Bug-Bounty-Programm

Was dazugehört

Das Programm umfasst alles, was wir selbst entwickeln und betreiben:

• die Website nahspeicher.de mit allen öffentlichen Seiten,
• Konfigurator, Bestellung und Kasse,
• den Kundenbereich mit Dashboard, Verträgen, Rechnungen, Zahlungen, Tickets und Einstellungen,
• die Schnittstellen unter nahspeicher.de/api,
• die Einrichtung der Kundenserver, also unsere Installationsskripte und den Server-Agenten.

Was nicht dazugehört

• Server anderer Kunden. Testen Sie ausschließlich mit Ihrem eigenen Konto und Ihrem eigenen Server – nie mit der Cloud eines anderen Kunden.
• Software Dritter. Lücken in Nextcloud, ownCloud und anderer eingesetzter Software melden Sie bitte direkt beim Hersteller; Nextcloud betreibt dafür ein eigenes Programm auf HackerOne. Betrifft die Lücke unsere Einrichtung dieser Software, gehört sie hierher.
• Dienste unserer Partner wie Stripe, PayPal, Cloudflare, Resend oder unsere Rechenzentrumsbetreiber.
• Angriffe auf Verfügbarkeit und Menschen: Überlastung (DoS), Spam, Social Engineering, Phishing sowie physische Angriffe.
• Befunde ohne nachweisbare Auswirkung, etwa fehlende Sicherheits-Header, Versionsangaben, Self-XSS, Clickjacking auf Seiten ohne schützenswerte Aktion oder ungeprüfte Ergebnisse automatischer Scanner.

Spielregeln

• Nutzen Sie nur eigene Konten. Brauchen Sie ein Testkonto oder einen Testserver, fragen Sie uns.
• Greifen Sie nicht auf fremde Daten zu und verändern oder löschen Sie nichts. Stoßen Sie auf Daten Dritter, hören Sie auf, speichern Sie nichts und melden Sie es uns.
• Weisen Sie eine Lücke nur so weit nach, wie es für die Meldung nötig ist.
• Belasten Sie unsere Systeme nicht: keine Überlastungsversuche, automatische Werkzeuge nur gedrosselt auf höchstens fünf Anfragen pro Sekunde.
• Behalten Sie die Lücke für sich, bis sie geschlossen ist, längstens 90 Tage nach Ihrer Meldung. Eine Veröffentlichung stimmen wir gern gemeinsam mit Ihnen ab.
• Knüpfen Sie Ihre Meldung nicht an Forderungen. Eine Meldung unter Bedingungen ist nicht Teil dieses Programms.

Unsere Zusage

Wer in gutem Glauben forscht und sich an diese Spielregeln hält, handelt in unserem Sinn. Gegen solche Forschung erstatten wir keine Strafanzeige und machen keine zivilrechtlichen Ansprüche geltend. Wer die Regeln verletzt – etwa Kundendaten abruft oder den Betrieb stört –, kann sich auf diese Zusage nicht berufen.

Die Zusage gilt für uns; Rechte Dritter kann sie nicht ausschließen. Ihre Meldung behandeln wir vertraulich und geben Ihre Kontaktdaten ohne Ihre Zustimmung nicht weiter.

Belohnung

Für jede gültige Meldung einer bisher unbekannten Lücke in unserem Angebot bedanken wir uns doppelt:

• Danke-Liste. Auf Wunsch nennen wir Sie auf dieser Seite – mit Namen oder Pseudonym.
• Guthaben. Je nach Schweregrad erhalten Sie zwischen 1 € und 1.000 € Guthaben – als persönlicher Gutschein, gebunden an Ihr Kundenkonto. Den Betrag legen wir fest und teilen ihn zusammen mit unserer Bewertung mit.

Den Schweregrad stufen wir nach CVSS als niedrig, mittel, hoch oder kritisch ein; je schwerer die Lücke, desto höher das Guthaben. Belohnt wird nur die erste Meldung einer Lücke. Guthaben ist nicht übertragbar und wird nicht ausgezahlt; ohne Kundenkonto bedanken wir uns mit dem Eintrag in der Danke-Liste. Einstufung und Betrag legen wir fest, ein Rechtsanspruch entsteht dadurch nicht.

So melden Sie eine Lücke

Am besten über unser Meldeformular. Dafür melden Sie sich mit Ihrem Kundenkonto an; nur dort lassen sich Screenshots und Dateien anhängen. Anhänge speichern wir verschlüsselt und öffnen sie nur zur Prüfung. Hilfreich sind:

• die betroffene Adresse oder Komponente,
• die Schritte, mit denen sich die Lücke nachvollziehen lässt,
• was ein Angreifer damit erreichen könnte,
• ob und unter welchem Namen Sie in der Danke-Liste stehen möchten.

Ohne Kundenkonto schreiben Sie an [email protected] mit dem Betreff „Sicherheitsmeldung“ – bitte ohne Anhänge; wir melden uns dann für alles Weitere.

Bitte schicken Sie keine Zugangsdaten und keine personenbezogenen Daten Dritter mit. Maschinenlesbar steht der Meldeweg auch unter /.well-known/security.txt.

Danke-Liste

Hier nennen wir alle, die uns geholfen haben, NahSpeicher sicherer zu machen. Noch steht hier niemand – vielleicht bald Sie.