Richtlinie zur Offenlegung von Sicherheitslücken

gurado — Sicherheit und verantwortungsvolle Meldung von Sicherheitslücken

1. Unser Engagement für Sicherheit

Bei gurado hat der Schutz unserer Kunden, Händler und ihrer Daten höchste Priorität.

Wir schätzen es, wenn Personen potenzielle Sicherheitslücken in unseren Produkten und Dienstleistungen verantwortungsvoll melden.

Diese Richtlinie erläutert, wie Sicherheitsbedenken gemeldet werden können, welche Voraussetzungen für Sicherheitstests gelten und wie gurado mit Meldungen über Sicherheitslücken und deren koordinierter Offenlegung umgeht.

2. Genehmigung von Sicherheitstests

gurado gestattet keine eigenständigen Sicherheitstests, Penetrationstests, die Ausnutzung von Sicherheitslücken oder automatisierte Sicherheitsscans seiner Systeme ohne vorherige ausdrückliche schriftliche Genehmigung.

Diese Einschränkung gilt für sämtliche Websites, Subdomains, Anwendungen, APIs, Administrationsoberflächen, Infrastrukturen und zugehörigen Dienste, die gurado gehören oder von gurado betrieben werden.

Die öffentliche Erreichbarkeit einer Website, API oder eines Dienstes stellt keine Genehmigung zur Durchführung von Sicherheitstests dar.

Personen oder Organisationen, die Sicherheitstests durchführen möchten, müssen vor Beginn eine schriftliche Genehmigung eines hierzu befugten Vertreters von gurado einholen.

Eine solche Genehmigung muss die zugelassenen Systeme, Testmethoden, den Zeitraum und die geltenden Einschränkungen festlegen.

Sofern keine ausdrückliche schriftliche Genehmigung vorliegt, sind sämtliche Systeme und Dienste von gurado vom Umfang eigenständiger Sicherheitstests durch Dritte ausgeschlossen.

Diese Richtlinie stellt einen Meldeweg für vermutete Sicherheitslücken bereit. Sie erteilt keine Genehmigung, Sicherheitslücken durch ansonsten unzulässige Aktivitäten zu entdecken, zu überprüfen oder auszunutzen.

3. Unzulässige Aktivitäten

Ohne vorherige schriftliche Genehmigung sind insbesondere folgende Aktivitäten nicht gestattet:

• Der Versuch, auf Konten, Dashboards, APIs oder Informationen anderer Nutzer oder Händler zuzugreifen.
• Der Zugriff auf, das Sammeln, Herunterladen, Kopieren, Verändern oder Offenlegen von Kunden- oder Händlerdaten, einschließlich Gutscheinen, Coupons, Zugangsdaten und Authentifizierungstokens.
• Der Versuch, Sicherheitslücken auszunutzen oder zusätzliche Tests durchzuführen, um deren Auswirkungen zu überprüfen.
• Die Durchführung automatisierter Sicherheitsscans, Brute-Force-Angriffe, Denial-of-Service-Angriffe oder anderer Aktivitäten, die die Verfügbarkeit der Systeme beeinträchtigen können.
• Der Versuch, Authentifizierungs- oder Autorisierungsmechanismen, die Mandantentrennung, Zugriffskontrollen oder andere Sicherheitsmaßnahmen zu umgehen.
• Social Engineering, Phishing oder Tests unter Einbeziehung von Mitarbeitern, Kunden, Händlern oder Partnern von gurado.
• Die Installation von Schadsoftware, die Einrichtung dauerhafter unbefugter Zugriffsmöglichkeiten oder die Veränderung von Produktivdaten.
• Die Nutzung erkannter Sicherheitslücken, um unbefugten Zugriff, finanzielle Vorteile oder andere Vorteile zu erlangen.

Wenn Sie bei einer gewöhnlichen, autorisierten Nutzung unbeabsichtigt auf vertrauliche Informationen stoßen oder eine potenzielle Sicherheitslücke erkennen, stellen Sie die betreffende Aktivität ein und melden Sie den Sachverhalt unverzüglich.

Führen Sie ohne schriftliche Genehmigung keine weiteren Tests durch und versuchen Sie nicht, die Auswirkungen der Sicherheitslücke nachzuweisen.

4. Meldung einer Sicherheitslücke

Wir begrüßen gutgläubige Meldungen über vermutete Sicherheitslücken, einschließlich solcher, die ohne die Durchführung von Sicherheitstests erkannt wurden.

Bitte senden Sie Ihre Meldung an:

E-Mail: security@gurado.de

Geben Sie nach Möglichkeit folgende Informationen an:

• Eine verständliche Beschreibung der vermuteten Sicherheitslücke.
• Die betroffene URL, Anwendung, API oder Komponente.
• Die möglichen sicherheitsrelevanten Auswirkungen.
• Informationen darüber, wie das Problem festgestellt wurde, ohne zusätzliche nicht genehmigte Tests durchzuführen.
• Screenshots oder unterstützende Informationen, die keine unnötige Offenlegung vertraulicher oder personenbezogener Daten beinhalten.
• Ihre bevorzugten Kontaktdaten für eventuelle Rückfragen.

Bitte übermitteln Sie keine Passwörter, aktiven Authentifizierungstokens, Gutscheincodes, personenbezogenen Daten oder andere vertrauliche Informationen, sofern gurado dafür keinen geeigneten sicheren Übertragungsweg bereitgestellt hat.

