Security Policy
Responsible Disclosure für iso-it-sec.de & Nyx
Diese Seite beschreibt, wie Sicherheitslücken in den von mir betriebenen Systemen verantwortungsvoll gemeldet werden können. Die maschinenlesbare Fassung liegt unter /.well-known/security.txt (nach RFC 9116).
Geltungsbereich
Diese Richtlinie gilt für:
- die Website iso-it-sec.de (inkl. Subdomains wie
nyx.iso-it-sec.de) - die Nyx-Plattform selbst (Anwendung, API, Infrastruktur)
Nicht umfasst sind Drittsysteme, die Nutzer über Nyx als Scan-Ziel angeben – dafür ist jeweils der Auftraggeber des Scans verantwortlich, nicht ich. Melden Sie Funde zu fremden Zielen bitte direkt an deren Betreiber.
Wie Sie eine Schwachstelle melden
Kontakt: E-Mail. Bitte so viele der folgenden Angaben wie möglich mitschicken:
- Betroffene URL / Endpunkt / Komponente
- Schritte zur Reproduktion (idealerweise minimal, nachvollziehbar)
- Erwartetes vs. tatsächliches Verhalten, Einschätzung der Auswirkung
- Optional: Proof-of-Concept, Screenshots, Request/Response-Dumps
Eine verschlüsselte Meldung per PGP ist aktuell nicht eingerichtet – bei besonders sensiblen Funden bitte zuerst per E-Mail Kontakt aufnehmen, um einen sicheren Kanal abzustimmen.
Safe Harbor
Sicherheitsforschung in gutem Glauben, die dieser Richtlinie entspricht, wird von mir nicht rechtlich verfolgt und nicht bei Strafverfolgungsbehörden angezeigt. Das gilt, solange Sie:
- ausschließlich Systeme im oben genannten Geltungsbereich testen
- die Verfügbarkeit oder Integrität der Systeme nicht beeinträchtigen (kein DoS, keine Lasttests, kein automatisiertes Massen-Scanning ohne vorherige Absprache)
- nicht auf Daten anderer Nutzer zugreifen, diese nicht verändern oder exfiltrieren – außer in dem Umfang, der zum Nachweis der Schwachstelle unbedingt nötig ist
- keine Social-Engineering-, Phishing- oder physischen Angriffe durchführen
- den Fund vertraulich behandeln, bis er behoben ist (siehe Offenlegung unten)
Nicht im Geltungsbereich
- Denial-of-Service- und Lasttests jeder Art
- Social Engineering gegen mich oder Dritte
- Physischer Zugriff auf Hardware/Standorte
- Angriffe auf Drittanbieter-Infrastruktur (Hosting-, DNS-, E-Mail-Provider)
- Von Nyx-Nutzern selbst eingetragene Scan-Ziele (siehe Geltungsbereich)
- Rein theoretische Schwachstellen ohne praktischen Nachweis, sowie Probleme, die ausschließlich veraltete oder nicht unterstützte Browser/Clients betreffen
Reaktionszeiten
Eingangsbestätigung in der Regel innerhalb von 5 Werktagen. Eine erste Einschätzung (Schweregrad, weiteres Vorgehen) folgt üblicherweise innerhalb von 14 Tagen – bei komplexeren Fällen kann das länger dauern; ich halte Sie in dem Fall auf dem Laufenden.
Koordinierte Offenlegung
Bitte veröffentlichen Sie Details zu einer gemeldeten Schwachstelle nicht, bevor sie behoben ist, und nehmen Sie vorher Kontakt mit mir auf. Als Richtwert strebe ich eine Behebung innerhalb von 90 Tagen nach Eingang der Meldung an; bei Bedarf stimmen wir eine längere Frist einvernehmlich ab.
Anerkennung
Aktuell gibt es kein Bug-Bounty-Programm mit finanzieller Vergütung. Auf Wunsch nenne ich Ihren Namen/Pseudonym gerne nach Behebung und mit Ihrer Zustimmung als Dank für die Meldung.