzugreifen, diese zu ändern oder zu löschen.

Ihre Sicherheitsforschung muss allen geltenden Gesetzen und Vorschriften entsprechen. Sie sind berechtigt, die unter diese Richtlinie fallenden Systeme auf Schwachstellen zu testen, und wir werden keine rechtlichen Schritte einleiten oder Sie den Strafverfolgungsbehörden melden, solange Ihre Handlungen mit den Regeln dieser Richtlinie übereinstimmen.

 

So melden Sie eine Schwachstelle
Wenn Sie eine Sicherheitslücke identifizieren, folgen Sie bitte diesen Schritten:

  1. Senden Sie Ihre Ergebnisse per E-Mail an security@medendo.com.
  2. Geben Sie eine detaillierte Beschreibung der Schwachstelle an, einschließlich:
    1. Schritte zur Reproduktion der Schwachstelle.
    2. Potenzielle Auswirkungen der Schwachstelle.
    3. Proof of Concept (falls verfügbar).
    4. Alle relevanten Systeminformationen (z. B. Browserversion, Betriebssystem).
  3. Bitte legen Sie die Schwachstelle nicht gegenüber Dritten offen, bis wir die Gelegenheit hatten, sie zu beheben.

 

Was wir erwarten

  • Versuchen Sie nicht, die Schwachstelle über das Maß hinaus auszunutzen, das zur Demonstration des Problems erforderlich ist.
  • Vermeiden Sie Handlungen, die zu Datenverlust oder Dienstunterbrechungen führen könnten, wie Denial-of-Service-Angriffe (DoS), Brute-Force-Versuche oder Social Engineering.
  • Respektieren Sie die Privatsphäre: Greifen Sie während Ihrer Tests nicht auf Daten zu, die Sie vorfinden, und ändern oder löschen Sie diese nicht.

 

Was Sie erwarten können

  • Wir werden den Erhalt Ihres Berichts innerhalb von 72 Stunden bestätigen.
  • Wir werden Sie regelmäßig über den Status Ihres Berichts auf dem Laufenden halten, während wir an der Lösung des Problems arbeiten.
  • Wir sind bestrebt, validierte Schwachstellen zeitnah zu beheben, und werden Sie benachrichtigen, wenn das Problem gelöst ist.

 

Anerkennung und Anreize
Obwohl wir derzeit kein formelles Bug-Bounty-Programm anbieten, freuen wir uns, Personen öffentlich anzuerkennen, die Schwachstellen verantwortungsbewusst offenlegen. Wenn Sie genannt werden möchten, lassen Sie es uns bitte wissen, und wir werden Ihren Namen in unserer Security Hall of Fame auflisten.

 

Keine Vergütung
Zum jetzigen Zeitpunkt bieten wir keine finanziellen Belohnungen für die Offenlegung von Schwachstellen an. Wir schätzen jedoch Ihren Beitrag zur Sicherheit unserer Systeme sehr und sind bestrebt, unsere Prozesse mit Ihrer Hilfe zu verbessern.

 

Was Sie nicht tun sollten

  • Keine Unterbrechung: Vermeiden Sie Handlungen, die die Verfügbarkeit oder Leistung unserer Dienste beeinträchtigen könnten.
  • Kein Datenzugriff: Versuchen Sie nicht, auf vertrauliche oder sensible Daten zuzugreifen, diese zu ändern oder zu löschen.
  • Kein Social Engineering oder Phishing: Unterlassen Sie den Einsatz von Social-Engineering-Techniken (z. B. Phishing, Identitätsdiebstahl), um Zugang zu Systemen zu erhalten.
  • Keine öffentliche Offenlegung: Legen Sie Schwachstellen nicht öffentlich offen, bis wir eine Lösung bestätigt und die Erlaubnis erteilt haben.

 

Rechtliche Hinweise
Diese Richtlinie soll Forschern, die die Leitfäden befolgen, rechtlichen Schutz bieten. Medendo behält sich jedoch das Recht vor, diese Richtlinie jederzeit zu aktualisieren oder zu ändern. Durch das Einreichen eines Berichts erklären Sie sich mit dieser Richtlinie einverstanden. Alle Handlungen außerhalb des Rahmens dieser Richtlinie oder des Gesetzes können den angebotenen Schutz ungültig machen.

Vielen Dank, dass Sie uns helfen, Medendo sicher zu halten!