IT-Sicherheitsrichtlinie
DropBG (dropbg.io) • Koordinierte Offenlegung von Sicherheitslücken (CVD)
Richtlinie
Wir freuen uns über dein Interesse, zur Sicherheit von DropBG beizutragen. Bitte befolge die nachstehenden Regeln, um rechtliche Risiken auszuschließen.
Leitlinien für die koordinierte Offenlegung (CVD)
- Keine unbefugte Weitergabe. Bitte besprich eine gefundene Schwachstelle während des koordinierten Offenlegungsprozesses ausschließlich mit dem betroffenen Hersteller, dem Systembetreiber und uns.
- Zeit für die Behebung einräumen. Warte mit einer öffentlichen Bekanntmachung, bis die Schwachstelle behoben wurde oder eine gemeinsame Offenlegungsvereinbarung mit DropBG getroffen wurde.
- Interaktionen auf ein Minimum beschränken. Nachdem du eine Sicherheitslücke gemeldet hast, führe bitte keine weiteren Tests am betroffenen System durch.
- Umfang begrenzen. Führe für einen Proof of Concept nur die minimal erforderlichen Schritte aus. Lade keine Daten herunter und verändere oder lösche keine fremden Daten.
- Befugnisse nicht überschreiten. Vermeide Rechteausweitungen über den für den Nachweis nötigen Rahmen hinaus. Nutze ausschließlich eigene Testdaten und greife niemals auf Daten anderer Nutzer zu.
- Ethische Methoden verwenden. Setze keine Brute-Force-Angriffe oder Social-Engineering-Techniken ein, um Zugriff auf Systeme zu erlangen.
- Keine schädlichen Aktionen. Führe keine Denial-of-Service-Angriffe (DDoS) durch und installiere keine Schadsoftware.
- IP-Adressen angeben. Teile uns nach Möglichkeit die IP-Adressen mit, die du bei deiner Untersuchung verwendet hast, damit wir deine Tests von echten Angriffen unterscheiden können.
- Veröffentlichungspläne abstimmen. Wenn du deine Ergebnisse in einem Vortrag oder Artikel veröffentlichen möchtest, informiere uns bitte rechtzeitig vorab.
Was du von unserem CVD-Programm erwarten kannst
- Rechtlicher Schutz (Safe Harbor). Solange du dich an diese Leitlinien hältst, in gutem Glauben handelst und keine schädlichen Absichten verfolgst, leiten wir keine zivil- oder strafrechtlichen Schritte gegen dich ein.
- Vertraulichkeit & Anonymität. Deine Meldung wird streng vertraulich behandelt. Du kannst auf Wunsch anonym bleiben, und wir geben deine Daten nicht ohne deine Zustimmung an Dritte weiter.
- Anerkennung. Nach Behebung des Problems nennen wir dich gerne mit Namen oder Handle als Entdecker der Sicherheitslücke.
- Schnelle Rückmeldung. Du erhältst innerhalb von 3 Werktagen eine Eingangsbestätigung und innerhalb von 5 Werktagen eine erste technische Einschätzung.
- Transparente Kommunikation. Wir halten dich über den Fortschritt der Behebung auf dem Laufenden und stimmen etwaige CVE-Veröffentlichungen gemeinsam ab.
- Wall of Fame. Als unabhängiges Projekt zahlen wir keine finanziellen Bug-Bounties. Als Dankeschön nehmen wir deinen Namen oder dein Handle gerne in unsere öffentliche Security Wall of Fame auf.
Um eine Sicherheitslücke zu melden, sende eine E-Mail an dropna@pm.me. Unsere RFC-9116-Sicherheitsdatei findest du unter /.well-known/security.txt.
Zuletzt geändert am 29. September 2026