Die Meldung einer Sicherheitslücke stellt keine Genehmigung zur Durchführung weiterer Tests dar.

5. Koordinierte Offenlegung und Vertraulichkeit

Wir bitten Sicherheitsforscher, vermutete Sicherheitslücken direkt an gurado zu melden und uns eine angemessene Gelegenheit zur Untersuchung, Behebung und Abstimmung einer möglichen Offenlegung einzuräumen.

Wir bitten darum, Einzelheiten zu Sicherheitslücken, Exploit-Informationen, Screenshots und andere sicherheitsrelevante Erkenntnisse nicht ohne vorherige Abstimmung mit gurado öffentlich zugänglich zu machen.

Bitte sehen Sie davon ab, Kunden, Händler oder Partner von gurado hinsichtlich gemeldeter Sicherheitslücken ohne vorherige Abstimmung zu kontaktieren.

Falls eine öffentliche Offenlegung beabsichtigt ist, empfehlen wir, sich vorab mit gurado in Verbindung zu setzen, um einen angemessenen Zeitplan abzustimmen. Dabei sollten der Schweregrad der Sicherheitslücke, der Fortschritt der Fehlerbehebung und mögliche Risiken für Betroffene berücksichtigt werden.

Diese Richtlinie soll weder rechtmäßige Meldungen an zuständige Behörden noch gesetzlich geschützte Offenlegungen oder die Erfüllung geltender gesetzlicher Verpflichtungen verhindern.

6. Bug-Bounty-Programm und Anerkennung

gurado betreibt kein öffentliches Bug-Bounty-Programm und garantiert keine finanziellen Belohnungen für unaufgefordert eingereichte Meldungen über Sicherheitslücken.

Aus der Einreichung einer Sicherheitslückenmeldung entsteht kein Anspruch auf Zahlung, Vergütung oder sonstige Belohnungen.

Als Zeichen der Wertschätzung kann gurado nach eigenem Ermessen Gutscheine, Firmenartikel oder andere Formen der Anerkennung für hilfreiche und verantwortungsvoll eingereichte Meldungen anbieten.

Eine solche Anerkennung erfolgt ausschließlich freiwillig, ist nicht garantiert und begründet weder ein Bug-Bounty-Programm noch einen Anspruch auf zukünftige Belohnungen.

Vergütete Sicherheitstests müssen vor Beginn gesondert vereinbart und ausdrücklich schriftlich genehmigt werden.

7. Umgang mit Sicherheitsmeldungen

gurado prüft Meldungen über Sicherheitslücken, die über den vorgesehenen Sicherheitskontakt eingehen, und bewertet deren potenzielle Auswirkungen.

Wir bemühen uns, den Eingang verwertbarer Meldungen innerhalb von fünf Werktagen zu bestätigen. Die tatsächlichen Antwortzeiten können jedoch variieren.

Abhängig von der Art der Meldung kann gurado:

• Zusätzliche Informationen anfordern, um das Problem besser zu verstehen.
• Die Gültigkeit, den Schweregrad und die möglichen Auswirkungen der gemeldeten Sicherheitslücke bewerten.
• Die Behebung entsprechend dem Sicherheitsrisiko und den verfügbaren Ressourcen priorisieren.
• Gegebenenfalls über relevante Fortschritte oder das Ergebnis der Prüfung informieren.
• Bei Bedarf oder aufgrund gesetzlicher Verpflichtungen die Abstimmung mit betroffenen Kunden, Dienstleistern, Aufsichtsbehörden oder anderen relevanten Stellen vornehmen.

Die Bestätigung des Eingangs einer Meldung bedeutet nicht, dass das Vorliegen einer Sicherheitslücke bestätigt wurde.

Die Dauer der Untersuchung und Behebung kann je nach Schweregrad, Komplexität und betrieblichen Anforderungen variieren. Eine bestimmte Frist zur Behebung wird nicht garantiert.

8. Rechtliche Hinweise und Richtlinienbestimmungen

Diese Richtlinie stellt einen Meldeweg für Sicherheitslücken bereit, erteilt jedoch keine Genehmigung, Systeme von gurado aufzurufen, zu scannen, zu testen oder Sicherheitslücken auszunutzen, soweit hierfür nicht bereits eine anderweitige Berechtigung besteht.

Sämtliche eigenständigen Sicherheitstests durch Dritte bedürfen einer gesonderten, ausdrücklichen schriftlichen Genehmigung.

gurado behält sich seine Rechte nach geltendem Recht im Zusammenhang mit unbefugtem Zugriff, dem Missbrauch von Systemen, dem Missbrauch vertraulicher Informationen und anderen rechtswidrigen Handlungen vor.

Die Einreichung oder Bestätigung einer Sicherheitslückenmeldung stellt keine Genehmigung für zuvor durchgeführte oder nachfolgende Sicherheitstests dar.

Diese Richtlinie schränkt weder gesetzliche Rechte noch verpflichtende Meldepflichten oder gesetzlich geschützte Offenlegungen ein.

gurado kann diese Richtlinie jederzeit ändern oder aktualisieren. Jede Genehmigung zur Durchführung von Sicherheitstests muss gesondert und schriftlich durch einen hierzu befugten Vertreter von gurado erteilt werden.